Mag. Karin Dietl ist Juristin und Datenschutzexpertin sowie Trainerin im WIFI-Kurs „KI-Recht in der Praxis: Rechtssicherer Einsatz von KI nach dem EU AI Act”. Für sie müssen Unternehmen Künstliche Intelligenz nicht aus Angst vor rechtlichen Risiken meiden. Entscheidend sind klare Regeln, geschulte Mitarbeiter:innen und das Bewusstsein, dass neben dem EU AI Act auch weiterhin Datenschutz, Urheberrecht, Geheimhaltung und Arbeitsrecht gelten. Eine unternehmensinterne KI-Compliance kann helfen, zwischen kurzfristigem Hype und echtem Mehrwert zu unterscheiden. 

Warum Unternehmen jetzt handeln sollten

Der EU AI Act ist Anfang Februar 2025 in Kraft getreten. Seitdem werden sukzessive immer mehr Regelungen für Unternehmen verbindlich. Dennoch wissen viele Geschäftsführer:innen und Führungskräfte derzeit nicht genau, welche rechtlichen Vorgaben bei der KI-Nutzung für sie relevant sind. 

„Unternehmen sollten nicht nur mögliche Sanktionen durch Aufsichtsbehörden im Blick haben – das eigentlich größere Risiko liegt darin, dass Mitbewerber:innen die Regelungen des EU AI Act aktiv einklagen können”, warnt Dietl. Zugleich steigen die Erwartungen an einen verantwortungsvollen Umgang mit KI.

Wenn KI unbemerkt ins Unternehmen einzieht 

Ein häufig unterschätztes Problem ist die sogenannte Schatten-KI: Mitarbeiter:innen nutzen frei verfügbare Tools, ohne dass Geschäftsführung, IT-Abteilung oder Datenschutzverantwortliche davon wissen. Kritisch wird es, sobald personenbezogene oder vertrauliche Informationen verarbeitet werden. 

Werden Inhalte aus Geheimhaltungsvereinbarungen eingegeben, kann dies einen Vertragsverstoß auslösen. Nach Dietls Einschätzung sollten Unternehmen eine geeignete Firmenlösung wählen und deren Datenschutz-, Speicher- und Trainingseinstellungen prüfen. Kostenlose Consumer-Lizenzen bieten für vertrauliche Unternehmensdaten nicht automatisch den notwendigen Schutz. 

Datenschutz und Urheberrecht gelten auch beim Prompten

„Nur weil die Künstliche Intelligenz neue Möglichkeiten eröffnet, Inhalte zu erstellen oder Daten zu verarbeiten, bedeutet das nicht, dass Datenschutz und Urheberrecht plötzlich außer Kraft gesetzt sind”, betont Dietl. Unternehmen sollten festlegen, welche Daten in welches System eingegeben werden dürfen. 

Personenbezogene Daten, Gesundheitsdaten, vertrauliche Geschäftsinformationen und geschützte Dokumente gehören nicht in öffentlich zugängliche KI-Tools. Für versehentliche Uploads braucht es einen internen Meldeweg. Auch fremde Texte oder Bilder dürfen nicht ohne entsprechende Rechte kopiert und bearbeitet werden. KI-generierte Inhalte sollten vor der Veröffentlichung auf geschützte Bestandteile bestehender Werke geprüft werden bzw. können ohne eigenen urheberrechtlichen Schutz bleiben – und damit auch von Mitbewerber:innen verwendet werden, so die Expertin. 

Verboten, hochriskant oder zulässig?

Der EU AI Act unterscheidet zwischen verbotenen Praktiken und besonders hochregulierten Hochrisiko-Systemen. Gerade im Personalbereich ist die Abgrenzung wichtig: KI-Systeme, die Bewerbungen sichten oder Entscheidungen über Beschäftigte vorbereiten, können als Hochrisiko-KI gelten. Sie sind nicht automatisch verboten, unterliegen aber besonderen Anforderungen. 

Grundsätzlich verboten ist die KI-gestützte Emotionserkennung am Arbeitsplatz, abgesehen von engen medizinischen oder sicherheitsbezogenen Ausnahmen. Mag. Karin Dietl nennt als Beispiel einen internen Chatbot, der zunächst beim Onboarding unterstützt und später analysieren soll, wie es neuen Mitarbeiter:innen emotional geht. Hier kann eine zunächst harmlose Anwendung eine rote Linie überschreiten.

Für eine erste Einschätzung empfiehlt Dietl zwei zentrale Leitfragen: Kann durch den Einsatz des KI-Systems ein finanzieller Schaden oder ein Personenschaden entstehen? Und könnte das Unternehmen im schlimmsten Fall in seiner Existenz gefährdet werden oder einen langfristigen Reputationsschaden erleiden? Sind sowohl das Schadenpotenzial als auch die Eintrittswahrscheinlichkeit hoch, ist eine genauere rechtliche Prüfung erforderlich. Die Fragen ersetzen zwar keine Einstufung nach dem EU AI Act, bieten Datenschutz- und IT-Verantwortlichen aber einen pragmatischen Orientierungsrahmen für den Arbeitsalltag. 

Rolle und Mitbestimmung klären

Wichtig sei zu klären, in welcher Rolle ein Unternehmen im Sinne des EU AI Act agiert, so die Expertin. Denn welche Pflichten gelten, hängen davon ab, ob ein Unternehmen als Anwender:in beziehungsweise „Deployer” oder als Anbieter:in beziehungsweise „Provider” auftritt. Wer ein fertiges KI-System bestimmungsgemäß nutzt, ist meist Anwender:in. Wer es unter eigenem Namen anbietet, wesentlich verändert oder seinen Zweck so ändert, dass daraus ein Hochrisiko-System wird, kann selbst zum/zur Anbieter:in werden. Mag. Karin Dietl: „Es gilt folgende Grundregel: Erst die eigene Rolle klären – dann die Risikopyramide navigieren. Nur wer seine Rolle kennt, kann die richtigen Compliance-Maßnahmen ableiten.” 

Auch der Betriebsrat sollte frühzeitig einbezogen werden, wenn im Unternehmen eine KI-gestützte Kontrollmaßnahme eingeführt werden soll. „Sobald ein KI-System die Möglichkeit bietet, die Arbeitsweise von Mitarbeitenden zu kontrollieren, ist der Betriebsrat einzubeziehen – unabhängig davon, ob die Kontrollfunktion als Hauptzweck oder lediglich als Nebenprodukt des Systems auftritt”, erklärt Dietl. „Der entscheidende rechtliche Maßstab ist dabei nicht die Absicht der Arbeitgeberin oder des Arbeitgebers, sondern die technische Eignung des Systems: Wenn eine KI-Anwendung die Kontrolle von Mitarbeitenden ermöglicht, ist Betriebsvereinbarungspflicht gegeben.” 

Ein One-Pager als Einstieg in die KI-Richtlinie

Bevor Unternehmen klare Regeln für den KI-Einsatz festlegen, sollten sie zunächst erfassen, welche Tools bereits genutzt werden, für welche Aufgaben, von wem und mit welchen Daten. Auf dieser Grundlage lässt sich bereits mit einem kompakten One-Pager festhalten, welche Anwendungen erlaubt sind, welche Informationen nicht eingegeben werden dürfen und was bei Fehlern zu tun ist. Und auch für neue Anwendungen braucht es einen einfachen Freigabeprozess. 

Der One-Pager muss dabei nicht von Anfang an jedes Szenario abdecken, denn er lässt sich schrittweise weiterentwickeln. Mag. Karin Dietl: „Das Prinzip ist vergleichbar mit einem agilen IT-Projekt im Scrum-Modus: klein starten, kontinuierlich verbessern.”

KI-Kompetenz für den Unternehmensalltag

Der Artikel 4 des EU AI Act verpflichtet Unternehmen dazu, für eine nachweisbare KI-Kompetenz ihrer Mitarbeitenden zu sorgen, erklärt Dietl. Eine bestimmte Stundenanzahl oder ein einheitliches Kompetenzniveau schreibt die Regelung aber nicht vor. Die Expertin empfiehlt dennoch, zu dokumentieren, wer in welchem Umfang und zu welchen Inhalten geschult wurde.

Einen praxisnahen Einstieg bietet der WIFI-Kurs „KI-Recht in der Praxis: Rechtssicherer Einsatz von KI nach dem EU AI Act”. Er richtet sich an Mitarbeiter:innen, die regelmäßig mit KI arbeiten, an angehende KI-Beauftragte und an Führungskräfte. Nach acht Lerneinheiten können die Teilnehmer:innen KI-Anwendungen besser einordnen, Risiken erkennen und erste Anforderungen für Projekte oder eine interne KI-Richtlinie formulieren. 

Mag. Karin Dietl: „Mir ist besonders wichtig zu betonen, dass die KI-Compliance kein unnötiges Hindernis ist, sondern sehr gut dabei helfen kann, sich mit dem eigenen Geschäftsmodell auseinander zu setzen und sich zu orientieren, wohin die Reise gehen soll.”

Bildcredits: © Westend61 - stock.adobe.com, © privat (Portrait Maichanitsch)