Regulierung · 4 Min. Lesezeit
Wer künstliche Intelligenz im Unternehmen einsetzt, trägt klare Verantwortung, sowohl für personenbezogene Daten als auch für die KI-Systeme selbst. Ein praxisnaher Blick auf DSGVO und AI Act für alle, die entscheiden und organisieren.
Führt ein Unternehmen einen KI-Assistenten ein, kommen zwei europäische Regelwerke ins Spiel. Die DSGVO befasst sich mit personenbezogenen Daten: welche verarbeitet werden dürfen, zu welchen Zwecken und mit welchen Garantien. Die KI-Verordnung (AI Act) befasst sich mit KI-Systemen als solchen: wie sie nach Risiko eingestuft werden und welche Pflichten für Anbieter und Betreiber gelten.
Die beiden überschneiden sich nur teilweise. Ein Assistent, der Fragen zu Bestellungen und Rechnungen beantwortet, verarbeitet fast immer auch personenbezogene Daten, etwa die Namen der Ansprechpartner beim Kunden, und fällt damit unter die DSGVO. Zugleich ist das Unternehmen, das ihn nutzt, im Sinne des AI Act Betreiber des Systems, mit eigener Verantwortung, die sich nicht vollständig an den Anbieter abgeben lässt.
DSGVO
AI Act
Der AI Act behandelt nicht jeden Einsatz gleich. Manche Praktiken sind verboten, manche Bereiche gelten als hochriskant, etwa die Personalauswahl oder die Bewertung von Beschäftigten, andere bringen vor allem Transparenzpflichten mit sich. Die meisten Büroanwendungen fallen in Kategorien mit geringeren Anforderungen, doch das ist im Einzelfall zu prüfen, nicht einfach anzunehmen.
Die erste praktische Aufgabe ist deshalb eine Bestandsaufnahme: Wofür nutzt das Unternehmen den Assistenten, oder wofür will es ihn nutzen? Fragen zu Kunden und Dokumenten beantworten, Entwürfe schreiben oder Berichte zusammenfassen ist etwas ganz anderes, als Bewerbungen zu filtern oder die Leistung von Menschen zu bewerten. Berührt ein Anwendungsfall sensible Bereiche, sollte er vor der Aktivierung besonders sorgfältig geprüft werden, am besten mit rechtlicher Beratung.
Auch bei Einsätzen mit geringem Risiko gelten einige Vorkehrungen immer. Der AI Act verlangt von Betreibern, für ein angemessenes Maß an KI-Kompetenz der beteiligten Personen zu sorgen: zu wissen, was das Werkzeug tut, wo es sich irren kann und wie man seine Ergebnisse überprüft. Wer mit einem KI-System interagiert oder generierte Inhalte erhält, sollte dies erkennen können, wenn die Umstände es erfordern.
Auf Seiten der DSGVO sind es die bekannten Fragen, angewandt auf ein neues Werkzeug. Was ist die Rechtsgrundlage der Verarbeitung, welche Daten werden wirklich gebraucht, wer handelt als Auftragsverarbeiter, wo werden die Daten verarbeitet und verlassen sie die Europäische Union? Bei Verarbeitungen, die voraussichtlich ein hohes Risiko für die Betroffenen mit sich bringen, kann eine Datenschutz-Folgenabschätzung nötig sein.
Der Anbieter des KI-Dienstes ist wie jeder andere Dienstleister zu behandeln, der im Auftrag des Unternehmens personenbezogene Daten verarbeitet: mit einem passenden Vertrag, dokumentierten Garantien und einer Prüfung seiner Sicherheitsmaßnahmen.
Vor der Aktivierung
Beide Regelwerke belohnen ein einfaches Prinzip: nachweisen zu können, was geschehen ist. Ein Anfrageprotokoll mit Nutzer, Frage, herangezogenen Quellen und ausgeführten Operationen ermöglicht es, auf ein Auskunftsersuchen einer betroffenen Person zu antworten, einen Fehler zu rekonstruieren und zu zeigen, dass interne Regeln tatsächlich angewendet werden.
Die menschliche Aufsicht ist die zweite Säule. Ein Assistent, der vorbereitet und die Entscheidung dem Menschen überlässt, ist leichter zu steuern als ein System, das eigenständig handelt. Auch wo das Gesetz es nicht vorschreibt, senkt eine ausdrückliche Bestätigung für Operationen, die Daten ändern oder nach außen kommunizieren, das Risiko und erleichtert jede spätere Prüfung.
Die nützlichsten Regeln sind die, deren Einhaltung man nachweisen und nicht nur behaupten kann.
Nicht jedes Projekt muss zur juristischen Akte werden. Ein kurzes Dokument, das die zulässigen Einsätze, die erlaubten Daten, die verwendeten Modelle und die Verantwortlichen für das Protokoll beschreibt, deckt den Großteil der Anforderungen ab und wird bei jedem neuen Anwendungsfall aktualisiert. Der Datenschutzbeauftragte, sofern vorhanden, sollte von Anfang an eingebunden sein.
Das AI-Modul von Innovaq ist darauf ausgelegt, dieses Vorgehen zu unterstützen. Der Assistent respektiert die Berechtigungen jedes Nutzers, nennt seine Quellen, protokolliert jede Anfrage, führt Operationen nur nach Bestätigung aus und lässt Sie zwischen Standardmodellen und eigenen Modellen wählen, je nachdem, wo die Daten bleiben müssen. Die Konformität bleibt Aufgabe des Unternehmens, doch die Werkzeuge dafür sind bereits vorhanden.
Weiterlesen
Das Model Context Protocol ist der Standard, um einen KI-Assistenten mit Unternehmenswerkzeugen und -daten zu verbinden. Was das in der Praxis bedeutet und wie Sie die ersten Anbindungen fehlerfrei planen.
Standardmodelle sind sofort einsatzbereit und leistungsstark, eine eigene KI kennt die Sprache des Unternehmens besser. Wie Sie die Wahl treffen und warum die beste Lösung oft eine Kombination aus beidem ist.
Innovaq befindet sich in der Startphase.