Geschrieben am 21.03.2024 von:
Julia Hohage
Legal Consultant | Diplom-Wirtschaftsjuristin (FH)
zum Profil
Kontaktiere mich:
+49 (0) 6232 – 100119 44
E-Mail senden
Nach langen Verhandlungen einigten sich die europäischen Gesetzgeber (das Europäische Parlament und der Europäische Rat) am 08. Dezember 2023 zunächst auf politischer Ebene auf das Gesetz über die Künstliche Intelligenz (KI-Verordnung). Über die Einigung und worum es bei dem Gesetz geht, haben wir in Teil 5 unserer KI-Reihe berichtet. Nun wurde die KI-Verordnung am 13. März 2024 von den Abgeordneten des Europäischen Parlamentes mit großer Mehrheit (523 zu 46 Stimmen bei 49 Enthaltungen) verabschiedet.
Wie geht es weiter?
Im nächsten Schritt muss die KI-Verordnung vom Europäischen Rat verabschiedet werden. Sie tritt 20 Tage nach Veröffentlichung im Amtsblatt der Europäischen Union in Kraft. Die meisten Regelungen sind 24 Monate nach Inkrafttreten umzusetzen. Einige sind jedoch schon früher, andere später anwendbar: So greifen z.B. die Regelungen zu verbotenen Praktiken bereits nach 6 Monaten, während für die Verpflichtungen für Hochrisiko-Systeme eine Frist von 36 Monaten vorgesehen ist.
Was müssen Organisationen jetzt tun?
Organisationen müssen sich dringend damit auseinandersetzen, wie sie KI-Compliance sicherstellen. Dabei kann auf grundlegende Prinzipien des Compliance-Managements bzw. Erfahrungswerte mit anderen Gesetzen (z.B. DS-GVO) zurückgegriffen werden. Bestehende Compliance-Strukturen und Schnittstellen (z.B. zu IT, Informationssicherheit, Datenschutz) sollten dabei ebenfalls berücksichtigt werden.
Wie sieht KI-Compliance in der Praxis aus?
Dies ist individuell von der jeweiligen Organisation abhängig – z.B. wo und in welchem Bereich sie tätig ist, ihrer Größe, in welchem Umfang sie KI einsetzt und welches Risiko davon ausgeht. Folgendes ist dabei jedoch grundsätzlich wichtig:
Zunächst sollte die Leitungsebene ein Verständnis für KI schaffen, um einerseits für die Risiken zu sensibilisieren, aber andererseits auch möglichen Ängsten oder Vorbehalten zu begegnen.
Im nächsten Schritt bedarf es einer Analyse der KI-Verordnung in Bezug auf die Tätigkeitsbereiche der Organisation (Risiko-Analyse) und eine technische Bestandsaufnahme: Welche Systeme und Anwendungen gibt es in der Organisation? Bei welchen kommt KI zum Einsatz oder ist geplant? Handelt es sich dabei überhaupt um KI im Sinne der KI-Verordnung? Und wenn ja, welcher Risiko-Kategorie ist sie zuzuordnen? Welche Pflichten sind bei der jeweiligen Kategorie zu erfüllen? Ein Beispiel dazu aus den Use-Cases unseres letzten Blog-Beitrags, in dem wir den Einsatz von KI im Personalbereich – vor allem aus datenschutzrechtlicher Perspektive – näher betrachtet haben: KI-Systeme, die im Recruiting eingesetzt werden (z.B. zur Auswahl und Analyse von Bewerbungen) können Hochrisiko-Systeme darstellen, da ihre Bewertung erhebliche Auswirkungen auf die Karriereaussichten der betroffenen Personen haben. Erfüllen die Systeme die Voraussetzungen für Hochrisiko-Systeme, ist z.B. ein Risiko- und Qualitätsmanagement erforderlich, es sind diverse technische Anforderungen umzusetzen und strengere Dokumentationspflichten zu erfüllen. Bei Systemen, die für die Interaktion mit natürlichen Personen bestimmt sind (z.B. Chatbots), muss über den Einsatz von KI informiert werden (Stichwort: Transparenz), um einen weiteren Use-Case aufzugreifen.
Sobald diese Fragen geklärt wurden, sollten Verantwortlichkeiten und Zuständigkeiten definiert werden. Essenzieller Bestandteil der KI-Compliance sind entsprechende Regelungen, Prozesse sowie damit einhergehende Informationen und Schulungen. Schließlich muss die Dokumentation eine laufende Überprüfung und Anpassung des (KI-)Compliance-Managements ermöglichen.
Du fragst dich, wie du KI-Compliance in deiner Organisation sicherstellst? Der erste Schritt auf dem Weg dahin ist ein Gespräch mit uns – melde dich einfach per E-Mail an contact@morgenstern-privacy.com und wir kommen auf Dich zu!