Impressum

Online-Dossier: AI Regulation & KI-Verordnung

Die Einführung der EU-Künstlichen-Intelligenz-Verordnung markiert einen Paradigmenwechsel, der nicht nur die Technologieentwicklung, sondern vor allem die regulatorische Landschaft für deutsche Unternehmen grundlegend verändert. Während vorherige Regulierungen oft reaktiv auf konkrete Vorfälle ausgerichteten, setzt die neue KI-Verordnung auf ein risikobasiertes System, das von Anfang an Prävention und Transparenz in den Mittelpunkt stellt. Für Kanzlei Franz bedeutet dies, dass sich die Praxis im Arbeitsrecht, im Gesellschaftsrecht und im M&A nun intensiv mit diesen Vorgaben auseinandersetzen muss, um rechtssichere Strukturen zu gewährleisten.

Das risikobasierte Bewertungssystem

Im Kern der Verordnung steht die Kategorisierung von KI-Systemen nach ihrem Risikoprofil. Diese Einteilung ist entscheidend, da sie bestimmt, welche spezifischen Pflichten Unternehmen erfüllen müssen. Die Verordnung unterscheidet primär zwischen vier Kategorien, wobei jede Kategorie unterschiedliche Compliance-Anforderungen stellt und somit die Compliance-Aufwand variieren kann, je nach Anwendungszweck.

  • Ungeklärt: Systeme, die eine allgemeine Risikobewertung unterzogen haben, aber keine spezifischen Anforderungen erfüllen, müssen dennoch sicherheitstechnisch geprüft werden, um schädliche Effekte auszuschließen.
  • Geringes Risiko: Dies umfasst die breitesten Anwendungsbereiche, bei denen nur technische Anforderungen an die Datensicherheit und eine transparente Kennzeichnung des Systems als KI vorgeschrieben sind.
  • Hoher Risiko: Dies ist der Bereich für kritische Anwendungen wie medizinische Diagnostik, Bewerberauswahl oder kritische Infrastruktur, bei denen strenge Vorab- und Nachprüfungsmechanismen zwingend erforderlich sind.
  • Unzulässiges Risiko: Bestimmte Anwendungen, wie z. B. Sozialkredit-Systeme oder Manipulationsversuche, sind explizit verboten und unterliegen einem kompletten Verbot.

Unternehmen müssen daher bei jeder Implementierung neu bewerten, in welcher Kategorie ihr System einzuordnen ist, da dies direkt die Compliance-Kosten und die erforderlichen Maßnahmen beeinflusst.

Compliance-Pflichten für hochriskante Anwendungen

Für Systeme, die als hochriskant eingestuft werden, gelten äußerst strenge Anforderungen, die weit über das bloße technische Versagen hinausgehen. Dazu gehören insbesondere die Notwendigkeit einer umfassenden Risikobewertung, die eine Risikoabschätzung der Anwendungszweck erfordert, bevor das System überhaupt in den Betrieb übergeht. Unternehmen müssen sicherstellen, dass ihre KI-Systeme robust sind und gegen bekannte Schwachstellen immunisiert sind, um Missbrauch oder Fehler zu verhindern.

Zu den zwingenden Pflichten gehören unter anderem:

  1. Eine detaillierte Risikobewertung, die alle potenziellen negativen Auswirkungen auf Menschen oder die Gesellschaft bewertet.
  2. Eine umfassende Dokumentation, die den gesamten Lebenszyklus des Systems von der Planung bis zum Betrieb abdeckt.
  3. Die Einrichtung eines unabhängigen Überwachungsmechanismus, der regelmäßig den Betrieb prüft.
  4. Die Gewährleistung einer menschlichen Aufsicht, insbesondere in kritischen Entscheidungsprozessen.
  5. Der Zugang zu technischen Dokumenten, um die Funktionsweise und die Sicherheit des Systems nachvollziehen zu können.

Diese Anforderungen stellen einen signifikanten Hebel für die Compliance-Struktur dar und erfordern oft eine Neuausrichtung der internen Governance-Richtlinien.

Menschliche Aufsicht als zentraler Erfolgsfaktor

Die Anforderung zur menschlichen Aufsicht ist kein optionaler Zusatz, sondern ein Kernbestandteil der Einhaltung der Verordnung, insbesondere bei systemischen Entscheidungen.

  • Die menschliche Kontrolle muss vorab, während des Betriebs und nachträglich gewährleistet sein.
  • Bei systemischen Entscheidungen darf der Mensch nicht in den Schatten gedrängt werden.
  • Die Aufsicht muss über die technische Funktionalität hinausgehende ethische und rechtliche Aspekte abdecken.

Arbeitsrechtliche Implikationen und Transparenzpflichten

Einer der am schnellsten wachsenden Anwendungsbereiche ist der Personalbereich, was erhebliche Auswirkungen auf das deutsche Arbeitsrecht hat. Die Verordnung legt strenge Transparenzpflichten fest: Mitarbeiter müssen immer informiert werden, wenn ein KI-System ihre Daten verarbeitet oder sie dabei unterstützt, Entscheidungen zu treffen. Dies schließt insbesondere Bewerberauswahlprozesse und Leistungsbewertungen ein, wo algorithmische Entscheidungen eine große Rolle spielen.

Für Arbeitgeber bedeutet dies konkret, dass sie:

  • Die Art der Datenverarbeitung sowie die Art und Weise der Entscheidungsfindung transparent gegenüber den betroffenen Personen machen müssen.
  • Sicherstellen, dass die verwendeten Daten keine unzulässige Diskriminierung auf Basis von geschützten Merkmalen bewirken.
  • Eine Möglichkeit zur Korrektur von Fehlentscheidungen bieten, die durch die KI verursacht wurden.
  • Die menschliche Aufsicht über die KI-Anwendung gewährleisten, um sicherzustellen, dass keine autonomen Entscheidungen ohne menschliches Eingreifen getroffen werden, wenn dies gesetzlich erforderlich ist.

Ein Mangel an Transparenz oder eine unzulässige Auswirkung auf Arbeitnehmerrechte kann zu erheblichen rechtlichen Konsequenzen führen, einschließlich Abmahnungen oder Schadensersatzforderungen.

Due Diligence und M&A im Kontext der KI-Verordnung

Für die Sektoren Mergers & Acquisitions und Unternehmensübernahmen gewinnt die KI-Compliance eine zentrale Bedeutung bei der Due Diligence. Käufer müssen nun nicht nur die finanzielle Gesundheit eines Zielunternehmens prüfen, sondern auch die regulatorische Konformität bezüglich ihrer KI-Systeme evaluieren. Dies umfasst die Überprüfung der Risikoklassifizierung, die Prüfung der Implementierung der Transparenzpflichten und die Analyse der Datenschutzmaßnahmen.

Eine unzureichende Due Diligence in diesem Bereich kann zu teuren Nachbesserungen, regulatorischen Bußgeldern oder Reputationsschäden nach dem Abschluss führen. Daher ist es ratsam, frühzeitig KI-Experten sowie Datenschutzbeauftragte in den Due-Diligence-Prozess einzubeziehen, um potenzielle Risiken frühzeitig zu identifizieren und zu adressieren. Dies kann den Transaktionswert beeinflussen und die Verhandlungsmacht auf beiden Seiten verändern.

Zukunftsperspektiven und kontinuierliche Anpassung

Die KI-Verordnung ist ein dynamischer Regelungsrahmen, der sich kontinuierlich weiterentwickelt und neue Auslegungen erfordert. Die Regulierungsbehörden werden in Zukunft weitere Richtlinien erlassen, die spezifische Aspekte der Verordnung ausführen, insbesondere im Bereich der Risikobewertung und der menschlichen Aufsicht. Unternehmen müssen sich darauf vorbereiten, dass ihre Prozesse flexibel bleiben müssen, um auf neue regulatorische Anforderungen reagieren zu können.

Die Integration von KI-Regulation in die normale Unternehmensführung ist somit keine einmalige Aufgabe, sondern ein fortlaufender Prozess der Anpassung. Kanzlei Franz empfiehlt, die interne Governance strukturell so aufzubauen, dass sie den Anforderungen der KI-Verordnung standhält, ohne die Innovationskraft der Unternehmen zu behindern. Nur durch eine proaktive Haltung und eine tiefgehende Verankerung dieser Themen in der Unternehmenskultur werden deutsche Unternehmen sicher in die digitale Zukunft eingehen können.

Weiterlesen