KI-Tools wie ChatGPT haben unseren Alltag und die Berufswelt bereits jetzt grundlegend verändert. Sei es bei der Marktrecherche, der Erstellung von Content oder Code-Snippets. Dies ist auch für Startups und agile KMUs spannend. Denn mithilfe von künstlicher Intelligenz lassen sich enorme Effizienzgewinne erzielen und es macht kleinen Teams möglich, wie ein Großkonzern zu skalieren. Daher ist die Verlockung groß, neue Werkzeuge in der Arbeit einzusetzen.
Doch wer KI im eigenen Unternehmen nutzt, ohne eine Strategie und Leitlinien zu haben, läuft Gefahr, rechtliche Probleme zu bekommen. Denn der naive Einsatz bringt Haftungsrisiken mit sich, unter denen die Geschäftsleitung leiden kann.
Die rechtlichen Fallstricke: Datenschutz und der EU AI Act
Betrachten wir diese Risiken genauer. Hier sind besonders zwei Schwachstellen kritisch. Eine davon sind der Datenschutz sowie Betriebsgeheimnisse. Sobald Beschäftigte personenbezogene Daten, vertrauliche Kundeninformationen, Finanzdaten oder proprietären Code in externe KI-Dienste eingeben, entstehen erhebliche Datenschutz-, Geheimnisschutz- und Vertragsrisiken. Die Nutzung eines externen KI-Tools ist nicht automatisch unzulässig. Unternehmen müssen jedoch vorab prüfen, welche Daten verarbeitet werden, wo sie gespeichert werden, ob der Anbieter die Eingaben zum Training verwendet und welche vertraglichen sowie technischen Schutzmaßnahmen bestehen.
Ebenso sollte geprüft werden, ob für den jeweiligen Anwendungsfall eine unternehmensinterne Freigabe erforderlich ist und ob der gewählte Tarif beziehungsweise die gewählten Einstellungen eine Nutzung der Eingaben zur Modellverbesserung ausschließen.
Besonders kritisch sind Daten mit Personenbezug,
besondere Kategorien personenbezogener Daten, Geschäftsgeheimnisse sowie Informationen, die vertraglichen Vertraulichkeitspflichten unterliegen. Soweit personenbezogene Daten verarbeitet werden, braucht es insbesondere eine belastbare Rechtsgrundlage, eine klare Rollenverteilung mit dem Anbieter, geeignete technische und organisatorische Maßnahmen sowie – soweit erforderlich – eine Vereinbarung zur Auftragsverarbeitung. Erfolgen Datenübermittlungen außerhalb des Europäischen Wirtschaftsraums, müssen zudem die Anforderungen an Drittlandtransfers berücksichtigt werden.
Hinzu kommt der EU AI Act. Die Verordnung regelt den Einsatz von KI nach einem risikobasierten Ansatz: Je stärker ein KI-System Sicherheit, Gesundheit oder Grundrechte von Personen beeinträchtigen kann, desto strenger sind die Anforderungen. Umfassende Pflichten zu Risikomanagement, technischer Dokumentation, Protokollierung und menschlicher Aufsicht treffen insbesondere Anbieter und Betreiber von Hochrisiko-KI-Systemen – beispielsweise in sensiblen Bereichen wie Beschäftigung, Bildung, Kreditwürdigkeitsbewertung oder bestimmten Anwendungen der Strafverfolgung.
Aber auch bei KI-Anwendungen außerhalb des Hochrisikobereichs können konkrete Pflichten bestehen. Dazu gehören – abhängig vom jeweiligen Einsatzszenario – Transparenzpflichten, etwa wenn Menschen mit einem KI-System interagieren, wenn bestimmte Bild-, Ton- oder Videoinhalte künstlich erzeugt oder manipuliert werden oder wenn KI-generierte Texte zu Themen von öffentlichem Interesse veröffentlicht werden. Unternehmen sollten deshalb nicht nur fragen, welches Tool genutzt wird, sondern auch: Für welchen Zweck wird es eingesetzt, welche Personen können betroffen sein und welche Rolle übernimmt das Unternehmen – etwa als Anbieter oder Betreiber eines KI-Systems?
Bereits heute ist KI-Kompetenz ein zentraler Baustein verantwortungsvoller Unternehmensführung. Unternehmen, die KI-Systeme einsetzen, müssen angemessene Maßnahmen treffen, damit die beteiligten Beschäftigten über ein ausreichendes Verständnis der eingesetzten Systeme, ihrer Chancen, Grenzen und Risiken verfügen. Wie umfangreich diese Maßnahmen ausfallen müssen, hängt vom jeweiligen Einsatzbereich, dem Risikoniveau und den Vorkenntnissen der Mitarbeitenden ab. Eine einheitliche Zertifizierung ist nicht vorgeschrieben. Erforderlich sind jedoch nachvollziehbare, praxisgerechte und rollenbezogene Maßnahmen.
Für Gründer, Geschäftsführer und Vorstände ist entscheidend: KI-Governance ist eine Leitungsaufgabe. Die Geschäftsleitung muss nicht jedes einzelne KI-Tool selbst prüfen. Sie muss jedoch eine angemessene Organisation schaffen, Verantwortlichkeiten festlegen und sicherstellen, dass wesentliche rechtliche, datenschutzrechtliche und operative Risiken erkannt und gesteuert werden.
Eine fehlende KI-Policy führt nicht automatisch zu einer persönlichen Haftung oder zu einem Bußgeld. Sie kann im Einzelfall jedoch darauf hindeuten, dass die für das Unternehmen angemessenen Organisations-, Kontroll- und Dokumentationsmaßnahmen nicht eingerichtet wurden. Verletzt die Geschäftsleitung schuldhaft ihre Sorgfaltspflichten und entsteht der Gesellschaft dadurch ein Schaden, kann eine Innenhaftung gegenüber dem Unternehmen in Betracht kommen.
Wissen aufbauen statt Risiken eingehen
Wichtig ist eine klare Umsetzung. Denn um dein
Startup erfolgreich aufzubauen, reicht es nicht, Regeln aufzustellen, bei denen keiner im Team versteht, wie man sie in der Praxis umsetzt. Aufgrund der schnellen Weiterentwicklung von Technologien einerseits und der Rechtslage andererseits, reicht es nicht mehr aus, oberflächliches Halbwissen zu nutzen.
Stattdessen sollten Start-ups und KMU internes Know-how aufbauen und Mitarbeiter gezielt schulen. Eine
Ausbildung zum AI Compliance Officer bietet hier die ideale Grundlage, um eine Schlüsselperson im Team für die rechtlichen und organisatorischen Herausforderungen der KI-Nutzung zu benennen und diese fundiert zu schulen. Auf diese Weise ist das Unternehmen rechtssicher aufgestellt, ohne den Innovationsmotor auszubremsen. Doch mit der Ausbildung allein ist es nicht getan. Es gilt, dass der AI Compliance Officer Zeit und Unterstützung bekommt, um sich über die neuesten Entwicklungen auf dem Laufenden zu halten.
Agilität bedeutet nicht Regellosigkeit
Der Markt heutzutage erfordert es, agil zu arbeiten und schnell und flexibel auf Anforderungen und Veränderungen zu reagieren, beziehungsweise präventiv zu agieren. Diese Einstellung bedeutet allerdings nicht, fahrlässig handeln zu können. Nachhaltigkeit und Sicherheit bedeutet hier, das Potenzial von KI verantwortungsvoll zu nutzen. Dafür benötigt ein innovatives Unternehmen eine klare AI Policy.
Mithilfe dieser Richtlinien wird jedem in dem Startup deutlich gemacht, was geht und was nicht. Eine gute AI Policy ist dabei kein langes Papier für die Schublade. Sie übersetzt rechtliche und organisatorische Anforderungen in konkrete Arbeitsregeln. Sie sollte mindestens festlegen, welche KI-Tools genutzt werden dürfen, welche Datenkategorien ausgeschlossen sind, wann eine vorherige Freigabe erforderlich ist und wie Ergebnisse überprüft werden.
Beispiel: Ein Marketing-Team darf einen freigegebenen KI-Assistenten für Entwürfe und Ideensammlungen nutzen. Kundendaten, nicht veröffentlichte Geschäftszahlen, Bewerberdaten und vertrauliche Vertragsinhalte dürfen jedoch nicht eingegeben werden. Inhalte, die veröffentlicht oder für Entscheidungen verwendet werden sollen, müssen vorab durch eine verantwortliche Person fachlich geprüft werden. Bei rechtlich, finanziell oder reputativ sensiblen Inhalten ist zusätzlich eine Prüfung nach den intern festgelegten Freigabeprozessen erforderlich. Dabei werden zentrale Fragen beantwortet, wie:
• Welche KI-Tools und Versionen sind offiziell freigegeben?
• Für welche konkreten Zwecke dürfen diese Tools eingesetzt werden?
• Welche Daten dürfen eingegeben werden – und welche Daten sind ausnahmslos ausgeschlossen?
• Wann ist vor der Nutzung eine Freigabe durch Compliance, Datenschutz, Informationssicherheit oder die Fachverantwortlichen erforderlich?
• Wie wird verhindert, dass vertrauliche Informationen oder personenbezogene Daten für Training, Tests oder sonstige Zwecke des Anbieters verwendet werden?
• Wie werden KI-Ergebnisse auf fachliche Richtigkeit, Diskriminierungsrisiken, Urheberrechte, Quellenqualität und Vertraulichkeit geprüft?
• Bei welchen Entscheidungen ist zwingend eine menschliche Prüfung und Freigabe erforderlich?
• Wer dokumentiert relevante KI-Anwendungsfälle, Vorfälle und Entscheidungen?
• Wer trägt die Verantwortung für das Endprodukt und wer ist bei Unsicherheiten einzubeziehen?
Agilität und Compliance sind kein Widerspruch. Unternehmen, die KI verantwortungsvoll einsetzen, schaffen keine unnötige Bürokratie – sie schaffen Orientierung. Eine pragmatische AI Policy, klare Zuständigkeiten, freigegebene Tools und geschulte Mitarbeitende ermöglichen es Start-ups und KMU, die Effizienzpotenziale von KI zu nutzen und zugleich Datenschutz, Geschäftsgeheimnisse und regulatorische Anforderungen im Blick zu behalten.
1.3.2023