30/09/2026
KI: Nationale Gesetzgebung an die europäische KI-Verordnung angepasst
Neben den bereits geltenden Bestimmungen (z.B. zur Haftung natürlicher und juristischer Personen oder zur Berücksichtigung der Grundsätze der Transparenz, der Verhältnismäßigkeit und der Sicherheit), sieht das Dekret Folgendes (detaillierter) vor:
Verantwortung von Unternehmen
Die Pflichten eines Unternehmens hängen nicht allein von der Klassifizierung des Produkts ab, sondern davon, welche Funktion das KI-System tatsächlich erfüllt, in welchem Kontext es eingesetzt wird, welche Daten verarbeitet werden, welche Anpassungen vorgenommen wurden und wie viel Kontrolle das Unternehmen über das System ausübt.
Besondere Verantwortung entsteht dann, sofern ein Unternehmen:
• KI-Systeme wesentlich verändert,
• sie für andere als den vorgesehenen Zweck nutzt,
• eigenes „Fine-Tuning“ oder Nachbesserungen durchführt,
• eigene Daten integriert und/oder
• KI-Ergebnisse zur Unterstützung von Entscheidungen über Personen verwendet.
Risikobewertung
Die EU-Verordnung stuft bestimmte Anwendungen als „Hochrisiko-KI-Systeme“ ein, insbesondere in Bereichen wie Biometrie, kritische Infrastrukturen, Beschäftigung und Personalwesen sowie Zugang zu wesentlichen Dienstleistungen. Für genannte Systeme gelten besondere Anforderungen.
Menschliche Aufsicht, Sicherheit und Dokumentation
Unternehmen müssen sicherstellen, dass qualifizierte Personen die KI überwachen. Die genannte „menschliche Aufsicht“ darf nicht ausschließlich eine formale Prüfung umfassen, sondern muss ermöglichen, Fehlfunktionen zu erkennen, Ergebnisse kritisch zu bewerten, Entscheidungen zu korrigieren und Systeme bei Bedarf anzuhalten oder zu deaktivieren.
Empfohlen wird das schriftliche Festhalten der Aufsichts-Verantwortlichen, von Eingriffsrechten, Eskalationsprozessen, Prüf- und Kontrollverfahren sowie von Dokumentationspflichten (immer unter Beachtung der geltenden Datenschutzbestimmungen).
Haftung von Unternehmen
Die bloße Existenz einer KI-bezogenen Straftat führt nicht automatisch zur Unternehmenshaftung. Entscheidend sind das Vorliegen einer Straftat vonseiten eines Subjekts des Unternehmens, ein Nutzen oder Interesse des Unternehmens sowie organisatorische Versäumnisse bei der Risikoprävention. Daher obliegt es dem Unternehmen, dafür Sorge zu tragen, geeignete organisatorische und verwaltungstechnische Vorkehrungen zu treffen, um Straftaten solcher Art zu verhindern.
Beziehungen zu Anbietern
Der Kauf einer KI-Lösung überträgt die Verantwortung nicht automatisch auf den Anbieter. Verträge sollten daher folgende Elemente klar regeln: Rollen, Verwendungszwecke, Informationspflichten und operative Verantwortlichkeiten sowie die technische Dokumentation, Aktualisierungen, Änderungen, Zugriffe auf Logs, Audits, Meldungen etwaiger Vorfälle, Zusammenarbeit mit Behörden und schließlich die Betriebskontinuität.
Vor dem Kauf und/oder der Implementierung einer Lösung sollten Unternehmen insbesondere Datenschutz-, Sicherheits- und Drittstaatentransfers prüfen.
Technische Dokumentation
Große Bedeutung wird - nicht nur angesichts von Schadenersatzforderungen - der technischen Dokumentation beigemessen. Unternehmen sollten jederzeit in der Lage sein, Entscheidungen und Abläufe nachvollziehbar zu rekonstruieren, weshalb selbige interne Verfahren einrichten sollten, die es ermöglichen, die relevanten Daten aufzubewahren, die Ereignisse nachzuvollziehen und eine dokumentierte Antwort auf Anfragen der betroffenen Person, der Behörde oder des Gerichts geben zu können.
Somit wird Unternehmen empfohlen, ein strukturiertes KI-Governance-System einzuführen. Dazu zählen:
1. Inventarisierung aller eingesetzten KI-Lösungen (auch generative KI);
2. Feststellung der eigenen Rolle (Anbieter oder Nutzer);
3. Prüfung, ob Systeme als Hochrisiko-KI einzustufen sind und deren regelmäßige Aktualisierung;
4. Umschreibung von Verantwortlichkeiten, Eingriffs-Befugnissen, menschlicher Aufsicht (unter Beauftragung von fachkundigem und geschultem Personal);
5. Einhaltung von Dokumentationspflichten;
6. Abstimmung der KI mit Datenschutz, Cybersicherheit, Lieferantenmanagement und der Schulung des Personals sowie
7. Kontinuierliche Überwachung von Änderungen, Vorfällen und Systemleistungen über die gesamte Dauer der KI.
Unternehmen müssen daher KI künftig nicht nur technisch, sondern auch organisatorisch, rechtlich und dokumentarisch überprüfen. Eine nachvollziehbare Governance, klare Verantwortlichkeiten und umfassende Dokumentation stellen somit zentrale Punkte im Alltag eines Unternehmens dar.
