Neue Pflichten sicher im Griff
Der Einsatz Künstlicher Intelligenz bringt nicht nur Innovation, sondern auch neue datenschutzrechtliche Herausforderungen mit sich. Unternehmen und Auftragsverarbeiter stehen vor komplexen Anforderungen, die sich aus der DSGVO und der neuen EU-KI-Verordnung ergeben.
KI-qualifizierter (BvD) Datenschutzbeauftragter
Unternehmen und Auftragsverarbeiter sehen sich innerhalb der von ihnen eingesetzten Prozesse aktuell mit dem vermehrten Einsatz von KI-Technologien konfrontiert. Die Nutzung von Künstlicher Intelligenz birgt jedoch nicht nur Chancen, sondern auch zahlreiche Risiken. Auch kommen auf Unternehmen im Zusammenhang mit der Einführung und Nutzung von KI-Systemen zahlreiche neue Anforderungen und Pflichten zu, die sich zum Teil aus der Datenschutzgrundverordnung (DSGVO) selbst und zum Teil aus der KI-Verordnung ergeben.
Durch die Zusatzqualifikation „AI-qualified (BvD)“ DPO („KI-qualifizierter (BvD)“ Datenschutzbeauftragter) verfügt die TH Datenschutz + GmbH über die erforderlichen Fachkenntnisse, um Sie bei der datenschutzkonformen Implementierung von KI-Technologien in Ihrem Unternehmen tatkräftig zu unterstützen.
Was gilt als „KI-System“ im Sinne der KI-Verordnung?
Die KI-Verordnung der EU definiert ein KI-System als ein maschinengestütztes System, das für den autonomen Betrieb ausgelegt und nach seiner Inbetriebnahme anpassungsfähig ist. KI-Systeme verfügen damit mindestens über die nachfolgenden Eigenschaften:
- Autonomie: Das KI-System kann in unterschiedlichem Maße selbstständig operieren.
- Anpassungsfähigkeit: Das KI-System kann sich nach der Inbetriebnahme weiterentwickeln und an neue Situationen anpassen.
- Zielsetzung: Das KI-System leitet aus Eingaben explizite oder implizite Ziele ab.
- Ergebnisse: Das KI-System erzeugt Ausgaben wie Vorhersagen, Inhalte, Empfehlungen oder Entscheidungen.
- Umgebungsbeeinflussung: Die Ausgaben des KI-Systems können physische oder virtuelle Umgebungen beeinflussen.
Für wen gilt die KI-Verordnung?
Die KI-Verordnung hat einen weitreichenden Anwendungsbereich und betrifft verschiedene Akteure:
- Anbieter von KI-Systemen: Dies umfasst Unternehmen, die KI-Systeme entwickeln, auf den Markt bringen oder in Betrieb nehmen, unabhängig davon, ob sie innerhalb oder außerhalb der EU ansässig sind.
- Nutzer von KI-Systemen: Hierzu zählen Unternehmen, die KI-Systeme in ihrer beruflichen Tätigkeit einsetzen.
- Importeure und Vertreiber: Unternehmen, die KI-Systeme in die EU einführen oder innerhalb der EU vertreiben, fallen ebenfalls unter die KI-Verordnung.
- Hersteller von Produkten: Wenn ein Produkt ein KI-System als Sicherheitskomponente verwendet, muss der Hersteller die Anforderungen der KI-Verordnung erfüllen.
Ähnlich wie die DSGVO gilt die KI-Verordnung der EU nicht nur für Unternehmen mit Sitz in der EU, sondern für alle Unternehmen, die KI-Systeme in der EU anbieten oder KI-Erzeugnisse in der EU verwenden. Dies unterstreicht den extraterritorialen Charakter der Verordnung und ihre globale Bedeutung.
Pflichten der Anbieter von KI-Systemen
Anbieter von KI-Systemen, die unter die KI-Verordnung fallen, haben umfassende Pflichten zu erfüllen. Dazu gehören:
- Risikobewertung: Anbieter von KI-Systemen müssen ein Risikomanagementsystem implementieren und die Risiken ihrer KI-Systeme systematisch bewerten.
- Technische Dokumentation: Anbieter von KI-Systemen müssen detaillierte technische Dokumentationen erstellen, die Informationen über die Funktionsweise des Systems, die Trainingsdaten, die Evaluierungsmethoden und mögliche Risiken beinhalten.
- Konformitätsbewertung: Für Hochrisiko-KI-Systeme ist eine Konformitätsbewertung durch eine unabhängige Stelle erforderlich.
- Transparenz: Anbieter von KI-Systemen müssen Nutzer über die Funktionsweise des Systems, die möglichen Risiken und die Art der Nutzung informieren.
- Meldepflichten: Schwerwiegende Vorfälle, die mit dem KI-System im Zusammenhang stehen, müssen an die zuständigen Behörden gemeldet werden.
- Kontinuierliche Überwachung: Anbieter von KI-Systemen müssen ihre KI-Systeme nach dem Inverkehrbringen kontinuierlich überwachen und bei Bedarf Anpassungen vornehmen.
Pflichten der Nutzer von KI-Systemen
Auch Nutzer von KI-Systemen, die unter die KI-Verordnung der EU fallen, haben bestimmte Pflichten zu erfüllen. Dazu gehören:
- Überwachung: Nutzer von KI-Systemen müssen die Funktionsweise des KI-Systems überwachen und sicherstellen, dass es gemäß den Vorgaben des Anbieters und den Anforderungen der KI-Verordnung eingesetzt wird.
- Menschliche Aufsicht: Nutzer von KI-Systemen müssen Mechanismen zur menschlichen Aufsicht einrichten und sicherstellen, dass Entscheidungen des KI-Systems im Bedarfsfall von Menschen überprüft werden können.
- Meldepflichten: Nutzer von KI-Systemen müssen schwerwiegende Vorfälle, die mit dem KI-System im Zusammenhang stehen, an den Anbieter des KI-Systems und gegebenenfalls an die zuständigen Behörden melden.
Checkliste für Unternehmen
Auch wenn die vollständige Anwendbarkeit der KI-Verordnung noch einige Zeit entfernt ist, sollten Unternehmen schon jetzt aktiv werden und sich auf die neuen Anforderungen und Pflichten vorbereiten. Unsere Checkliste unterstützt Sie dabei, den Grundstein für den datenschutzkonformen Einsatz von KI-Systemen in Ihrem Unternehmen zu legen:
- Erstellen Sie eine Übersicht der KI-Systeme, die im Unternehmen eingesetzt werden. Dokumentieren Sie hierzu die Art des KI-Systems, die Zwecke der Nutzung und mögliche Datenquellen.
- Kategorisieren Sie im Einsatz befindliche KI-Systeme nach ihrem Risiko und identifizieren Sie die relevanten Anforderungen der KI-Verordnung. Unterschieden wird nach unannehmbar hohen, hohen, begrenzten und minimalen Risiken.
- Passen Sie Ihre Prozesse und Dokumentationen an die Anforderungen der KI-Verordnung an. Hierzu gehört neben der Implementierung eines Risikomanagementsystems auch die Dokumentation der Datenverwaltung, der Erstellung einer technischen Dokumentation für Hochrisiko-KI-Systeme auch die Entwicklung geeigneter Informationsmaterialien für Nutzer.
- Schulen Sie Ihre Mitarbeiter im Hinblick auf die KI-Verordnung und die damit einhergehenden Anforderungen und Pflichten.
IHR PLUS
Wir unterstützen Sie beim datenschutzkonformen Einsatz von KI – mit praxisnahen Lösungen, klarer Dokumentation und fachlicher Expertise. Unsere Leistungen basieren auf fundiertem Know-how und orientieren sich an aktuellen Anforderungen.