Muss eine KI-Funktion sowohl nach DSGVO als auch nach AI Act geprüft werden?
Das kann erforderlich sein. Die DSGVO betrifft die Verarbeitung personenbezogener Daten. Der EU AI Act reguliert KI-Systeme nach einem anderen Regelwerk, das unter anderem verbotene Praktiken, Pflichten für bestimmte Anwendungen und Transparenzanforderungen umfasst. Eine Funktion kann unter beide Regelwerke fallen. Weder ein Modell-Abonnement noch eine Datenbank in Europa stellt für sich genommen Compliance her.
Dieser Leitfaden dient der technischen Planung. Er ist weder Rechtsberatung noch eine Compliance-Zertifizierung. Anwendbarkeit und Fristen hängen vom System, Ihrer Rolle und der aktuellen Rechtslage ab. Prüfen Sie vor der Inbetriebnahme die offizielle Verordnung und die Hinweise der Europäischen Kommission mit qualifizierter Rechtsberatung. Verlassen Sie sich nicht auf eine allgemeine Checkliste zum Starttermin.
Erfassen Sie zunächst den vollständigen Weg der Daten
Listen Sie die Informationen auf, die in die Funktion eingehen: Kundenanfragen, Beschäftigtendaten, hochgeladene Dateien, abgerufene Dokumente und Betriebsprotokolle. Kennzeichnen Sie personenbezogene oder vertrauliche Daten. Dokumentieren Sie jedes Ziel, einschließlich Modellanbietern, Hosting, Analyse- und Supportwerkzeugen sowie Unterauftragsverarbeitern. Prompts, abgerufene Textpassagen und Protokolle können personenbezogene Daten enthalten, auch wenn die endgültige Ausgabe keine enthält.
Definieren Sie für jede Verarbeitung den Zweck und die Rechtsgrundlage. Minimieren Sie die Daten, die die Anwendung verlassen, und legen Sie Aufbewahrungsfristen für Quelldaten, Prompts und Ausgaben fest. Prüfen Sie bei Bedarf Auftragsverarbeitungsverträge und Regelungen für internationale Übermittlungen. Fragen Sie nach, was der Anbieter speichert und nutzt, statt identische Bedingungen für APIs und Endkundenprodukte anzunehmen.
Bewerten Sie den Anwendungsfall, nicht nur das Modell
Ein Assistent zur Dokumentensuche hat andere Folgen als ein System, das Einstellungen oder den Zugang zu wesentlichen Dienstleistungen beeinflusst. Dokumentieren Sie den vorgesehenen Zweck, die betroffenen Personen und den Einfluss auf Entscheidungen. Klären Sie, ob der Kunde von AlphaEdge als Betreiber, Anbieter oder in einer anderen regulierten Rolle handelt. Änderungen und die Vermarktung unter eigener Marke können die Verantwortlichkeiten beeinflussen.
Prüfen Sie verbotene Praktiken sowie die Einordnung als Hochrisiko-Anwendung oder unter eine Transparenzpflicht. Stufen Sie ein System nicht allein deshalb als risikoarm ein, weil ein Mensch auf „Genehmigen“ klicken kann. Entscheidend sind der tatsächliche Ablauf, die betroffenen Personen und eine wirksame Aufsicht.
Verankern Sie menschliche Aufsicht im Arbeitsablauf
Zeigen Sie bei folgenreichen Maßnahmen die Belege, Unsicherheiten und Grenzen, die eine prüfende Person für eine fundierte Entscheidung benötigt. Ermöglichen Sie es, Empfehlungen abzulehnen oder zu korrigieren, Ausnahmen zu eskalieren und die Automatisierung zu stoppen. Eine Prüfschaltfläche ohne Zeit, Kontext oder Entscheidungsbefugnis kann zur bloßen Formsache werden.
Testen Sie fehlende Quellen, widersprüchliche Datensätze, Prompt Injection und falsche Ausgaben. Erhalten Sie bei suchgestützten Assistenten die Dokumentberechtigungen und machen Sie Quellenverweise überprüfbar. Benennen Sie eine verantwortliche Person für Qualitätsbewertung und Vorfallbearbeitung nach dem Start, nicht nur während der ersten Demonstration.
Stellen Sie vor dem Produktivstart eine Prüfunterlage zusammen
Dokumentieren Sie knapp den vorgesehenen Zweck, die Anbieter, Datenflüsse, Zugriffskontrollen, Aufbewahrung und Tests. Halten Sie Modellgrenzen und erforderliche Hinweise für Nutzer fest. Prüfen Sie, ob eine Datenschutz-Folgenabschätzung nach DSGVO erforderlich ist. Diese Entscheidung sollte mit der zuständigen Datenschutzberatung getroffen und nicht pauschal auf jede KI-Funktion angewendet werden.
Schulen Sie die Nutzer zu den Grenzen des Systems und zum Eskalationsverfahren. Die Anforderung des AI Act an KI-Kompetenz ist für Organisationen relevant, die KI einsetzen. Aktualisieren Sie die Prüfung, wenn sich Modell, Anbieter, Daten oder Zweck ändern. Ein einmaliges Dokument kann keinen fortlaufend veränderten Arbeitsablauf abdecken.
Ein sinnvoller erster Schritt für den deutschen Mittelstand
Wählen Sie einen abgegrenzten Ablauf mit klarer Verantwortung und einem rückgängig zu machenden Ergebnis. Erfassen Sie den bestehenden Prozess, definieren Sie akzeptable Fehler und legen Sie fest, welche Entscheidungen beim Menschen bleiben. Validieren Sie mit repräsentativen Daten und geeigneten Berechtigungen, bevor Sie den Zugang erweitern.
AlphaEdges Team für KI- und Workflow-Integration in Frankfurt unterstützt Teams dabei, Werkzeuge zu verbinden und kontrollierte KI-Abläufe zu gestalten. Im ersten Gespräch sollten die betriebliche Aufgabe, sensible Daten, bestehende Systeme und die für Freigaben verantwortlichen Personen im Mittelpunkt stehen. Die rechtliche Auslegung bleibt qualifizierten Beratern vorbehalten.