CB – Compliance-Berater

Die sogenannte „KI-Kompetenz“ wird als Dauerbrenner in der Compliance gerne auf den juristischen Tatbestand des Art. 4 KI-VO reduziert, mit dem Anbieter und Betreiber von sämtlichen KI-Systemen dafür zu sorgen haben, dass eine „KI-Kompetenz“ insbesondere bei Mitarbeitern vorhanden ist. Dabei ist bereits die in Art. 3 Nr. 56 KI-VO gesetzlich definierte KI-Kompetenz maximal konturlos und erfasst am Ende jegliche persönliche Fähigkeit vom informierten Umgang mit KI-Systemen bis dazu, Chancen und Risiken von KI samt möglicher Schäden zu erfassen. Ausgehend von der Binse, dass Künstliche Intelligenz (KI) längst nicht mehr bloß technisches Thema, sondern prägend für Entscheidungsprozesse, Arbeitsabläufe und Kommunikationsformen ist, darf „KI-Kompetenz“ nicht auf eine weitere schlicht abzuhakende Compliance-Pflicht reduziert werden. Schon der Blick ins Gesetz zeigt eine umfassende Fähigkeit, mit diesen Systemen so umzugehen, dass menschliche Urteilskraft, rechtliche Anforderungen und organisatorische Realität miteinander in Einklang stehen. Wo praktische Herausforderungen der KI-Kompetenz liegen, zeigt sich dabei erst, wenn man sich von dem strengen juristischen Kontext löst und die Thematik breiter betrachtet.

Für Compliance-Verantwortliche ist KI kein technisches Projekt, sondern ein Thema der Corporate Governance. Sie müssen Risiken für Grundrechte, Diskriminierungsgefahren, Transparenzpflichten, Mitbestimmungsrechte und Haftungsfragen verstehen und in bestehende Compliance-Strukturen integrieren – ohne selbst KI-Entwickler oder Datenschützer sein zu müssen. Die rechtliche Prüfung sollte mit einfachen Leitfragen beginnen: Welche KI wird eingesetzt? Welche Daten fließen ein? Wer entscheidet am Ende? Wer kontrolliert das Ergebnis? Ist der Betriebsrat zu beteiligen? Wer trägt die Verantwortung, wenn etwas schiefläuft? Auch Pilotprojekte, Tests und „Proofs of Concept“ sind keine rechtsfreien Experimentierräume, sobald personenbezogene Daten verwendet werden oder Beschäftigteninteressen berührt sind. Dieser Beitrag soll Compliance-Verantwortlichen dabei helfen, mit den richtigen Fragen, klaren Zuständigkeiten, einer dokumentierten Risikobewertung und – im Beschäftigtenkontext – der frühzeitigen Klärung der Mitbestimmung die Anforderungen der KI-Compliance zu bewältigen.

Mit Inkrafttreten der KI-Verordnung (VO [EU] 2024/1689) steht die Compliance-Praxis vor einer neuen Aufgabe: dem Aufbau eines AI-Management-Systems (AIMS). Wer heute bereits ein Datenschutz-Management-System (DMS) betreibt, muss dabei nicht bei null beginnen. KI-VO und DSGVO teilen denselben risikobasierten Regulierungsansatz; die Grundelemente eines funktionsfähigen DMS lassen sich systematisch auf das AIMS übertragen. Unter Einbeziehung der ISO-Normen 27001, 27701, 23894 und 42001 sowie des IDW PS 861 lassen sich DMS und AIMS verzahnen und erhebliche Synergieeffekte heben – dieser Beitrag zeigt wie.

Die vorliegende Schwerpunktausgabe befasst sich mit den Themen KI und Datenschutz. Zwei Gebiete, die zusammen gedacht werden müssen und in vielerlei Hinsicht miteinander verknüpft sind – wie mein Fachbeitrag zum Aufbau eines AI-Compliance-Management-Systems später in diesem Heft nachdrücklich zeigt. Compliance-Experten, die sich insbesondere mit diesen Bereichen befassen, …

Der Vorschlag der EU-Kommission für einen „Digital Omnibus on AI“ vom 29. 11. 2025 sah unter anderem vor, die in Art. 4 der KI-VO geregelte Pflicht von Anbietern und Betreibern von KI-Systemen zur Sicherstellung eines ausreichenden Maßes an KI-Kompetenz auf die Mitgliedsstaaten und die EU-Kommission zu verlagern. Nach der erzielten Einigung von Rat und EU-Parlament bleibt die bisher in Art. 4 KI-VO enthaltene Pflicht zur KI-Kompetenzentwicklung jedoch im Wesentlichen bestehen. Nach einer Einführung zum Stand der KI-Kompetenzentwicklungspflicht (I.) erläutern die Autoren den Zusammenhang zwischen KI-Kompetenzentwicklung und effektiven Compliance-Schulungen (II.) und geben Gestaltungsempfehlungen für die Vermittlung von KI-Kompetenz an Beispielen für zentrale Zielgruppen im Unternehmen (III.) Im Fazit betonen die Autoren die Förderung der KI-Kompetenz als Grundlage für einen rechtskonformen und verantwortungsvollen Einsatz von KI-Systemen (IV.).

Der vierte Beitrag dieser Reihe befasst sich mit den Compliance-Risiken und zeigt die Grundzüge einer Risikoanalyse auf. Die Risikoanalyse ist die Grundlage für jedes unternehmensindividuelle Compliance-Management-System (folgend: CMS). Sie ermittelt die relevanten Rechts- und Reputationsrisiken, die dann im CMS minimiert werden sollen.

Die Beauftragung von Selbstständigen soll künftig einfacher und mit deutlich weniger Rechtsunsicherheiten ausgestaltet werden können. So jedenfalls die Zielsetzung eines aktuellen Referentenentwurfs eines Gesetzes zur Erleichterung der Feststellung des Erwerbsstatus der Selbstständigkeit im Sozialversicherungsrecht des Bundesministeriums für Arbeit und Soziales („BMAS“). Danach soll mit der „Neuen Selbstständigkeit“ ein dritter sozialversicherungsrechtlicher Erwerbsstatus geschaffen werden, für den die vom Bundessozialgericht definierten Abgrenzungskriterien zwischen einer abhängigen Beschäftigung einerseits und einer selbstständigen Tätigkeit andererseits nicht mehr gelten sollen. Ermöglicht werden soll damit unter anderem, dass hochqualifizierte Honorarkräfte in Projekten, in denen häufig agil und arbeitsteilig zusammengearbeitet wird, mit weniger rechtlichen Unsicherheiten eingesetzt werden können. Der Preis für diese scheinbare Rechtssicherheit ist aber, dass die „Neuen Selbstständigen“ Pflichtbeiträge in die gesetzliche Rentenversicherung zahlen müssen, und zwar ohne paritätische Beteiligung des Arbeitgebers, wie bei Beschäftigten (derzeit 18,6 %). Dieser Beitrag bewertet die Folgen der „Neuen Selbstständigkeit“ für die HR-Compliance – sollte der Referentenentwurf denn umgesetzt werden.

Totgesagte leben länger – das gilt offenbar auch für das Verbandssanktionenrecht: Nachdem das VerSanG gescheitert war, die Ampel-Regierung ihre im Koalitionsvertrag angekündigte Überarbeitung nie geliefert hat und die amtierende Regierung das Thema im Koalitionsvertrag schlicht überging, schien eine Reform mittelfristig erledigt.

Mit Inkrafttreten des Hinweisgeberschutzgesetzes (HinSchG) am 2. 7. 2023 hat auch die beim Bundesamt für Justiz angesiedelte externe Meldestelle ihre operative Arbeit aufgenommen und aus dem Aufbaustab „Externe Meldestelle nach dem HinSchG-E“ wurde quasi über Nacht die externe Meldestelle des Bundes.

Das Hinweisgeberschutzgesetz (HinSchG) wird drei Jahre alt! Dies nimmt der vorliegende Beitrag zum Anlass, um im Rahmen der Reihe CB-Basics einen Überblick über die für Unternehmen bzw. Beschäftigungsgeber wesentlichen Regelungen des Gesetzes zu geben.