R&W Zeitschriften

Die sogenannte „KI-Kompetenz“ wird als Dauerbrenner in der Compliance gerne auf den juristischen Tatbestand des Art. 4 KI-VO reduziert, mit dem Anbieter und Betreiber von sämtlichen KI-Systemen dafür zu sorgen haben, dass eine „KI-Kompetenz“ insbesondere bei Mitarbeitern vorhanden ist. Dabei ist bereits die in Art. 3 Nr. 56 KI-VO gesetzlich definierte KI-Kompetenz maximal konturlos und erfasst am Ende jegliche persönliche Fähigkeit vom informierten Umgang mit KI-Systemen bis dazu, Chancen und Risiken von KI samt möglicher Schäden zu erfassen. Ausgehend von der Binse, dass Künstliche Intelligenz (KI) längst nicht mehr bloß technisches Thema, sondern prägend für Entscheidungsprozesse, Arbeitsabläufe und Kommunikationsformen ist, darf „KI-Kompetenz“ nicht auf eine weitere schlicht abzuhakende Compliance-Pflicht reduziert werden. Schon der Blick ins Gesetz zeigt eine umfassende Fähigkeit, mit diesen Systemen so umzugehen, dass menschliche Urteilskraft, rechtliche Anforderungen und organisatorische Realität miteinander in Einklang stehen. Wo praktische Herausforderungen der KI-Kompetenz liegen, zeigt sich dabei erst, wenn man sich von dem strengen juristischen Kontext löst und die Thematik breiter betrachtet.

Für Compliance-Verantwortliche ist KI kein technisches Projekt, sondern ein Thema der Corporate Governance. Sie müssen Risiken für Grundrechte, Diskriminierungsgefahren, Transparenzpflichten, Mitbestimmungsrechte und Haftungsfragen verstehen und in bestehende Compliance-Strukturen integrieren – ohne selbst KI-Entwickler oder Datenschützer sein zu müssen. Die rechtliche Prüfung sollte mit einfachen Leitfragen beginnen: Welche KI wird eingesetzt? Welche Daten fließen ein? Wer entscheidet am Ende? Wer kontrolliert das Ergebnis? Ist der Betriebsrat zu beteiligen? Wer trägt die Verantwortung, wenn etwas schiefläuft? Auch Pilotprojekte, Tests und „Proofs of Concept“ sind keine rechtsfreien Experimentierräume, sobald personenbezogene Daten verwendet werden oder Beschäftigteninteressen berührt sind. Dieser Beitrag soll Compliance-Verantwortlichen dabei helfen, mit den richtigen Fragen, klaren Zuständigkeiten, einer dokumentierten Risikobewertung und – im Beschäftigtenkontext – der frühzeitigen Klärung der Mitbestimmung die Anforderungen der KI-Compliance zu bewältigen.

Mit Inkrafttreten der KI-Verordnung (VO [EU] 2024/1689) steht die Compliance-Praxis vor einer neuen Aufgabe: dem Aufbau eines AI-Management-Systems (AIMS). Wer heute bereits ein Datenschutz-Management-System (DMS) betreibt, muss dabei nicht bei null beginnen. KI-VO und DSGVO teilen denselben risikobasierten Regulierungsansatz; die Grundelemente eines funktionsfähigen DMS lassen sich systematisch auf das AIMS übertragen. Unter Einbeziehung der ISO-Normen 27001, 27701, 23894 und 42001 sowie des IDW PS 861 lassen sich DMS und AIMS verzahnen und erhebliche Synergieeffekte heben – dieser Beitrag zeigt wie.

Die vorliegende Schwerpunktausgabe befasst sich mit den Themen KI und Datenschutz. Zwei Gebiete, die zusammen gedacht werden müssen und in vielerlei Hinsicht miteinander verknüpft sind – wie mein Fachbeitrag zum Aufbau eines AI-Compliance-Management-Systems später in diesem Heft nachdrücklich zeigt. Compliance-Experten, die sich insbesondere mit diesen Bereichen befassen, …