Künstliche Intelligenz (KI) ist längst keine Zukunftsmusik mehr – sie optimiert Prozesse, steigert die Effizienz und eröffnet völlig neue Möglichkeiten. Bisher lag die Verantwortung für den korrekten und sicheren Einsatz von KI hauptsächlich im Eigeninteresse der Unternehmen. Doch mit der wachsenden Verbreitung und Leistungsfähigkeit von KI-Systemen wächst auch die Notwendigkeit klarer Spielregeln. Wie stellen wir sicher, dass KI fair eingesetzt wird, unsere Grundrechte schützt und keinen Schaden anrichtet? Genau hier setzt der EU AI Act an.

Der EU AI Act: Europas Antwort für vertrauenswürdige KI

Der AI Act ist mehr als nur eine Sammlung von Prinzipien. Er schafft den weltweit ersten umfassenden, verbindlichen Rechtsrahmen für Künstliche Intelligenz. Das Kernziel: Innovation fördern, aber gleichzeitig sicherstellen, dass KI im Einklang mit europäischen Werten wie Grundrechten, Sicherheit und Ethik entwickelt und genutzt wird. Auch Themen wie Datenschutz (die DSGVO bleibt natürlich relevant) und Urheberrecht, insbesondere bei generativer KI, spielen eine wichtige Rolle.

Das Herzstück: Der risikobasierte Ansatz

Der AI Act stuft KI-Systeme nach ihrem potenziellen Risiko ein und knüpft daran unterschiedliche Pflichten. Je höher das Risiko für uns Menschen, desto strenger die Regeln.

  1. Inakzeptables Risiko (Verboten): Ganz oben stehen Praktiken, die als grundlegend schädlich für unsere Werte gelten. Diese sind schlichtweg verboten. Dazu gehören zum Beispiel Social Scoring durch Behörden, bestimmte Formen der biometrischen Massenüberwachung in Echtzeit im öffentlichen Raum oder KI, die Menschen manipulieren oder gezielt Schwachstellen ausnutzen soll.

  2. Hohes Risiko (Strenge Auflagen): Dies ist die Kategorie mit den umfangreichsten Pflichten. Hier finden sich KI-Systeme, bei denen Fehlfunktionen erhebliche negative Folgen für Sicherheit oder Grundrechte haben können. Dazu zählen:

    • KI als Sicherheitskomponente in Produkten, die ohnehin streng reguliert sind (z. B. Medizintechnik, Maschinenbau).
    • KI in kritischen Bereichen wie:
      • Kritische Infrastruktur (z. B. Energieversorgung)
      • Bildung und Berufsbildung (z. B. Prüfungsbewertung)
      • Beschäftigung (z. B. Bewerberauswahl, Mitarbeiter-Management)
      • Zugang zu wichtigen Dienstleistungen (z. B. Kreditvergabe, Notfalldienste)
      • Strafverfolgung, Migration und Justiz
      • Demokratische Prozesse (z. B. Beeinflussung von Wahlen)

    Für diese Hochrisiko-Systeme gelten strenge Anforderungen entlang des gesamten Lebenszyklus:

    • Risikomanagement: Kontinuierliche Bewertung und Minderung von Risiken.
    • Datenqualität & Governance: Hohe Anforderungen an die Trainingsdaten, um Fairness zu gewährleisten und Diskriminierung (Bias) zu vermeiden.
    • Transparenz & Erklärbarkeit: Klare Informationen für Nutzer und detaillierte Dokumentation.
    • Menschliche Aufsicht: Menschen müssen die KI effektiv überwachen und eingreifen können.
    • Genauigkeit, Robustheit & Cybersicherheit: Die Systeme müssen technisch zuverlässig und sicher sein.
    • Dokumentation & Protokollierung: Nachvollziehbarkeit muss gewährleistet sein.

  3. Begrenztes Risiko (Transparenz ist der Schlüssel): Hier geht es vor allem um Transparenz. Nutzer müssen erkennen können, wenn sie mit einer KI interagieren. Beispiele sind Chatbots oder Systeme, die Deepfakes erstellen.

  4. Minimales Risiko (Die Basis – Kaum Regulierung): Die große Mehrheit der KI-Anwendungen, wie Spamfilter oder KI in Videospielen, fällt in diese Kategorie. Hier gibt es kaum spezifische Pflichten, wobei freiwillige Verhaltenskodizes gefördert werden.

  5. Allzweck-KI (GPAI) / Basismodelle (Eine besondere Kategorie): Modelle wie große Sprachmodelle (z. B. GPT-4, Llama), die vielfältig einsetzbar sind, unterliegen eigenen Regeln. Anbieter müssen technische Dokumentationen bereitstellen, nachgelagerte Entwickler informieren und das Urheberrecht beachten. Besonders leistungsfähige Modelle mit “systemischem Risiko” müssen noch strengere Tests und Sicherheitsvorkehrungen durchlaufen.

Wer ist verantwortlich? Provider und Deployer im Fokus

Der AI Act benennt klare Rollen:

  • Provider: Entwickeln KI-Systeme und bringen sie auf den Markt. Sie tragen die Hauptlast der Compliance, insbesondere bei Hochrisiko-Systemen.
  • Deployer: Setzen KI-Systeme im beruflichen Kontext ein (also die meisten Unternehmen). Sie müssen sicherstellen, dass sie die Systeme gemäß den Anweisungen nutzen, die menschliche Aufsicht gewährleisten und die Datenqualität der Eingabedaten sicherstellen. Wichtig: Wer ein Hochrisiko-System wesentlich verändert, kann selbst zum Provider werden!

Ein neues Europäisches KI-Büro wird die Umsetzung überwachen, unterstützt durch nationale Behörden.

Praxis-Check: Der EU AI Act und die DSGVO im Unternehmensalltag

Die allgemeinen Regeln des EU AI Acts klingen komplex. Doch was bedeuten sie konkret für alltägliche Anwendungsfälle in Unternehmen? Schauen wir uns drei Beispiele genauer an und analysieren die Überschneidungen und spezifischen Anforderungen von AI Act und Datenschutz-Grundverordnung (DSGVO).

Anwendungsfall 1: Rein informative OCR-Rekrutierungssoftware

Das Szenario: Stellen wir uns eine Rekrutierungssoftware vor, die mittels OCR (Optical Character Recognition) Informationen aus hochgeladenen Lebensläufen extrahiert – Namen, Qualifikationen, Berufserfahrung. Diese extrahierten Daten werden dem menschlichen Recruiter lediglich übersichtlich angezeigt, um den Lebenslauf schneller zu erfassen. Wichtig: Das System trifft keine automatische Vorauswahl, erstellt keine Ranglisten und filtert auch keine Bewerber aus. Die Entscheidung trifft allein der Mensch.


Die Kernfragen: Fällt ein solches Tool überhaupt unter den AI Act? Wenn ja, als was wird es eingestuft, insbesondere im Hinblick auf die Hochrisiko-Kategorie? Welche Pflichten ergeben sich daraus und wie spielt die DSGVO hinein?


Analyse nach EU AI Act:

  • Ist es ein KI-System? Gemäß der Definition in Artikel 3 des AI Acts ist dies wahrscheinlich der Fall, da OCR-Technologien oft auf maschinellem Lernen basieren und somit eine gewisse “Fähigkeit zur Ableitung von Inhalten aus Daten” aufweisen.


(1) “KI-System”: ein maschinengestütztes System, das so konzipiert ist, dass es mit unterschiedlichem Grad an Autonomie betrieben werden kann und nach seiner Einführung Anpassungsfähigkeit zeigt (Artikel 3: Definitionen: EU-Gesetz über künstliche Intelligenz)


  • Risikoklassifizierung – Die entscheidende Weiche: Der Knackpunkt ist die Einstufung nach Artikel 6 in Verbindung mit Anhang III. Anhang III listet unter Ziffer 4 explizit KI-Systeme im Bereich Beschäftigung als potenziell hochriskant, Zitat:


4. Beschäftigung, Arbeitnehmermanagement und Zugang zur Selbstständigkeit: (a) KI-Systeme, die für die Einstellung oder Auswahl natürlicher Personen verwendet werden sollen, insbesondere zur Schaltung gezielter Stellenanzeigen, zur Analyse und Filterung von Bewerbungen und zur Bewertung von Bewerbern; (b) KI-Systeme, die dazu bestimmt sind, Entscheidungen zu treffen, die sich auf die Bedingungen von Arbeitsverhältnissen, die Förderung oder Beendigung von Arbeitsvertragsverhältnissen auswirken, Aufgaben auf der Grundlage von individuellem Verhalten oder persönlichen Eigenschaften oder Merkmalen zuzuweisen oder die Leistung und das Verhalten von Personen in solchen Verhältnissen zu überwachen und zu bewerten.”   (Anhang III: Hochrisiko-KI-Systeme gemäß Artikel 6(2): EU-Gesetz über künstliche Intelligenz)


  • Die Ausnahme prüfen: Obwohl das System im Bereich “Beschäftigung” eingesetzt wird, stellt sich die Frage, ob es tatsächlich der “Auswahl”, “Filterung” oder “Bewertung” dient, wenn es nur Informationen anzeigt. Hier kommt Artikel 6 Absatz 3 ins Spiel, der eine Ausnahme für Systeme vorsieht, die kein erhebliches Risiko darstellen. Zitat:


3. (3) Abweichend von Absatz 2 gilt ein in Anhang III genanntes KI-System nicht als risikoreich, wenn es kein erhebliches Risiko für die Gesundheit, die Sicherheit oder die Grundrechte natürlicher Personen birgt, auch nicht dadurch, dass es das Ergebnis der Entscheidungsfindung wesentlich beeinflusst. Unterabsatz 1 findet Anwendung, wenn eine der folgenden Bedingungen erfüllt ist: […] (d) das KI-System dient der Vorbereitung einer Bewertung, die für die Zwecke der in Anhang III aufgeführten Anwendungsfälle relevant ist.” (Artikel 6: Einstufungsregeln für KI-Systeme mit hohem Risiko: EU-Gesetz über künstliche Intelligenz)


Es muss also im Einzelfall detailliert geprüft werden, ob die rein informative OCR-Funktion tatsächlich nur eine vorbereitende Aufgabe darstellt und die menschliche Entscheidung nicht wesentlich beeinflusst. Argumente dafür wären, dass keine Analyse oder Bewertung stattfindet. Argumente dagegen könnten sein, dass die Art der Informationsdarstellung bereits eine subtile Beeinflussung darstellt. Die Einstufung als Hochrisiko erscheint hier weniger wahrscheinlich als bei Systemen mit aktiver Filterfunktion, ist aber nicht gänzlich ausgeschlossen und bedarf sorgfältiger Dokumentation.


Konsequenzen der Einstufung:

Analyse nach DSGVO:

  • Unabhängig von der AI Act-Klassifizierung werden hier personenbezogene Daten von Bewerbern verarbeitet. Die DSGVO ist also immer anwendbar.
  • Pflichten: Es braucht eine gültige Rechtsgrundlage (Art. 6 DSGVO, z. B. zur Durchführung vorvertraglicher Maßnahmen). Die Transparenzpflichten (Art. 13, 14 DSGVO) verlangen eine klare Information der Bewerber über den Einsatz des Tools. Die Grundsätze der Datenminimierung und Sicherheit (Art. 5, 32 DSGVO) müssen eingehalten werden. Besonders wichtig: Aufgrund der Art der Daten (Lebensläufe können sensible Informationen enthalten) und der Technologie ist eine Datenschutz-Folgenabschätzung (DSFA) gemäß Artikel 35 DSGVO sehr wahrscheinlich erforderlich, um die Risiken für die Rechte und Freiheiten der Bewerber zu bewerten und zu minimieren.

Fazit für den Anwendungsfall 1: Auch eine “nur” informative KI im HR-Bereich erfordert eine genaue Prüfung unter dem AI Act, insbesondere hinsichtlich der Hochrisiko-Klassifizierung und möglicher Ausnahmen. Die DSGVO-Pflichten, inklusive einer wahrscheinlichen DSFA, bestehen unabhängig davon. Unternehmen sollten vom Anbieter klare Informationen über die Funktionsweise einholen, um ihre eigene Bewertung und die DSFA fundiert durchführen zu können. Die Förderung von KI-Kompetenz (“AI Literacy”, Art. 4 AI Act) bei den Recruitern ist ebenfalls ratsam.

Anwendungsfall 2: Training eines OCR-Modells mit Bestandsdaten

Das Szenario: Ein Unternehmen möchte seine Dokumentenverarbeitung, z. B. von Reparaturprotokollen, effizienter gestalten. Dazu soll ein eigenes OCR-Modell trainiert werden. Als Trainingsdaten sollen tausende bestehende Reparaturprotokolle aus dem Archiv genutzt werden, die ursprünglich zur Überprüfung historischer Reparaturaufträge aufbewahrt wurden. Diese Protokolle enthalten potenziell personenbezogene Daten wie Namen, Adressen, Auftragsdetails, Datum, Ort und Kosten der Reparatur. Das Training soll in einer Cloud-Umgebung (z. B. Microsoft Azure) stattfinden.


Die Kernfragen: Darf das Unternehmen die alten Protokolle einfach für diesen neuen Zweck (KI-Training) verwenden? Welche datenschutzrechtlichen Hürden gibt es? Welche Rolle spielt der AI Act bereits in der Trainingsphase?


Analyse nach DSGVO – Der Datenschutz zuerst:

  • Zweckbindung (Art. 5 Abs. 1 lit. b DSGVO): Das ist das zentrale Problem. Die Daten wurden für Zweck A (Auftragsprüfung) gesammelt. Nun sollen sie für Zweck B (KI-Entwicklung) genutzt werden. Sind diese Zwecke kompatibel? Nach Art. 6 Abs. 4 DSGVO muss dies geprüft werden, wobei Faktoren wie der Zusammenhang zwischen den Zwecken, der Kontext der Erhebung, die Art der Daten und die vernünftigen Erwartungen der Betroffenen (Kunden, evtl. Mitarbeiter) eine Rolle spielen. Ohne dass die Betroffenen bei der ursprünglichen Erhebung über eine mögliche Weiterverwendung für KI-Training informiert wurden, ist die Kompatibilität höchst fraglich.
  • Rechtsgrundlage für das Training (Art. 6 DSGVO): Da die Zwecke wahrscheinlich nicht kompatibel sind, braucht es eine neue, eigenständige Rechtsgrundlage für das Training.
  • Einwilligung (Art. 6 Abs. 1 lit. a)? Liegt für die alten Daten meist nicht vor und wäre nachträglich schwer einzuholen.

  • Berechtigtes Interesse (Art. 6 Abs. 1 lit. f)? Dies wird oft versucht, erfordert aber eine strenge dreistufige Prüfung (Legitimate Interests Assessment - LIA):

    1. Liegt ein berechtigtes Interesse vor? (z. B. Effizienzsteigerung durch KI – ja, wahrscheinlich).

    2. Ist die Verarbeitung für dieses Interesse erforderlich? (Gibt es datensparsamere Alternativen? Könnten synthetische Daten genutzt werden? Muss jede Information aus den Protokollen verwendet werden?).

    3. Überwiegen die Interessen des Unternehmens die Rechte und Freiheiten der Betroffenen? (Hier liegt oft die Hürde, da die Betroffenen mit dieser Nutzung nicht rechnen konnten).

  • Transparenz (Art. 12-14 DSGVO): Selbst wenn eine Rechtsgrundlage gefunden wird (z. B. berechtigtes Interesse), müssen die Betroffenen über den neuen Zweck, die Rechtsgrundlage und ihre Rechte (insbesondere das Widerspruchsrecht nach Art. 21 DSGVO) informiert werden.
  • Alternative: Anonymisierung: Eine Möglichkeit wäre die vollständige Anonymisierung der Daten vor dem Training. Dann fielen sie nicht mehr unter die DSGVO. Aber Achtung: Echte Anonymisierung ist technisch schwierig, besonders bei Dokumenten/Bildern. Es muss sichergestellt sein, dass eine Re-Identifizierung “mit vernünftigem Aufwand” ausgeschlossen ist (siehe Erwägungsgrund 26 DSGVO). Pseudonymisierung genügt nicht!
  • Datensicherheit & TOMs (Art. 32 DSGVO): Die Verarbeitung (auch das Training) in der Cloud erfordert angemessene technische und organisatorische Maßnahmen.
  • Datenschutz-Folgenabschätzung (DSFA, Art. 35 DSGVO): Aufgrund der potenziell großen Datenmenge, der Zweckänderung und der Nutzung neuer Technologien (KI-Training) ist eine DSFA wahrscheinlich erforderlich.


Analyse nach EU AI Act – Der Blick in die Zukunft:

  • Risikoklassifizierung des späteren Systems: Der AI Act regelt primär das fertige KI-System und dessen Inverkehrbringen/Nutzung. Die Anforderungen an das Training ergeben sich aber aus der antizipierten Risikoklasse des fertigen OCR-Systems. Wird dieses System später für einen Hochrisiko-Zweck (gemäß Anhang III) eingesetzt? Wenn ja, dann gelten die strengen Anforderungen des AI Acts auch rückwirkend für die Datenqualität und Data Governance der Trainingsdaten (Artikel 10: Daten und Datenverwaltung: EU-Gesetz über künstliche Intelligenz). Dieser Artikel fordert unter anderem, dass Trainings-, Validierungs- und Testdatensätze relevant, repräsentativ, fehlerfrei und vollständig sind und “geeignete Datenverwaltungs- und -managementpraktiken “ angewendet werden. Explizit wird auch die Prüfung auf und Minderung von Bias verlangt. Diese Anforderungen haben direkte Bezüge zur DSGVO (Rechtmäßigkeit der Erhebung, Datenminimierung).
  • Pflichten auch bei nicht-hohem Risiko: Selbst wenn das spätere System nicht als hochriskant eingestuft wird, könnten Transparenzpflichten (Art. 50 AI Act) greifen, wenn das System mit Menschen interagiert.
  • Risiko der Re-Identifikation durch das Modell: Ein inhärentes Risiko besteht darin, dass das trainierte Modell, selbst wenn es mit (vermeintlich) anonymisierten oder pseudonymisierten Daten trainiert wurde, unbeabsichtigt Informationen preisgibt, die eine Identifizierung von Personen ermöglichen (“Data Leakage”). Dies wäre ein Verstoß gegen Datenschutzprinzipien (Art. 25 DSGVO – Datenschutz durch Technikgestaltung) und potenziell eine meldepflichtige Datenschutzverletzung (Art. 33/34 DSGVO). Rigorose Tests des Modells sind daher essenziell.

Fazit für den Anwendungsfall 2: Die Weiternutzung von Bestandsdaten für KI-Training ist datenschutzrechtlich heikel. Die Zweckbindung und die Notwendigkeit einer neuen Rechtsgrundlage sind zentrale Hürden. Anonymisierung ist eine Option, aber technisch anspruchsvoll. Wird das spätere KI-System als hochriskant eingestuft, stellt der AI Act schon heute hohe Anforderungen an die Governance der Trainingsdaten. Eine DSFA ist dringend empfohlen, um alle Risiken (DSGVO und potenzielle AI Act-Implikationen) zu bewerten.

Anwendungsfall 3: Interner KI-Assistent mit Zugriff auf Unternehmensdaten

Das Szenario: Ein Unternehmen führt einen internen KI-Assistenten ein, beispielsweise auf Basis von Microsofts Copilot Studio oder einer ähnlichen Technologie. Dieser Assistent wird mit der internen M365-SharePoint-Umgebung verbunden und nutzt Retrieval Augmented Generation (RAG). Das heißt, er durchsucht auf Anfrage eines Mitarbeiters die SharePoint-Dokumente, extrahiert relevante Informationen und bereitet diese verständlich auf. Ziel: Mitarbeitenden den Zugriff auf Unternehmenswissen erleichtern.


Die Kernfragen: Ist so ein interner Assistent überhaupt vom AI Act betroffen? Könnte er als Hochrisiko gelten? Welche Pflichten ergeben sich für das Unternehmen als Nutzer (Deployer)? Was ist aus DSGVO-Sicht zu beachten, wenn der Assistent auf Dokumente mit Mitarbeiterdaten zugreift?


Analyse nach EU AI Act:

  • Ist es ein KI-System? Ja, sehr wahrscheinlich. Systeme, die RAG nutzen und Inhalte generieren, weisen typischerweise Merkmale auf, die unter die Definition von Art. 3 Nr. 1 AI Act fallen (Autonomie, Adaptivität, Generierung von Inhalten).
  • Risikoklassifizierung – Der Teufel im Detail: Auf den ersten Blick scheint ein interner Wissensassistent harmlos. Aber die Einstufung hängt stark vom konkreten Einsatzbereich und den potenziellen Auswirkungen ab (Art. 6 i.V.m. Anhang III):
  • Potenzielles hohes Risiko? Könnte der Assistent – vielleicht auch unbeabsichtigt durch die Art der Anfragen und Antworten – in Bereichen eingesetzt werden, die in Anhang III genannt sind? Beispiele:
    • Anhang III, Ziffer 4 (Beschäftigung): Wird er zur Bewertung von Mitarbeiterbeiträgen genutzt? Zur Überwachung von Leistung? Zur Zuweisung von Aufgaben basierend auf abgeleiteten Profilen?
    • Anhang III, Ziffer 5 (Zugang zu wesentlichen Dienstleistungen): Wird er genutzt, um Entscheidungen über den Zugang zu Leistungen oder Fördermitteln vorzubereiten?
  • Wenn das System in einen dieser Bereiche fällt und ein erhebliches Risiko für Grundrechte birgt (was bei Entscheidungen über Mitarbeiter schnell der Fall sein kann), wäre es als Hochrisiko einzustufen.
  • GPAI-Kontext: Da solche Assistenten oft auf Allzweck-KI-Modellen (GPAI) basieren, sind auch die Regeln für GPAI (Titel V / Art. 51 ff.) relevant. Der Anbieter des Basismodells (z. B. Microsoft) hat Pflichten (Dokumentation, Copyright etc.). Für Modelle mit systemischem Risiko gelten nochmals strengere Regeln. Das einsetzende Unternehmen (Deployer) muss sich darauf verlassen können, dass der Anbieter diese erfüllt, trägt aber eigene Verantwortung für den Einsatz des Systems.


Konsequenzen der Einstufung:

  • Bei Hochrisiko: Das Unternehmen als Deployer hätte nach Art. 26 AI Act umfangreiche Pflichten: Sicherstellung der menschlichen Aufsicht (Art. 14), Gewährleistung der Qualität der Eingabedaten (Nutzeranfragen und die durchsuchten Dokumente), Monitoring, Protokollierung, Überprüfung der Anbieterkonformität (CE-Zeichen etc.), Information der Mitarbeiter bzw. ihrer Vertreter. Eine Grundrechts-Folgenabschätzung (FRIA) könnte notwendig werden.
  • Bei begrenztem Risiko: Selbst wenn nicht hochriskant, ist Transparenz essenziell. Gemäß Art. 50 AI Act müssen natürliche Personen darüber informiert werden, dass sie mit einem KI-System interagieren. Eine klare Kennzeichnung des Assistenten ist also Pflicht.
  • AI Literacy (Art. 4 AI Act): Unabhängig von der Risikostufe fordert der Act, dass Nutzer über ein grundlegendes Verständnis der Fähigkeiten und Grenzen von KI verfügen (“KI-Kompetenz”). Das Unternehmen muss also sicherstellen, dass Mitarbeiter verstehen, wie der Assistent (und RAG) funktioniert, wo mögliche Fehlerquellen liegen (z. B. Halluzinationen, Fehlinterpretationen, Bias aus den Quelldokumenten) und wie sie ihn verantwortungsvoll nutzen. Schulungen sind hier ein Muss.


Analyse nach DSGVO:

  • Der Assistent verarbeitet unweigerlich personenbezogene Daten, sobald er Dokumente durchsucht, die Informationen über Mitarbeiter oder Kunden enthalten.
  • Rechtsgrundlage (Art. 6 DSGVO): Für die Verarbeitung von Mitarbeiterdaten im Kontext des Assistenten braucht es eine klare Rechtsgrundlage. Oft wird das berechtigte Interesse (Art. 6 Abs. 1 lit. f) herangezogen, was eine Interessenabwägung erfordert. Bei sensiblen Daten (Art. 9 DSGVO) wird es noch komplexer. Gegebenenfalls ist eine Betriebsvereinbarung eine Option.
  • Zweckbindung (Art. 5 Abs. 1 lit. b DSGVO): Die Daten in SharePoint wurden für bestimmte Zwecke gespeichert. Der Zugriff durch die KI stellt einen neuen Verarbeitungszweck dar, dessen Kompatibilität geprüft werden muss.
  • Transparenz (Art. 13, 14 DSGVO): Mitarbeiter müssen klar darüber informiert werden, dass der Assistent auf die Daten zugreift, welche Daten das sind und zu welchem Zweck.
  • Datenschutz-Folgenabschätzung (DSFA, Art. 35 DSGVO): Aufgrund der Nutzung neuer Technologie (KI/RAG) zur systematischen Verarbeitung potenziell umfangreicher personenbezogener Daten (gesamtes SharePoint?) ist eine DSFA sehr wahrscheinlich erforderlich. Diese muss Risiken wie unbeabsichtigte Profilbildung, Diskriminierung durch Bias in den Daten oder mangelnde Korrektheit der KI-Antworten bewerten.
  • Sicherheit & Zugriffsrechte (Art. 32 DSGVO): Es muss sichergestellt werden, dass der Assistent die bestehenden Zugriffsrechte in SharePoint respektiert und nicht plötzlich jedem Mitarbeiter Zugriff auf Informationen gibt, die er sonst nicht sehen dürfte.

Fazit für den Anwendungsfall 3: Auch ein vermeintlich einfacher interner KI-Assistent hat erhebliche regulatorische Implikationen. Die Risikoeinstufung nach AI Act hängt kritisch von der tatsächlichen und potenziellen Nutzung ab – eine Hochrisiko-Einstufung ist nicht ausgeschlossen. Transparenz und Schulung der Mitarbeiter sind Pflicht. Die DSGVO erfordert eine sorgfältige Prüfung der Rechtsgrundlage, Transparenz und sehr wahrscheinlich eine DSFA. Eine enge Abstimmung mit dem Anbieter des Systems und eine klare interne Governance sind unerlässlich.


Disclaimer: Consider this post a joint effort: my curiosity about a new topic, an AI’s processing power, and my subsequent light edits. The AI kindly drafted the bulk from our chat and my outline so my brain wouldn’t have to do all the initial heavy lifting.