Der EU AI Act: Was Unternehmen vorbereiten müssen
Der EU AI Act verfolgt einen risikobasierten Ansatz für KI. Was Unternehmen, die KI nutzen, jetzt wissen und vorbereiten müssen.
Der EU-Rechtsakt über künstliche Intelligenz (AI Act) reguliert KI mit einem risikobasierten Ansatz: Je riskanter die Nutzung, desto strenger die Pflichten. Für die meisten Unternehmen, die KI-Assistenten für Endverbraucher nutzen, geht es nicht darum, ein „Anbieter“ im Sinne der Verordnung zu sein, sondern KI verantwortungsvoll einzusetzen — Transparenz, menschliche Aufsicht und der Schutz der durchlaufenden Daten. Daten vor dem Versand zu anonymisieren, bleibt eine robuste Gewohnheit, unabhängig von den regulatorischen Details.
Ein risikobasierter Ansatz
Der AI Act klassifiziert KI-Systeme nach Risikostufe, von verbotenen Anwendungen über Hochrisiko-Anwendungen (die strengen Pflichten unterliegen) bis hin zu begrenztem oder minimalem Risiko. KI-Modelle mit allgemeinem Verwendungszweck haben eigene Pflichten, insbesondere im Bereich Transparenz.
- Inakzeptables Risiko: Bestimmte Anwendungen sind verboten.
- Hohes Risiko: verschärfte Pflichten (Dokumentation, Aufsicht, Robustheit).
- Begrenztes Risiko: Transparenzpflichten (offenlegen, dass es sich um KI handelt).
- Minimales Risiko: die Mehrheit der alltäglichen Anwendungen.
Anbieter oder Betreiber: Was sind Sie?
Die Verordnung unterscheidet unter anderem denjenigen, der ein System entwickelt bzw. in Verkehr bringt (Anbieter), von demjenigen, der es beruflich einsetzt (Betreiber). Ein Unternehmen, das lediglich einen KI-Assistenten nutzt, ist in der Regel Betreiber: Seine Pflichten konzentrieren sich vor allem auf eine konforme Nutzung, Transparenz und Datenschutz.
Was Sie jetzt vorbereiten können
- 1Erfassen Sie Ihre KI-Anwendungen und die Daten, die sie verarbeiten.
- 2Dokumentieren Sie eine Nutzungsrichtlinie (Transparenz, menschliche Aufsicht).
- 3Minimieren Sie die an Drittanbieter-Dienste übermittelten Daten (Anonymisierung an der Quelle).
- 4Verzahnen Sie AI Act und DSGVO: Datenschutz bleibt eine gemeinsame Grundlage.
Unabhängig von Ihrer Rolle verringert das Übermitteln von weniger sensiblen Daten an KI-Dienste Ihre Risikofläche. ONYRI Sanitize anonymisiert diese Daten im Browser, bevor irgendetwas gesendet wird: ein einfacher Schritt, im Einklang mit dem Grundsatz der Datenminimierung, den DSGVO und AI Act teilen.
Häufig gestellte Fragen
- Ersetzt der AI Act die DSGVO?
- Nein. Sie ergänzen einander: Die DSGVO schützt personenbezogene Daten, der AI Act reguliert KI-Systeme. Personenbezogene Daten, die an eine KI gesendet werden, fallen unter beide Regelwerke.
- Ist mein Unternehmen ein „Anbieter“, wenn es nur ChatGPT nutzt?
- In der Regel nein: Einen Assistenten zu nutzen, entspricht eher der Rolle des Betreibers. Die Pflichten unterscheiden sich je nach Rolle und Risikostufe der Nutzung — im Einzelfall zu prüfen.
- Was sollte ich zuerst tun?
- Erfassen Sie Ihre Anwendungen, legen Sie eine klare Richtlinie fest und minimieren Sie die übermittelten Daten. Anonymisierung an der Quelle ist eine konkrete, sofort umsetzbare Maßnahme.
Quellen & Referenzen
- Verordnung über künstliche Intelligenz (AI Act, Volltext) — EUR-Lex
- EU-Rechtsrahmen für KI — European Commission
- Europäischer Datenschutzausschuss (EDPB) — EDPB
Behalten Sie Ihre sensiblen Daten in Ihrem Browser
ONYRI Sanitize erkennt und maskiert Ihre sensiblen Daten, bevor sie die KI erreichen, und stellt anschließend die Antwort wieder her — vom Namen bis zum API-Schlüssel.