AI Act, Data Act & Co. - Warum Unternehmen EU-Digitalgesetze gemeinsam betrachten sollten

Der AI Act steht nicht allein

Wer sich mit künstlicher Intelligenz beschäftigt, stößt schnell auf den AI Act. Für Unternehmen wäre es jedoch ein Fehler, die KI-Verordnung isoliert zu betrachten. Die europäische Digitalregulierung besteht inzwischen aus verschiedenen Regelwerken mit unterschiedlichen Schwerpunkten. Neben der DSGVO spielen beispielsweise der Data Act, der Data Governance Act, der Digital Services Act, der Digital Markets Act sowie Vorschriften zur Cybersecurity eine zunehmende Rolle.

Diese Regelungen stehen nicht unabhängig nebeneinander. In der betrieblichen Praxis können mehrere Rechtsakte gleichzeitig auf denselben Prozess oder dieselbe technische Lösung einwirken. Die richtige Frage lautet deshalb häufig nicht nur: Gilt der AI Act? Sondern: Welche rechtlichen Anforderungen gelten für unseren gesamten Daten- und KI-Prozess?

Die DSGVO konzentriert sich auf den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten. Andere europäische Regelwerke sollen dagegen den Zugang zu Daten, ihre wirtschaftliche Nutzung oder den Austausch zwischen verschiedenen Akteuren erleichtern. Damit entsteht ein Spannungsfeld: Daten sollen einerseits geschützt werden. Andererseits sollen Datenbestände wirtschaftlich nutzbar sein und Innovation ermöglichen.

Der AI Act fügt diesem Regelungsgefüge eine weitere Ebene hinzu. Im Mittelpunkt steht nicht primär der Schutz personenbezogener Daten. Vielmehr sollen Risiken kontrolliert werden, die aus Entwicklung und Einsatz künstlicher Intelligenz entstehen können.

KI-Systeme benötigen Daten. Das gilt besonders für industrielle Systeme, vernetzte Produkte und IoT-Anwendungen. Maschinendaten können beispielsweise dazu verwendet werden, Wartungsbedarf vorherzusagen, Produktionsprozesse zu optimieren oder KI-Modelle weiterzuentwickeln.

Unternehmen müssen deshalb immer zwei Fragen getrennt betrachten: Dürfen oder müssen bestimmte Daten bereitgestellt werden? Und unter welchen Bedingungen dürfen diese Daten anschließend für KI verarbeitet werden? Datenzugang bedeutet nicht automatisch freie Verwendbarkeit für jeden Zweck.

Ein typisches KI-Projekt kann Fragen zu Datenquellen, personenbezogenen Informationen, Geschäftsgeheimnissen, Cybersecurity, Rollen nach dem AI Act und arbeitsrechtlichen Beteiligungsrechten auslösen. Unternehmen benötigen deshalb zunehmend interdisziplinäre Prüfprozesse.

Datenschutz, IT, Informationssicherheit, Legal, Einkauf und Fachbereiche sollten nicht unabhängig voneinander arbeiten. Je früher diese Funktionen zusammenkommen, desto leichter lassen sich widersprüchliche Anforderungen vermeiden.

Neue KI-Anwendungen sollten in einen strukturierten Freigabeprozess eingebunden werden. Dieser beginnt idealerweise bereits vor dem Kauf oder der Entwicklung eines Systems. Hilfreich ist eine zentrale Prüfliste, in der Datenquellen, Verwendungszwecke, Anbieter, technische Funktionen und rechtliche Anforderungen dokumentiert werden.

Der AI Act ist Teil eines größeren europäischen Regelungsrahmens. Unternehmen, die KI rechtssicher einsetzen möchten, sollten deshalb nicht in einzelnen Gesetzen denken. Entscheidend ist der gesamte Lebenszyklus: Daten gewinnen, Daten verarbeiten, KI einsetzen und Risiken kontrollieren.

Sie haben Fragen zu diesem Artikel? Rufen Sie uns gern unter 09122 6937302 an und vereinbaren Sie einen Gesprächstermin. Oder senden Sie uns einfach eine Nachricht. Wir freuen uns, Sie kennenzulernen!

Ihr Team von Datenschutz Prinz