Français
Nederlands
EnglishKI-Governance und AI Act
ChatGPT, Copilot, Werkzeuge für Recruiting oder Scoring: KI steckt bereits in Ihren Prozessen, oft ohne Rahmen. Wir helfen Ihnen, die Anwendungen zu erkennen, die Pflichten nach der KI-Verordnung (AI Act) und der DSGVO auslösen, sie zu regeln und das nachzuweisen, mit einem Berater, der als ISO/IEC 42001 Lead Implementer und als Datenschutzbeauftragter zertifiziert ist.
Für wen
- Organisationen, deren Beschäftigte Werkzeuge der generativen KI nutzen, mit oder ohne schriftliche Regeln.
- Unternehmen, die KI in ein Produkt oder eine Dienstleistung für ihre Kunden einbauen.
- Arbeitgeber, Kreditgeber, Versicherer, Bildungseinrichtungen und öffentliche Stellen, die KI in Bereichen einsetzen, die der AI Act als hochriskant einstuft.
- Organisationen, die eine Zertifizierung nach ISO/IEC 42001 anstreben.
Was wir aufbauen
Bestandsaufnahme der Anwendungen
KI-Werkzeuge, -Funktionen und -Projekte, auch solche ohne Freigabe, mit den verarbeiteten Daten und ihren Anbietern.
Einstufung nach dem AI Act
Ihre Rolle (Anbieter oder Betreiber) und die Risikostufe jedes Systems: verbotene Praktik, hohes Risiko, Transparenzpflicht oder minimales Risiko.
KI-Nutzungsrichtlinie
Klare Regeln für die Beschäftigten: zugelassene Werkzeuge, Daten, die nie eingegeben werden dürfen, menschliche Prüfung der Ergebnisse, Meldung von Vorfällen.
Folgenabschätzungen
Datenschutz-Folgenabschätzung (DSFA) nach der DSGVO und, für bestimmte Betreiber von Hochrisiko-Systemen (öffentliche Stellen, öffentliche Dienste, Kreditvergabe, Lebens- oder Krankenversicherung), eine Grundrechte-Folgenabschätzung.
Managementsystem nach ISO/IEC 42001
Aufbau oder Konsolidierung, abgestimmt auf Ihr ISO/IEC-27001-System, falls vorhanden, bis zur Vorbereitung der Zertifizierung durch eine akkreditierte Stelle.
KI-Kompetenz und Schulung
Die von Artikel 4 des AI Act erwarteten Schulungsmaßnahmen für die Beschäftigten und zertifizierende PECB-Schulungen für Ihre Teams.
Unser Vorgehen
Ein verhältnismäßiges Vorgehen: Die meisten Organisationen brauchen vor allem eine aktuelle Bestandsaufnahme und klare Regeln; Hochrisiko-Systeme verlangen mehr.
Bestandsaufnahme
Gespräche und Fragebogen in den Fachbereichen, Prüfung der Verträge und der eingesetzten Werkzeuge.
Einstufung und Lücken
Rolle, Risikostufe und geltende Pflichten je Anwendung, dann die Lücken gegenüber AI Act, DSGVO und ISO/IEC 42001.
Maßnahmenplan
Nutzungsrichtlinie, Kontrollen, Dokumentation und Schulung, nach Fristen priorisiert und von der Geschäftsleitung genehmigt.
Umsetzung und Begleitung
Unterstützung Ihrer Teams, Aktualisierung der Bestandsaufnahme und Vorbereitung auf ein Audit oder eine Zertifizierung.
Häufige Fragen
Gilt der AI Act für uns, wenn wir nur ChatGPT oder Copilot nutzen?
Ja, in begrenztem Umfang. Als Betreiber müssen Sie Maßnahmen ergreifen, um die Entwicklung der KI-Kompetenz Ihrer Beschäftigten zu unterstützen, und in bestimmten Fällen Transparenzpflichten erfüllen, etwa wenn Sie erzeugte Bilder oder Videos verbreiten, die reale Personen nachahmen. Die DSGVO gilt, sobald personenbezogene Daten verarbeitet werden.
Welche Pflichten gelten bereits?
Die verbotenen Praktiken und die Pflicht zur KI-Kompetenz seit dem 2. Februar 2025, die Regeln für KI-Modelle mit allgemeinem Verwendungszweck seit dem 2. August 2025 und die Transparenzpflichten seit dem 2. August 2026. Die Pflichten für Hochrisiko-Systeme nach Anhang III gelten ab dem 2. Dezember 2027.
Was hat der Digital Omnibus geändert?
Die Verordnung (EU) 2026/1744 hat die Pflichten für Hochrisiko-Systeme verschoben und Artikel 4 neu gefasst: Sie müssen Maßnahmen ergreifen, um die Entwicklung der KI-Kompetenz Ihrer Beschäftigten und anderer Personen, die in Ihrem Auftrag KI-Systeme betreiben, zu unterstützen, ohne für jede Person ein bestimmtes Niveau garantieren zu müssen. Die Pflicht selbst bleibt bestehen. Zudem kommen zwei verbotene Praktiken hinzu, die ab dem 2. Dezember 2026 gelten.
Ist eine Zertifizierung nach ISO/IEC 42001 Pflicht?
Nein. Es handelt sich um eine freiwillige Norm, die jedoch eine anerkannte Struktur für die Steuerung von KI bietet: Bestandsaufnahme, Risikoanalyse, Kontrollen und fortlaufende Verbesserung. Sie hilft, Ihre Kunden zu überzeugen und sich auf die Anforderungen des AI Act vorzubereiten.
Wie hängen AI Act und DSGVO zusammen?
Beide gelten nebeneinander. Ein KI-System, das personenbezogene Daten verarbeitet, muss die DSGVO einhalten: Rechtsgrundlage, Information der betroffenen Personen und oft eine Folgenabschätzung. Der AI Act ergänzt KI-spezifische Anforderungen, ohne die DSGVO zu ersetzen.