Künstliche Intelligenz & Digitalisierung

Ob und welche Pflichten Sie haben, hängt zuerst davon ab, in welche Risikokategorie Ihr System fällt: Manche KI‑Praktiken sind verboten, andere gelten als Hochrisiko‑KI, und bei vielen Systemen gibt es „nur“ Transparenzpflichten (z.B. Kennzeichnung gegenüber Nutzern).
Wenn Ihr System Hochrisiko‑KI ist, brauchen Sie vor allem einen nachvollziehbaren Prozess, mit dem Sie Risiken erkennen, reduzieren und laufend überwachen. Typische Pflichten sind außerdem: geeignete Daten- und Datenqualitäts‑Regeln, ausreichende technische Unterlagen, Protokollierung (Logs), klare Informationen für Anwender sowie Maßnahmen, damit Menschen eingreifen können und das System zuverlässig und sicher läuft.

DSGVO‑Konformität erreichen Sie am zuverlässigsten, wenn Sie zuerst klären, wer wofür verantwortlich ist: Entscheiden Sie über Zweck und Einsatz der KI, sind Sie typischerweise „Verantwortlicher“; verarbeitet ein Dienstleister Daten nur für Sie, ist er oft „Auftragsverarbeiter“. Diese Rollen entscheiden über Pflichten, Verträge und Haftungsrisiken.
Danach brauchen Sie für jede Verarbeitung eine saubere Rechtsgrundlage. Wenn Sie auf Einwilligung setzen, muss sie praktisch wirklich freiwillig sein und jederzeit widerrufen werden können; außerdem müssen Betroffene verständlich informiert werden.
Besondere Aufmerksamkeit ist nötig, wenn Ihre KI zu rein automatisierten Entscheidungen führt, die Menschen erheblich betreffen (z.B. Ablehnung, Einstufung, Ausschluss). Dann sind zusätzliche Schutzmaßnahmen erforderlich (z.B. Möglichkeit menschlicher Überprüfung).
Wenn Daten außerhalb des EWR übertragen werden (z.B. Cloud-/Tool‑Anbieter in Drittländern), brauchen Sie passende Transfer‑Instrumente und ggf. zusätzliche technische/organisatorische Maßnahmen.

In der Praxis kommen mehrere Haftungswege in Betracht: Vertragliche Haftung (z.B. gegenüber Kunden wegen falscher Ergebnisse), allgemeine Schadenersatzansprüche (z.B. wenn Pflichten verletzt werden) und – je nach Produkt und Konstellation – Produkthaftungsrisiken.
Auf EU‑Ebene ist besonders relevant, dass die Produkthaftungsregeln modernisiert wurden und ausdrücklich auch Software (einschließlich KI‑Systeme) erfassen können. Das kann für Hersteller/Anbieter bedeuten, dass sie für Schäden durch „fehlerhafte“ Software eher in Anspruch genommen werden.
Für österreichische Unternehmen gewinnt neben den technischen und wirtschaftlichen Aspekten zunehmend auch die rechtssichere KI-Governance an Bedeutung. Geschäftsleitung/Organe sind gefordert, Auswahl, Einsatz und Überwachung von KI-Systemen so zu organisieren, dass Entscheidungen nachvollziehbar, risikobewusst und dokumentiert sind (auch weil das im Streitfall oft entscheidend ist). Dazu zählen insbesondere der Aufbau eines KI-Inventars, die KI-Risikoklassifizierung nach dem EU‑AI‑Act, die Etablierung eines formalen Freigabeprozesses für KI-Use-Cases sowie gezielte Schulungs- und Sensibilisierungsprogramme. Eine vorausschauende KI-Compliance schafft nicht nur regulatorische Sicherheit, sondern stärkt auch das Vertrauen im Umgang mit KI.

Wenn Ihr System unter Hochrisiko‑KI fällt, müssen Sie typischerweise so dokumentieren, dass Außenstehende (z.B. Prüfer, Behörden, interne Revision) verstehen können, wie das System gedacht ist, wie es getestet wurde und wie es im Betrieb kontrolliert wird. Dazu gehört regelmäßig auch, dass das System Protokolle (Logs) erzeugen kann, damit Entscheidungen und relevante Systemereignisse später nachvollziehbar sind.
Praktisch sollte Ihre Dokumentation außerdem festhalten, welche Datenquellen genutzt werden, welche Modell-/Version im Einsatz ist, welche Qualitäts‑ und Bias‑Tests durchgeführt wurden und welche Menschen an Freigaben oder „Stop/Go“-Entscheidungen beteiligt waren.

Diskriminierung vermeiden Sie vor allem, indem Sie Bias‑Risiken wie ein Qualitäts‑ und Sicherheitsrisiko behandeln: Sie prüfen Datensätze und Ergebnisse systematisch, testen vor dem Roll‑out und überwachen im laufenden Betrieb, ob bestimmte Gruppen schlechter gestellt werden. Bei Hochrisiko‑KI ist die Arbeit an Datenqualität und Risikosteuerung ohnehin ein Kernpunkt.
Wichtig ist auch, dass „Fairness‑Checks“ nicht automatisch bedeuten, dass Sie einfach besonders sensible Daten verwenden dürfen. Datenschutzbehörden betonen, dass der Einsatz sensibler Daten zur Bias‑Erkennung/-Korrektur eng begrenzt und besonders sorgfältig begründet werden muss.

Ob ein Output urheberrechtlich geschützt ist, hängt im EU‑Recht im Kern davon ab, ob er auf eigenen kreativen Entscheidungen eines Menschen beruht („eigene geistige Schöpfung“). Die Rechtsprechung betont diese Originalitäts‑Anforderung; rein technisch erzeugte Ergebnisse ohne menschliche kreative Prägung sind daher nicht als „Werk“ einzuordnen.
Unabhängig vom Urheberrecht sollten Sie außerdem die Nutzungsbedingungen des verwendeten KI‑Tools (z.B. zu Output‑Rechten, Training, Weitergabe) sowie Rechte Dritter (z.B. Marken, Persönlichkeitsrechte, geschützte Vorlagen) im Blick behalten.
Wenn Inhalte so aussehen oder klingen, als wären sie „echt“ (z.B. manipulierte Bilder/Audio/Video oder sehr realistisch wirkende Inhalte), können außerdem Kennzeichnungspflichten nach dem AI-Act relevant werden.

Ein KI‑Dienstleistervertrag sollte erstens klar regeln, wer datenschutzrechtlich wofür verantwortlich ist (Kunde als Verantwortlicher, Anbieter als Auftragsverarbeiter – oder eine andere Aufteilung) und die passenden Datenschutz‑Pflichten enthalten (insb. Sicherheit, Subunternehmer, Unterstützung bei Betroffenenrechten, Löschung/Rückgabe).
Zweitens sollten Sie ausdrücklich festlegen, was mit Ihren Daten passiert: ob sie nur zur Leistungserbringung genutzt werden oder auch zu Training/Verbesserung, welche Sicherheitsmaßnahmen gelten und welche Meldepflichten bei Vorfällen bestehen.
Drittens braucht es klare Regeln zu Haftung und Service‑Qualität (z.B. Verfügbarkeit, Reaktionszeiten, Fehlerklassen) sowie zu Nutzungsrechten (wer darf Outputs wie nutzen; wer garantiert, dass der Anbieter entsprechende Rechte hat).
Viertens ist in vielen Fällen sinnvoll, dass der Anbieter Ihnen die Informationen liefert, die Sie für eigene Pflichten benötigen (z.B. Dokumentation/Logs/Erklärbarkeit, soweit erforderlich).

Der AI-Act sieht umsatzbezogene Bußgelder vor. Bei Verstößen gegen verbotene KI‑Praktiken sind es bis zu 35 Mio. EUR oder 7 % des weltweiten Jahresumsatzes (je nachdem, was höher ist).
Für andere Verstöße (z.B. bestimmte Pflichten rund um Hochrisiko‑KI oder Informationspflichten) sind niedrigere, aber weiterhin sehr hohe Bußgeldrahmen vorgesehen, z.B. bis zu 15 Mio. EUR oder 3 % bzw. bis zu 7,5 Mio. EUR oder 1 % (je nach Verstoßkategorie).

Starten Sie mit einem KI‑Inventar, in dem Sie alle Use‑Cases erfassen: Zweck, Nutzerkreis, betroffene Personen, verwendete Daten, Anbieter, Betriebsumgebung und ob Entscheidungen rechtlich/finanziell relevant sind. Darauf aufbauend machen Sie eine Risikoeinordnung und legen fest, welche Voraussetzungen nach dem AI-Act vor einem Produktiveinsatz erfüllt sein müssen.
Parallel richten Sie einen belastbaren Datenschutz‑Rahmen ein: klare Verantwortlichkeiten, nachvollziehbare Entscheidungs- und Freigabeprozesse, transparente Informationspflichten, strukturiertes Vorgehen bei Drittland‑Transfers. Ebenso wesentlich sind interne Schulungs- und Sensibilisierungsmaßnahmen, um einen rechtskonformen und verantwortungsvollen Einsatz von KI im Unternehmen sicherzustellen.
Holen Sie sich Expertise ins Haus, denn die Compliance mit den gesamten Voraussetzungen ist nicht trivial.