Die internationale EY-Organisation besteht aus den Mitgliedsunternehmen von Ernst & Young Global Limited (EYG). Jedes EYG-Mitgliedsunternehmen ist rechtlich selbstständig und unabhängig und haftet nicht für das Handeln und Unterlassen der jeweils anderen Mitgliedsunternehmen. Ernst & Young Global Limited ist eine Gesellschaft mit beschränkter Haftung nach englischem Recht und erbringt keine Leistungen für Mandanten.
So unterstützen wir Sie
-
Die Digitalisierung transformiert nicht nur die Welt der Arbeit, Freizeit und Mobilität, sondern birgt auch immense rechtliche Herausforderungen. Mit unserer Practice Group Digital Law beraten wir unsere Mandanten dabei, die digitale Transformation rechtssicher zu gestalten.
Mehr lesen
Stand der EU-KI-Verordnung und Bedeutung der AI Governance
Auch wenn das vollständige Inkrafttreten der EU KI-Verordnung (KI-VO) zum 2. August 2026 durch eine geplante Digital-Omnibus-Verordnung für KI möglicherweise bis Dezember 2027 verschoben wird, etwa bis die Standards zum KI-Risikomanagement finalisiert sind, wird sie früher oder später wirksam. Dies ist Anlass, die KI-VO und ihre Umsetzung durch die sogenannte AI Governance detaillierter zu betrachten. Governance beschreibt grundsätzlich, wie Organisationen, Systeme oder Gesellschaften gesteuert, gelenkt und kontrolliert werden. AI Governance umfasst dabei den Rahmen aus Regeln, Prozessen, Rollen und technischen Maßnahmen, mit denen ein verantwortungsvoller, sicherer, transparenter und rechtmäßiger Einsatz von KI gewährleistet wird. Es empfiehlt sich, die KI-VO in bestehende AI-Governance-Strukturen zu integrieren und die Implementierung der KI-VO als Treiber für eine umfassende AI Governance zu nutzen.
A. Die EU-KI-Verordnung und ihre Regulierungsziele
Der Einsatz von KI bietet beeindruckende Möglichkeiten, birgt aber auch Risiken für öffentliche und private Interessen sowie für die Gesundheit und Sicherheit von Menschen. Beispiele wie das KI-gestützte „Social Scoring“ in China zeigen, wie durch KI-Systeme erhebliche Risiken entstehen können. Um solchen Gefahren vorzubeugen, wurde die EU KI-Verordnung erlassen. Ihr Ziel ist es, ein hohes Schutzniveau für Gesundheit, Sicherheit und Grundrechte mit dem Einsatz von KI in Einklang zu bringen und gleichzeitig Investitionen und Innovationen im KI-Bereich in der EU zu fördern (Art. 1 Abs. 1 KI-VO). Die KI-VO ist Teil des „New Legislation Framework“ (NLF), das seit 2008 den EU-Binnenmarkt für Waren stärken und die Bedingungen für das Inverkehrbringen von Produkten verbessern soll. Dazu gehören Maßnahmen zur Optimierung der Marktüberwachung, zur Steigerung der Qualität von Konformitätsbewertungen und zur Präzisierung der CE-Kennzeichnung.
B. Implementierung der EU KI-Verordnung und AI-Governance
Die Umsetzung der Anforderungen der EU KI-Verordnung stellt Unternehmen vor vielfältige organisatorische, technische und rechtliche Herausforderungen. Der systembezogene und risikobasierte Ansatz der Regulierung bedeutet, dass es keinen universellen „Blaupausenansatz“ für alle KI-Anwendungsfälle gibt. Vielmehr müssen Unternehmen individuelle Lösungen entwickeln, die den spezifischen Anforderungen und Risiken ihrer KI-Systeme gerecht werden. Im Sinne einer umfassenden KI-Compliance und zur Vermeidung von Schatten-IT sollte ein System zur Inventarisierung und Risikoklassifizierung sämtlicher KI-Systeme etabliert werden.
Darüber hinaus empfiehlt es sich, eine übergeordnete AI-Governance als „Enabler“ für erfolgreiche KI-Anwendungsfälle zu definieren und zu etablieren. Diese Governance dient als Rahmen, um verschiedene Use Cases systematisch zu steuern und zu kontrollieren. Im ersten Schritt ist eine strategische Entscheidung erforderlich, wie einzelne KI-Anwendungsfälle praktisch umgesetzt werden sollen. Eine sinnvolle Unterscheidung besteht zwischen internen und externen Use Cases. Beispielsweise können unternehmensinterne KI-Anwendungen wie im HR-Bereich so eingeordnet werden, dass sie nicht als Hochrisiko-KI-Systeme gelten, sondern durch organisatorische und rechtliche Argumentation (vgl. Artikel 6 Absatz 3 KI-VO) von strengen Auflagen ausgenommen werden. Dies reduziert den Umsetzungsaufwand für Risikomanagement und Konformität, speziell wenn das KI-System nur als vorbereitender Prozessschritt und nicht als finale Entscheidungsinstanz genutzt wird. Für nicht strategisch mitigierbare Anwendungsfälle – beispielsweise bei sicherheitsrelevanten Produkten – sind die detaillierten Anforderungen an Hochrisiko-KI-Systeme einzuhalten.
Auf Basis dieser Entscheidungen sind für interne wie externe, produkt- oder servicebezogene KI-Anwendungsfälle die entsprechenden Vorgaben, Rollen und Verantwortlichkeiten festzulegen. Anschließend muss diese Governance im Unternehmen kommuniziert und geschult werden – idealerweise verknüpft mit Anforderungen zur KI-Kompetenz (vgl. Artikel 4 KI-VO). Eine risikobasierte, pragmatische Governance und effiziente Rechtsanwendung können je nach Stakeholder-Rolle dazu beitragen, KI-Initiativen sicher, regelkonform und skalierbar umzusetzen.
C. Anwendungsbereich der KI-VO und risikobasierter Ansatz
Im Zentrum des sachlichen Anwendungsbereichs stehen das „KI-System“ (Art. 3 Nr. 1 KI-VO) und die „KI-Modelle mit allgemeinem Verwendungszweck“ (Art. 3 Nr. 63 KI-VO). Ein KI-System ist ein maschinengestütztes System, das für einen mehr oder weniger autonomen Betrieb ausgelegt ist, nach der Einführung anpassungsfähig bleibt und aus Eingaben für bestimmte Ziele Ergebnisse wie Vorhersagen, Inhalte, Empfehlungen oder Entscheidungen ableitet, die Umgebungen beeinflussen können. Normale Software ist nicht umfasst; entscheidend sind Autonomie sowie die Ableitung von Ergebnissen und Entscheidungen.
KI-Modelle mit allgemeinem Verwendungszweck (GPAI) sind noch keine KI-Systeme, sondern Modelle, die für eine Vielzahl von Aufgaben in nachgelagerten Systemen eingesetzt werden können und regelmäßig den autonomen Teil des KI-Systems darstellen.