EU AI Act kommt: So vermeidest du, dass dein Unternehmen in die Haftungsfalle tappt

Die aktuelle Lage: KI-Nutzung ohne offizielle Leitplanken

Generative Künstliche Intelligenz hat sich längst als fester Bestandteil in den Arbeitsalltag vieler Unternehmen integriert. Die technologische Entwicklung schreitet in einem rasanten Tempo voran, doch die internen Richtlinien und Governance-Strukturen der Organisationen hinken dieser Entwicklung oft hinterher. Aktuelle Erhebungen zeigen ein alarmierendes Bild: Zwar verfügen etwa 98 Prozent der Unternehmen über ein formelles Strategiepapier zum Thema Künstliche Intelligenz, doch in der Praxis wird der tatsächliche Einsatz der Technologie nur in 39 Prozent der Fälle aktiv durch das Top-Management gesteuert. Diese signifikante Diskrepanz zwischen theoretischen Strategiepapieren und der gelebten Realität im Arbeitsalltag führt zu einer gefährlichen Compliance-Lücke. Da es häufig an klaren Vorgaben, offiziell freigegebenen Werkzeugen und verbindlichen Prüfschritten mangelt, sehen sich Mitarbeitende gezwungen, auf eigene, inoffizielle Lösungen auszuweichen. Es entsteht das Phänomen der sogenannten „Shadow AI“. Besonders in hochsensiblen Fachbereichen wie dem Personalwesen, der Finanzabteilung, dem Steuerwesen oder der Rechtsabteilung stellt dies ein kritisches Risiko dar, da dort regelmäßig personenbezogene Daten und rechtlich hochrelevante Inhalte verarbeitet werden. Die Herausforderung besteht nun darin, diese inoffiziellen Kanäle in kontrollierte, rechtssichere Prozesse zu überführen und eine KI-Governance zu etablieren, die nicht als Bremse, sondern als Innovationstreiber fungiert.

Einzelheiten zur Diskrepanz und den Risikofaktoren

Die Zahlen verdeutlichen die Dringlichkeit der Situation: Etwa 75 Prozent der sogenannten Knowledge Worker nutzen bereits KI-Anwendungen, allerdings geschieht dies meist ohne eine offizielle Freigabe durch die IT-Abteilung oder das Management. Ein wesentlicher Treiber für dieses Verhalten ist der Wunsch nach Effizienzsteigerung, da 78 Prozent der KI-Nutzer ihre eigenen Lösungen mit an den Arbeitsplatz bringen. Demgegenüber steht die ernüchternde Statistik des Branchenverbandes Bitkom, wonach bislang nur 26 Prozent der Unternehmen ihren Beschäftigten tatsächlich offizielle und geprüfte KI-Dienste bereitstellen. Wenn vertrauliche Informationen in öffentliche, nicht autorisierte Tools kopiert werden, entstehen massive Compliance-Lücken. Besonders kritisch ist dies im HR-Bereich, wo Bewerbungsunterlagen oder sensible Beschäftigtendaten in externe Systeme geladen werden, ohne dass die Verarbeitung oder Speicherung dieser Daten geklärt ist. Der Work Trend Index 2024 unterstreicht die Problematik: Rund 60 Prozent der Führungskräfte geben offen zu, dass ihrer Organisation ein konkreter und klarer Plan für die praktische Umsetzung von KI-Projekten fehlt. Ohne diese notwendige Übersetzung der Strategie in den operativen Alltag bleibt der Einsatz von Künstlicher Intelligenz ein unkontrolliertes Stückwerk, bei dem unklar bleibt, wer die Verantwortung für die generierten Ergebnisse trägt.

Hintergrund und Entstehung der Compliance-Problematik

Die Entwicklung hin zu einer unkontrollierten KI-Nutzung ist nicht auf böswillige Absichten der Mitarbeitenden zurückzuführen. Vielmehr ist es der Wunsch nach einer schnelleren Arbeitsweise, der die Belegschaft dazu treibt, eigenmächtig nach Lösungen zu suchen, wenn das Unternehmen keine adäquaten Angebote macht. Die historische Entwicklung zeigt, dass KI-Strategien oft als reine Orientierungspapiere verfasst wurden, ohne die notwendige Verknüpfung zur täglichen Governance herzustellen. Eine KI-Governance geht weit über die IT-Ebene hinaus; sie erfordert einen intensiven Austausch zwischen den Fachbereichen, der Datenschutzabteilung und dem Compliance-Management. Die aktuelle Situation ist das Ergebnis einer Phase, in der die technologische Adoption die organisatorische Anpassungsfähigkeit überholt hat. Unternehmen haben zwar erkannt, dass KI ein wichtiges Thema ist, aber die praktische Implementierung von Kontrollmechanismen wurde vernachlässigt. Der Druck wächst nun durch den bevorstehenden EU AI Act, der Unternehmen dazu zwingt, ihre bisherigen Ansätze grundlegend zu überdenken. Die bisherige Praxis des „Bring Your Own AI“ ist in einem regulierten Umfeld nicht mehr tragbar, da die Haftungsrisiken für Unternehmen bei Verstößen gegen Datenschutzvorgaben oder regulatorische Anforderungen massiv steigen.

Die betroffenen Akteure und ihre Verantwortlichkeiten

Die Verantwortung für eine rechtssichere KI-Strategie liegt bei verschiedenen Akteuren innerhalb einer Organisation. Führungskräfte stehen vor der Aufgabe, die Kompetenzlücken ihrer Mitarbeitenden zu schließen, da Untersuchungen des Stifterverbandes und von McKinsey zeigen, dass 79 Prozent der Führungskräfte Defizite bei ihren Teams sehen, insbesondere in Bezug auf die Automatisierung von Prozessen und das datenbasierte Handeln. Die IT-Abteilung ist gefordert, sichere und freigegebene Systeme bereitzustellen, während die Fachbereiche wie HR, Finance oder Legal sicherstellen müssen, dass die KI-Ergebnisse fachlich korrekt und nachvollziehbar sind. Die Rolle des Top-Managements ist dabei entscheidend, da nur 39 Prozent der Unternehmen eine aktive Steuerung durch die Führungsebene vorweisen können. Die betroffenen Mitarbeitenden sind zwar die Anwender, benötigen jedoch klare Leitplanken, um nicht in die Haftungsfalle zu tappen. Externe Institutionen und Berater wie KPMG, Deloitte oder Haufe liefern dabei die notwendigen Rahmenbedingungen und Compliance-Checks, um diese komplexe Transformation zu begleiten. Es ist ein gemeinschaftlicher Prozess, bei dem Datenschutzbeauftragte und Compliance-Experten eine zentrale Rolle einnehmen, um sicherzustellen, dass die technologische Innovation innerhalb der gesetzlichen Grenzen bleibt.

Einordnung der regulatorischen Herausforderungen

Einzuordnen ist die aktuelle Situation als eine Phase der Konsolidierung. Der EU AI Act erhöht den regulatorischen Druck erheblich, da er Transparenz- und Dokumentationspflichten für KI-Systeme vorschreibt, die Auswirkungen auf Personen, Rechte oder Sicherheit haben. Den Berichten zufolge geben 82 Prozent der Unternehmen an, dass regulatorische Vorgaben ihren Umgang mit KI bereits heute stark beeinflussen. Die Einordnung der Risiken erfolgt dabei auf drei Ebenen: Erstens der Datenschutz, bei dem Grundsätze wie Datenminimierung und Zweckbindung gemäß DSGVO zwingend einzuhalten sind. Zweitens die Regulierung durch den EU AI Act, die besonders bei kritischen Anwendungsfällen greift. Drittens die fachliche Qualität, denn 47 Prozent der Entscheider sehen die Qualität der KI-Antworten als Herausforderung. Eine „plausible“ Antwort reicht in einem professionellen Umfeld nicht aus; sie muss fachlich fundiert und nachvollziehbar sein. Die Einordnung zeigt, dass KI-Compliance kein Hindernis für Fortschritt darstellt, sondern vielmehr das notwendige Fundament für eine skalierbare und sichere Nutzung von Künstlicher Intelligenz im Unternehmen bildet. Nur durch klare Regeln und menschliche Verantwortung wird die Technologie steuerbar und damit für den Unternehmenseinsatz tauglich.

Offene Fragen und verbleibende Lücken

Obwohl der Compliance-Check von Haufe eine pragmatische Hilfestellung bietet, bleiben einige Fragen offen, die jedes Unternehmen individuell klären muss. Der vorliegende Text beantwortet beispielsweise nicht, welche spezifischen Sanktionen bei Nichteinhaltung des EU AI Acts in jedem Einzelfall drohen, da dies von der konkreten Ausgestaltung der nationalen Gesetzgebung abhängt. Ebenso bleibt unklar, wie Unternehmen mit bereits bestehenden, komplexen Legacy-Systemen umgehen sollen, wenn diese nicht ohne Weiteres mit modernen KI-Schnittstellen kompatibel sind. Auch die Frage, wie genau die „menschliche Expertise“ in jedem Einzelfall gewichtet wird, wenn eine KI eine Entscheidung vorbereitet, lässt sich nicht pauschal beantworten. Es fehlen zudem detaillierte Angaben dazu, wie die Übergangsfristen für die Implementierung des EU AI Acts in der Praxis gehandhabt werden sollen, um den laufenden Betrieb nicht zu gefährden. Die Lücke zwischen der theoretischen Notwendigkeit einer KI-Governance und der praktischen Umsetzung in Unternehmen mit begrenzten Ressourcen bleibt eine Herausforderung, auf die der Quelltext keine universelle Lösung anbietet, sondern lediglich auf die Notwendigkeit einer fachbereichsspezifischen Strategie verweist.

Die nächsten Schritte für Unternehmen

Um die Haftungsfalle zu vermeiden, müssen Unternehmen nun proaktiv handeln. Der erste Schritt ist die Implementierung eines strukturierten Compliance-Checks, wie er von Haufe vorgeschlagen wird. Dieser umfasst die Bewertung des Anwendungsfalls, die Analyse der Risiken, die Prüfung der Datenschutzkonformität, die offizielle Zulassung der Tools durch die IT, eine klare Qualitätssicherung, die Zuweisung der fachlichen Verantwortung und die Schulung der Teams. Unternehmen sollten zudem darauf achten, dass ihre KI-Lösungen fünf zentrale Anforderungen erfüllen: Sie müssen den Fachkontext berücksichtigen, eine strikte Datenkontrolle gewährleisten, die Prüfbarkeit der Ergebnisse sicherstellen, klare Rollen für die Endabnahme definieren und eine hohe Alltagstauglichkeit in bestehenden Workflows aufweisen. Besonders im HR-Bereich zeigt sich, dass die Kombination aus geprüften Vorlagen, aktuellen Daten und menschlicher Expertise der Schlüssel zum Erfolg ist. Die Einführung von spezialisierten Lösungen wie dem Copilot HR oder der digitalen Personalakte ist ein konkreter Schritt, um KI-Unterstützung rechtssicher in den Fachbereich zu integrieren. Unternehmen, die diese Leitplanken setzen, können die Potenziale der generativen KI sicher ausschöpfen und sicherstellen, dass die Technologie nicht bei Experimenten stehen bleibt, sondern als verlässliches Werkzeug im Geschäftsalltag dient.