Glossar
Aktualisiert
Was umfasst KI-Compliance?
KI-Compliance ist der Teil der Governance, der sich gegenüber jemandem außerhalb der Organisation verantworten muss: einer Aufsichtsbehörde, einem Auditor, einem Kunden oder einem Gericht. Sie umfasst Gesetze, die eigens für KI geschaffen wurden, wie den EU AI Act, und ältere Gesetze, die für den Einsatz von KI gelten, etwa Datenschutz-, Verbraucherschutz-, Arbeits- und Antidiskriminierungsrecht. Hinzu kommen Standards, nach denen sich ein Unternehmen freiwillig richtet oder zertifizieren lässt, und die Bedingungen, die Kunden in Verträge schreiben.
Welche Regeln gelten für die meisten Unternehmen?
Das hängt davon ab, wo Sie tätig sind und was die KI tut. In der EU gelten die Verbote des AI Act und die Pflicht zur KI-Kompetenz seit dem 2. Februar 2025, die Transparenzpflichten nach Artikel 50 seit dem 2. August 2026, und die Hochrisikopflichten für die in Anhang III aufgeführten Verwendungen gelten ab dem 2. Dezember 2027. Die DSGVO gilt immer dann, wenn KI personenbezogene Daten verarbeitet.
In den USA hat kein umfassendes KI-Bundesgesetz die Gesetze der Bundesstaaten verdrängt, und diese sind aktiv geworden. Local Law 144 der Stadt New York verlangt Bias-Audits für KI-Tools in der Personalauswahl, in Texas ist TRAIGA in Kraft, und SB 26-189 in Colorado gilt ab dem 1. Januar 2027. Banken unterliegen zudem branchenspezifischen Vorgaben, etwa SR 26-2 in den USA und PRA SS1/23 im Vereinigten Königreich.
Standards wie ISO/IEC 42001 und das NIST AI RMF sind freiwillig, können aber trotzdem ins Gewicht fallen. Nach TRAIGA in Texas ist die weitgehende Einhaltung des Generative AI Profile des NIST eine der Voraussetzungen, um einer Haftung zu entgehen. Unser Leitfaden zu den KI-Gesetzen der US-Bundesstaaten behandelt die Regeln der einzelnen Bundesstaaten im Detail.
Worin unterscheiden sich Compliance und Governance?
KI-Governance beschreibt, wie eine Organisation entscheidet, welche KI sie nutzt und unter welchen Bedingungen. Compliance fließt in diese Entscheidungen ein und ist zugleich eines ihrer Ergebnisse. Ein System kann rechtskonform und trotzdem eine schlechte Idee sein. Ein guter Governance-Prozess erleichtert zudem die Compliance, weil die Nachweise, die eine Aufsichtsbehörde verlangt, schon bei der Entscheidung entstehen und nicht nachträglich rekonstruiert werden müssen.
Wie weisen Sie Compliance nach?
Aufsichtsbehörden und Auditoren verlangen Nachweise. Für jedes KI-System gehören meist vier Dinge dazu: ein Eintrag, der festhält, was es ist und wer dafür verantwortlich ist; eine Einstufung, die zeigt, welche Regeln gelten; die Kontrollen, die jede Regel verlangt, jeweils mit Verantwortlichem und Nachweis; und eine Freigabe, die belegt, dass jemand das Ergebnis geprüft hat. Dieselben Nachweise erfüllen oft mehrere Regelwerke. Wer Kontrollen frameworkübergreifend zuordnet, muss die Arbeit daher nicht doppelt machen. Ein Compliance-Framework übersetzt jedes Gesetz und jeden Standard in eine Liste von Kontrollen, die Sie zuweisen können.
In Enzai führen Sie ein Framework wie den EU AI Act oder ISO 42001 als Bewertung für jedes KI-System durch. Die Einstufung des Systems bestimmt, welche Kontrollen erscheinen, und jede Kontrolle erhält einen Verantwortlichen, ein Fälligkeitsdatum und Nachweise, bevor die Bewertung abgeschlossen ist. Für Gesetze ohne fertiges Framework können Sie ein eigenes erstellen. Über die Compliance urteilen Ihre Auditoren und Aufsichtsbehörden; Enzai führt die Dokumentation. Mehr dazu unter KI-Risiko und Compliance.
Beispiel
Ein Versicherer, der Krankenversicherungen in Irland und in Colorado verkauft, nutzt das Modell eines Drittanbieters, um die Preisfindung zu unterstützen. In Irland betreibt er damit ein Hochrisiko-KI-System nach Anhang III des EU AI Act. Vor dem 2. Dezember 2027 plant er deshalb eine menschliche Aufsicht durch geschultes Personal, die Aufbewahrung der Protokolle und eine Grundrechte-Folgenabschätzung. In Colorado fallen Versicherungsentscheidungen ab dem 1. Januar 2027 unter SB 26-189, daher legt seine Rechtsabteilung die Mitteilungen und Aufzeichnungen fest, die dieses Gesetz verlangt. Der Versicherer führt beide Pflichtenkataloge in einer einzigen Kontrollliste, mit einem Verantwortlichen und Nachweisen für jeden Punkt. So sieht ein Prüfer alle Pflichten für das Modell an einem Ort.