KI-Compliance bezeichnet die Einhaltung aller relevanten gesetzlichen, regulatorischen und organisationsinternen Anforderungen beim Einsatz von KI-Systemen. Sie umfasst die proaktive Identifikation der anwendbaren Regeln (EU AI Act, DSGVO, branchenspezifische Regulierung), die Umsetzung der daraus folgenden Maßnahmen (Dokumentation, Transparenz, Aufsicht) und den Nachweis der Compliance gegenüber Aufsichtsbehörden und anderen Stakeholdern.
KI-Compliance ist seit dem EU AI Act (gültig ab August 2024, Hochrisiko-Anforderungen ab August 2026) für viele Unternehmen eine rechtliche Pflicht. Aber auch unabhängig von expliziter Regulierung ist KI-Compliance ein Reputations- und Vertrauensfaktor: Kunden, Partner und Mitarbeiter erwarten verantwortungsvollen KI-Einsatz – und Verstöße werden zunehmend öffentlich und schmerzhaft sichtbar.
KI-Compliance-Anforderungen im Überblick
Technische Dokumentation
Vollständige Beschreibung des Systems: Trainingsdaten, Architektur, Evaluationsergebnisse, bekannte Limitierungen, Anwendungsbereich. Pflicht für Hochrisiko-Systeme nach EU AI Act.
Transparenz & Erklärbarkeit
Betroffene Personen müssen informiert werden, wenn KI-Entscheidungen sie betreffen (DSGVO Art. 22). Erklärungen für automatisierte Entscheidungen müssen auf Anfrage bereitgestellt werden.
Menschliche Aufsicht
Hochrisiko-KI-Systeme müssen effektiv durch Menschen überwacht und ggf. gestoppt werden können. Automatisierung ohne Fallback und Übersteuerungsmöglichkeit ist nicht konform.
Konformitätsbewertung
Für Hochrisiko-Systeme ist vor Inbetriebnahme eine formale Konformitätsbewertung erforderlich – intern oder durch unabhängige Prüfstellen. CE-Kennzeichnung für bestimmte Systeme.
Laufendes Monitoring
Kontinuierliche Überwachung von Modellqualität und Fairness im Betrieb. Incident-Reporting bei schwerwiegenden Fehlfunktionen an nationale Aufsichtsbehörden.
Datenschutz-Folgenabschätzung
DSGVO Art. 35: Bei automatisierten Entscheidungen mit erheblichen Auswirkungen auf Personen ist vor Inbetriebnahme eine DPIA durchzuführen und zu dokumentieren.
Der EU AI Act gilt für alle Unternehmen, die KI in der EU einsetzen oder deren Outputs in der EU genutzt werden – unabhängig vom Unternehmenssitz. Sanktionen für Verstöße: bis zu 30 Millionen Euro oder 6 Prozent des weltweiten Jahresumsatzes (je nach Verstoßkategorie). Die Anforderungen gelten auch für Unternehmen, die KI-Systeme von Drittanbietern nutzen – die Verantwortung liegt beim Deployer, nicht nur beim Entwickler.
Praxisbeispiel
Ein mittelständisches Personalvermittlungsunternehmen nutzt ein ML-Modell zur Vorauswahl von Bewerberprofilen. Compliance-Analyse: Personalentscheidungen = Hochrisiko-KI nach EU AI Act. Erforderliche Maßnahmen: Technische Dokumentation des Modells erstellt (Trainingsdaten, Evaluationsmetriken, bekannte Limitierungen). XAI-Schicht implementiert – jede Ablehnung kann mit Hauptfaktoren begründet werden. DPIA durchgeführt und dokumentiert. Bewerber werden im Datenschutzhinweis über KI-Einsatz informiert. Manueller Prüfschritt für alle automatisch abgelehnten Profile eingeführt. Fairness-Audit quartalsweise (Ablehnungsrate nach Geschlecht, Alter, Nationalität). Compliance-Aufwand initial: 3 Monate Projektarbeit. Laufender Aufwand: ca. 4 Stunden/Woche für Monitoring und Dokumentation. Investition, die im Fall einer behördlichen Prüfung sechs- oder siebenstellige Bußgelder verhindert.
