AI-Act verpflichtet Unternehmen zu Guidelines beim Einsatz von KI

Die von der Europäischen Union erlassene Verordnung über künstliche Intelligenz (KI-VO) reguliert in umfassender Weise den Einsatz von künstlicher Intelligenz in Europa und gilt unmittelbar in allen EU-Mitgliedstaaten, weshalb so gut wie alle Betriebe angehalten sind entsprechende Guidelines im Betrieb zu erarbeiten und intern zu verkünden.

Stichtage zur Umsetzung

Der erste Stichtag war der 2. Februar 2025 welcher folgende Punkte beinhaltet

Pflicht zur KI-Kompetenz
Verbot von KI-Praktiken mit inakzeptablen Risiken

Weitere Teile der Verordnung werden mit 2. August 2025 (Strafbestimmungen) oder 2. August 2026 (Hochrisiko KI-Systeme) in Kraft treten.

Wie erfüllen Sie die seit dem 2.2.2025 bestehenden Verpflichtungen betreffend KI-Kompetenz

Unternehmen, die KI-Systeme einsetzen, sind ab 02.02.2025 verpflichtet, Maßnahmen zu ergreifen, um bestmöglich sicherzustellen, dass ihre Arbeitnehmer/innen, freie Dienstnehmer/innen oder externe Kooperationspartner/innen, die mit KI Systemen zu tun haben, über ein ausreichendes Maß an KI-Kompetenz verfügen (Artikel 4 KI-VO). Die von der KI-Verordnung geforderte Fachkompetenz kann insbesondere im Wege von Dienstanweisungen (Richtlinien, Leitfäden o.ä.) und Schulungen vermittelt werden.

Da mit internen Leitlinien („Guidelines“) zum KI Einsatz im Betrieb die ersten Schritte zur Erfüllung der KI-Kompetenzpflicht gesetzt sind, empfehlen wir dies in allen Betrieben umzusetzen. Die internen Leitlinien sollten zumindest beinhalten

welche KI-Systeme eingesetzt werden dürfen
in groben Grundzügen auf den Datenschutz (DSGVO) hinweisen
auf die Einhaltung von Urheberrechten (UrhG) aufmerksam machen
auf den Persönlichkeitsschutz (§ 16 ABGB) hinweisen
sowie auf den Schutz von Betriebs- und Geschäftsgeheimnissen hinweisen.
weiters sollte der Hinweis enthalten sein, dass künstliche Intelligenz nicht unfehlbar ist und daher der menschlichen Kontrolle bedarf.

Es empfiehlt sich, die getroffenen Maßnahmen und die entsprechende Weitergabe von Informationen/guidelines zu dokumentieren.

TU-TIPP: Bei Bedarf können wir Ihnen ein Konzept zu internen KI-Guidelines zu Verfügung stellen.

Verbotene Praktiken im KI-Bereich ab 2. Februar 2025

Seit dem 2.2.2025 sind bestimmte inakzeptable KI-Praktiken verboten. Unter das Verbot fallen gem Artikel 5 der KI-Verordnung unter anderem Anwendungen, die

manipulative Techniken zur Beeinflussung des Verhaltens von Personen zu deren Nachteil einsetzen
eine Emotionserkennung am Arbeitsplatz ermöglichen, außer für medizinische oder sicherheitstechnische Zwecke (z.B. Überwachung der Konzentration von Flugpiloten)
der biometrischen Kategorisierung zur Feststellung von ethnischer Zugehörigkeit, politischer Einstellung, religiösen oder weltanschaulichen Überzeugungen, Sexualleben oder sexueller Ausrichtung dienen.

TU-TIPP: Prüfen Sie für jedes KI-Tool im Betrieb (sei es geplant oder schon bisher eingesetzt) die rechtliche Zulässigkeit, um sicherzugehen, dass das KI-Tool unter keine verbotene Kategorie der KI Verordnung fällt. Sollte ein Verbot zutreffen, ist die Nutzung des KI-Tools ab sofort zu unterlassen. Im Falle der Nutzung von verbotenen KI-Tools drohen ab 02.08.2025 hohe Verwaltungsstrafen von bis zu 35 Millionen Euro bzw 7% desVorjahresumsatzes.

Hochrisiko-KI-Systeme

Die KI-Verordnung sieht für Hochrisiko-KI-Systeme mit Wirkung ab 02.08.2026 strenge Anforderungen und Pflichten vor. Als Hochrisikobereiche gelten neben den anderen im Anhang III der KI-Verordnung aufgezählten Bereichen (z.B. Biometrie, kritische Infrastruktur – wie z.B. Krankenhäuser oder Steuerung von Stromnetzen – und allgemeine/berufliche Bildung) auch die Anwendungen im Bereich Beschäftigung und Personalmanagement, soweit es um KI-Systeme für folgende Zwecke geht:

Platzierung gezielter Stellenanzeigen, Analyse und Filterung von Bewerbungen sowie
Bewertung von Bewerber/innen,
Entscheidungen betreffend Arbeitsbedingungen, Beförderungen und Beendigung von Beschäftigungsverhältnissen,
Überwachung und Bewertung der Leistung und des Verhaltens von Arbeitnehmer/innen.

Werden im Unternehmen Hochrisiko-KI-Systeme eingesetzt, so sind

geeignete technische und organisatorische Maßnahmen zu treffen, um sicherzustellen, dass die Systeme entsprechend den beiliegenden Betriebsanleitungen verwendet werden.
Es müssen Personen für die menschliche Aufsicht über die KI-Systeme bestellt werden, denen die erforderliche Kompetenz, Ausbildung und Befugnis zukommt.
Automatisch generierte Protokolle sind für mindestens sechs Monate aufzubewahren.
Vor dem Einsatz eines Hochrisiko-KI-Systems am Arbeitsplatz müssen die betroffenen Arbeitnehmer/innen und der Betriebsrat (sofern ein solcher im Betrieb besteht) darüber informiert werden (Artikel 6 KI-VO).