Die AI-Verordnung gilt nicht für einen ganzen Sektor oder nur für große Unternehmen. Sie gilt für diejenigen, die eine bestimmte Rolle gegenüber einem AI-System erfüllen: Sie entwickeln es, bringen es auf den Markt oder nutzen es innerhalb Ihrer eigenen Organisation. Ein Installationsbetrieb mit zehn Mitarbeitern kann genauso darunter fallen wie ein Multinationalkonzern, sobald ein AI-System eingesetzt wird, das in den Anwendungsbereich der Verordnung fällt.
Für die meisten KMU-Unternehmen stellt sich die Frage nicht, weil sie selbst AI entwickeln, sondern weil sie Software nutzen, in der eine AI-Funktion integriert ist: ein Tool zur Lebenslaufanalyse, ein Chatbot auf der Website, ein Planungssystem, das automatisch Schichtpläne vorschlägt. In dieser Situation sind Sie normalerweise nicht der Anbieter des AI-Systems, sondern der sogenannte Anwender. Das ist eine leichtere Rolle als die derjenigen, die das System entwickelt haben, aber nicht unverbindlich: Die Verordnung unterscheidet dabei verschiedene Risikokategorien, und welche Kategorie anwendbar ist, bestimmt, welche Verpflichtungen mit dieser Rolle verbunden sind.
Die Rolle bestimmt die Verpflichtung, nicht der Sektor
Die Verordnung arbeitet mit einer risikogestützten Einteilung. Einige Anwendungen werden als unannehmbares Risiko angesehen und sind verboten, andere als hohes Risiko mit entsprechenden Verpflichtungen, und viele Anwendungen fallen außerhalb dieser schwereren Kategorien. Ein Chatbot, der Kundenfragen beantwortet, fällt in der Praxis oft in eine andere Kategorie als ein System, das bei der Entscheidung über die Einstellung oder Entlassung von Mitarbeitern mitwirkt. Diese letzte Kategorie, Personalauswahl und -bewertung, wird in der Verordnung als Beispiel für eine Anwendung genannt, die besondere Aufmerksamkeit erfordert, genau weil das Ergebnis unmittelbare Auswirkungen auf einzelne Menschen hat.
Das bedeutet, dass zwei Unternehmen in der gleichen Branche unterschiedlich betroffen sein können. Ein Büroorganisation, die nur ein Planungstool nutzt, befindet sich in einem anderen Fall als eine Organisation, die AI bei der Personalbeschaffung und -auswahl einsetzt. Die Frage ist also nicht "befasse ich mich mit AI", sondern "welche Art von AI-System nutze ich, und in welcher Rolle".
Praktische Beispiele aus einem KMU-Unternehmen
Ein HR-Manager, der ein Bewerbungstool mit KI-Funktionalität anschafft, wird damit Nutzer dieses Systems. Der Anbieter des Tools ist in der Regel der Anbieter und trägt einen anderen Teil der Verpflichtungen, aber das entbindet den Nutzer nicht automatisch von der gesamten Verantwortung. Ein Büromanager, der einen Textgenerator verwendet, um Stellenausschreibungen zu schreiben, fällt in der Regel in eine leichtere Kategorie, als wenn dieser Generator auch mitentscheidet, wer zu einem Gespräch eingeladen wird.
Ein Geschäftsführer eines Installationsunternehmens, der KI-gesteuerte Planungssoftware verwendet, um Monteure einzuteilen, fällt wiederum in ein anderes Bild als wenn dieselbe Software auch verwendet wird, um Leistungsbewertungen zu unterstützen. Die Technik kann identisch sein; die Anwendung und die Auswirkung auf Menschen bestimmen die Einordnung. Das ist genau der Grund, warum eine allgemeine Aussage wie "dies gilt nicht für kleine Unternehmen" nicht stimmt: die Größe des Unternehmens spielt in der Verordnung selbst bei der Bestimmung der Risikokategorie keine Rolle.
Was ist, wenn Sie nur ein fertiges Tool verwenden
Viele Unternehmen kaufen Software ein und passen dort nichts an. Auch dann kann die Verordnung anwendbar sein, wenn auch in der Regel mit einem leichteren Satz von Verpflichtungen als für die Partei, die das System entwickelt hat. Die praktische Frage, die dazu passt, ist nicht nur rechtlich: Welche Informationen gibt Ihnen Ihr Anbieter über die Art des Systems, und sind diese Informationen ausreichend, um selbst beurteilen zu können, in welche Kategorie Sie fallen. die Begriffe und Kategorien gründlich durchgehen bietet dafür einen Ausgangspunkt, ohne dass Sie sofort einen Juristen benötigen.
Dies betrifft auch das Gespräch, das Sie als einkaufende Partei mit einem Softwarelieferanten führen: nicht nur über Preis und Funktionalität, sondern auch darüber, was das System genau mit den Daten Ihrer Mitarbeiter oder Kunden tut, und ob der Lieferant selbst bereits mit der Einteilung gearbeitet hat. Wer dieses Gespräch erst führt, nachdem das System bereits in Betrieb ist, verpasst den Moment, in dem dies am leichtesten zu regeln ist.
Wo Sie dies für Ihre eigene Situation überprüfen können
Da die Einteilung vom spezifischen System und der spezifischen Anwendung in Ihrer Organisation abhängt, ist eine allgemeine Antwort immer ein Ausgangspunkt, kein Endpunkt. Für die eigene Situation ist es ratsam, den offiziellen Text zu konsultieren oder sich an die zuständige Aufsichtsbehörde zu wenden; eine Plattform wie die unsere kann Ihnen helfen, schnell zu sehen, welche Fragen relevant sind. Mit ein paar Fragen, die direkt einen Hinweis geben erhalten Sie unverbindlich einen ersten Überblick über Ihre mögliche Situation.
Sind Sie neugierig, wie wir an unsere Informationen kommen und warum wir bewusst keine definitiven Aussagen zu einzelnen Fällen machen? Das erklären wir auf der Seite darüber, wie unsere Informationen entstehen. Und stoßen Sie auf eine Frage, die hier nicht beantwortet wird, schauen Sie dann bei der Sammlung häufig gestellter Fragen oder führen Sie den kostenlosen Quick-Scan durch, um zu sehen, welche Themen für Ihr Unternehmen relevant sind.