Welche Gesetze & Normen du kennen musst, wenn du heute KI in deiner Organisation einführen willst
Letzte Woche saß ich mit einer Projektleiterin eines mittelständischen Unternehmens zusammen. Ihre Frage: „Wir wollen ChatGPT im Team einführen – worauf müssen wir achten?“
Meine Gegenfrage: „Was macht ihr denn damit?“
Sie: „Na ja… Texte schreiben, Recherche, vielleicht auch Kundendaten zusammenfassen.“
Ich: „Ah. Dann haben wir ein Problem.“
Ihr Gesicht wurde blass. „Wieso? Das machen doch alle!“
Genau das ist das Problem.
KI ist Infrastruktur geworden – und damit nicht mehr nur Technik-Thema
Vor fünf Jahren war KI ein Playground für Data Scientists. Heute ist es die Kaffeemaschine im Büro: Jeder benutzt sie, keiner liest die Bedienungsanleitung, und wenn etwas schiefgeht, wundert sich plötzlich die Geschäftsführung, warum niemand eine Risikoanalyse gemacht hat.
Die gute Nachricht: Es gibt mittlerweile einen klaren rechtlichen und normativen Rahmen. Die schlechte Nachricht: Er ist komplizierter als die Steuererklärung – und genauso wenig vermeidbar.
In diesem Artikel zeige ich dir, welche Gesetze und Normen wirklich relevant sind, wenn du KI verantwortungsvoll einführen willst. Ohne Buzzword-Bingo. Ohne Rechtslatein. Und mit einem klaren Blick darauf, wo die echten Stolpersteine liegen.
Der verbindliche Rahmen: EU-Regulierung
EU AI Act – das Kernstück der europäischen KI-Regulierung
Der EU AI Act ist seit August 2024 in Kraft und wird stufenweise scharf geschaltet. Bis Februar 2025 müssen verbotene KI-Anwendungen vom Markt, ab August 2026 gelten die Pflichten für Hochrisiko-Systeme vollständig.
Was macht der AI Act?
Er kategorisiert KI-Systeme nach Risiko:
- Unacceptable Risk – verboten (z.B. Social Scoring, Echtzeit-Gesichtserkennung im öffentlichen Raum)
- High-Risk – strenge Anforderungen (z.B. KI in HR-Screening, Kreditvergabe, kritische Infrastruktur)
- Limited Risk – Transparenzpflichten (z.B. Chatbots müssen sich zu erkennen geben)
- Minimal Risk – keine besonderen Pflichten
Ein Beispiel aus der Praxis:
Ein Unternehmen nutzt ein KI-Tool, um Bewerbungen vorzusortieren. Das klingt effizient. Das Problem: Laut AI Act ist das ein High-Risk-System. Das bedeutet:
- Du brauchst eine Risikobewertung (vor Deployment)
- Du musst Datenqualität nachweisen (Bias-Analyse inklusive)
- Du brauchst ein Qualitätsmanagement-System
- Du brauchst Human Oversight (ein Mensch muss jede KI-Entscheidung überprüfen können)
- Du brauchst technische Dokumentation (und zwar lückenlos)
Viele Unternehmen denken: „Wir kaufen nur ein Tool – wir sind doch nicht der Provider!“ Falsch. Als Deployer (also derjenige, der das System einsetzt) triffst du fast genauso viele Pflichten wie der Hersteller.
Die Krux mit den Risikoklassen:
Ich erlebe oft, dass Unternehmen ihre KI-Systeme selbst als „low risk“ einstufen, weil sie „ja nur ein bisschen unterstützen“. Das ist gefährlich. Die Einstufung erfolgt nicht nach subjektivem Empfinden, sondern nach objektiven Kriterien im Annex III des AI Act. Und da steht: Sobald KI Einfluss auf Zugang zu Bildung, Beschäftigung, Kreditwürdigkeit oder kritische Infrastruktur hat – ist es High-Risk.
GDPR/DSGVO – der unterschätzte Dauerbrenner
„Aber wir haben doch schon DSGVO gemacht!“ – höre ich oft. Ja. Aber habt ihr sie auch für KI gemacht?
Die DSGVO ist älter als der AI Act (in Kraft seit 2018), aber sie bleibt der schärfste Hund im rechtlichen Arsenal. Während der AI Act erst stufenweise kommt, werden DSGVO-Verstöße jetzt geahndet. Und zwar mit bis zu 4% des weltweiten Jahresumsatzes.
Was bedeutet DSGVO für KI konkret?
- Rechtsgrundlage: Du brauchst eine für jede Verarbeitung personenbezogener Daten. „Das Tool macht das automatisch“ ist keine Rechtsgrundlage.
- Zweckbindung: Du darfst Daten nicht einfach in ein KI-System kippen, wenn sie ursprünglich für etwas anderes erhoben wurden.
- DPIA (Datenschutz-Folgenabschätzung): Bei automatisierten Entscheidungen mit hohem Risiko (und das sind die meisten KI-Anwendungen) ist eine DPIA Pflicht.
- Betroffenenrechte: Menschen müssen ihre Daten löschen lassen können. Wie machst du das bei einem KI-Modell, das auf diesen Daten trainiert wurde? Du kannst es dir denken: das ist kompliziert.
Ein Beispiel:
Ein Gesundheitsunternehmen nutzt ein KI-Modell, um Patientendaten zu analysieren und Therapievorschläge zu machen. Super innovativ. Schade nur: Sie haben vergessen, die Patienten zu informieren, dass ihre Daten in ein KI-System fließen. DSGVO-Verstoß. Die Aufsichtsbehörde kam. Es wurde teuer.
Der Unterschied zwischen AI Act und DSGVO:
Der AI Act kümmert sich um die Technik (wie funktioniert das System, wie sicher ist es, wie transparent ist es). Die DSGVO kümmert sich um die Daten (wer hat sie erhoben, wofür, wer hat Zugriff, wie lange werden sie gespeichert).
Beide zusammen? Das ist die Messlatte für verantwortungsvolle KI.
Der methodische Werkzeugkasten: Internationale Normen
Jetzt wird’s interessant. Die ISO/IEC-Normen sind keine Gesetze – aber sie liefern die Best Practices für Governance, Risikomanagement und Auditierbarkeit. Oder anders gesagt: Der AI Act sagt dir, was du tun musst – die ISO-Normen zeigen dir, wie. Und: Wenn du vor Gericht zeigen musst, dass du „State of the Art“ eingehalten hast – dann reichen diese Normen oft als Nachweis.
ISO/IEC 42001 – das neue Standardwerk für KI-Governance
42001 ist die erste internationale Norm für ein AI Management System (AIMS), veröffentlicht Ende 2023. Damit beginnt die KI-Transformation.
Was bringt dir 42001?
Sie gibt dir ein strukturiertes Framework für:
- Policies (welche Regeln gelten für KI in deiner Organisation?)
- Rollen & Verantwortlichkeiten (wer entscheidet was?)
- Risikomanagement (wie identifizierst und behandelst du KI-Risiken?)
- Dokumentation (was musst du festhalten, damit es nachvollziehbar ist?)
- Monitoring & Audit (wie stellst du sicher, dass alles funktioniert?)
42001 folgt der Plan-Do-Check-Act-Logik – wie du sie vielleicht schon aus ISO 9001 (Qualität) oder ISO 27001 (IT-Sicherheit) kennst.
Ein praktisches Beispiel:
Ein Finanzdienstleister führt 42001 ein, weil er mehrere KI-Systeme gleichzeitig betreibt: Betrugserkennung, Kreditscoring, Chatbots. Ohne ein übergreifendes Management-System wusste niemand mehr, wer wofür verantwortlich ist. Mit 42001 haben sie jetzt:
- Ein zentrales KI-Risikoregister
- Klare Freigabeprozesse für neue KI-Systeme
- Regelmäßige Reviews (alle 6 Monate)
- Eine Audit-Spur, die jeden Schritt dokumentiert
Das Ergebnis? Nicht nur mehr Compliance, sondern auch mehr Vertrauen – intern wie extern.
ISO/IEC 23894 – KI-Risikomanagement konkret
Wenn 42001 der Rahmen ist, dann ist 23894 die Detailarbeit.
23894 ist ein Leitfaden für KI-spezifisches Risikomanagement. Sie baut auf ISO 31000 (der generischen Risikonorm) auf, geht aber viel tiefer ins KI-Spezifische.
Was macht 23894 anders?
Sie beschreibt KI-typische Risikoquellen:
- Datenrisiken (Bias in Trainingsdaten, unvollständige Daten, Datendrift)
- Modellrisiken (Overfitting, Fehlklassifikationen, Blackbox-Problem)
- Deployment-Risiken (unerwartetes Verhalten in der Produktion, Sicherheitslücken)
- Lifecycle-Risiken (was passiert, wenn das Modell veraltet? Wie stellst du sicher, dass es regelmäßig überprüft wird?)
Ein Beispiel aus der Praxis:
Ein Automobilhersteller nutzt KI für autonome Fahrfunktionen. 23894 hilft ihnen, systematisch zu identifizieren, wo Risiken entstehen können – von der Sensorik über die Entscheidungslogik bis zur Interaktion mit dem Fahrer. Das Risikoregister umfasst mittlerweile 200+ Einträge. Klingt viel? Ist es auch. Aber lieber 200 dokumentierte Risiken als einen ungeplanten Rückruf.
ISO/IEC 22989 – die gemeinsame Sprache
22989 ist die Terminologie-Norm. Sie klingt unspektakulär, ist aber viel wert.
Warum? Weil in der KI-Welt jeder anders redet. Data Scientists sagen „Bias“. Legal sagt „Diskriminierung“. Management sagt „Fairness-Problem“. Und am Ende versteht keiner den anderen.
22989 definiert über 100 Begriffe – von „AI System“ über „Training Data“ bis „Explainability“. Mit dieser Norm sprichst du die gleiche Sprache wie deine Kollegen, deine Auditoren und deine Regulierer.
ISO/IEC 23053 – für die ML-Experten
23053 ist das Framework für Machine-Learning-Systeme. Technischer als die anderen Normen, aber extrem hilfreich für Teams, die wirklich verstehen wollen, wie ein ML-System funktioniert.
Sie beschreibt:
- Welche Komponenten hat ein ML-System?
- Wie interagieren sie?
- Welche Funktionen haben sie im AI-Lifecycle?
Besonders nützlich für technische Teams, die mit Herstellern oder externen Dienstleistern sprechen. Denn wenn alle das gleiche Framework vor Augen haben, werden Missverständnisse seltener.
ISO/IEC 38507 – für die Führungsebene
38507 ist die Governance-Norm für Boards und C-Level.
Sie richtet sich explizit an die Geschäftsführung und klärt:
- Welche Verantwortung hat das Management, wenn KI eingesetzt wird?
- Welche strategischen Fragen müssen gestellt werden?
- Wie wird Accountability sichergestellt?
Ein Beispiel:
Ein Vorstand fragt: „Sind wir rechtlich auf der sicheren Seite mit unserer KI?“ Die Antwort des CTO: „Ja, wir haben alle technischen Controls.“ Die Antwort nach 38507: „Das reicht nicht. Ihr müsst auch zeigen, dass ihr als Führungsebene eine aktive Oversight-Rolle habt.“
38507 macht klar: KI-Governance ist nicht delegierbar. Das Board bleibt verantwortlich.
ISO/IEC 27001 & 27701 – Sicherheit & Datenschutz
Diese beiden kennst du vielleicht schon. 27001 ist der Standard für Informationssicherheit, 27701 erweitert ihn um Privacy Management.
Sobald deine KI mit sensiblen Daten arbeitet, greifen die Controls dieser Normen:
- Zugriffskontrollen (wer darf was sehen?)
- Verschlüsselung (wie schützt du Daten in transit und at rest?)
- Logging & Monitoring (wie erkennst du Sicherheitsvorfälle?)
- Incident Response (was passiert, wenn etwas schiefgeht?)
KI-Systeme sind oft besonders exponiert – sie greifen auf große Datenmengen zu, laufen in Cloud-Umgebungen, und ihre Outputs sind schwer vorhersehbar. 27001/27701 helfen dir, diese Risiken systematisch zu adressieren.
IEEE 7000-Reihe & ISO 24028 – Ethics & Trustworthiness by Design
Für Organisationen, die ethische KI systematisch verankern wollen: ISO/IEC TR 24028 bietet den konzeptionellen Rahmen für KI-Trustworthiness, während die IEEE 7000-Reihe auf wertorientiertes Design fokussiert und die praktische Umsetzung im Requirements-Engineering zeigt.
Das bedeutet: KI-Ethik und KI-Vertrauenswürdigkeit werden nicht nachträglich draufgepackt, sondern von Anfang an im Requirements-Engineering verankert.
Konkret:
- Was macht KI eigentlich vertrauenswürdig? Robustheit, Datenschutz und Erklärbarkeit werden hier unter anderem thematisiert.
- Welche Werte soll das KI-System respektieren? (Fairness, Transparenz, Autonomie?)
- Wie übersetzt du diese Werte in technische Anforderungen?
- Wie testest du, ob das System diese Werte einhält?
Ein Tool und Kompass für systematische Bias-Analysen und Value-Sensitive Design.
Besonders relevant für Organisationen, die nicht nur compliant sein wollen, sondern wirklich Responsible AI leben wollen.
Und was ist mit NIST AI RMF?
Das NIST AI Risk Management Framework (USA) ist ein weiterer wichtiger Player. Es ist kein Gesetz und keine ISO-Norm, sondern ein freiwilliger Leitfaden – aber in den USA gilt er als De-facto-Standard.
NIST AI RMF ist sehr praxisnah, kostenlos verfügbar, und kompatibel mit den ISO-Normen. Besonders für international agierende Organisationen lohnt sich ein Blick.
Warum diese Übersicht wichtig ist
Weil viele KI-Diskussionen immer noch zu technisch geführt werden.
„Wir haben GPT-4 integriert – läuft super!“
Schön. Aber:
- Habt ihr eine Risikoanalyse gemacht?
- Habt ihr geprüft, ob es High-Risk ist?
- Habt ihr eine DPIA durchgeführt?
- Habt ihr dokumentiert, wer welche Entscheidungen trifft?
- Habt ihr Human Oversight sichergestellt?
Wenn die Antwort auf eine dieser Fragen „Äh… nein?“ ist – dann habt ihr ein Problem.
Und zwar nicht irgendwann. Sondern jetzt.
Mein Fazit
Gute KI entsteht nicht allein im Modell. Sie entsteht in der KI-Governance darum herum.
Und Governance entsteht nicht im Elfenbeinturm – sie entsteht im Dialog zwischen Technik, Legal, Management und den Menschen, die das System nutzen.
Wenn du Unterstützung brauchst, um durch diesen Dschungel zu navigieren – melde dich. Ich helfe Organisationen dabei, verantwortungsvolle KI-Governance aufzubauen – pragmatisch, strategisch, ethisch und mit dem Blick für das, was wirklich zählt.
Über die Autorin: Dr. Agnieszka Krzeminska ist AI Ethics & Governance Expertin mit über 25 Jahren Erfahrung in Change Management und Digitalisierung. Sie unterstützt Organisationen dabei, KI verantwortungsvoll und compliant einzuführen.
