--- title: "AI-Newsletter #18: KI-Compliance nach der 80/20-Regel" --- Rechtsanwalt Chan-jo Jun zeigt, wie du mit zwei Hebeln den größten Teil des rechtlichen KI-Risikos im Intranet abdeckst. ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏  ͏ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­ ­   | Im Browser anzeigen Chan-jo Jun \| Rechtsanwalt und Fachanwalt für IT-Recht bei JUN Legal … zeigt dir 6 Schritte, wie du bei deinem Intranet in Zeiten von KI den Datenschutz von Beginn an mitdenkst Liebe KI-Fans, der EU AI Act, die DSGVO und einige weitere Vorschriften enthalten zahlreiche Anforderungen, die beim Einsatz von KI im Intranet relevant sein können. Hier verlierst du schnell den Überblick. Eine klare Priorisierung hilft.  Denn bei KI-Compliance lässt sich ein großer Teil des rechtlichen Risikos mit wenigen, klar gesetzten Maßnahmen abdecken. Das ist die 80/20-Logik. Es gibt einige Punkte, die früh den größten Risikohebel haben. Wenn du sie zuerst angehst, baust mit überschaubarem Aufwand eine belastbare Compliance-Struktur auf. Die übrigen Pflichten verschwinden damit aber nicht, eine vollständige Compliance bleibt das Ziel. Die 80/20-Regel zeigt stattdessen, wo du für einen soliden Start ansetzt. Die beiden Hebel sind: 1. Die richtige Risikoeinordnung nach dem AI Act 2. Der Datenschutz Hebel 1: In welche Risikoklasse fällt das System? Der AI Act ist risikobasiert und kennt im Kern vier Stufen: Verbotene Praktiken (z. B. manipulatives Verhalten, Social Scoring, bestimmte Emotionserkennung am Arbeitsplatz). Hochrisiko-KI-Systeme mit einem umfassenden Pflichtenprogramm (Risikomanagement, Dokumentation, menschliche Aufsicht usw.). Systeme mit Transparenzpflichten, etwa Chatbots oder KI-generierte Inhalte. Systeme mit minimalem Risiko ohne spezifische Pflichten aus dem AI Act. Ein Assistent, der Inhalte durchsucht, zusammenfasst oder Wissen auffindbar macht, ist in aller Regel ein System mit minimalem Risiko. Eine Risikoklassifizierung kann also regelmäßig zu dem erfreulichen Ergebnis führen, dass ein Großteil der Vorschriften des AI Acts nicht greift. Die Risikoklassifizierung hängt hierbei in erster Linie nicht am Tool, sondern es kommt auf den Einsatzkontext an. Dasselbe System, nehmen wir als Beispiel ChatGPT, kann harmlos oder hochriskant sein. Heikel wird es beispielsweise, sobald ein KI-System in beschäftigungsbezogene Entscheidungen eingreift, etwa bei Bewerbungen, Leistungsbewertung, Aufgabenverteilung oder Verhaltensüberwachung. Dann kann aus dem Intranet-Assistenten ein Hochrisiko-KI-System werden. Mit dem Digital Omnibus hat die EU die Compliance-Fristen für Hochrisiko-Systeme deutlich nach hinten geschoben – auf Dezember 2027 bzw. August 2028. Für typische Intranet-KI ist das nur ein Randthema. Wichtiger ist: Was für niedrige Risikoklassen gilt, wurde nicht verschoben. Zwei Pflichten greifen also unabhängig davon: KI-Kompetenz (Art. 4): Unternehmen müssen dafür sorgen, dass ihre Mitarbeitenden KI hinreichend verstehen und bedienen können. Das gilt schon seit Februar 2025 und für jede Risikoklasse. Transparenz (Art. 50): Wenn du mit einem Chatbot sprichst, musst du erkennen, dass du mit einer KI spricht. KI-generierte Inhalte sind ab dem 2. August 2026 entsprechend zu kennzeichnen. Die richtige Risikoeinordnung ist damit keine Formalie, sondern die Weichenstellung hinsichtlich des einzuhaltenden Pflichtenkatalogs. Hebel 2: Wurde Datenschutz von Anfang an mitgedacht? In der Diskussion steht zuerst meist der AI Act. In der Praxis landest du aber sehr schnell beim Datenschutz, nämlich genau in dem Moment, in dem personenbezogene Daten in ein KI-System fließen. Das passiert im Intranet schneller, als du denkst. Sobald personenbezogene Daten verarbeitet werden, gilt die DSGVO vollständig und ganz unabhängig von der Risikoklassifizierung. Die Grundregel der DSGVO lautet „Verbot mit Erlaubnisvorbehalt“. Das bedeutet, eine Verarbeitung ist nur zulässig, wenn es eine tragfähige Rechtsgrundlage gibt. Hinzu treten weitere zu beachtende Grundsätze wie Zweckbindung, Datenminimierung und Transparenz gegenüber den Betroffenen. Bei KI wird das Einhalten dieser Vorschriften schnell zur Herausforderung, weil Daten nicht nur eingegeben, sondern weiterverarbeitet, analysiert und in neue Zusammenhänge gestellt werden. Die ursprüngliche Zweckbindung droht zu verschwimmen. Drei Stolperstellen sollten insbesondere bedacht und vermieden werden: Personenbezogene Daten landen unbedacht im System Der Verarbeitungszweck verschiebt sich durch die Nutzung des Systems Die Rollen zwischen Unternehmen und Anbieter (Stichwort Auftragsverarbeitung, ggf. Übermittlung in Drittländer bei US-Anbietern) werden zu spät geklärt Datenschutz ist damit bei KI zwar selten das Hindernis, an dem alles scheitert. Aber es ist der Bereich, in dem du besonders aufpassen musst und der früh mitgedacht werden sollte. Die 20 %, die 80 % bringen Wenn du wenig Zeit hast, fang mit diesen Punkten an: Bestandsaufnahme: Welche KI-Systeme nutzen wir und wofür konkret? Risikoeinordnung je Anwendungsfall: In welche Klasse fällt der Einsatz? (Achtung an der Linie zu HR-/Beschäftigungsentscheidungen.) Eine klare Regel, was nicht eingegeben werden darf, insbesondere personenbezogene und sensible Daten KI-Kompetenz herstellen: kurze, dokumentierte Schulung oder Sensibilisierung für alle, die KI nutzen (Pflicht aus Art. 4). Transparenz sicherstellen: Nutzende müssen erkennen, dass sie mit KI sprechen; KI-generierte Inhalte müssen gekennzeichnet werden. DSGVO beachten: Rechtsgrundlage muss geklärt werden, gegebenenfalls braucht es einen Auftragsverarbeitungsvertrag mit dem Anbieter. Was heißt das im Ergebnis? KI im Intranet ist kein grundsätzliches Rechtsproblem. Die meisten Anwendungsfälle sind möglich, wenn du sie sauber einordnest. Um einer anfänglichen Überforderung entgegenzuwirken, hilft es, zu priorisieren. Die 80/20-Regel hilft genau dabei: Wenn du die Risikoklasse richtig bestimmst und den Datenschutz von Beginn an mitdenkst, hast du schon ein gutes Stück des Weges geschafft. Die weiteren Compliance-Themen ziehst du dann Schritt für Schritt nach. Über den Autor: Chan-jo Jun ist Geschäftsführer der Rechtsanwaltskanzlei JUN Legal GmbH für IT-Recht in Würzburg. Mit seinem Team arbeitet Jun am Einsatz von künstlicher Intelligenz zur Lösung rechtlicher Aufgaben in Rechtsabteilungen. Eine besondere Spezialität liegt im Bereich des Software-Lizenzrechts, insbesondere bei Open-Source-Software. Zu seinen Mandanten gehören sowohl mittelständische Softwareunternehmen als auch Automobilhersteller. Das könnte dir gefallen: 📣 Webinar mit Chan-jo: „AMA zu EU AI Act, DSGVO & KI im Intranet“ 📣 Buchempfehlung „Generative KI in der Rechtsberatung”  📣 One Pager „TRUST-Prinzipien von Employee AI"  Staffbase SE, Annaberger Str. 73, 09111 Chemnitz, Sachsen, Deutschland Abmelden Einstellungen verwalten Impressum Datenschutzerklärung | | --- |