AI-Gesetz-Omnibus

Das EU-KI-Gesetz ist zwar in Kraft getreten, doch der Rechtsrahmen für KI ist noch lange nicht endgültig festgelegt. Um dem Rechnung zu tragen, zeigt das von der Europäischen Kommission vorgeschlagene „KI-Gesetz-Omnibus“-Paket, dass die politischen Entscheidungsträger bereits bestimmte Bestimmungen überarbeiten, um die Rechtssicherheit zu verbessern, unnötigen Verwaltungsaufwand zu reduzieren und das KI-Gesetz besser mit bestehenden Rechtsvorschriften, insbesondere der DSGVO, in Einklang zu bringen.

Für Organisationen, die KI-Systeme oder GPAI-Modelle entwickeln, einsetzen oder beschaffen, ist dies eine wichtige Erinnerung daran, dass Compliance nicht als einmalige Maßnahme betrachtet werden darf. Da die DSGVO und das KI-Gesetz in bestimmten Szenarien widersprüchlich zu sein schienen, zielt das Omnibus-Paket darauf ab, den Datenschutz und den Einsatz von KI in Einklang zu bringen. Generell ist die Erleichterung des allgemeinen Verständnisses und der Umsetzung des Datenschutzes ein guter Ausgangspunkt, um die Verpflichtungen aus dem KI-Gesetz anzugehen.

Ein gutes Beispiel ist der vorgeschlagene Artikel 4a, der sich mit der Verarbeitung besonderer Kategorien personenbezogener Daten zur Erkennung und Minderung von Verzerrungen befasst. Der Vorschlag zielt darauf ab, mehr Klarheit darüber zu schaffen, wie Organisationen diskriminierende Ergebnisse in KI-Systemen bewerten und angehen können, während sie gleichzeitig die Datenschutzanforderungen einhalten. Das KI-Gesetz stellt hier keine „lex specialis“ dar, d. h., die Sonderregelung hat keinen Vorrang vor den anderen, allgemeineren Vorschriften der DSGVO.

Es ist unerlässlich, die zentralen Herausforderungen der KI-Governance zu verstehen, wie beispielsweise den Spagat zwischen Grundrechten wie dem Recht auf Privatsphäre und Datenschutz einerseits und der Notwendigkeit, Fairness und Nichtdiskriminierung in KI-Systemen zu gewährleisten, andererseits.

Eine weitere bemerkenswerte Entwicklung ist der vorgeschlagene Änderungsantrag zu Artikel 27. Durch die Einführung eines neuen Artikels 27 Absatz 4 zielt die Kommission darauf ab, Überschneidungen zwischen der Grundrechtsfolgenabschätzung (FRIA) des KI-Gesetzes und der Datenschutz-Folgenabschätzung (DPIA) der DSGVO durch Querverweise zu verringern. Für viele Organisationen könnte dies letztendlich die Compliance-Bemühungen vereinfachen, während es gleichzeitig die zunehmend enge Verbindung zwischen der Einhaltung des KI-Gesetzes und der DSGVO unterstreicht.

Der Omnibus-Vorschlag führt zudem in Artikel 3 Absatz 14a das Konzept der kleinen und mittelgroßen Unternehmen (Small Mid-Cap Companies, SMCs) ein. Während sich ein Großteil der Diskussion rund um die KI-Regulierung auf KMU und Großunternehmen konzentriert hat, wird durch die Einbeziehung von SMCs anerkannt, dass viele wachsende Unternehmen vor ähnlichen Compliance-Herausforderungen stehen. Von den Unternehmen wird erwartet, dass sie einen Selbstbewertungsprozess durchlaufen, um nachweisen zu können, dass sie unter die Definition von SMCs fallen. Dies erleichtert die Erfüllung bestimmter Compliance-Verpflichtungen, wie beispielsweise eine vereinfachte technische Dokumentation gemäß Anhang IV.

Diese Vorschläge, die bis zum 30. Juli 2026 verabschiedet werden sollen, zeigen, dass die regulatorische Landschaft im Bereich der KI weiterhin dynamisch ist. Es wird entscheidend sein, sich auf dem Laufenden zu halten, um Compliance-Risiken zu erkennen, potenzielle Vereinfachungen zu nutzen und sicherzustellen, dass die Governance-Rahmenwerke für KI in einem sich rasch wandelnden regulatorischen Umfeld weiterhin zweckmäßig bleiben. Darüber hinaus ist das Verständnis des Geistes und der Grundsätze der DSGVO entscheidend, um die Idee des KI-Gesetzes richtig zu erfassen.

Bitte wenden Sie sich bei Fragen gerne an uns – im Rahmen unserer Datenschutzbeauftragten-Dienstleistungen beraten wir Sie zu den Verpflichtungen aus der DSGVO und können die Wechselwirkungen zwischen den digitalen Rechtsvorschriften in der EU aufzeigen.