Was Artificial Narrow Intelligence ausmacht

ANI-Systeme zeichnen sich dadurch aus, dass sie innerhalb eines abgegrenzten Anwendungsbereichs sehr hohe Leistung erzielen, diese Fähigkeit aber nicht eigenständig auf andere Domänen übertragen können. Ein Bildklassifikator für medizinische Aufnahmen kann im Regelfall keine Vertragstexte analysieren und ein Sprachmodell für Kundendialoge kann keine Roboterarme in Autofabriken steuern. Diese Domänenspezialisierung ist gleichzeitig Stärke und Begrenzung der ANI und entscheidend für die Frage, welche Risiken ein KI-System aus regulatorischer Sicht überhaupt erzeugen kann.

Kernmerkmale von ANI-Systemen

1. Aufgabenspezialisierung: Jede Anwendung ist auf einen klar umrissenen Zweck trainiert (z.B. Spracherkennung, Übersetzung, Bildklassifikation, Textgenerierung, Vertragsanalyse etc.)
2. Datengetriebenes Lernen: Die Leistung hängt direkt von Qualität, Umfang und Repräsentativität der Trainingsdaten ab
3. Fehlende generelle Transferfähigkeit: Fähigkeiten lassen sich nicht ohne Weiteres auf neue Domänen übertragen
4. Statistische Natur der Antworten: Ergebnisse sind Wahrscheinlichkeiten, keine deterministischen Wahrheiten, woraus Halluzinationen, Bias und Qualitätsschwankungen folgen

Abgrenzung: ANI, AGI und ASI

In der wissenschaftlichen und regulatorischen Diskussion wird KI klassisch in drei Entwicklungsstufen unterteilt. Diese Abgrenzung ist für das Verständnis aktueller Regulierung wesentlich, weil sich alle heutigen Compliance-Pflichten ausschließlich auf ANI beziehen.

1. ANI – Artificial Narrow Intelligence (heutige Realität): aufgabenspezifische Systeme, die einzelne Probleme lösen und gesamter Anwendungsbereich des EU AI Act.
2. AGI – Artificial General Intelligence (hypothetisch): Systeme mit menschenähnlicher Allgemeinintelligenz, die selbstständig lernen und Wissen domänenübergreifend übertragen. Derartige Systeme existieren bislang nicht, sind aber Gegenstand umfangreicher Forschungsprojekte auf der ganzen Welt.
3. ASI – Artificial Super Intelligence (rein hypothetisch): Beschreibt Systeme, die menschliche Intelligenz in praktisch allen Domänen übertreffen, einschließlich Kreativität, Wissenschaft und sozialer Kompetenz.

Die meisten KI-Forscher gehen davon aus, dass ASI, also Artificial Super Intelligence, ein logischer Folgeschritt zu AGI wäre, sofern sie technisch realisierbar wäre. Aktuelle Diskussionen um „AGI“ bei den bekannten KI-Herstellern wie OpenAI, Anthropic oder DeepMind beziehen sich auf Frühformen oder vorläufige Definitionen von Allgemeinintelligenz, im strengen Sinne der klassischen Definition existiert AGI derzeit noch nicht.

Praxisrelevanz für Unternehmen

Die Unterscheidung zwischen ANI, AGI und ASI ist keine akademische Spielerei. Sie hat unmittelbare Konsequenzen für die Compliance-Arbeit: Wer in der Geschäftsleitung argumentiert, das Unternehmen setze „keine echte KI“ ein, verkennt regelmäßig, dass jedes ML-System (Machine Learning), jeder generative Assistent und jedes automatisierte Klassifikationsverfahren rechtlich KI im Sinne des Art. 3 Nr. 1 EU AI Act ist und damit der Verordnung unterliegt. Insbesondere generative ANI-Systeme erzeugen relevante Compliance-Verpflichtungen, weil sie personenbezogene Daten verarbeiten, Halluzinationen produzieren und über Shadow AI häufig unbemerkt in Geschäftsprozesse einsickern.

Typische ANI-Anwendungen im Unternehmensumfeld

• Sprachassistenten und Chatbots im Kundenservice
• Generative Sprachmodelle (ChatGPT, Claude, Copilot) für Textarbeit, Programmierung und Recherche
• Bilderkennung in Qualitätskontrolle und Sicherheitstechnik
• Empfehlungssysteme in Vertrieb, Marketing und E-Commerce
• Scoring- und Klassifikationsverfahren in HR, Finanzwesen und Versicherung
• Übersetzungs- und Transkriptionsdienste

Rechtliche Einordnung von ANI

Der EU AI Act adressiert mit seiner Definition in Art. 3 Nr. 1 ausdrücklich Systeme, die als maschinengestützte Systeme mit unterschiedlichen Autonomiegraden verstanden werden und aus Eingaben Ausgaben generieren, die ihre Umgebung beeinflussen. Diese Definition trifft auf den Stand der Technik zu, also auch auf ANI. Spezifische Vorgaben für AGI oder ASI enthält die Verordnung nicht; sie kennt lediglich den Sonderfall der General-Purpose AI Models (GPAI) mit eigenen Pflichten für Anbieter besonders leistungsfähiger Foundation Models, was technisch weiterhin ANI ist, auch wenn der Begriff „general purpose“ anderes suggeriert.

Beispielhafte Artikelverweise:

• Art. 3 Nr. 1: Definition KI-System (deckt alle ANI-Anwendungen ab)
• Art. 4: KI-Kompetenz der Bedienenden bei jedem ANI-Einsatz
• Art. 6 ff.: Risikoklassifizierung von ANI-Anwendungen
• Art. 51 ff.: Sonderpflichten für General-Purpose-KI-Modelle

ANI als Bezugspunkt der KI-Governance

Sämtliche operativen Bausteine der KI-Governance, also das KI-Inventar, die Risikoklassifizierung nach den vier Risikostufen des EU AI Act, interne KI-Richtlinien, Schulungspflichten und Dokumentationsanforderungen, beziehen sich ausschließlich auf ANI-Systeme. Wer ein vollständiges Bild seiner KI-Landschaft erstellen (lassen) will, muss die gesamte ANI-Breite erfassen: vom vermeintlich harmlosen Übersetzungstool bis zum scoring-relevanten HR-Klassifikator, der in Bewerbungsverfahren eingesetzt wird.

Beratung durch Elsen GRC

Elsen GRC unterstützt Unternehmen dabei, ihre konkret eingesetzten ANI-Systeme vollständig zu erfassen, regulatorisch korrekt einzuordnen und in eine tragfähige KI-Governance zu überführen. Im AI Act Readiness Scan werden alle ANI-Anwendungen inventarisiert und nach den vier Risikostufen des AI Act klassifiziert. Mit einer KI-Kompetenzschulung vermitteln wir Mitarbeitenden den verantwortungsvollen Umgang mit den konkret eingesetzten ANI-Tools. Durchgeführt werden die KI-Strategieworkshops und Schulungen von einem TÜV-zertifizierten Datenschutzbeauftragten mit über 14 Jahren Software-Entwicklungserfahrung.

Unverbindliche Beratung zu KI-Governance anfordern

Quellen

• IBM: „Types of artificial intelligence“
• EUR-Lex: Regulation (EU) 2024/1689, Art. 3 Nr. 1, Definition KI-System
• Morris et al.: „Levels of AGI: Operationalizing Progress on the Path to AGI“, Google DeepMind, arXiv 2311.02462
• Russell, Norvig: „Artificial Intelligence: A Modern Approach“, 4. Aufl., Pearson 2021
• Bild: © Jakob Braun – Unsplash.com

Der Beitrag Artificial Narrow Intelligence (ANI) – Definition und Bedeutung erschien zuerst auf ELSEN GRC.

Was MCP technisch leistet

MCP löst das sogenannte MxN-Integrationsproblem: Statt für jede Kombination aus KI-Modell und externem System eine eigene Schnittstelle (API zu entwickeln, definiert MCP ein einheitliches Kommunikationsprotokoll zwischen MCP-Clients (z. B. Claude Desktop, Cursor, Microsoft Copilot Studio) und MCP-Servern (Brücken zu Datenbanken, CRM, Kalender, Ticketsystemen, Dateiablagen oder sonstigen Cloud-Services). Anthropic vergleicht MCP gerne mit einem „USB-C-Anschluss für KI-Anwendungen“, also einem universellen Standard für beliebige Kontextquellen. Das wird deutlich, seitdem auch bekannte Anbieter wie die Tracking-Software Matomo eigene MCP-Konnektoren anbietet.

Architektur und Aufbau des Model Context Protocol

1. MCP-Client: Die KI-Anwendung, die Aktionen anstößt (z. B. ein LLM-gestützter Assistent)
2. MCP-Server: Die Brücke zu einem konkreten System (Datenbank, API, Dateisystem, Fachanwendung)
3. Resources: Statische und dynamische Daten, die ein Server bereitstellt
4. Tools: Beschreibt Aktionen, die der Server ausführen kann (Schreiben, Löschen, API-Calls)
5. Prompts: Allgemein vordefinierte Templates für strukturierte Interaktionen mit Large Language Models

Warum MCP eine GRC-Frage ist

Der entscheidende Unterschied zu klassischen APIs liegt in der Dynamik der Ausführung. Bei einer klassischen Integration, z.B. via REST-API, legt der Entwickler vorab fest, welche Aufrufe in welcher Reihenfolge stattfinden. Bei MCP entscheidet das KI-Modell zur Laufzeit selbst, welche Werkzeuge mit welchen Parametern aufgerufen werden – auf Grundlage des Prompts, der Tool-Metadaten und der Antworten anderer Systeme. Damit verschiebt sich die Sicherheitsarchitektur grundlegend: Statische Codeanalysen, festgelegte Aufrufgraphen und Pre-Deployment-Reviews greifen nur noch eingeschränkt. Etablierte AI-Governance-Frameworks wie NIST AI RMF und ISO/IEC 42001 decken die spezifischen Risiken aus MCP-Architekturen bisher nicht in der erforderlichen Tiefe ab.

Drei zentrale Risiken bei der Nutzung von MCP

1. Prompt Injection in Daten: Schädliche Anweisungen werden in scheinbar legitimen Inhalten versteckt (E-Mails, Tickets, Dokumente) und durch den Agenten unbeabsichtigt ausgeführt
2. Supply-Chain-Risiken: Kompromittierte oder manipulierte MCP-Server aus öffentlichen Registries gelangen ungeprüft in produktive Umgebungen
3. Confused-Deputy-Problem & Agent-Overreach: Der Agent führt Aktionen aus, die der Nutzer weder beabsichtigt noch autorisiert hat, weil das Modell sie für angemessen hält

Praxisrelevanz für Unternehmen

MCP entfaltet seine GRC-Wirkung über die gesamte Datenverarbeitungskette. Sobald ein externer MCP-Server personenbezogene Daten verarbeitet, liegt eine Auftragsverarbeitung im Sinne von Art. 28 DSGVO vor – mit entsprechender Vertragspflicht. Verlässt der Datenfluss den EWR, greifen die Anforderungen an Drittlandtransfers nach Art. 44 ff. DSGVO. Aus Sicht des EU AI Act ist MCP regelmäßig Bestandteil eines KI-Systems oder einer KI-Wertschöpfungskette; Betreiberpflichten zu Risikomanagement, technischer Dokumentation und menschlicher Aufsicht erstrecken sich entsprechend auf die genutzten MCP-Server. Für kritische Infrastrukturen kommt die NIS-2-Richtlinie hinzu.

Notwendige Kontrollen im Unternehmenseinsatz

• Inventarisierung aller eingesetzten MCP-Server (im Rahmen des KI-Inventars)
• Scoped Authorization: Nutzerspezifische Berechtigungen statt globaler Zugriffsrechte einführen
• Sandboxing: Ausführung von MCP-Integrationen in isolierten Containern (z.B. Docker) mit kontrollierten Ein- und Ausgaben
• Provenance Tracking: Lückenlose Nachvollziehbarkeit, wer welche Aktion über welchen Server ausgelöst hat
• Gateway-Architektur: Zentrale Policy-Durchsetzung, DLP und Anomalieerkennung an einem Punkt
• Private Registries: Freigegebene MCP-Server statt unkontrollierter Bezug aus Community-Quellen

Rechtliche Einordnung

Das Model Context Protocol selbst ist eine technische Spezifikation und kein Rechtsakt. Die rechtlichen Pflichten entstehen aus dem Einsatz von MCP-Architekturen im Unternehmen, also insbesondere durch die Integration von Sprachmodellen direkt in digitale Prozesse oder Systeme eines Unternehmens. Maßgeblich sind dabei insbesondere:

• DSGVO: Art. 28 (Auftragsverarbeitung), Art. 32 (TOMs), Art. 35 (DSFA), Art. 44 ff. (Drittlandtransfer)
• EU AI Act: Insbesondere Art. 4 (KI-Kompetenz für die Bedienenden), Art. 26 (Betreiberpflichten), Risikoklassifikation des Gesamtsystems
• NIS-2: bei Einsatz in kritischen oder besonders wichtigen Einrichtungen
• Sektorale Regulierung (KWG, VAG, MaRisk): Für Banken und Versicherungen mit eigenen Anforderungen an Auslagerung und IT-Risikomanagement

MCP als Bestandteil moderner KI-Governance

MCP-Architekturen lassen sich nicht isoliert steuern. Sie greifen ineinander mit dem KI-Inventar nach EU AI Act, der internen KI-Richtlinie und der allgemeinen KI-Governance des Unternehmens. Wer MCP-Server einsetzt, sollte sie in derselben Tiefe dokumentieren wie andere Hochrisikokomponenten – mit klarer Rollenzuweisung, Risikobewertung und Auditspur.

Beratung zu MCP-Architekturen durch Elsen GRC

Elsen GRC verbindet bei MCP-Fragestellungen eine selten anzutreffende Kombination: 14 Jahre Software-Entwicklungauf der einen, TÜV-zertifizierte Datenschutz- und KI-Governance-Expertise auf der anderen Seite. Wir analysieren bestehende und geplante MCP-Architekturen, klassifizieren MCP-Server im Rahmen des AI Act Readiness Scans, prüfen DSGVO-Konformität und Drittlandtransfers im Privacy QuickCheck und entwickeln im Rahmen der KI Governance Beratung tragfähige Kontrollstrukturen für den produktiven Einsatz.

➞ Jetzt unverbindliche Beratung zu MCP & KI-Governance anfordern

Quellen:

• Anthropic: Introducing the Model Context Protocol
• MCP-Spezifikation und MCP Git-Repo
• Errico, Ngiam, Sojan: „Securing the Model Context Protocol (MCP): Risks, Controls, and Governance“, arXiv 2511.20920 (November 2025)
• CoSAI Workstream 4: „Model Context Protocol Security – Threats and Patterns“
• kes: Informationssicherheit: „Model Context Protocol (MCP)“

Bild: © Alex wrong – Unsplash.com

Der Beitrag Model Context Protocol (MCP): Definition, Aufbau und Bedeutung für KI-Agenten erschien zuerst auf ELSEN GRC.

Was ist AI Literacy genau?

Der EU AI Act definiert KI-Kompetenz in Artikel 3 Nr. 56 als die Fähigkeiten, Kenntnisse und das Verständnis, die es Anbietern, Betreibern und betroffenen Personen ermöglichen, KI-Systeme sachkundig einzusetzen und sich der Chancen, Risiken und möglichen Schäden bewusst zu werden. AI Literacy ist damit deutlich mehr als reine Bedienkompetenz – sie verbindet technisches Grundverständnis, rechtliches Bewusstsein und ethische Reflexion.

Kernbereiche der KI-Kompetenz

1. Technisches Grundverständnis: Funktionsweise von Large Language Models, Trainingsdaten, Halluzinationen und Bias
2. Risikobewusstsein: Erkennen von fehlerhaften Outputs, Shadow AI, Datenschutzrisiken und manipulativem Verhalten
3. Rechtliche Einordnung: Pflichten aus EU AI Act, DSGVO und sektorspezifischen Vorgaben
4. Praktische Anwendungssicherheit: verantwortungsvolle Prompts, Umgang mit personenbezogenen Daten, Qualitätskontrolle der Ergebnisse

Anforderungen aus Artikel 4 EU AI Act

Anbieter und Betreiber von KI-Systemen müssen spezielle Maßnahmen ergreifen, um sicherzustellen, dass ihr Personal sowie alle weiteren mit dem Betrieb und der Nutzung betrauten Personen über ausreichende KI-Kompetenz verfügen. Berücksichtigt werden müssen dabei die technischen Kenntnisse, die Erfahrung, Ausbildung und der konkrete Einsatzkontext der KI-Systeme. Die Verordnung schreibt keine formale Zertifizierung vor  – entscheidend ist die nachweisbare Dokumentation der Schulungsmaßnahmen.

Eine dokumentierte Schulung mit Nachweis über die vermittelten Inhalte und entsprechendem Teilnehmerzertifikat bieten wir im Rahmen unserer KI-Kompetenzschulung an.

Praxisrelevanz für Unternehmen

In der Praxis bedeutet AI Literacy, dass jedes Unternehmen, das ChatGPT, Microsoft Copilot, Claude Code oder KI-Funktionen in CRM-, HR- oder Marketing-Tools einsetzt, ein dokumentiertes Schulungskonzept vorweisen muss. Was zunächst wie eine weitere Bürokratie-Maßnahme klingt, macht aber durchaus Sinn: Denn die unbedachte Eingabe von sensiblen Kunden- oder Unternehmensdaten in das unscheinbare Chatfenster von ChatGPT und Co. kann gravierende Folgen haben – nicht nur DSGVO-Verstöße sind an der Tagesordnung, sondern auch der Abfluss sensibler Unternehmensdaten in die Sphären der US-amerikanischen Cloud-Systeme kann die Folge der ungeschulten KI-Nutzung sein.

Die KI-Schulung sollte rollen- und risikoadäquat sein: Eine Marketing-Abteilung benötigt andere Inhalte als die HR-Abteilung, die mit KI-gestützten Bewerber-Screenings arbeitet (Hochrisiko-Anwendung). Ohne dokumentierten Kompetenznachweis fehlt im Schadensfall der Entlastungsnachweis – die Haftung der Geschäftsleitung bleibt also bestehen.

Rechtliche Einordnung

Artikel 4 des EU AI Act ist seit dem 2. Februar 2025 unmittelbar anwendbar. Während Verstöße gegen Artikel 4 selbst aktuell nicht direkt mit den hohen Bußgeldern des AI Act sanktioniert werden, entfaltet die Norm dennoch Wirkung über die allgemeine Geschäftsleiterhaftung, arbeitsrechtliche Sorgfaltspflichten und als Auslegungsmaßstab im Schadensfall. Die Bundesnetzagentur ist seit 2025 in Deutschland als zuständige Aufsichtsbehörde aktiv und kann Compliance-Nachweise einfordern.

Beispielhafte Artikelverweise:

• Artikel 3 Nr. 56 – Definition KI-Kompetenz
• Artikel 4  – Verpflichtung zur Sicherstellung von KI-Kompetenz
• Artikel 26 – Pflichten der Betreiber von Hochrisiko-KI-Systemen
• Erwägungsgrund 20 – Hintergrund und Zielsetzung der Kompetenzpflicht

AI Literacy als Bestandteil der KI-Governance

KI-Kompetenz ist kein isoliertes Schulungsthema, sondern ein zentraler Baustein der unternehmensweiten KI-Governance. Sie greift ineinander mit dem KI-Inventar (Welche KI-Systeme nutzen wir?), der internen KI-Richtlinie (Was ist erlaubt?) und der Risikoklassifikation nach den vier Risikostufen des EU AI Act. Erst das Zusammenspiel dieser Bausteine erfüllt die Anforderungen an einen verantwortungsvollen, dokumentierten KI-Einsatz.

Beratung und Schulung durch Elsen GRC

Elsen GRC unterstützt Unternehmen dabei, die Anforderungen des Artikel 4 EU AI Act nachweisbar umzusetzen. Im Rahmen der KI-Kompetenzschulung vermitteln wir praxisnah die Grundlagen von KI-Systemen, Chancen und Risiken, rechtliche Pflichten sowie den verantwortungsvollen Einsatz im Arbeitsalltag – individuell zugeschnitten auf die im Unternehmen eingesetzten KI-Tools. Teilnehmer erhalten ein dokumentiertes Zertifikat, das Unternehmen ein fertiges Schulungsregister für den Compliance-Nachweis. Durchgeführt von einem TÜV-zertifizierten Datenschutzbeauftragten mit über 14 Jahren Erfahrung in Software-Entwicklung.

Unverbindliche Beratung zur KI-Kompetenzschulung anfordern

Quellen:

• EUR-Lex: Regulation (EU) 2024/1689, Artikel 3 Nr. 56 und Artikel 4, Abruf vom 04.05.2026
• EU Commission: „Living Repository on AI Literacy Practices“, Abruf vom 04.05.2026
• AI Office (Q&A zu Artikel 4), Abruf vom 04.05.2026

Bild: © Anastassia Anufrieva – Unplash.com

Der Beitrag AI Literacy (KI-Kompetenz) – Definition, Bedeutung & Pflichten für Unternehmen erschien zuerst auf ELSEN GRC.

Die wichtigsten Aufgaben von KI Governance

KI Governance definiert im Allgemeinen, wie Künstliche Intelligenz (KI) im Unternehmen eingeführt, genutzt, überwacht und weiterentwickelt wird. Sie legt nicht nur fest, welche KI-Systeme (z.B. Google Gemini, ChatGPT, Copilot oder ähnliche LLMs) eingesetzt werden dürfen, auf welchen Daten sie basieren bzw. zugreifen dürfen, wer Entscheidungen freigibt (Stichwort: „Human in the Loop“) und wie Risiken durch den KI-Einsatz bewertet und kontrolliert werden.

Zu den zentralen und wichtigsten Aufgaben der KI Governance gehören beispielsweise

• die Entwicklung verbindlicher KI-Richtlinien,
• die klare Zuordnung von Rollen und Verantwortlichkeiten,
• die Dokumentation von Modellen und Einsatzkontexten sowie
• die Bewertung rechtlicher, ethischer und technischer Risiken.

Darüber hinaus umfasst KI Governance auch die kontinuierliche Überwachung bestehender KI-Anwendungen und KI-Integrationen in Prozesse und Produkte eines Unternehmens und deren Anpassung an neue regulatorische oder organisatorische Anforderungen. Damit ist KIG nicht nur eine Aufgabe der Geschäftsführung oder Unternehmensleitung, sondern auch in Fachabteilungen ein wichtiger und elementarer Teil der Prozesskette.

Kernprinzipien der KI Governance

KI Governance folgt klaren Steuerungsprinzipien, die den verantwortungsvollen Einsatz von KI im Unternehmen sicherstellen. Zentrales Element ist die Verantwortlichkeit: Zuständigkeiten, Entscheidungswege und Kontrollmechanismen müssen eindeutig definiert sein – das ist, wie oben beschrieben, Aufgabe einer klaren KI Governance Richtlinie. Darauf aufbauend sorgt Transparenz (z.B. durch Informations- und Dokumentationsprozesse) dafür, dass der Einsatz, die Funktionsweise und der Zweck von (implementierten) KI-Systemen nachvollziehbar dokumentiert sind.

Ein weiteres Grundprinzip ist der risikobasierte Ansatz, bei dem KI-Anwendungen abhängig von ihrem Einsatzkontext und ihrer potenziellen Wirkung unterschiedlich bewertet und gesteuert werden. Eine gute Orientierung bietet hier bereits das 4-Stufen Risiko-Modell zur Risikobewertung nach EU AI Act. Ergänzend dazu stellt Compliance-by-Design sicher, dass rechtliche und regulatorische Anforderungen bereits bei Einführung und Nutzung von KI berücksichtigt werden. Diese Prinzipien werden nicht statisch verstanden, sondern im Rahmen einer kontinuierlichen Überprüfung regelmäßig angepasst und weiterentwickelt.

Einordnung im Kontext von Governance, Risk und Compliance

In der GRC-Beratung ist KI Governance ein zentrales Bindeglied zwischen Governance, Risk und Compliance. Sie übersetzt regulatorische Anforderungen und interne Leitlinien in konkrete Steuerungs- und Kontrollmechanismen für KI-Systeme.

• Aus Governance-Sicht geht es um strategische Steuerung, Entscheidungsprozesse und unternehmensweite Leitlinien für den KI-Einsatz.
• Aus Risk-Sicht stehen Risiken wie Fehlentscheidungen, Bias, Haftungsfragen, Reputationsschäden oder die Verhinderung von Shadow AI im Fokus.
• Aus Compliance-Sicht stellt KI Governance sicher, dass gesetzliche Vorgaben, insbesondere DSGVO, EU AI Act und angrenzende IT- und Sicherheitsanforderungen, systematisch eingehalten und nachweisbar umgesetzt werden.

KI Governance macht KI damit zu einem steuerbaren und prüfbaren Bestandteil der unternehmerischen Gesamtsteuerung, die sich nicht nur auf das Level der Geschäftsführung beschränkt!

Praxisrelevanz für Unternehmen

KI wird zunehmend in produktiven Prozessen eingesetzt, etwa bei Entscheidungsunterstützung, Automatisierung oder generativer KI. Ohne klare KI Governance entstehen schnell unkontrollierte Nutzungen, Datenschutzrisiken und regulatorische Lücken. Unternehmen benötigen daher verbindliche Regeln für den KI-Einsatz, klare Freigabeprozesse, Transparenz über genutzte Tools und Modelle sowie eine laufende Risikoüberwachung wie unseren KI Risiko Check.

KI Governance Beratung durch Elsen GRC

Elsen GRC unterstützt Unternehmen beim Aufbau und der Weiterentwicklung einer praxistauglichen KI Governance. Zu unserer Beratungsleistung gehören die Analyse bestehender KI-Nutzungen, die Entwicklung klarer KI-Richtlinien und Rollenmodelle, die Bewertung von Risiken und Compliance-Anforderungen sowie die Integration von KI Governance in bestehende GRC-Strukturen. Ziel ist es, KI rechtssicher, nachvollziehbar und wirtschaftlich sinnvoll einzusetzen und gleichzeitig Risiken wie Shadow AI oder regulatorische Verstöße zu vermeiden. Klingt passend? Dann vereinbaren Sie gerne eine unverbindliche KI Governance Erstberatung.

Bild: © Meritt Thomas – Unsplash.com

Quellen und Verweise:

• Europäische Kommission: EU AI Act
• OECD: AI Governance and Risk Management
• ENISA: Cybersecurity and Governance Frameworks

Der Beitrag KI Governance: Erklärung, Aufgaben und Prinzipien erschien zuerst auf ELSEN GRC.

Hintergrund der 4 Risikostufen im EU AI Act

Der EU AI Act regelt erstmals umfassend KI-Systeme in der Europäischen Union unter einem einheitlichen Rahmen. Zentral ist dabei die risikobasierte Systematisierung von KI-Anwendungen – denn nicht jede KI-Lösung wirft gleich hohe Risiken für Gesundheit, Sicherheit oder Grundrechte auf.

Die Klassifikation gliedert sich in vier Kategorien:

1. Unacceptable Risk (inakzeptables Risiko)
2. High Risk (Hochrisiko)
3. Limited Risk (Begrenztes Risiko)
4. Minimal / no Risk (Minimales bzw. geringes oder kein Risiko)

Die Einordnung orientiert sich an den möglichen Auswirkungen eines KI-Systems auf Leben, Sicherheit, gesellschaftliche Grundrechte oder demokratische Prozesse. Je höher das Risiko, desto strenger die regulatorischen Anforderungen.

Die vier Risikostufen im EU AI Act im Detail

Die Klassifizierung der vier Risikostufen lässt sich in vier Abstufungen beschreiben:

1. Inakzeptables Risiko

Diese Kategorie umfasst alle KI-Systeme, deren Einsatz als unvereinbar mit den Grundwerten und Grundrechten der EU gilt, etwa weil sie Menschen manipulieren, überwachen oder diskriminieren oder bewerten. Der EU AI-Act verbietet solche Systeme vollständig.

Beispiele:

• Systeme zur sozialen Bewertung von Personen („Social Scoring“),
• Emotionserkennung in Bildungs- oder Arbeitskontexten,
• Echtzeit-biometrische Identifikation in öffentlich zugänglichen Räumen.

2. Hochrisiko

KI-Systeme, die erhebliche Gefahren für Gesundheit, Sicherheit oder Grundrechte und Grundwerte mit sich bringen, fallen in diese Kategorie. Dazu zählen Anwendungen in kritischen Infrastrukturen, in der Bildung, in der Personalauswahl, bei Krediten, in Justiz oder Grenzkontrolle. Für diese Systeme gelten umfassende Anforderungen, wie ein professionelles  Risikomanagement, Daten-Governance, ausführliche Dokumentation, regelmäßige menschliche Aufsicht, Robustheit und Konformitätsbewertung. Auch eine DSFA (Datenschutz-Folgeabschätzung) kann notwendig sein, wenn personenbezogene Daten betroffen sind. Genaueres dazu regeln Anhang I und III des EU AI Act.

Beispiele:

• Medizinprodukte mit KI-Integrationen
• KI-Systeme in kritischer Infrastruktur (Energie, Telekommunikation, Versorgung…)
• Autonome Fahrzeuge
• KI-gestützte Bewerbungsverfahren
• Spielzeuge

3. Begrenztes Risiko

Umfasst KI-Systeme, bei denen das Risiko geringer ist, aber Transparenz- und Informationspflichten bestehen. Hier ist vor allem die Offenlegungspflicht relevant, d.h. ein Benutzer muss erkennen können, dass er mit einer KI kommuniziert, z.B. durch entsprechende Hinweise wie „Sie kommunizieren mit einem KI-Agenten“.

Beispiele:

• KI-Chatbots oder AI-Agenten
• Generative KIs, die Inhalte (Texte, Bilder, Videos, Audio) erzeugen
• KI-basierte Ticketsysteme mit automatischer Verarbeitung von personenbezogenen Informationen

4. Minimales oder kein Risiko

Diese Kategorie umfasst KI-Anwendungen mit sehr geringem Risiko. Sie bleiben vom AI Act weitgehend unreguliert, ohne spezifische Pflichten im Rahmen der Verordnung. Dennoch gelten allgemeine Prinzipien wie Fairness, Transparenz oder Datenschutz weiter, insbesondere im Rahmen der DSGVO.

Beispiele:

• Spam-Filter und KI-gestützte alltägliche Sicherheitsmechanismen
• KI-gestützte Schreibassistenten
• automatische Textvorschläge

Auswirkungen auf Unternehmen & Behörden

Die Einordnung in eine Risikostufe entscheidet über Umfang und Art der regulatorischen Pflichten, daher sollten Unternehmen und Behörden frühzeitig ihre KI-Use-Cases analysieren und entsprechend dieser 4 Stufen klassifizieren. Für Anbieter und Betreiber von Hochrisiko-KI bedeutet das z. B., passende Prozesse aufzusetzen: Dokumentation, Audit-fähige Nachweise, Datenqualität, menschliche Kontrolle, Cyber-Security & Risk Management. Für KI mit begrenztem Risiko insbesondere Informations- und Transparenzpflichten. Bei verbotenen Anwendungen ist der Einsatz aber ohnehin ausgeschlossen!

Behörden und öffentliche Einrichtungen, die KI-Systeme einsetzen, beschaffen oder auf sonstige Wiese bereitstellen, müssen ihre Governance- und Beschaffungsprozesse anpassen – insbesondere bei Hochrisiko- oder verbotenen Anwendungen. Gerne beraten wir Sie hier.

Bezug zu Governance, Risk & Compliance (GRC)

Die vier Risikostufen bilden eine unmittelbare Verbindung zu den GRC-Dimensionen:

• Governance: Wer verantwortet die Klassifizierung einer KI-Anwendung? Wie sind Zuständigkeiten und Prozesse geregelt?
• Risk: Welche Risiken bringt die KI mit sich? Insbesondere welche für Rechte, Reputation, Sicherheit? Wie werden sie gemanagt?
• Compliance: Welche regulatorischen Anforderungen gelten je Risikostufe? Welche Nachweise müssen konkret erbracht oder vorgehalten werden?

Ein systematischer GRC-Ansatz hilft, KI-Systeme effizient und rechtssicher in bestehende Management-Systeme einzubetten und bewahr vor bösen Überraschungen im AI-Daily-Business.

Fachliche Einschätzung

In Sachen Einstufung war die EU-Kommission also einigermaßen klar, denn die vier-stufige Klassifikation im AI Act bietet einen pragmatischen Rahmen für die Praxis und Beratung. Allerdings bleibt die Herausforderung: Viele Use-Cases lassen sich nicht sofort eindeutig einer Kategorie zuordnen oder haben große Schnittmengen (insbesondere im medizinischen Sektor). Hier zählt der Kontext! Zudem wird die regulatorische Landschaft durch ergänzende Vorgaben (z. B. zu General-Purpose KI) zunehmend komplex. Eine frühzeitige Analyse und Governance-Aufbau sind deshalb strategisch absolut ratsam.

Beratung zu den Risikostufen im EU AI Act

Elsen GRC begleitet Unternehmen, SaaS-Anbieter und Behörden bei der sicheren und gesetzeskonformen Umsetzung des EU AI Act und der Einstufung der vier Risikostufen. Wir analysieren und klassifizieren Ihre KI-Anwendungen, entwickeln passgenaue Governance-Strukturen und integrieren die Anforderungen in bestehende Compliance- und Management-Systeme. Natürlich inklusive praxisnaher Dokumentationsprozesse und Schulungen von Mitarbeiter und Management.

Quellen:

• Europäische Kommission: „EU AI Act – Risikobasierter Ansatz“
• RTR-KI-Servicestelle: „KI-Systeme und die vier Risikostufen“
• Intellias: „EU AI Act: Decoding risk levels for AI systems“

Bild: Eugene Tkachenko – Unsplash.com

Der Beitrag 4 Risikostufen im EU AI Act – Definition und Bedeutung erschien zuerst auf ELSEN GRC.

Der EU Data Act ist eine europäische Verordnung, die den fairen Zugang zu Daten sowie die Nutzung von Daten innerhalb der Europäischen Union regelt. Ziel ist es, Daten aus vernetzten Geräten (z.B. Smartphones, SmartTVs, Autos mit digitaler Kommunikation), industriellen Anwendungen und digitalen Diensten besser nutzbar zu machen – sowohl für Verbraucher als auch für Unternehmen. Der Data Act ist Teil der europäischen Digitalstrategie und ergänzt den Data Governance Act sowie die DSGVO.

Was der EU Data Act bzw. die EU-Datenverordnung regelt

Der EU Data Act definiert Rechte und Pflichten rund um die Nutzung, Weitergabe und Portabilität von Daten. Er verpflichtet die Hersteller und Anbieter von vernetzten Geräten und Cloud-Diensten, seinen Nutzern und Geschäftspartnern Zugriff auf die generierten Daten zu ermöglichen – unabhängig davon, ob sie personenbezogen sind oder nicht.

Wichtige Kernpunkte der Verordnung:

1. Zugangsrechte: Die Nutzer von vernetzten Geräten (z. B. Maschinen, Fahrzeuge, Sensoren) erhalten Anspruch auf die Daten, die durch ihre Nutzung entstehen.
2. Datenteilung: Unternehmen müssen technische Schnittstellen schaffen, um Daten zwischen Geschäftspartnern oder Behörden sicher austauschen zu können (Interoperabilität).
3. Vertragliche Fairness: Der EU Data Act verpflichtet zu fairen Bedingungen bei der Datennutzung, insbesondere zwischen großen und kleinen Unternehmen (KMU).
4. Cloud-Portabilität: Kunden sollen ihre Daten und Anwendungen leichter zwischen Cloud-Anbietern wechseln können (soll „Vendor Lock-in“ vermeiden).
5. Schutz sensibler Daten: Der EU Data Act schränkt die Weitergabe in Länder außerhalb der EU ein, wenn dort kein gleichwertiges Datenschutzniveau besteht.

Hinweis: Im Rahmen der DSGVO wurde von der EU eine Liste von sicheren Drittstaaten für die Datenübermittlung veröffentlicht, die hier als Orientierung dienen kann!

Praxisrelevanz

Der Data Act betrifft nahezu alle Unternehmen, die Daten aus Geräten, Plattformen oder Cloud-Systemen generieren oder nutzen. Besonders betroffen sind Industrie 4.0-, SaaS-, IoT- und Cloud-Anbieter. Für Datenschutzbeauftragte und IT-Verantwortliche bedeutet das: Datenflüsse müssen neu bewertet, Verträge angepasst und technische Schnittstellen überprüft werden.

Rechtliche Einordnung

Die Verordnung (EU) 2023/2854 wurde am 22. Dezember 2023 im Amtsblatt der EU veröffentlicht und trat am 11. Januar 2024 in Kraft. Sie gilt nach einer Übergangsfrist ab dem 12. September 2025 unmittelbar in allen Mitgliedstaaten. Der EU Data Act ergänzt bestehende Regelwerke wie die DSGVO (personenbezogene Daten), den Data Governance Act (Datenzugangsmechanismen) und den EU AI Act (KI-Regulierung).

Beratung zum EU Data Act durch Elsen GRC

Elsen GRC unterstützt Unternehmen bei der Bewertung und Umsetzung der Anforderungen des EU Data Acts. Dazu gehören nicht nur die Analyse bestehender Datenflüsse und Prozesse, sondern auch die Optimierung von Verträgen und Cloud-Vereinbarungen, die technische Prüfung von Drittlandsübermittlungen sowie der Aufbau transparenter Daten-Governance-Strukturen. Ziel ist es, rechtliche Sicherheit zu schaffen und gleichzeitig die Potenziale datengestützter Innovation verantwortungsvoll zu nutzen. Vereinbaren Sie einfach ein unverbindliches Gespräch für eine Beratung zum EU Data Act.

Der Beitrag EU Data Act (EU-Datenverordnung) – Definition, Bedeutung & Pflichten für Unternehmen erschien zuerst auf ELSEN GRC.

Was der EU AI Act regelt

Der AI Act definiert, was als KI-System gilt, und ordnet diese nach ihrem spezifischen Anwendungs-Risiko ein. Je höher das Risiko für Grundrechte, Sicherheit oder Datenschutz, desto strenger die Anforderungen. Die Verordnung gilt für alle Anbieter, Importeure, Händler und Nutzer von KI-Systemen innerhalb der EU – unabhängig davon, ob die Systeme in der EU entwickelt wurden oder nicht. Das beutetet, auch Unternehmen, die KI (z.B. die API von Open AI, also ChatGPT) in Ihre Anwendungen, Websites oder Produkte integrieren, müssen die Verordnung berücksichtigen.

Risikokategorien des EU AI Act

1. Unzulässige KI-Systeme – etwa Social-Scoring oder manipulative Systeme, die verboten werden (auch z.B. Emotionserkennung am Arbeitsplatz)
2. Hochrisiko-KI-Systeme – z. B. Anwendungen in kritischen Infrastrukturen, Beschäftigung, Bildung, Justiz oder biometrischer Identifizierung.
3. Begrenztes Risiko – Systeme, die Transparenzpflichten erfüllen müssen (z. B. Chatbots, die offengelegt werden müssen).
4. Minimales Risiko – Anwendungen, die keine besonderen Pflichten haben.

Anforderungen für Hochrisiko-Systeme

Anbieter solcher Systeme müssen ein umfassendes Risikomanagement-System, Daten- und Qualitätsmanagement, technische Dokumentation sowie Konformitätsbewertung nachweisen. Sie sind verpflichtet, menschliche Aufsicht sicherzustellen und Transparenz gegenüber Nutzern zu gewährleisten.

Praxisrelevanz für Unternehmen

Für Unternehmen bedeutet der AI Act, dass jede KI-Anwendung künftig hinsichtlich ihrer Risikoklasse geprüft und dokumentiert werden muss. Insbesondere SaaS- und Cloud-Anbieter, die KI-Funktionen integrieren, müssen Compliance-Prozesse etablieren, um die Anforderungen frühzeitig zu erfüllen.

Rechtliche Einordnung

Die Verordnung über Künstliche Intelligenz (AI Act) ist Teil der Digitalstrategie der EU und ergänzt bestehende Regelwerke wie die DSGVO und den Data Act. Nach der finalen Zustimmung des Europäischen Parlaments im Jahr 2024 tritt sie voraussichtlich 2025 mit Übergangsfristen von bis zu zwei Jahren in Kraft.

Beispielhafte Artikelverweise:

• Artikel 5 ff. – Verbotene KI-Praktiken
• Artikel -.7 – Hochrisiko-Systeme
• Artikel 8-15 – Pflichten der Anbieter
• Artikel 69  – Sanktionen bei Verstößen

Beratung im Rahmen des EU AI Act durch Elsen GRC

Elsen GRC unterstützt Unternehmen mit einer individuell abgestimmten EU AI Act Beratung dabei, ihre KI-Systeme frühzeitig auf AI-Act-Konformität zu prüfen und erforderliche Governance-Strukturen aufzubauen. Dazu gehören Risikoanalysen, die Zuordnung zu Risikoklassen, der Aufbau von Nachweis- und Dokumentationspflichten sowie die Integration des Themas KI-Compliance in bestehende Datenschutz- und ISMS-Strukturen. Ziel ist es, regulatorische Sicherheit zu schaffen, ohne Innovation zu bremsen.

News zum EU AI Act

• EU AI Act Übergangsfristen für Hochrisiko-KI bis 2027 verlängert (05.11.25)

Quellen:

• EUR-Lex: Regulation (EU) 2024/1689 of the European Parliament and of the Council of 13 June 2024 laying down harmonised rules on artificial intelligence (LINK)
• EU Commission News: “AI Act enters into force” – 1. August 2024 (LINK)
• “The Act Texts | EU Artificial Intelligence Act” – artificialintelligenceact.eu (12 Juli 2024), (LINK)

Bild von ALEXANDRE LALLEMAND – Unsplash.com

Der Beitrag EU AI Act – Definition, Bedeutung & Pflichten für Unternehmen erschien zuerst auf ELSEN GRC.