Latest / frag.hugo – Compliance für Chefs / KI-Richtlinie im Unternehmen: Was rein muss

Transcript

KI-Richtlinie im Unternehmen: Was rein muss · frag.hugo – Compliance für Chefs

• 0:04
  Hugo: In vier von zehn Unternehmen nutzen Beschäftigte private KI-Programme, oder die Firma geht zumindest davon aus.
• 0:10
  Hugo: Das hat der Digitalverband Bitkom im Oktober zweitausendfünfundzwanzig veröffentlicht.
• 0:15
  Katrin: Und wie viele haben Regeln dafür?
• 0:17
  Hugo: Knapp ein Viertel, genau dreiundzwanzig Prozent.
• 0:20
  Hugo: Die übrigen lassen ihre Leute mit Kundendaten, Angeboten und Zeichnungen allein.
• 0:24
  Katrin: Bei uns steht im Intranet ein Satz: Bitte keine vertraulichen Daten in KI eingeben.
• 0:30
  Katrin: Reicht das nicht?
• 0:31
  Hugo: Nein.
• 0:31
  Hugo: Niemand weiß, was vertraulich ist, welches Programm erlaubt ist und wer ein Ergebnis prüft.
• 0:36
  Katrin: Und wenn wir KI offiziell gar nicht einsetzen?
• 0:39
  Hugo: Dann wird sie oft inoffiziell eingesetzt.
• 0:41
  Hugo: Laut derselben Umfrage stellen nur sechsundzwanzig Prozent der Unternehmen ihren Beschäftigten überhaupt einen eigenen Zugang bereit.
• 0:48
  Katrin: Was weiß ich am Ende dieser Folge?
• 0:50
  Hugo: Was in eine KI-Richtlinie hineingehört und was das Gesetz dazu verlangt.
• 0:54
  Hugo: Wir gehen drei typische Fehler im Mittelstand durch, jeweils mit dem Weg, der funktioniert.
• 1:00
  Katrin: Ich verbiete KI einfach, bis wir Regeln haben.
• 1:03
  Katrin: Dann passiert doch nichts.
• 1:05
  Hugo: Dann passiert es auf dem Handy.
• 1:06
  Hugo: Der Vertrieb lässt sich die Angebotsmail trotzdem formulieren, nur eben mit dem privaten Konto.
• 1:11
  Katrin: Ist das mein Problem, wenn es privat ist?
• 1:13
  Hugo: Ja, sobald Firmendaten drinstecken.
• 1:15
  Hugo: Dann haben Sie ein Problem mit Datenschutz und Geschäftsgeheimnissen, und Sie sehen nicht einmal, was abgeflossen ist.
• 1:21
  Katrin: Was empfehlen denn die Behörden?
• 1:23
  Hugo: Die Datenschutzkonferenz, also das Gremium der deutschen Aufsichtsbehörden, hat im Mai zweitausendvierundzwanzig eine Orientierungshilfe zu KI veröffentlicht.
• 1:31
  Hugo: Darin steht: Der Arbeitgeber soll dienstliche Geräte und Konten stellen.
• 1:35
  Katrin: Warum keine privaten Konten?
• 1:37
  Katrin: Die kosten mich nichts.
• 1:39
  Hugo: Weil dabei Profile über einzelne Beschäftigte entstehen können.
• 1:42
  Hugo: Und weil Sie bei einem privaten Konto keinen Vertrag mit dem Anbieter haben.
• 1:46
  Katrin: Welcher Vertrag ist das?
• 1:48
  Hugo: Den Vertrag zur Auftragsverarbeitung nach Artikel achtundzwanzig der DSGVO.
• 1:52
  Hugo: Darin verpflichtet sich der Anbieter, Daten nur nach Ihrer dokumentierten Weisung zu verarbeiten.
• 1:58
  Katrin: Und was stelle ich bei so einem Firmenkonto ein?
• 2:00
  Hugo: Die Datenschutzkonferenz nennt zwei Schalter.
• 2:02
  Hugo: Eingaben werden nicht zum Training des Modells genutzt, und der Verlauf wird nicht über die Sitzung hinaus gespeichert.
• 2:08
  Katrin: Die meisten dieser Anbieter sitzen in den USA.
• 2:11
  Katrin: Ist das ein Problem?
• 2:13
  Hugo: Dann geht es um Übermittlungen in Drittstaaten nach Kapitel fünf der DSGVO.
• 2:17
  Hugo: Fragen Sie vor der Freigabe, wo die Daten verarbeitet werden, und lassen Sie es sich vertraglich zusichern.
• 2:23
  Katrin: Gut, das Werkzeug ist geklärt.
• 2:24
  Katrin: Was schreibe ich in die Richtlinie?
• 2:26
  Hugo: Zuerst eine Liste der freigegebenen Programme, mit Zweck.
• 2:29
  Hugo: Die Behörden empfehlen ausdrücklich Beispiele, was erlaubt ist und was nicht.
• 2:33
  Katrin: Und wer entscheidet, was auf diese Liste kommt?
• 2:35
  Hugo: Eine zuständige Person, etwa aus der IT, zusammen mit dem Datenschutzbeauftragten.
• 2:40
  Hugo: Neue Programme kommen nur über sie auf die Liste, nicht auf Zuruf.
• 2:44
  Katrin: Und wie erkläre ich meinen Leuten, welche Daten hineindürfen?
• 2:48
  Hugo: Mit drei Stufen statt einem Satz.
• 2:50
  Hugo: Grün sind öffentliche Informationen, etwa Texte von Ihrer Website, die dürfen in jedes freigegebene Werkzeug.
• 2:57
  Katrin: Und gelb?
• 2:58
  Hugo: Interne Unterlagen wie Protokolle oder Angebotsentwürfe, nur im Firmenkonto mit Vertrag.
• 3:03
  Hugo: Rot sind Personaldaten, Gesundheitsdaten und Konstruktionszeichnungen, die gehen nur mit ausdrücklicher Freigabe.
• 3:10
  Katrin: Warum Zeichnungen?
• 3:11
  Katrin: Das sind doch keine Personendaten.
• 3:13
  Hugo: Aber Geschäftsgeheimnisse.
• 3:14
  Hugo: Nach dem Geschäftsgeheimnisgesetz ist eine Information nur geschützt, wenn Sie angemessene Maßnahmen zur Geheimhaltung getroffen haben.
• 3:22
  Katrin: Und eine Richtlinie zählt als Maßnahme?
• 3:24
  Hugo: Sie ist ein Baustein davon.
• 3:26
  Hugo: Wer gar nichts regelt, hat es im Streit mit einem abgewanderten Mitarbeiter schwerer, den Schutz überhaupt zu begründen.
• 3:32
  Katrin: Was gehört noch in diesen ersten Teil?
• 3:35
  Hugo: Eine Prüfpflicht.
• 3:35
  Hugo: Die Datenschutzkonferenz schreibt, dass Ergebnisse mit Personenbezug vor der Weiterverwendung geprüft werden müssen, weil die Programme falsche Angaben erzeugen können.
• 3:44
  Katrin: Wer prüft das?
• 3:45
  Katrin: Ich kann nicht jede Mail gegenlesen.
• 3:48
  Hugo: Der Mensch, der das Ergebnis verwendet.
• 3:50
  Hugo: Das schreiben Sie so hinein: Wer KI nutzt, verantwortet das Ergebnis wie einen eigenen Text.
• 3:56
  Katrin: Angenommen, die Richtlinie steht.
• 3:58
  Katrin: Ich schicke sie per Rundmail raus, fertig?
• 4:00
  Hugo: Da fehlen zwei Dinge, die das Gesetz verlangt.
• 4:03
  Hugo: Der Betriebsrat und die Schulung.
• 4:05
  Katrin: Der Betriebsrat?
• 4:06
  Katrin: Ich führe doch keine Überwachung ein.
• 4:08
  Hugo: Paragraf neunzig des Betriebsverfassungsgesetzes verlangt, den Betriebsrat schon über die Planung von Arbeitsabläufen zu unterrichten.
• 4:15
  Hugo: Seit zweitausendeinundzwanzig steht der Einsatz von Künstlicher Intelligenz dort ausdrücklich drin.
• 4:20
  Katrin: Unterrichten heißt informieren.
• 4:23
  Katrin: Muss er auch zustimmen?
• 4:25
  Hugo: Bei technischen Einrichtungen, die Verhalten oder Leistung überwachen können, ja.
• 4:29
  Hugo: Das regelt Paragraf siebenundachtzig, Absatz eins, Nummer sechs.
• 4:33
  Katrin: Und ein Chat-Programm fällt darunter?
• 4:35
  Hugo: Das Arbeitsgericht Hamburg hat im Januar zweitausendvierundzwanzig in einem Eilverfahren entschieden: nicht, wenn Beschäftigte freiwillig private Konten nutzen.
• 4:43
  Hugo: Der Arbeitgeber konnte dort nämlich gar nichts auswerten.
• 4:46
  Katrin: Wir wollen aber Firmenkonten, so wie eben empfohlen.
• 4:50
  Hugo: Genau dann können Administratoren Nutzungsdaten sehen.
• 4:52
  Hugo: Nach dem Bundesarbeitsgericht genügt schon, dass Software zur Überwachung geeignet ist, deshalb ist Mitbestimmung dann sehr wahrscheinlich.
• 5:00
  Katrin: Also abwarten, ob sich der Betriebsrat meldet?
• 5:02
  Hugo: Nein, holen Sie ihn vorher an den Tisch.
• 5:05
  Hugo: Die Datenschutzkonferenz schlägt selbst eine Betriebsvereinbarung vor, und darin regeln Sie Nutzung und Auswertung verbindlich für beide Seiten.
• 5:13
  Katrin: Kann der Betriebsrat dafür einen teuren Gutachter verlangen?
• 5:16
  Hugo: Paragraf achtzig regelt: Muss der Betriebsrat KI beurteilen, gilt ein Sachverständiger als erforderlich.
• 5:22
  Hugo: Planen Sie das also gleich mit ein, statt darüber zu streiten.
• 5:26
  Katrin: Jetzt zur Schulung.
• 5:27
  Katrin: Muss ich wirklich alle hundertachtzig Leute schulen?
• 5:31
  Hugo: Die KI-Verordnung der EU verlangt in Artikel vier KI-Kompetenz.
• 5:35
  Hugo: Das gilt seit dem zweiten Februar zweitausendfünfundzwanzig für jedes Unternehmen, das KI beruflich einsetzt.
• 5:41
  Katrin: Ich habe gelesen, das wurde abgeschwächt.
• 5:43
  Hugo: Ja, durch eine Änderungsverordnung, in Kraft seit dem siebenundzwanzigsten Juli zweitausendsechsundzwanzig.
• 5:49
  Hugo: Jetzt heißt es, Sie ergreifen Maßnahmen, um die Kompetenz Ihres Personals zu fördern.
• 5:54
  Katrin: Was ist der Unterschied?
• 5:55
  Hugo: Früher sollten Sie ein ausreichendes Maß an Kompetenz sicherstellen.
• 5:58
  Hugo: Jetzt steht ausdrücklich drin, dass Sie kein bestimmtes Niveau für jede Person garantieren müssen.
• 6:03
  Katrin: Dann reicht doch ein Merkblatt.
• 6:05
  Hugo: Die Pflicht zu handeln bleibt.
• 6:07
  Hugo: Die Verordnung sagt auch, worauf es ankommt: Vorwissen, Erfahrung und der Zusammenhang, in dem jemand die KI einsetzt.
• 6:14
  Katrin: Was heißt das für einen Maschinenbauer?
• 6:17
  Hugo: Die Personalabteilung braucht etwas anderes als die Konstruktion.
• 6:20
  Hugo: Eine Stunde je Rolle, an echten Aufgaben aus dem Alltag, ist ein vernünftiger Anfang.
• 6:26
  Katrin: Was steht in so einer Stunde konkret drin?
• 6:28
  Hugo: Was die freigegebenen Programme können und wo sie Fehler machen.
• 6:32
  Hugo: Dazu die drei Datenstufen, wer Ergebnisse prüft und die roten Linien aus der Richtlinie.
• 6:37
  Katrin: Und wie oft muss ich das wiederholen?
• 6:39
  Hugo: Das Gesetz nennt keinen Takt.
• 6:40
  Hugo: Sinnvoll ist eine Auffrischung, sobald ein neues Programm dazukommt, und Neue bekommen die Stunde in der ersten Woche.
• 6:46
  Katrin: Und wie beweise ich das später?
• 6:48
  Hugo: Mit einer einfachen Liste: wer, wann, zu welchem Programm.
• 6:52
  Hugo: Fragt nach einem Vorfall jemand nach, ist das Ihre Antwort.
• 6:56
  Katrin: Unsere Personalabteilung testet gerade ein Programm, das Bewerbungen vorsortiert.
• 7:01
  Katrin: Das spart enorm Zeit.
• 7:03
  Hugo: Das ist der heikelste Fall, und er gehört als eigene Regel in die Richtlinie.
• 7:07
  Hugo: Programme zur Auswahl von Bewerbern stuft die KI-Verordnung als hohes Risiko ein.
• 7:12
  Katrin: Der Anbieter sagt, sein Programm sei gar kein hohes Risiko.
• 7:16
  Hugo: Maßgeblich ist der Zweck, für den es bestimmt ist.
• 7:19
  Hugo: Soll es Bewerbungen sichten, filtern oder Bewerber bewerten, nennt Anhang drei der Verordnung genau das.
• 7:25
  Katrin: Was folgt daraus für mich als Anwender?
• 7:27
  Hugo: Pflichten als sogenannter Betreiber.
• 7:29
  Hugo: Sie müssen eine fachkundige Person mit der Aufsicht betrauen und die Protokolle mindestens sechs Monate aufbewahren.
• 7:35
  Katrin: Ab wann?
• 7:36
  Hugo: Ursprünglich ab August zweitausendsechsundzwanzig.
• 7:39
  Hugo: Die Änderungsverordnung hat das für diese Systeme auf den zweiten Dezember zweitausendsiebenundzwanzig verschoben.
• 7:45
  Katrin: Und der Betriebsrat?
• 7:46
  Katrin: Muss der da auch Bescheid wissen?
• 7:48
  Hugo: Ab dann verlangt die Verordnung das ausdrücklich.
• 7:50
  Hugo: Vor dem Einsatz informieren Sie Arbeitnehmervertreter und betroffene Beschäftigte, und Bewerber erfahren, dass ein solches System über sie mitentscheidet.
• 7:58
  Katrin: Dann habe ich ja über ein Jahr Zeit.
• 8:00
  Hugo: Für diese Pflichten ja.
• 8:01
  Hugo: Aber die DSGVO gilt heute schon, und Artikel zweiundzwanzig verbietet grundsätzlich erhebliche Entscheidungen über Menschen, die allein eine Maschine trifft.
• 8:10
  Katrin: Bei uns klickt am Ende doch ein Mensch.
• 8:12
  Hugo: Die Datenschutzkonferenz sagt: Eine nur formelle Beteiligung reicht nicht.
• 8:16
  Hugo: Der Mensch braucht echten Spielraum und darf den Vorschlag nicht ungeprüft übernehmen.
• 8:21
  Katrin: Gibt es ein Beispiel, was nicht geht?
• 8:23
  Hugo: Die Behörden nennen genau diesen Fall.
• 8:25
  Hugo: Ein Programm wertet alle Bewerbungen aus und verschickt selbst die Einladungen zum Gespräch, das ist ein Verstoß.
• 8:31
  Katrin: Und was ist mit Benachteiligung?
• 8:33
  Katrin: Die Maschine kennt doch kein Geschlecht.
• 8:35
  Hugo: Sie lernt aus alten Entscheidungen.
• 8:37
  Hugo: Hat die Firma früher fast nur Männer eingestellt, kann das Programm genau das empfehlen, und wer dem folgt, verstößt gegen das Gleichbehandlungsgesetz.
• 8:46
  Katrin: Wie merke ich so etwas, bevor es Ärger gibt?
• 8:49
  Hugo: Indem jemand regelmäßig prüft, wen das Programm aussortiert hat.
• 8:53
  Hugo: Die Datenschutzkonferenz verlangt, Ergebnisse auf Benachteiligung zu prüfen, auch wenn sie im einzelnen Ergebnis nicht erkennbar ist.
• 9:00
  Katrin: Gibt es Dinge, die ganz verboten sind?
• 9:02
  Hugo: Ja, seit Februar zweitausendfünfundzwanzig.
• 9:04
  Hugo: Programme, die am Arbeitsplatz Gefühle von Menschen erkennen sollen, sind verboten, außer aus medizinischen oder Sicherheitsgründen.
• 9:12
  Katrin: Wer macht denn so etwas?
• 9:13
  Hugo: Denken Sie an ein Programm, das im Videointerview Nervosität messen soll oder im Callcenter die Stimmung der Mitarbeiter.
• 9:19
  Hugo: Ein Verstoß gegen die Verbote kann bis fünfunddreißig Millionen Euro kosten oder sieben Prozent des weltweiten Umsatzes.
• 9:26
  Katrin: Das sind Größenordnungen für Konzerne.
• 9:28
  Hugo: Für kleine und mittlere Unternehmen gilt jeweils der niedrigere Betrag.
• 9:32
  Hugo: Die Liste der verbotenen Praktiken gehört trotzdem als rote Linie in Ihre Richtlinie.
• 9:37
  Katrin: Was gehört noch in diesen Teil?
• 9:39
  Hugo: Die Kennzeichnung.
• 9:40
  Hugo: Seit dem zweiten August zweitausendsechsundzwanzig müssen Sie offenlegen, wenn Bild, Ton oder Video mit KI täuschend echt erzeugt oder verändert wurden.
• 9:49
  Katrin: Gilt das auch für Texte in unserem Newsletter?
• 9:51
  Hugo: Für Texte, die die Öffentlichkeit über Fragen von öffentlichem Interesse informieren.
• 9:56
  Hugo: Hat ein Mensch den Text geprüft und trägt redaktionell die Verantwortung, entfällt die Pflicht.
• 10:01
  Katrin: Und ein Produktfoto, das die KI aufgehübscht hat?
• 10:04
  Hugo: Kommt darauf an, ob es echten Dingen ähnelt und täuschend echt wirkt.
• 10:08
  Hugo: Regeln Sie es einfach: Erzeugte Bilder von Menschen, Orten und Ereignissen werden gekennzeichnet, im Zweifel immer.
• 10:15
  Katrin: Was mache ich morgen früh als Erstes?
• 10:17
  Hugo: Erstens: Geben Sie ein oder zwei Programme mit Firmenkonto frei, Training und Verlauf aus.
• 10:23
  Hugo: Legen Sie dazu die drei Stufen grün, gelb und rot für Daten fest.
• 10:27
  Katrin: Zweitens?
• 10:28
  Hugo: Holen Sie den Betriebsrat vor dem Start an den Tisch.
• 10:31
  Hugo: Und schulen Sie jede Rolle eine Stunde, mit einer Liste als Nachweis.
• 10:34
  Katrin: Und drittens?
• 10:36
  Hugo: Schreiben Sie die roten Linien auf: Keine Entscheidung über Menschen allein durch KI, keine Erkennung von Gefühlen, täuschend echte Inhalte werden gekennzeichnet.
• 10:44
  Katrin: Wie lang wird so eine Richtlinie?
• 10:47
  Hugo: Zwei bis drei Seiten reichen, wenn sie konkret sind.
• 10:49
  Hugo: Eine Vorlage für die Richtlinie und die Schulung nach Artikel vier finden Sie bei frag.hugo.