AI-first company

Regeln und Risiken · Erkunden

Kennen Sie die Regeln, die für Ihren KI-Einsatz schon gelten

Die meisten Regeln, die Ihren KI-Einsatz binden, sind keine KI-Gesetze. Sie stehen für das, was Ihre KI sagt und tut, nach den Regeln zu Verbraucherschutz, Datenschutz, Werbung und Berufspflichten ein, die Sie schon einhalten. Listen Sie Ihre KI-Anwendungen auf und ordnen Sie jeder ihre Regeln zu.

Von
Zuletzt geprüft
Korrekturen
Fehler melden
Wann Zuerst. Bevor Sie mit KI anfangen, oder während Sie anfangen.
Aufwand Gering (Tage, eine Person)
Evidenz Gängige Praxis

Diese Seite beschreibt Regeln und wie Gerichte und Behörden sie angewandt haben. Keine Studie prüft, ob es die Ergebnisse verbessert, sie vorher zu kennen.

Passt für
Branchen Alle Branchen
Im Leitfaden Gehobener MittelstandRollen und Führung

Worum es geht

Erstellen Sie eine einseitige Liste der Arten, wie Ihr Unternehmen KI nutzt, mit den Regeln, die für jede gelten. In den dokumentierten Fällen wurden Unternehmen an Regeln gemessen, die sie schon kannten: für das einstehen, was man Kunden sagt, personenbezogene Daten schützen, in der Werbung nicht irreführen, prüfen, was man einreicht. Das Werkzeug war neu. Die Regel war alt.

Was die Evidenz zeigt

Entscheidungen und Leitlinien von Gerichten und Behörden in vier Ländern, Standardformulierungen von Versicherungspolicen in den USA und der Text der KI-Verordnung der Europäischen Union (AI Act) sind die Grundlage dieses Rats. Jede Regel wird für den Ort genannt, an dem sie gilt.

Regeln, die es schon vor KI gab

  • Sie stehen für das ein, was Ihre KI Kunden sagt (Kanada, British Columbia). Air Canada argumentierte, die Fluggesellschaft hafte nicht für die falsche Antwort ihres Chatbots. Das Schiedsgericht entschied, ein Unternehmen sei für alle Informationen auf seiner Website verantwortlich, ob sie von “a static page or a chatbot” [„einer statischen Seite oder einem Chatbot“] stammen.
  • Das Datenschutzrecht gilt für das, was Beschäftigte in KI-Werkzeuge eingeben (Australien, Victoria). Die Datenschutzbehörde des Bundesstaats stellte fest, dass eine Behörde gegen zwei Datenschutzgrundsätze verstoßen hatte, nachdem eine Mitarbeiterin Falldetails in ChatGPT eingegeben hatte: die Pflicht, personenbezogene Daten richtig zu halten, und die Pflicht, sie vor unbefugter Offenlegung zu schützen.
  • Das Verbraucherrecht gilt für die KI, die Sie nutzen (USA). Die Federal Trade Commission untersagte Rite Aid die Gesichtserkennung für fünf Jahre. Die Behörde sagte, die Kette habe das System genutzt, ohne es zu testen, ihre Anbieter zu prüfen oder die Beschäftigten zu schulen.
  • Werberegeln gelten für das, was Sie über KI sagen (USA). Die Securities and Exchange Commission bestrafte zwei Anlageberater nach ihrer bestehenden Marketingregel, weil sie KI behaupteten, die sie nicht hatten. Die Federal Trade Commission ging gegen einen „Roboteranwalt“-Dienst und einen Anbieter von KI-Erkennung wegen ungeprüfter Behauptungen vor.
  • Werberegeln gelten, egal wie die Anzeige entstanden ist (Vereinigtes Königreich). Die Advertising Standards Authority sagt, dass ihr Kodex gilt, ob eine Anzeige mit KI erstellt wurde oder nicht, und dass Automatisierung “doesn’t transfer liability” [„die Haftung nicht überträgt“]. Sie stützte sich auf eine frühere Entscheidung, in der die automatisierten Werkzeuge von Google eine Anzeige für einen kleinen Bekleidungshändler zusammengestellt hatten. Die Aufsicht machte den Händler verantwortlich.
  • Werkzeuge für die Personalauswahl können den Anbieter vor Gericht bringen (USA). Ein Bundesgericht ließ eine landesweite Klage wegen Altersdiskriminierung als Sammelklage gegen Workday zu, dessen KI für seine Kunden Bewerbungen vorsortiert. Im Juli 2025 dehnte das Gericht sie auf KI-Funktionen eines Produkts aus, das Workday später gekauft hatte. Die Entscheidungen sind vorläufig, und kein Gericht hat eine Haftung von Workday festgestellt.
  • Berufspflichten bleiben, wie sie sind (USA, England und Wales). Gerichte bestraften Anwälte oder verwiesen sie an die Aufsicht, weil sie KI-Ergebnisse eingereicht hatten, die niemand geprüft hatte, in Kanzleien in New York, England, Wyoming und Alabama. Ein US-Gericht schrieb, auch wenn Anwälte zu KI übergehen, bleibe die Pflicht, ihre Quellen zu prüfen, “remains unchanged” [„unverändert“].

Ihre Versicherung deckt KI-Ergebnisse vielleicht nicht ab (USA)

Die Fachpresse berichtet, dass ISO, eine Tochter von Verisk, die Standardformulierungen für Policen schreibt, die US-Versicherer nutzen, drei optionale Zusatzvereinbarungen mit Datum Januar 2026 herausgegeben hat: CG 40 47, CG 40 48 und CG 35 08. Eine Zusatzvereinbarung ist ein Zusatz zu einer Police. Mit diesen kann ein Versicherer in einer allgemeinen Haftpflichtpolice den Schutz für Schäden ausschließen, die aus generativer KI entstehen. Fragen Sie Ihren Makler bei der Verlängerung, ob KI ausgeschlossen ist und was ein Schutz dafür kostet.

Regeln, die für KI geschrieben wurden: die KI-Verordnung der EU

Die KI-Verordnung (Verordnung (EU) 2024/1689) erfasst Organisationen, die KI in der EU nutzen, nicht nur solche, die sie entwickeln. Die Verordnung nennt Nutzer „Betreiber“. Ihre Regeln gelten ab unterschiedlichen Daten. Die Daten unten stammen aus Artikel 113, im Text mit den Änderungen bis zum 27. Juli 2026.

Seit oder abWas giltArtikel
2. Februar 2025Organisationen, die KI nutzen, müssen “take measures to support the development of AI literacy of their staff” [„Maßnahmen ergreifen, um den Aufbau von KI-Kompetenz ihres Personals zu fördern“]. Einfach gesagt: Helfen Sie Ihren Beschäftigten, KI zu verstehen.4
2. August 2026KI-Systeme, die mit Menschen sprechen, müssen so gestaltet sein, dass die Menschen erfahren, dass sie es mit KI zu tun haben, außer wenn das offensichtlich ist. Wer einen Deepfake veröffentlicht, muss sagen, dass er künstlich erzeugt wurde. Ein Deepfake ist ein realistisches Bild, Ton oder Video von etwas, das nicht geschehen ist.50
2. Dezember 2027Pflichten für Betreiber von „Hochrisiko“-KI-Systemen in den Bereichen, die Anhang III aufzählt. Dazu gehören die Einstellung oder Auswahl von Personen, Entscheidungen über Beschäftigte und die Prüfung der Kreditwürdigkeit einer Person.26

Für Hochrisiko-Systeme sagt Artikel 26, dass der Betreiber des Systems:

  • es gemäß der Gebrauchsanweisung des Anbieters verwenden muss;
  • die Aufsicht darüber Personen übertragen muss, die “the necessary competence, training and authority” [„die erforderliche Kompetenz, Ausbildung und Befugnis“] haben;
  • als Arbeitgeber die Beschäftigten und ihre Vertretung informieren muss, bevor ein solches System am Arbeitsplatz eingesetzt wird;
  • Menschen informieren muss, wenn ein solches System eine Entscheidung über sie trifft oder dabei hilft.

So gehen Sie vor

  1. Listen Sie jeden KI-Einsatz im Unternehmen auf. Auch Werkzeuge, die Beschäftigte von sich aus nutzen. Notieren Sie bei jedem, was es tut und wen es betrifft: Kunden, Beschäftigte, Bewerber, niemanden außerhalb.
  2. Markieren Sie die Anwendungen, die Menschen betreffen. Antworten an Kunden, personenbezogene Daten, Entscheidungen über Einstellungen und Personal, Kreditentscheidungen und alles, was Sie veröffentlichen oder bewerben.
  3. Ordnen Sie jeder markierten Anwendung die Regeln zu, die Sie schon einhalten. Fragen Sie bei jeder: Wenn ein Mensch das täte, welche Regel würde gelten? Diese Regel gilt.
  4. Wenn Sie in der EU tätig sind, prüfen Sie Ihre Liste gegen die drei Daten der KI-Verordnung oben. Werkzeuge für Einstellungen und Bonitätsprüfungen fallen am ehesten unter „Hochrisiko“.
  5. Prüfen Sie die Aufsicht Ihrer Branche. Berufsverbände, Finanzaufsicht und Datenschutzbehörden haben Leitlinien zu KI veröffentlicht. Lesen Sie die, die für Sie gilt.
  6. Schreiben Sie das Ergebnis in Ihre KI-Richtlinie und geben Sie die Liste der Person, die im Unternehmen für KI verantwortlich ist.
  7. Fragen Sie Ihren Versicherer oder Makler vor der Verlängerung, ob Ihre Policen Schäden durch KI ausschließen.
  8. Überprüfen Sie die Liste alle sechs Monate. Neue Werkzeuge kommen hinzu, und Fristen laufen ab.

Was Sie messen sollten

  • Ob die Liste der KI-Anwendungen vollständig und datiert ist.
  • Den Anteil der Anwendungen, die Menschen betreffen, mit einer benannten Regel und einer benannten verantwortlichen Person.

Woran es scheitert

  • Auf ein KI-Gesetz warten. Jede Strafe auf dieser Seite beruhte auf Regeln, die älter sind als das Werkzeug.
  • Annehmen, dass der Anbieter das Risiko trägt. Im Fall Rite Aid wurde der Käufer bestraft, nicht die beiden Anbieter. Die britische Werbeaufsicht sagt, dass automatisierte Anzeigenwerkzeuge die Verantwortung nicht vom Werbenden wegverlagern. In den USA kann Ihre eigene Haftpflichtversicherung Schäden durch KI ausschließen.
  • Es als einmalige Sache behandeln. Die EU-Fristen für Hochrisiko-Systeme wurden 2026 geändert. Prüfen Sie sie bei jeder Überprüfung erneut.
  • Nur auf das eigene Land schauen. Regeln folgen dahin, wo Ihre Kunden und Beschäftigten sind.

Nach Unternehmensgröße

  • Kleinst- und Kleinunternehmen: eine Stunde mit einer Liste. Die meisten kleinen Firmen haben drei bis fünf KI-Anwendungen, davon eine oder zwei, die Menschen betreffen.
  • Mittlere Unternehmen: Die verantwortliche Person für KI führt die Liste und überprüft sie zweimal im Jahr.
  • Gehobener Mittelstand und Großunternehmen: Aus der Liste wird ein Verzeichnis, geführt mit Rechtsabteilung und Compliance und geprüft, bevor ein neues KI-Werkzeug gekauft wird.

Firmenfälle

Unternehmen, die das getan haben

Was ohne sie passiert ist

Quellen

Keine veröffentlichte Studie prüft diese Praktik direkt, deshalb ist sie mit Gängige Praxis bewertet. Die Bewertung stützt sich auf die Firmenfälle oben und auf die Quellen unten.

  1. Moffatt v. Air Canada, 2024 BCCRT 149. British Columbia Civil Resolution Tribunal, 14 February 2024. decisions.civilresolutionbc.ca
  2. US Federal Trade Commission (25 September 2024). FTC announces crackdown on deceptive AI claims and schemes. Press release. ftc.gov
  3. US Securities and Exchange Commission (18 March 2024). SEC charges two investment advisers with making false and misleading statements about their use of artificial intelligence. sec.gov
  4. Office of the Victorian Information Commissioner (September 2024). Investigation into the use of ChatGPT by a Child Protection worker. ovic.vic.gov.au
  5. R (Ayinde) v London Borough of Haringey and Al-Haroun v Qatar National Bank [2025] EWHC 1383 (Admin). High Court of England and Wales, 6 June 2025. judiciary.uk
  6. European Union. AI Act, Regulation (EU) 2024/1689, Article 4 (AI literacy), consolidated text of 27 July 2026. European Commission’s AI Act Service Desk. ai-act-service-desk.ec.europa.eu
  7. European Union. AI Act, Article 26 (obligations of deployers of high-risk AI systems). ai-act-service-desk.ec.europa.eu
  8. European Union. AI Act, Article 50 (transparency obligations). ai-act-service-desk.ec.europa.eu
  9. European Union. AI Act, Article 113 (entry into force and application). ai-act-service-desk.ec.europa.eu
  10. European Union. AI Act, Annex III (high-risk AI systems). ai-act-service-desk.ec.europa.eu
  11. Advertising Standards Authority (11 June 2026). AI and Deepfakes: Four Things Advertisers Need to Know Before They Hit 'Run'. asa.org.uk
  12. Mobley v. Workday, Inc., No. 3:23-cv-00770 (N.D. Cal.). Order of July 2025 (Dkt. 158). storage.courtlistener.com
  13. Independent Insurance Agents & Brokers of America (21 October 2025). Verisk to roll out new general liability exclusions for generative AI exposures. Trade press. independentagent.com
  14. Insurance Business (16 September 2026). ISO's generative AI exclusion is already on thousands of CGL policies. Trade press. insurancebusinessmag.com