KI für KMU: Ethik und Datenschutz richtig umsetzen
Häufige Fragen
Gilt der EU AI Act auch für kleine Unternehmen mit weniger als 20 Mitarbeitenden?
Ja, der EU AI Act gilt grundsätzlich unabhängig von der Unternehmensgröße. Entscheidend ist nicht die Mitarbeiterzahl, sondern die Art des KI-Systems und dessen Risikostufe. Für die meisten KI-Anwendungen in KMU – wie Chatbots, Textgenerierung oder Prozessautomatisierung – gelten primär Transparenzpflichten. Hochrisiko-Anforderungen betreffen vor allem KI-Systeme in sensiblen Bereichen wie Personalauswahl oder Kreditvergabe.
Darf ich Kundendaten in ChatGPT oder ähnliche KI-Tools eingeben?
Das hängt von der Version und dem Vertragsverhältnis ab. Kostenlose Versionen vieler KI-Tools verwenden eingegebene Daten potenziell zur Modellverbesserung – das ist bei personenbezogenen Kundendaten ein DSGVO-Problem. Business-Versionen mit Auftragsverarbeitungsvertrag (AVV) bieten in der Regel eine datenschutzkonformere Grundlage. Grundsätzlich gilt: Daten vor der Eingabe anonymisieren oder pseudonymisieren, wenn möglich.
Brauche ich als KMU einen eigenen Datenschutzbeauftragten für KI?
Nicht zwingend. Die Pflicht zur Bestellung eines Datenschutzbeauftragten richtet sich in Österreich nach der Art und dem Umfang der Datenverarbeitung, nicht nach dem Einsatz von KI an sich. Allerdings ist es ratsam, eine interne Ansprechperson zu benennen, die den Überblick über eingesetzte KI-Tools, deren Datenflüsse und die zugehörigen Verträge behält.
Was kostet es, KI datenschutzkonform im Betrieb einzuführen?
Die Kosten variieren stark nach Umfang und Komplexität. Für eine grundlegende Bestandsaufnahme, Erstellung interner Richtlinien und Anpassung der Datenschutzerklärung sollten KMU mit überschaubarem Beratungsaufwand rechnen. Förderprogramme wie KMU.DIGITAL können einen Teil der Beratungs- und Umsetzungskosten abdecken – die genauen Konditionen sind auf den jeweiligen Förderportalen einsehbar.
Muss ich meinen Kunden mitteilen, wenn sie mit einer KI kommunizieren?
Ja. Der EU AI Act schreibt vor, dass Personen darüber informiert werden müssen, wenn sie mit einem KI-System interagieren – etwa einem Chatbot auf der Website. Diese Transparenzpflicht gilt seit Februar 2025. In der Praxis reicht ein klar sichtbarer Hinweis wie 'Sie kommunizieren mit einem KI-Assistenten' zu Beginn der Interaktion.
Wie oft sollte ich meine KI-Anwendungen auf Datenschutz-Konformität prüfen?
Eine halbjährliche Überprüfung ist ein sinnvoller Rhythmus. Dabei sollten insbesondere Änderungen in den AGB und Datenschutzrichtlinien der Anbieter, neue Datenflüsse durch Software-Updates und die Aktualität der eigenen Datenschutzerklärung geprüft werden. Bei wesentlichen Änderungen – etwa einem Anbieterwechsel oder der Einführung neuer KI-Funktionen – ist eine sofortige Prüfung angebracht.
Digitalisierungspotenzial prüfen?
In 3 Minuten herausfinden, wie viel KMU.DIGITAL- und aws-Förderung für Ihren Betrieb möglich ist.
Kostenloser Quick-Check