Aus der Vergangenheit lernen Vier Compliance-Lektionen aus der DSGVO für AI-Act und DORA

Anbieter zum Thema

GeneSys Elektronik GmbH

Fsas Technologies GmbH

FAST LTA GmbH

FTAPI Software GmbH

Zwei aktuelle Gesetzesinitiativen – der AI-Act der EU sowie die DORA-Verordnung für den Finanzsektor – stellen Unternehmen vor die Aufgabe, Künstliche Intelligenz (KI) und Cybersicherheit rechtssicher zu gestalten. Wer bereits aus der Umsetzung der Datenschutz-Grundverordnung (DSGVO) gelernt hat, kann diese Erfahrungen nun gewinnbringend einsetzen.

Der neue AI-Act eröffnet Unternehmen die Möglichkeit, intelligente und rechtskonforme KI-Anwendungen zu entwickeln und einzusetzen. Darüber hinaus gibt die DORA-Verordnung (Digital Operational Resilience Act) Finanzunternehmen konkrete Richtlinien hinsichtlich der Cybersicherheit vor. Das Ziel aus EU-Sicht: Die dringendsten Herausforderungen im Digitalmarkt zu adressieren und gleichzeitig die Grundrechte des Einzelnen im digitalen Zeitalter zu bewahren. Trotz der Chancen mag für manche Unternehmen die Umsetzung dieser beiden EU-Gesetzesinitiativen eine lästige Pflichtaufgabe sein. Wer die Erfahrungen aus der DSGVO-Einführung von 2018 nutzt, kann allerdings jede Menge Doppelarbeit sparen. Die folgenden Lektionen beleuchten die vier wichtigsten Erkenntnisse, die Unternehmen für die aktuellen Regularien mitnehmen können.

Lektion 1: Datenbestände verstehen

Die DSGVO zwang Unternehmen, ihre Datenbestände gründlich zu analysieren – von der Herkunft über die Verarbeitung bis zur Speicherung. Nur mit diesem Verständnis konnten sie die gesetzlichen Vorgaben erfüllen. Beim verantwortungsvollen Einsatz von KI und für die Cybersicherheit gemäß DORA ist eine ebensolche Datentransparenz notwendig.

Anbieter müssen die Herkunft und Nutzung der Trainingsdaten für KI-Modelle lückenlos dokumentieren. Finanzunternehmen wiederum benötigen detaillierte Einblicke in ihre Datenverarbeitung, um widerstandsfähig gegen Cyberrisiken zu sein. Haben Organisationen bereits Strukturen für Data Governance und -kartierung aufgebaut, lassen sich diese nun auf den AI-Act und DORA übertragen. Entscheidend dabei ist, dass Anbieter, Lieferanten und Kunden sicherstellen, dass sie über geeignete Risikomanagement-Rahmen verfügen und alle Beteiligten ordnungsgemäß bewertet haben. Damit werden nicht nur die Vorschriften einhalten, sondern auch die finanzielle Stabilität gefestigt, was das Hauptziel von DORA ist. Der EU AI-Act stellt zudem eine Reihe von Verpflichtungen für verschiedene Akteure im Bereich der KI auf, die ebenfalls eine umfassende Dokumentation und Governance erfordern.

Lektion 2: Vertragsbeziehungen überprüfen und aktualisieren

Um die Vorgaben der DSGVO zu erfüllen, mussten viele Unternehmen ihre Kooperationsvereinbarungen mit Geschäftspartnern, Zulieferern und Dienstleistern gründlich überarbeiten. Nur so ließen sich klare Regelungen für den Umgang mit personenbezogenen Daten sowie für Berichtspflichten und Sicherheitsmaßnahmen verankern. Ähnliche Schritte sind nun aufgrund des AI-Acts und DORA erforderlich. Der AI-Act verpflichtet Organisationen, in ihren Vereinbarungen präzise Anweisungen für die Verwendung von Trainingsdaten und KI-Systemen festzulegen. Zudem müssen angemessene Risikoanalysen, technische Schutzmaßnahmen und Meldemechanismen für Zwischenfälle vertraglich geregelt werden. DORA zwingt Finanzunternehmen, ihre Outsourcing-Verträge zu überarbeiten. Hier gilt es, Anforderungen an die Ausfallsicherheit und Cybersicherheit externer Lösungen zu definieren und Berichtspflichten bei Vorfällen zu regeln.

Unternehmen, die diesen Prozess bereits für die DSGVO durchlaufen haben, können jetzt von ihren Erfahrungen profitieren. Sie kennen die notwendigen Vertragsklauseln und Prüfschritte. Wenn sie diese auf den AI-Act und DORA übertragen, lässt sich der Implementierungsaufwand deutlich reduzieren und damit Zeit und Ressourcen sparen.

Lektion 3: Bestehende Sicherheitskonzepte anpassen und erweitern

Die DSGVO zwang viele Organisationen dazu, ihr Sicherheitsniveau bei der Datenverarbeitung zu erhöhen. Insbesondere Cloud-basierte Lösungen mussten häufig aufgerüstet werden, um die strengen Datenschutzauflagen zu erfüllen. Dieser Fokus auf die IT-Sicherheit setzt sich im KI-Gesetz und DORA fort. Der AI-Act schreibt vor, dass Unternehmen ihre KI-Systeme regelmäßigen Stresstests und Risikoanalysen unterziehen müssen. Nur so lässt sich gewährleisten, dass die verwendeten Algorithmen sicher sind und die Grundrechte der Nutzer nicht verletzen. DORA wiederum verpflichtet Finanzunternehmen, ihre kritischen IT-Systeme kontinuierlich auf Schwachstellen zu überprüfen und die Cybersicherheit auf höchstem Niveau zu halten.

Organisationen, die im Rahmen der DSGVO-Umsetzung bereits umfassende Sicherheitsmaßnahmen ergriffen und robuste -Konzepte entwickelt haben, können diese nun zielgerichtet an die neuen Vorgaben anpassen. Vorausgesetzt, die damals eingeführten Prozesse wurden konsequent gepflegt, lassen sich hier wertvolle Synergien nutzen.

Lektion 4: Für KI-Ethik und Cybersicherheit sensibilisieren

Ein entscheidender Faktor für eine erfolgreiche DSGVO-Umsetzung war die Aus- und Weiterbildung der Mitarbeiter. Nur durch gezielte Schulungen konnten die Beschäftigten die komplexen Datenschutzanforderungen verinnerlichen und im Arbeitsalltag umsetzen. Ähnliche Weiterbildungsmaßnahmen sind nun aufgrund des AI-Acts und DORA gefordert. Der AI-Act verlangt, dass Mitarbeiter für die ethischen Implikationen von KI sensibilisiert werden. Sie müssen lernen, KI-Systeme verantwortungsvoll und diskriminierungsfrei einzusetzen. DORA macht es notwendig, die Belegschaft im Bereich Cybersicherheit zu schulen. Nur durch ein ausgeprägtes Risikobewusstsein lässt sich die Resilienz der IT-Systeme langfristig gewährleisten.

Viele Organisationen haben im Zuge der DSGVO-Einführung bereits umfangreiche Weiterbildungsprogramme aufgesetzt. Diese lassen sich nun zielgerichtet um Inhalte zu KI-Ethik und Cybersicherheit erweitern.

Fazit: Doppelarbeit ersparen

Unternehmen, die aus der DSGVO-Implementierung gelernt haben, können dieses Wissen nun für den AI-Act und DORA nutzen, um die Compliance sicherzustellen. Die Kernaufgaben bleiben ähnlich: Daten vollständig verstehen, Verträge prüfen, Sicherheit gewährleisten und Mitarbeiter schulen. Wer hier bereits Strukturen und Prozesse aufgebaut hat, spart Zeit und Aufwand. Zudem schützt diese strategische Weitsicht die Interessen von Kunden und Geschäftspartnern bestmöglich. Aus der Compliance-Pflicht wird so ein klarer Wettbewerbsvorteil.

Über den Autor: Mario Tavares Moyron ist Senior Corporate Counsel & EU Data Protection Officer bei Genesys.

(ID:50178741)