Scoring-Auskunft: Wie viel Einblick müssen Sie wirklich geben?
Scoring-Auskunft: Wie viel Einblick müssen Sie wirklich geben?
Setzen Sie Scoring-Verfahren ein, etwa bei der Kreditwürdigkeitsprüfung, in der Versicherung oder bei der Bewertung von Geschäftspartnern?
11 September 2026
Setzen Sie Scoring-Verfahren ein, etwa bei der Kreditwürdigkeitsprüfung, in der Versicherung oder bei der Bewertung von Geschäftspartnern? Dann betrifft Sie ein aktueller Hinweisbeschluss des Oberlandesgerichts Stuttgart vom 3. Februar 2026 (Az. 9 U 148/25) unmittelbar. Das Gericht hat klargestellt, wie weit Ihre Auskunftspflicht gegenüber Betroffenen tatsächlich reicht, und damit für mehr Rechtssicherheit an einer bislang unklaren Stelle gesorgt.
Was das Gericht entschieden hat:
Anlass war ein Streit um die Auskunft einer Wirtschaftsauskunftei zu einem Bonitätsscore. Rechtliche Grundlage für solche Ansprüche ist Artikel 15 DSGVO. Danach müssen Sie Betroffenen erklären, wie ein Score zustande kommt, und zwar verständlich auch für Laien.
Das Gericht konkretisiert, was das bedeutet. Sie müssen:
* die verwendeten Datenkategorien benennen,
* die grundlegende Logik der Berechnung erläutern,
* die Bildung von Vergleichsgruppen beschreiben,
* und über Zweck und Auswirkungen des Scorewerts informieren.
Gleichzeitig zieht das Gericht eine klare Grenze. Wie einzelne Faktoren konkret gewichtet werden, müssen Sie nicht offenlegen. Eine solche Offenlegung käme nach Auffassung des OLG Stuttgart der vollständigen Berechnungsformel gleich und würde Geschäftsgeheimnisse gefährden. Der Maßstab: Betroffene müssen die Richtigkeit ihrer Daten prüfen und die Rechtmäßigkeit der Verarbeitung beurteilen können. Einen Einblick in Algorithmen oder Gewichtungsmodelle verlangt das Gesetz dafür nicht.
Zur Einordnung: Es handelt sich um einen Hinweisbeschluss, also eine vorläufige gerichtliche Einschätzung, keine rechtskräftige Endentscheidung. Die Richtung ist erkennbar, eine höchstrichterliche Klärung steht aber noch aus.
Was das für Ihr Unternehmen bedeutet:
Datenschutz verlangt keine vollständige Offenlegung Ihrer Scoring-Logik. Er verlangt eine Balance zwischen Transparenz für Betroffene und dem Schutz unternehmerischer Interessen. Diese Balance gelingt nur, wenn Ihre Auskunftsprozesse sauber aufgesetzt und Ihre Scoring-Logik verständlich dokumentiert sind.
Fehlt diese Dokumentation, laufen Sie Gefahr, entweder zu viel oder zu wenig herauszugeben. Beides ist riskant: Zu viel gefährdet Geschäftsgeheimnisse, zu wenig verletzt die Auskunftspflicht und kann Beschwerden bei der Aufsichtsbehörde sowie Bußgelder nach Artikel 83 DSGVO nach sich ziehen. Denken Sie außerdem an die Monatsfrist aus Artikel 12 Absatz 3 DSGVO, innerhalb der Sie auf ein Auskunftsersuchen reagieren müssen.
Beispiel aus der Praxis: Eine Bank lehnt einen Kreditantrag wegen eines niedrigen Scorewerts ab. Der Kunde verlangt Auskunft nach Artikel 15 DSGVO und möchte wissen, warum sein Score so ausfällt. Die Bank beziehungsweise die beauftragte Auskunftei muss ihm die verwendeten Datenkategorien, die grundlegende Berechnungslogik und die Vergleichsgruppenbildung verständlich erklären, muss aber nicht offenlegen, mit welchem Prozentsatz einzelne Faktoren in die Formel einfließen.
Unsere Empfehlung
1. Entwickeln Sie standardisierte Auskunftsvorlagen, die Sie im Einzelfall anpassen können.
2. Dokumentieren Sie Ihre Scoring-Logik so, dass Sie sie auch Laien verständlich erklären können.
3. Schaffen Sie Transparenz über die verwendeten Datenkategorien, ohne sich in technischen Details zu verlieren.
4. Schützen Sie Gewichtungsmodelle und andere Geschäftsgeheimnisse gezielt und begründen Sie das im Zweifel nachvollziehbar.
5. Prüfen Sie Ihre Auskunftsprozesse regelmäßig und halten Sie die Monatsfrist nach Art. 12 Abs. 3 DSGVO zuverlässig ein.
Fazit
Der Hinweisbeschluss des OLG Stuttgart schafft Klarheit, aber keinen Freifahrtschein. Sie müssen erklären, ohne Ihren Algorithmus preiszugeben. Wer seine Scoring-Logik gut dokumentiert und Auskunftsprozesse professionell aufsetzt, erfüllt seine Pflichten und schützt gleichzeitig sein Geschäftsgeheimnis.
Verantwortlicher statt Auftragsverarbeiter: 120.000 Euro Bußgeld
Verantwortlicher statt Auftragsverarbeiter: 120.000 Euro Bußgeld
Die belgische Datenschutzbehörde hat ein Fintech-Unternehmen mit 120.000 Euro belegt, weil es sich fälschlich als Auftragsverarbeiter eingestuft hatte.
04 September 2026
Die belgische Datenschutzbehörde hat ein Fintech-Unternehmen mit 120.000 Euro belegt, weil es sich fälschlich als Auftragsverarbeiter eingestuft hatte. Betroffen sind alle Unternehmen, die eigene digitale Dienste anbieten und sich vertraglich als bloßer Dienstleister positionieren. Die Entscheidung zeigt: Die Rollenverteilung nach DSGVO richtet sich nicht nach dem Vertragstext, sondern nach der tatsächlichen Entscheidungsmacht.
Das Fintech-Unternehmen betrieb einen Authentifizierungsdienst und sah die Verantwortung bei seinen Kunden. Die Behörde widersprach: Das Unternehmen habe den Dienst selbst konzipiert, konfiguriert und betrieben und damit über Zweck und wesentliche Mittel der Verarbeitung entschieden. Genau das macht ein Unternehmen zum Verantwortlichen, unabhängig davon, was im Vertrag steht.
Hintergrund
Die Behörde stützte ihre Entscheidung auf das EuGH-Urteil IAB Europe (C-604/22). Danach wird zum Verantwortlichen, wer die Regeln eines Datenverarbeitungssystems festlegt und kontrolliert. Maßgeblich ist die tatsächliche Einflussmöglichkeit auf das „Warum“ (den Zweck) und das wesentliche „Wie“ (die Mittel) der Verarbeitung, nicht die Bezeichnung im Vertrag.
Bemerkenswert ist die Begründung des Bußgelds: Die Behörde knüpfte es nicht an die einzelnen Folgefehler an, wie fehlende Transparenz, ein unbeantwortetes Auskunftsersuchen oder zu umfangreiche Datenerhebung. Sie ging direkt an die Ursache: die falsche Rolleneinordnung selbst. Das wertete sie als strukturellen Verstoß gegen die Rechenschaftspflicht nach Artikel 5 Absatz 2 DSGVO. Der Einwand, die Abgrenzung sei komplex gewesen, half nicht, im Gegenteil: Bei einem neuartigen Dienst steigt die Sorgfaltspflicht.
Praktische Bedeutung
Für Unternehmen bedeutet das: Wer einen eigenen Dienst entwickelt, konfiguriert und betreibt, trägt in der Regel auch die Verantwortlichkeit dafür, selbst wenn Kunden ihn nutzen und der Vertrag etwas anderes vorsieht. Eine falsche Selbsteinschätzung wirkt sich nicht nur auf einen Einzelpunkt aus, sondern infiziert alle nachgelagerten Pflichten, von Transparenz über Auskunftsrechte bis zur Datenminimierung. Das Bußgeld von 120.000 Euro macht deutlich, dass Aufsichtsbehörden diesen Grundfehler als eigenständigen, schwerwiegenden Verstoß behandeln, nicht nur als Randproblem.
Beispiel aus der Praxis: Ein Unternehmen entwickelt eine Software zur Terminbuchung, die es Kunden als Dienstleistung anbietet. Legt das Unternehmen selbst fest, welche Daten erhoben werden, wie lange sie gespeichert bleiben und an wen sie weitergegeben werden, ist es voraussichtlich Verantwortlicher, unabhängig davon, ob der Vertrag es als Auftragsverarbeiter bezeichnet.
Unsere Empfehlung
1. Bestimmen Sie für jede Verarbeitung die Rolle anhand der tatsächlichen Entscheidungsmacht, nicht anhand des Vertragstexts.
2. Prüfen Sie konkret, wer über Zweck, Datenumfang, Empfänger und Speicherfristen entscheidet.
3. Hinterfragen Sie bei selbst entwickelten, standardisierten Diensten kritisch, ob Sie wirklich nur Auftragsverarbeiter sind.
4. Dokumentieren Sie Ihre Rollenanalyse. Das trägt die Rechenschaftspflicht und ist im Auditfall vorzeigbar.
5. Ordnen Sie neuartige Dienste vor dem Start datenschutzrechtlich ein, denn ein Fehler an dieser Stelle wirkt sich auf alle Folgepflichten aus.
Fazit
Die Rollenverteilung nach DSGVO ist keine Formalie, sondern die Grundlage der gesamten Compliance. Wer sich als Auftragsverarbeiter bezeichnet, obwohl er faktisch über Zweck und Mittel entscheidet, riskiert empfindliche Bußgelder, selbst wenn alle anderen Pflichten sauber umgesetzt sind. Unternehmen mit eigenen digitalen Diensten sollten ihre Rolle jetzt überprüfen, bevor es eine Aufsichtsbehörde für sie tut.
Audits per Videocall: ISO 19011 macht es offiziell
Audits per Videocall: ISO 19011 macht es offiziell
Seit dem 27. Mai 2026 gilt eine neue Fassung der ISO 19011, dem internationalen Leitfaden für Audits von Managementsystemen.
28 August 2026
Seit dem 27. Mai 2026 gilt eine neue Fassung der ISO 19011, dem internationalen Leitfaden für Audits von Managementsystemen. Erstmals sind Remote- und Hybrid-Audits fest in der Norm verankert. Das betrifft alle Unternehmen, die interne Audits oder Lieferantenaudits durchführen, ganz besonders Medizinproduktehersteller mit internationalen Lieferketten. Da es sich um eine Leitfaden-Norm handelt, gilt die neue Fassung ab sofort, ohne Übergangsfrist.
Hintergrund
Die vierte Auflage der ISO 19011 ersetzt die bisherige Ausgabe von 2018. Die zentrale Neuerung: Anhang A wurde um konkrete Hinweise zu Remote-Methoden und virtuellen Auditstandorten erweitert, mit Verweis auf die ISO/IEC TS 17012. Die sieben etablierten Auditprinzipien und der risikobasierte Ansatz bleiben unverändert der Kern der Norm. Gestrichen wurde dagegen der Anhang zu Kompetenzanforderungen für einzelne Fachdisziplinen, dieser Teil entfällt komplett.
Die ISO 19011 selbst nimmt keinen Bezug auf einzelne Branchen. Für Medizinproduktehersteller heißt das: Sie müssen den risikobasierten Ansatz der Norm eigenständig mit den Anforderungen der ISO 14971 und der eigenen Datenanalyse verknüpfen.
Praktische Bedeutung für Ihr Unternehmen
Remote-Audits sparen Reisezeit und Kosten, bringen aber eigene Risiken mit: technische Ausfälle, Vertraulichkeit und Datensicherheit stehen jetzt ausdrücklich im Fokus der Norm. Wer Remote-Audits nutzt, muss diese Risiken im Auditprogramm konkret berücksichtigen, nicht nur formal erwähnen.
Ein Audit sollte ohnehin mehr leisten als reine Konformitätsprüfung. Richtig genutzt, deckt es Ineffizienzen auf, entschlackt Arbeitsanweisungen und liefert wertvollen Input für Management-Review, CAPA-System und Post-Market Surveillance.
Beispiel aus der Praxis: Ein Lieferant sitzt im Ausland, eine Anreise zum Vor-Ort-Audit lohnt sich wirtschaftlich kaum. Mit der neuen ISO 19011 können Sie das Audit remote durchführen, vorausgesetzt Sie legen vorab klare Regeln zu Technik, Vertraulichkeit und Datensicherheit fest.
Unsere Empfehlung
- Schulen Sie interne Auditoren gezielt auf die neue Fassung und auf Remote-Methoden.
- Gestalten Sie Ihr Auditprogramm risikobasiert und verzahnen Sie es mit der ISO 14971.
- Führen Sie Remote-Audits nur mit klaren Regeln zu Technik, Vertraulichkeit und Datensicherheit durch.
- Berücksichtigen Sie ergänzend Auditkriterien nach ISO 13485 und MDR/IVDR.
- Nutzen Sie Auditergebnisse aktiv für Management-Review, Risikomanagement und Prozessverbesserung.
Fazit
Die ISO 19011:2026 holt die Auditpraxis in die Gegenwart: Remote- und Hybrid-Audits sind jetzt offiziell gleichwertig zum Vor-Ort-Audit, nicht mehr nur Notlösung. Wer sein Auditprogramm jetzt anpasst, spart Ressourcen und erfüllt gleichzeitig den aktuellen Stand der Technik. Entscheidend bleibt, die neuen Freiheiten mit klaren Regeln zu Technik und Datensicherheit abzusichern.
DSGVO-Auskunft als Geschäftsmodell: EuGH zieht Grenze
DSB-Pflicht könnte fallen, Ihre Verantwortung bleibt
DSB-Pflicht könnte fallen, Ihre Verantwortung bleibt
Am 2. Juli 2026 hat der Koalitionsausschuss aus Union und SPD ein Reformpaket beschlossen, das unter anderem die Pflicht zur Bestellung eines betrieblichen Datenschutzbeauftragten abschaffen soll.
14 August 2026
Am 2. Juli 2026 hat der Koalitionsausschuss aus Union und SPD ein Reformpaket beschlossen, das unter anderem die Pflicht zur Bestellung eines betrieblichen Datenschutzbeauftragten abschaffen soll. Betroffen wären vor allem kleine und mittlere Unternehmen, die heute ab 20 Beschäftigten mit automatisierter Datenverarbeitung einen Datenschutzbeauftragten benennen müssen. Doch schon diese Schwelle gilt nicht für jedes Unternehmen: Bestimmte Verarbeitungen lösen die Bestellpflicht schon heute unabhängig von der Mitarbeiterzahl aus, und daran ändert die Reform nichts. Entscheidend für Sie: Mit der Bestellpflicht verschwinden nicht automatisch auch die Datenschutzpflichten selbst.
Was wirklich beschlossen wurde
Zunächst zur Einordnung: Es handelt sich um eine politische Absichtserklärung, kein geltendes Recht. Solange kein Gesetz im Bundesgesetzblatt steht, gelten DSGVO und BDSG unverändert weiter. Geplant ist, § 38 BDSG zu streichen, die Aufsicht beim Bundesbeauftragten für Datenschutz und Informationsfreiheit (BfDI) zu zentralisieren und ein einheitliches Datengesetzbuch zu schaffen. Die Streichung der Bestellpflicht ist dabei der Punkt, der in der Praxis am häufigsten missverstanden wird.
Ein Vergleich macht den Unterschied deutlich: In Deutschland gibt es keine gesetzliche Pflicht, einen Steuerberater zu beauftragen. Trotzdem leisten sich die meisten Unternehmen einen, weil die steuerlichen Pflichten selbst, also Erklärungen, Fristen und die korrekte Umsetzung der Vorschriften, davon unberührt bleiben und ohne Fachkunde kaum sicher zu erfüllen sind. Genauso verhält es sich beim Datenschutz: Fällt § 38 BDSG, bleibt Artikel 37 DSGVO in Kraft, unabhängig von Ihrer Unternehmensgröße. Danach ist ein Datenschutzbeauftragter weiterhin Pflicht, wenn die Kerntätigkeit in umfangreicher, systematischer Überwachung besteht oder umfangreich besondere Datenkategorien verarbeitet werden, ganz gleich wie viele Personen Sie beschäftigen.
Ganz neu ist dieses Prinzip übrigens nicht: Schon heute schreibt § 38 Abs. 1 Satz 2 BDSG einen Datenschutzbeauftragten unabhängig von der Mitarbeiterzahl vor, etwa wenn eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich ist oder Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Markt- oder Meinungsforschung verarbeitet werden. Die 20-Personen-Schwelle war also auch bisher nie das alleinige Kriterium, sie wird nach der Reform nur zum einzigen nationalen Maßstab, der noch übrig bleibt. Und selbst ohne Bestellpflicht bleiben sämtliche materiellen Pflichten bestehen: Rechenschaft, technische und organisatorische Maßnahmen, Betroffenenrechte, Meldepflichten.
Warum das teuer werden kann
Wer den Datenschutzbeauftragten voreilig abmeldet, verliert nicht die Pflichten, sondern die Fachkunde, sie zu erfüllen. Die Beurteilung, ob eine Bestellpflicht nach Artikel 37 DSGVO besteht, ist deutlich anspruchsvoller als das bloße Abzählen von 20 Beschäftigten. Sie müssen diese Einschätzung künftig eigenverantwortlich treffen und dokumentieren. Ein Fehler dabei ist kein Formfehler, sondern kann ein Bußgeld nach Artikel 83 DSGVO nach sich ziehen. Aus der vermeintlichen Entlastung wird so schnell ein Haftungsrisiko in Eigenregie.
Beispiel aus der Praxis: Ein mittelständisches Unternehmen beschäftigt aktuell 22 Personen mit automatisierter Datenverarbeitung und hat deshalb einen Datenschutzbeauftragten bestellt. Fällt § 38 BDSG, entfällt diese formale Grenze. Verarbeitet das Unternehmen weiterhin umfangreich Gesundheitsdaten seiner Beschäftigten, bleibt die Bestellpflicht über Artikel 37 DSGVO bestehen. Nur muss das Unternehmen dies künftig selbst prüfen und begründen.
Unsere Empfehlung
- Melden Sie Ihren Datenschutzbeauftragten nicht ab, solange kein Gesetz in Kraft ist.
- Dokumentieren Sie für jede Bestellung, ob sie nur auf § 38 Abs. 1 Satz 1 BDSG (20-Personen-Schwelle) beruht oder ob unabhängig davon Artikel 37 DSGVO oder § 38 Abs. 1 Satz 2 BDSG greift.
- Stellen Sie die materiellen Pflichten sicher, also technische und organisatorische Maßnahmen, Betroffenenrechte und Meldewege, unabhängig von der Bestellpflicht.
- Halten Sie Fachkunde intern oder extern vor. Die Verantwortung bleibt bestehen, auch ohne Bestellpflicht.
- Handeln Sie erst, wenn der Gesetzestext veröffentlicht ist, nicht schon auf Basis von Ankündigungen.
Fazit
Die geplante Reform verspricht weniger Bürokratie, verändert aber nicht die eigentlichen Datenschutzpflichten. Wer die Bestellpflicht mit den Pflichten selbst verwechselt, riskiert Bußgelder statt Entlastung. Bleiben Sie bis zur endgültigen Gesetzesfassung bei Ihrer bisherigen Organisation und nutzen Sie die Zeit, um Ihre Prozesse und Ihre Fachkunde zu sichern.
KI-generierte Inhalte: Neue Kennzeichnungspflichten ab dem 2. August 2026
KI-generierte Inhalte: Neue Kennzeichnungspflichten ab dem 2. August 2026
Welche Inhalte sind überhaupt betroffen? Und was bedeutet das für die Praxis?
07 August 2026
Ob ein Werbevideo mit einem KI-generierten Avatar, ein täuschend echtes Audio oder ein mit Künstlicher Intelligenz erstellter Informationstext: Ab dem 2. August 2026 gelten für Unternehmen neue Transparenzpflichten nach der EU-KI-Verordnung (AI Act). Für viele Unternehmen wird die Kennzeichnung bestimmter KI-Inhalte damit zum neuen Standard.
Doch welche Inhalte sind überhaupt betroffen? Und was bedeutet das für die Praxis?
Was ändert sich?
Mit Artikel 50 Absatz 4 des AI Acts verpflichtet die EU-KI-Verordnung Betreiber dazu, bestimmte KI-generierte Inhalte beim Veröffentlichen eindeutig als solche kenntlich zu machen. Ziel ist es, Verbraucherinnen und Verbrauchern mehr Transparenz darüber zu geben, wann Inhalte durch Künstliche Intelligenz erzeugt oder manipuliert wurden.
Zur praktischen Umsetzung hat die Europäische Kommission am 10. Juni 2026 den „Code of Practice on Transparency of AI-Generated Content“ veröffentlicht. Erarbeitet wurde er von unabhängigen Expertinnen und Experten in einem Multi-Stakeholder-Prozess, den das EU AI Office moderiert hat. Für Unternehmen ist insbesondere Section 2 relevant. Sie enthält Empfehlungen, wie Betreiber die neuen Transparenzpflichten organisatorisch und praktisch umsetzen können.
Der Verhaltenskodex ist zwar freiwillig, bietet Unternehmen jedoch eine wichtige Orientierung. Wer ihn anwendet oder unterzeichnet, kann dies gegenüber Marktüberwachungsbehörden als Nachweis für eine strukturierte Umsetzung der gesetzlichen Anforderungen nutzen.
Was bedeutet das in der Praxis?
Nicht jeder Inhalt, der mit KI erstellt wurde, muss automatisch gekennzeichnet werden. Entscheidend ist vielmehr, welche Art von Inhalt veröffentlicht wird und wie die KI eingesetzt wurde.
Deepfakes sind Bilder, Videos oder Audiodateien, die mithilfe von KI erstellt oder so verändert wurden, dass sie echte Personen oder Ereignisse täuschend echt darstellen. Solche Inhalte müssen grundsätzlich eindeutig als KI-generiert gekennzeichnet werden.
Bei KI-generierten Texten ist die Einordnung differenzierter. Die Transparenzpflicht betrifft insbesondere veröffentlichte Inhalte, die dazu bestimmt sind, die Öffentlichkeit über Themen von öffentlichem Interesse zu informieren. Wird KI dagegen lediglich als Schreib- oder Formulierungshilfe genutzt und der Inhalt vor der Veröffentlichung durch einen Menschen geprüft, bearbeitet und verantwortet, besteht nicht automatisch eine Kennzeichnungspflicht.
Praxisbeispiele
Eine Kennzeichnung ist regelmäßig erforderlich, wenn:
- ein Werbevideo einen KI-generierten oder täuschend echt nachgebildeten Geschäftsführer zeigt.
- eine KI eine realistisch wirkende Sprachaufnahme einer bekannten Person erzeugt.
- ein veröffentlichter Informationsbeitrag vollständig von einer KI erstellt wurde und unter die Transparenzpflichten des AI Acts fällt.
Eine Kennzeichnung ist nicht allein deshalb erforderlich, weil KI genutzt wurde, wenn:
- ChatGPT oder ein anderes KI-System lediglich Rechtschreibung, Stil oder Formulierungen eines selbst erstellten Textes verbessert.
- ein Blog-, Website- oder Produkttext mit Unterstützung einer KI entworfen, anschließend aber fachlich überarbeitet, ergänzt und von einem Mitarbeiter freigegeben wird.
- KI ausschließlich für interne Entwürfe oder Arbeitshilfen eingesetzt wird, die nicht veröffentlicht werden.
Praxis-Tipp: Dokumentieren Sie, an welchen Stellen in Ihrem Unternehmen generative KI eingesetzt wird. So können Sie leichter beurteilen, welche Inhalte kennzeichnungspflichtig sein könnten, und schaffen gleichzeitig eine nachvollziehbare Dokumentation Ihrer Prozesse.
Was Unternehmen jetzt tun sollten
Um gut vorbereitet zu sein, empfehlen wir folgende Schritte:
- Prüfen Sie, ob Ihr Unternehmen als Betreiber oder Anbieter unter Artikel 50 des AI Acts fällt.
- Erfassen Sie, welche KI-Systeme welche Inhalte erzeugen und wer diese veröffentlicht.
- Legen Sie ein schriftliches Kennzeichnungskonzept fest, einschließlich Kennzeichnung, Platzierung und Freigabeprozess.
- Schulen Sie Mitarbeitende und externe Dienstleister im Umgang mit den neuen Transparenzpflichten. Der EU-Verhaltenskodex empfiehlt dies ausdrücklich.
- Ergänzen Sie Agentur- und Dienstleisterverträge um Regelungen zur Einhaltung der Betreiberpflichten nach der KI-Verordnung.
Hohe Bußgelder möglich
Verstöße gegen die Transparenzpflichten können teuer werden: Die KI-Verordnung sieht nach Artikel 99 Absatz 4 Bußgelder von bis zu 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist.
Fazit
Die neuen Transparenzpflichten sind weit mehr als eine reine Formalität. Unternehmen sollten sich bereits jetzt mit der Frage beschäftigen, welche KI-Anwendungen sie einsetzen, welche Inhalte veröffentlicht werden und ob eine Kennzeichnung erforderlich ist.
Wer frühzeitig klare Prozesse schafft, Mitarbeitende sensibilisiert und den Einsatz generativer KI dokumentiert, erfüllt nicht nur die gesetzlichen Anforderungen, sondern stärkt auch das Vertrauen von Kunden, Geschäftspartnern und der Öffentlichkeit.
Sie sind unsicher, ob Ihre KI-generierten Inhalte künftig gekennzeichnet werden müssen?
Wir unterstützen Sie gerne bei der Einordnung Ihrer Anwendungsfälle, der Entwicklung eines rechtssicheren Kennzeichnungskonzepts sowie bei der Umsetzung der Anforderungen des EU AI Acts in Ihrem Unternehmen.