„Neben den Vorteilen wird die KI auch Gefahren mit sich bringen, wie zum Beispiel mächtige autonome Waffen oder neue Möglichkeiten für eine kleine Minderheit,
die Mehrheit zu unterdrücken.“
– Stephen Hawking

Generative KI ist längst kein Experiment mehr, sondern bereits fest im Unternehmensalltag verankert. Vom Marketing über die Kundenbindung bis hin zur Bewerberauswahl und Risikoanalyse – Unternehmen setzen auf KI, um schneller voranzukommen und mit weniger Aufwand mehr zu erreichen. Die Vorteile sind real, aber ebenso real sind die Risiken.

In Südafrika ist die Verwendung personenbezogener Daten in diesen KI-Systemen keine Grauzone. Sie unterliegt eindeutig dem Gesetz zum Schutz personenbezogener Daten (POPIA). Aufsichtsbehörden, Vertragspartner und Gerichte erwarten von Unternehmen, dass sie nachweisen, dass sie nicht nur die gesetzlichen Bestimmungen verstehen, sondern auch praktische Sicherheitsvorkehrungen für den Einsatz von KI getroffen haben.

ANWENDUNG DES POPIA AUF DIE VERARBEITUNG MIT KÜNSTLICHER INTELLIGENZ

Die Grundsätze des POPIA lassen sich nahtlos auf KI übertragen, doch Unternehmen übersehen oft, wie unmittelbar sie sich auswirken. Jedes Mal, wenn personenbezogene Daten durch ein KI-Tool fließen – sei es in Eingabeaufforderungen, Trainingsdaten oder Ausgaben –, muss es einen rechtmäßigen Grund für deren Verwendung und einen klaren Bedarf dafür geben, warum diese Daten benötigt werden. Daten, die für den Kundensupport erhoben wurden, dürfen nicht einfach für das Modelltraining umgenutzt werden. Transparenz erfordert, dass Unternehmen den Menschen in verständlicher Sprache erklären, wie ihre Daten verwendet werden. Und jedes Protokoll, jede Eingabeaufforderung und jede Ausgabe, die personenbezogene Daten enthält, muss vor Datenlecks, Manipulation oder Verlust geschützt werden.

Werden KI-Modelle oder deren Daten im Ausland gehostet, kommen die Vorschriften des POPIA zur grenzüberschreitenden Datenübermittlung zum Tragen. Das bedeutet, dass Unternehmen von ihren Anbietern verbindliche Zusicherungen darüber benötigen, wo sich die Daten befinden, wie sie behandelt werden und was passiert, wenn etwas schiefgeht.

WICHTIGE RECHTLICHE RISIKEN UND FEHLERQUELLEN

Das offensichtlichste rechtliche Risiko sind unrichtige oder irreführende Inhalte, in denen eine reale Person namentlich genannt oder beschrieben wird. Eine aus der Luft gegriffene Behauptung oder eine falsche Zuordnung kann zu unrechtmäßiger Datenverarbeitung, Verleumdung oder Verstößen gegen behördliche Vorschriften führen. Das tiefer liegende Risiko ist die Undurchsichtigkeit. Wenn ein Unternehmen nicht erklären kann, welche Daten auf welcher Rechtsgrundlage verwendet wurden und wer die Ergebnisse überprüft hat, wird es Schwierigkeiten haben, sich gegenüber einer Aufsichtsbehörde, einem Gericht oder sogar der Öffentlichkeit zu verteidigen. Schwache Verträge mit KI-Anbietern verschärfen das Problem: Ohne klare Betreibervereinbarungen können Daten ohne angemessene Kontrolle über Grenzen hinweg oder an Unterauftragsverarbeiter weitergegeben werden.

ERWARTUNGEN AN DIE GOVERNANCE FÜR EINEN VERANTWORTUNGSBEWUSSTEN EINSATZ

Gute Unternehmensführung muss nicht mit harter Hand erfolgen. Was sie jedoch erfordert, sind Klarheit und Dokumentation. Unternehmen sollten zumindest eine vom Vorstand genehmigte KI-Richtlinie einführen, die Grenzen für die Nutzung festlegt, verbotene Praktiken benennt und Verantwortlichkeiten zuweist. Risikoreichere Anwendungsfälle wie öffentliche Kommunikation, Kundenprofilierung oder sicherheitskritische Ergebnisse erfordern eine formelle Bewertung, in der die Rechtsgrundlage, die Datenquellen, die Punkte für die Überprüfung durch Menschen und die Sicherheitsvorkehrungen dargelegt werden. Menschliche Aufsicht ist unverzichtbar bei allem, was den Ruf schädigen oder rechtliche Risiken mit sich bringen könnte. Verträge mit KI-Anbietern sollten die POPIA-Verpflichtungen widerspiegeln, einschließlich Benachrichtigungen bei Datenschutzverletzungen, Sicherheitsmaßnahmen und Verpflichtungen zur Datenlöschung. Und jede Entscheidung oder Genehmigung sollte einen Prüfpfad hinterlassen, der belegt, dass das Unternehmen verantwortungsbewusst gehandelt hat.

DESINFORMATION ALS UNTERNEHMENSRISIKO

Generative KI hat zudem dazu geführt, dass Desinformation kostengünstiger, schneller und schwerer zu erkennen ist. Gefälschte Aussagen von Führungskräften, erfundene Bewertungen und manipulierte Bilder können sich innerhalb von Minuten über digitale Kanäle verbreiten. Dies ist nicht nur ein Kommunikationsproblem, sondern auch ein Governance-Risiko. Der richtige Ansatz verbindet Überwachung mit Vorsorge. Unternehmen sollten über einen funktionsübergreifenden Leitfaden verfügen, der die Bereiche Recht, IT-Sicherheit und Unternehmenskommunikation miteinander verknüpft und festlegt, wer welche Maßnahmen ergreift, wie falsche Inhalte überprüft werden und wie die Kommunikation mit Aufsichtsbehörden, Investoren und Kunden zu gestalten ist. Schnelligkeit und Genauigkeit sind entscheidend – ohne einen Plan werden selbst gut ausgestattete Unternehmen unvorbereitet erwischt.

PRAKTISCHE BEREITSCHAFTSPRÜFUNG

Eine einfache Möglichkeit, den Reifegrad zu messen, besteht darin, drei Fragen zu stellen: –

1. Was ist bei jedem KI-Anwendungsfall unsere Rechtsgrundlage für die Verarbeitung personenbezogener
   Daten?
2. Wer hat jede öffentlich zugängliche KI-Ausgabe geprüft und genehmigt, und wo wird
   diese Aufzeichnung aufbewahrt?
3. Wenn sich heute Abend eine falsche, von KI generierte Meldung über unser Unternehmen verbreitet, was
   genau passiert dann in den nächsten Stunden?

Wenn die Antwort auf eine dieser Fragen unklar ist, liegt das Problem nicht in der Technologie, sondern in der Governance.

ABSCHLIESSENDE GEDANKEN

Generative KI wird den Handel, die Kommunikation und die Compliance ebenso tiefgreifend verändern wie das Internet vor einer Generation. Dabei hebt sie bestehende Pflichten jedoch nicht auf, sondern verstärkt sie sogar noch. Das POPIA bleibt das maßgebliche Gesetz für personenbezogene Daten, und die Gerichte werden Innovation nicht als Entschuldigung für Nachlässigkeit ansehen. Unternehmen, die KI einsetzen, ohne Rechtsgrundlage, Zweckbindung, Sicherheit und Rechenschaftspflicht in ihr Konzept zu integrieren, setzen sich der Gefahr von Verstößen gegen Vorschriften, vertraglichen Streitigkeiten und Reputationsschäden aus.

In den Vorstandsetagen geht es nicht mehr darum, ob KI eingesetzt werden soll, sondern ob sie verantwortungsvoll eingesetzt wird. Kunden, Aufsichtsbehörden und der Markt werden Unternehmen nicht an ihrer Innovationsbegeisterung messen, sondern an ihrer Fähigkeit, beim Einsatz von KI Kontrolle, Weitsicht und Integrität unter Beweis zu stellen. Desinformation ist keine theoretische Bedrohung, sondern bereits eine Waffe auf dem Markt. Unternehmen, die nicht schnell und rechtskonform auf falsche Darstellungen reagieren können, riskieren, das Vertrauen der Verbraucher und der Investoren über Nacht zu verlieren.

Erfolgreich sein werden jene Unternehmen, die Innovation mit guter Unternehmensführung verbinden: indem sie ihre Entscheidungen dokumentieren, Menschen in den Entscheidungsprozess einbeziehen, intelligente Verträge mit Anbietern abschließen und ihre Reaktion auf simulierte Krisen üben, bevor diese eintreten. In diesem Bereich ist Disziplin kein Hemmnis für den Fortschritt, sondern die Grundlage, die eine mutige Umsetzung erst möglich macht. KI ist nicht mehr wegzudenken. Die einzige wirkliche Frage ist, ob Ihr Unternehmen Compliance und Glaubwürdigkeit als strategische Vermögenswerte betrachtet oder sie im Streben nach Geschwindigkeit aufs Spiel setzt.