EU-KI-Verordnung und ausgelagerte KI-Arbeit: Worauf es wirklich ankommt

Dies ist eine allgemeinverständliche Erklärung, keine Rechtsberatung — wenden Sie sich für eine auf Ihr Unternehmen zugeschnittene Compliance-Einschätzung an einen Anwalt. Wenn Sie als EU-Unternehmen erwägen, Arbeit an einen KI-Anbieter auszulagern, lohnen sich drei praktische Fragen, bevor Sie irgendetwas unterschreiben — sie entsprechen genau dem, was Regulierungsbehörden und Kunden von Ihnen verlangen werden.

1. Wo landen Ihre Daten tatsächlich?

Die meisten KI-Anbieter leiten Anfragen an das jeweils günstigste oder schnellste zugrunde liegende Modell weiter, oft außerhalb der EU. Das ist für risikoarme Arbeit ein vernünftiger Standard, bedeutet aber, dass Ihre Daten — einschließlich allem, was ein Kunde in einer Aufgabenbeschreibung erwähnt hat — bei einem Nicht-EU-Anbieter landen können, dem Sie nie zugestimmt haben. Die Lösung ist nicht kompliziert: personenbezogene Daten anonymisieren, bevor sie Ihre Systeme verlassen, unabhängig davon, welcher Anbieter die Arbeit am Ende übernimmt, und sich selbst die Möglichkeit geben, die Verarbeitung bei Bedarf auf EU-zugelassene Anbieter zu beschränken.

2. Können Sie sagen, welches Modell die Arbeit erledigt hat?

Transparenzpflichten nach der EU-KI-Verordnung erwarten grundsätzlich, dass KI-generierte Ausgaben nachverfolgt und offengelegt werden können — Sie sollten im Nachhinein sagen können, welches System ein bestimmtes Ergebnis erzeugt hat. Ein Anbieter, der still zwischen einem Dutzend Anbietern wechselt und Ihnen hinterher nicht sagen kann, welcher Ihre Aufgabe bearbeitet hat, bietet Ihnen das nicht. Verlangen Sie eine Protokollierung auf Anbieterebene für jede gelieferte Aufgabe, nicht nur einen allgemeinen „mit KI betrieben“-Hinweis.

3. Ist Compliance ein einschaltbarer Modus oder ein Marketingversprechen?

„EU-KI-Verordnung-konform“ als pauschale Aussage über ein ganzes Produkt bedeutet meist sehr wenig — die Compliance-Pflichten hängen davon ab, wie und von wem die KI eingesetzt wird. Was Sie vernünftigerweise von einem Anbieter erwarten können, ist ein konkreter Verarbeitungsmodus: ausschließlich EU-zugelassene Anbieter, verpflichtende Anonymisierung, bevor irgendein Anbieter Ihre Daten sieht, und ein sichtbares Protokoll, welches Modell jede Aufgabe bearbeitet hat. Das ist eine testbare, umschaltbare Einstellung, kein Slogan.

Genau das macht bei LEMAIT der EU-KI-Verordnung-Verarbeitungsmodus auf Arbeitsbereichsebene: Er nimmt Anbieter, die wir für EU-regulierte Arbeit als ungeeignet einstufen, aus der Weiterleitung heraus (heute: in China gehostete Modelle), entfernt Kontakt- und Kennzeichendaten aus dem Text, bevor ein Anbieter ihn sieht, und protokolliert, welches Modell jede Aufgabe bearbeitet hat — im Gegensatz zum freien Modus, der über alle Anbieter hinweg auf den niedrigsten Preis optimiert. Sie können pro Arbeitsbereich umschalten, und die Einstellung ist bei jeder Aufgabe sichtbar.