Das EU-KI-Gesetz ist offiziell in Kraft getreten und markiert den Beginn einer verbindlichen KI-Regulierung in Europa. Als weltweit erster umfassender Rechtsrahmen für künstliche Intelligenz legt er strenge Regeln fest, die gewährleisten sollen, dass KI sicher, transparent und rechenschaftspflichtig ist. Die Fristen für die Einhaltung der Vorschriften sind bereits in Sicht, und Unternehmen, die in der EU tätig sind, müssen jetzt handeln, um sich vorzubereiten.
Für Unternehmen, die sich auf Microsoft 365, Copilot und die Power Platform verlassen, ist dies besonders dringend. Diese Tools werden zu einem zentralen Bestandteil der täglichen Arbeit, stellen aber auch eine Herausforderung für die Einhaltung von Vorschriften dar: Was passiert, wenn Copilot Einstellungsentscheidungen unterstützt? Wie regeln Sie KI-gestützte Workflows in Power Automate? Und wie können Sie Compliance nachweisen, wenn die Aufsichtsbehörden anklopfen?
Dieser Leitfaden erklärt , was das EU-KI-Gesetz für Ihre Microsoft-Umgebung bedeutet. Wir werden den risikobasierten Rahmen des Gesetzes aufschlüsseln, die wichtigsten Compliance-Verpflichtungen hervorheben und zeigen, wie Sie Risiken in Microsoft 365 und Copilot verwalten können, ohne die Innovation zu bremsen.
Das EU-KI-Gesetz trat am 1. August 2024 in Kraft, nachdem es im Juli im Amtsblatt der Europäischen Union veröffentlicht wurde. Sie ist der weltweit erste umfassende, verbindliche Rechtsrahmen für künstliche Intelligenz und ein Eckpfeiler der digitalen Strategie der EU. Er soll sicherstellen, dass die in Europa eingesetzten KI-Systeme sicher, transparent, nachvollziehbar, nicht diskriminierend und unter menschlicher Aufsicht sind.
Im Gegensatz zu einem Einheitsgesetz wendet das EU-KI-Gesetz ein risikobasiertes Modell an. Je stärker die potenziellen Auswirkungen eines KI-Systems auf die Gesellschaft, die Gesundheit, die Sicherheit oder die Grundrechte sind, desto strenger sind die rechtlichen Anforderungen.
Das Gesetz über künstliche Intelligenz der Europäischen Union legt Regeln für die sektorübergreifende Regulierung von KI fest. Hauptziel des Gesetzes ist es, das Vertrauen in KI zu fördern und die Einführung von Innovationen, die den Menschen in den Mittelpunkt stellen, voranzutreiben und gleichzeitig die Risiken zu verringern. Es gilt für die gesamte KI-Wertschöpfungskette, sowohl für die Anbieter als auch für die Nutzer.
Für wen gilt das Gesetz?
Wenn Ihr Unternehmen KI-Tools im Dienste von Kunden oder für interne Prozesse innerhalb der EU einsetzt, gilt das KI-Gesetz für Sie.
In der Verordnung werden KI-Systeme in vier verschiedene Risikokategorien eingeteilt. Zu verstehen, in welche Kategorie Ihre KI-Anwendungsfälle fallen, ist der erste Schritt zur Einhaltung der Vorschriften.
Dies sind KI-Systeme, die eine eindeutige Bedrohung für die Sicherheit und die Grundrechte der Menschen darstellen.
Beispiele hierfür sind:
Das KI-Gesetz verbietet diese Systeme in Europa seit Februar 2025.
Dies ist die kritischste Kategorie für Unternehmen. Hochriskante Systeme umfassen KI, die in physischen oder virtuellen Umgebungen eingesetzt wird, in denen Sicherheit, Rechte oder Compliance beeinträchtigt werden könnten. Sie können auch ein systemisches Risiko darstellen, wenn sie in großem Umfang eingesetzt werden. Diese Systeme sind nicht verboten, unterliegen aber strengen Auflagen, bevor sie auf den Markt gebracht werden können und während ihres gesamten Lebenszyklus.
Beispiele hierfür sind:
Zu dieser Kategorie gehören KI-Systeme, die mit Menschen interagieren. Die wichtigste Anforderung ist die Transparenz. Die Nutzer müssen eindeutig darüber informiert werden, dass sie mit einem KI-System interagieren oder dass der Inhalt von KI generiert wurde. Microsoft Copilot würde in vielen seiner Standardanwendungsfälle wahrscheinlich in diese Kategorie fallen.
Beispiele hierfür sind:
Es wird erwartet, dass die große Mehrheit der KI-Systeme unter diese Kategorie fällt. Das KI-Gesetz erlegt diesen Systemen keine rechtlichen Verpflichtungen auf, allerdings können sich die Anbieter an freiwillige Verhaltenskodizes halten.
Beispiele hierfür sind:
Das EU-KI-Gesetz trat am 1. August 2024 in Kraft, aber seine Verpflichtungen gelten nicht auf einmal. Stattdessen werden sie über mehrere Jahre hinweg schrittweise eingeführt, wobei die wichtigsten Fristen in den Jahren 2025, 2026 und 2027 liegen. Diese stufenweise Einführung bedeutet, dass Unternehmen sich im Voraus vorbereiten müssen: Einige Regeln sind bereits verbindlich (wie das Verbot verbotener KI-Praktiken im Februar 2025), während die anspruchsvollsten Anforderungen für KI-Systeme mit hohem Risiko ab August 2026 gelten. Die nachstehende Roadmap zeigt die entscheidenden Meilensteine, die Sie im Auge behalten müssen.
Für Microsoft 365-, Copilot- und Power Platform-Umgebungen sind zwei Meilensteine von Bedeutung:
Um sich auf diese Fristen vorzubereiten, sollten Unternehmen, die Microsoft 365, Copilot und die Power Platform nutzen, sich auf die folgenden Compliance-Prioritäten konzentrieren:
Die abstrakten Prinzipien des KI-Gesetzes werden sehr real, wenn sie auf die Tools angewendet werden, die Ihr Unternehmen täglich nutzt. Das Microsoft-Ökosystem (einschließlich Microsoft 365, Power Platform und Copilot) ist ein leistungsstarker Motor für die Produktivität, aber es ist auch eine komplexe Umgebung, in der KI in einem noch nie dagewesenen Umfang eingesetzt wird.
Die meisten Unternehmen betrachten die Einhaltung von Vorschriften durch die Brille der Data Governance: Klassifizierung und Schutz sensibler Inhalte mit Tools wie Microsoft Purview. Dieser Schutz auf Datenebene ist zwar unerlässlich, reicht aber nicht aus, um die Erstellung, Bereitstellung und Verwaltung von KI-Systemen zu gewährleisten. Das KI-Gesetz erfordert auch eine Verantwortlichkeit auf Dienstebene für Teams, SharePoint-Sites, Power Automate-Flows und Copilot-Agenten.
Microsoft Copilot ist oft ein KI-System mit begrenztem Risiko. Es kann jedoch leicht Teil eines risikoreichen Workflows werden. Wenn ein Manager Copilot verwendet wird, um Leistungsbeurteilungen zusammenzufassen, um Beförderungsentscheidungen zu treffen, könnte dieser gesamte Prozess als risikoreich eingestuft werden. Ähnlich verhält es sich mit einem Power Automate Workflow, der AI Builder zur Prüfung von Bewerbungen einsetzt und somit in die Hochrisikokategorie fällt.
An diesem Punkt hängt die Compliance nicht nur von der Datensicherheit ab, sondern auch davon, ob Sie über Service-Governance-Strukturen zur Kontrolle der Dienste, Agenten und Automatisierungen verfügen, die diese Workflows steuern.
An dieser Stelle wird KI-Governance untrennbar mit Service-Governance verbunden. Nicht verwaltete Copilot Studio-Agenten, verwaiste Power Automate-Abläufe oder von Geschäftsanwendern erstellte KI-Schattenanwendungen können zu Compliance-Risiken im Rahmen des KI-Gesetzes führen. Ohne zentralisierte Sichtbarkeit und Lebenszykluskontrolle fallen diese Ressourcen durch die Maschen und untergraben sowohl die Compliance als auch die Sicherheit.
Um zu verstehen, warum Service Governance so wichtig ist, ist es hilfreich, sich die konkreten Risiken anzusehen, denen Unternehmen beim Einsatz von KI in Microsoft 365 ausgesetzt sind.
Die Benutzerfreundlichkeit von Tools wie Power Platform und Copilot Studio gibt Geschäftsanwendern die Möglichkeit, ihre eigenen KI-gestützten Lösungen zu erstellen. Ohne zentrale Sichtbarkeit können "Schatten-KI-Agenten" und nicht verwaltete Anwendungen sich ausbreiten und unbekannte Compliance- und Sicherheitsrisiken schaffen.
Copilot bezieht Informationen aus Ihrem gesamten M365-Mieter. Wenn Ihre Umgebung mit veralteten Dokumenten, doppelten Dateien und widersprüchlichen Informationen überladen ist (ein Zustand, den wir als "Informationschaos" bezeichnen), kann Copilot ungenaue oder irreführende Zusammenfassungen erstellen. Dies führt zu schlechten Geschäftsentscheidungen und potenziellen Fehlinformationen.
Damit KI sicher arbeiten kann, müssen die zugrunde liegenden Daten ordnungsgemäß gesichert sein. An wen kann Copilot sensible Dokumente weitergeben? Wie verhindern Sie unbefugten Zugriff? Schwache Zugriffskontrollen oder eine schlechte Informationsarchitektur können zu Datenlecks, Verstößen gegen die Datenschutz-Grundverordnung (DSGVO) und Verstößen gegen das KI-Gesetz führen. Die Einhaltung der Vorschriften erfordert einen vielschichtigen Ansatz, der oft Tools wie Microsoft Purview und eine robuste Governance-Plattform umfasst.
Die Einhaltung von Vorschriften hängt auch von der Verwaltung von Diensten und Arbeitsabläufen ab. Ohne Regeln für Eigentümerschaft, Bereitstellung und Stilllegung riskieren Unternehmen verwaiste Anwendungen, übermäßig exponierte Berechtigungen und nicht verwaltete KI-Agenten. Diese Probleme untergraben direkt die Einhaltung des KI-Gesetzes.
Der Umgang mit der neuen KI-Verordnung in Europa erfordert einen proaktiven, strukturierten Ansatz. Es geht darum, einen nachhaltigen Governance-Rahmen aufzubauen, der eine sichere und effektive KI-Einführung ermöglicht. Hier finden Sie einen klaren Fahrplan für die Einhaltung des EU-KI-Gesetzes in Microsoft 365-Umgebungen.
Ihr erster Schritt besteht darin, vollständige Transparenz zu erreichen. Sie benötigen ein umfassendes Inventar aller KI-Systeme und KI-gestützten Workflows in Ihrem Unternehmen, insbesondere in Ihren Microsoft 365- und Power Platform-Tenants.
Sobald Sie über ein Inventar verfügen, müssen Sie das Risiko jedes KI-Anwendungsfalls anhand der Kriterien des KI-Gesetzes bewerten. Dabei geht es nicht um die Technologie selbst, sondern darum, wie sie eingesetzt wird.
Klare Regeln sind für die sichere Einführung von KI unerlässlich. Ihr Unternehmen benötigt eine formale KI-Governance-Richtlinie, die die zulässige Nutzung, die Standards für die Datenverarbeitung, die Transparenzanforderungen und den Prozess zur Überprüfung und Genehmigung neuer KI-Lösungen festlegt.
Compliance ist ein fortlaufender Prozess. Das EU-KI-Gesetz verlangt eine kontinuierliche Überwachung und detaillierte Protokollierung für Hochrisikosysteme. Manuelle Kontrollen sind einfach nicht skalierbar oder zuverlässig genug.
Unkontrollierte Ausbreitung schafft Risiken. Verwaiste Teams, Abläufe oder Copilot-Agenten können noch lange nach ihrem Einsatz aktiv bleiben, wodurch sensible Daten offengelegt und die Compliance verletzt werden.
Die Einführung von KI treibt auch die Kosten in die Höhe, von Copilot-Lizenzen bis zum Speicherverbrauch. Ohne Transparenz können die Budgets in die Höhe schnellen, und nicht verwaltete Dienste erhöhen das Compliance-Risiko.
Wenn Aufsichtsbehörden oder Wirtschaftsprüfer bei Ihnen anklopfen, müssen Sie in der Lage sein, die Einhaltung der Vorschriften schnell und sicher nachzuweisen. Das bedeutet, dass Sie Ihre gesamte Dokumentation, Risikobewertungen, Richtlinien und Prüfungsprotokolle an einem zentralen Ort zur Verfügung haben.
Das EU-KI-Gesetz ist ein Meilenstein, aber es ist nicht die einzige Vorschrift in der Europäischen Union, die bestimmt, wie KI in Microsoft-Umgebungen verantwortungsvoll eingesetzt werden muss. Hier sind die wichtigsten, die Sie auf dem Radar behalten sollten:
Die DSGVO ist der zentrale Rahmen der EU für den Schutz personenbezogener Daten.
Der DSA regelt die Transparenz und Rechenschaftspflicht für algorithmische Systeme, insbesondere für große Online-Plattformen.
Der Data Act regelt den Zugang zu und die gemeinsame Nutzung von nicht-personenbezogenen Daten, die von vernetzten Geräten und Diensten erzeugt werden.
Während sich viele Diskussionen über KI-Vorschriften auf der ganzen Welt auf Einschränkungen konzentrieren, sollte das EU-KI-Gesetz als Rahmen für den Aufbau von Vertrauen betrachtet werden. Sie bietet einen klaren Fahrplan für verantwortungsvolle Innovation. Für Unternehmen, die es richtig machen, ist die Einhaltung der Vorschriften mehr als nur eine rechtliche Verpflichtung. Es ist ein Wettbewerbsvorteil, der den Kunden Vertrauenswürdigkeit signalisiert und die Mitarbeiter befähigt, KI vertrauensvoll zu nutzen.
Der Weg zur Compliance beginnt mit Transparenz und Kontrolle. Wenn Sie Ihren KI-Fußabdruck verstehen, Risiken klassifizieren und automatisierte Governance implementieren, können Sie das immense Potenzial von Tools wie Microsoft Copilot und der Power Platform sicher und effektiv nutzen.
Machen Sie Ihr Unternehmen fit für das EU-KI-Gesetz. Entdecken Sie, wie Rencore die KI-Governance in Microsoft 365 und Power Platform vereinfacht und Ihnen hilft, eine zukunftssichere, konforme Governance-Strategie aufzubauen.
Das EU-KI-Gesetz ist das weltweit erste umfassende Gesetz zur Regulierung künstlicher Intelligenz. Er verfolgt einen risikobasierten Ansatz und sieht strengere Regeln für KI-Systeme vor, die ein höheres Risiko für die Sicherheit oder die Grundrechte darstellen. Damit soll sichergestellt werden, dass KI sicher, transparent und vertrauenswürdig ist.
Er gilt sowohl für Anbieter, die KI-Systeme entwickeln und auf dem EU-Markt in Verkehr bringen, als auch für Anwender (Organisationen), die KI-Systeme in der EU beruflich nutzen, unabhängig davon, wo der Anbieter oder Anwender seinen Sitz hat.
KI-Systeme mit hohem Risiko werden in sensiblen Bereichen wie Personalbeschaffung, Kreditwürdigkeitsprüfung, kritische Infrastruktur, medizinische Geräte oder Strafverfolgung eingesetzt. Sie müssen strenge Auflagen in Bezug auf Risikomanagement, Dokumentation, Transparenz und menschliche Aufsicht vor dem Einsatz erfüllen.
Das KI-Gesetz tritt im August 2024 in Kraft. Verbotene Praktiken sind ab Februar 2025 verboten, die GPAI-Verpflichtungen gelten ab August 2025, die meisten Anforderungen für hohe Risiken beginnen im August 2026, und ältere GPAI-Modelle müssen bis August 2027 den Anforderungen entsprechen.
Ja, abhängig von der Verwendung. Copilot ist in der Regel risikoarm und erfordert Transparenz. Wird Copilot jedoch in Arbeitsabläufe mit hohem Risiko integriert, z. B. bei der Auswahl von Bewerbern oder bei Leistungsprüfungen, wird der gesamte Prozess zu einem hohen Risiko, und Ihr Unternehmen muss strenge Compliance-Verpflichtungen erfüllen.
Beginnen Sie mit einer vollständigen Bestandsaufnahme der KI-Systeme, klassifizieren Sie Risiken und dokumentieren Sie risikoreiche Arbeitsabläufe. Implementieren Sie Richtlinien, sorgen Sie für menschliche Aufsicht und automatisieren Sie die Überwachung. Nutzen Sie Governance-Tools wie Rencore, um die Einhaltung der Vorschriften zu zentralisieren, Kosten zu kontrollieren und für Audits gerüstet zu sein.