Dr. Hans-Jürgen Hillmer
Voraussetzungen des Einsatzes von KI-Anwendungen
Mit dem Inkrafttreten der EU-Verordnung über Künstliche Intelligenz (KI-Verordnung – KI-VO) am 1.8.2024 wurden umfassende Regelungen für den Einsatz von KI-Systemen eingeführt. Diese werden schrittweise wirksam. Was es für den Mittelstand zu beachten gilt, wurde in einem am 12.2.2025 veröffentlichten Leitfaden klargestellt, der sich insbesondere an Finanzexperten richtet.
Praxis-Info!
Problemstellung
Den Auftakt der schrittweise wirksam werdenden Regelungen der KI-VO machten am 2.2.2025 die Kapitel I und II, welche die Gewährleistung der KI-Kompetenz von Nutzern von KI-Anwendungen sowie die Einstellung verbotener KI-Praktiken beinhalten (vgl. auch Thurow, Pflicht zu KI-Kompetenzschulungen seit 2.2.2025, BC 2025, 57 f., Heft 2). Dies betrifft also insbesondere auch den Finanzbereich z.B. mit der Rechnungsprüfung oder dem Forderungsmanagement. Seitens Accountancy Europe (Zusammenschluss von Berufsorganisationen der Wirtschaftsprüfer in Europa) wird vor diesem Hintergrund auf Folgendes hingewiesen: Auch kleine und mittlere Unternehmen (KMU), die unter den Geltungsbereich dieser Verordnung fallen, müssen nun prüfen, ob die Anforderungen auf sie anwendbar sind. Gegebenenfalls haben sie deren Einhaltung sicherzustellen.
Lösung
Accountancy Europe hat dies zum Anlass genommen, einen Leitfaden als Überblick über die wesentlichen Bestimmungen der KI-VO zu veröffentlichen – mit besonderem Fokus auf die Auswirkungen für KMU. Dieser richtet sich auch an Wirtschaftsprüfungsgesellschaften, die selbst KI-Systeme nutzen und damit den regulatorischen Anforderungen der KI-VO unterliegen. Selbstverständlich sollten sich insoweit auch selbstständige wie angestellte Bilanzbuchhalter zumindest mittelbar angesprochen sehen.
Um die möglichen Auswirkungen der Verordnung zu bewerten, enthält der Leitfaden dazu eine (relativ) einfache Checkliste, die KMU und ihre Wirtschaftsprüfer abarbeiten können. In 10 Schritten kann geprüft werden, inwieweit im jeweiligen Unternehmen Handlungsbedarf zwecks Einhaltung der Vorschriften der KI-VO besteht (eine näherungsweise Übersetzung findet sich im Kasten unten):
- Does the SME develop or use AI systems? If yes, proceed to the next step.
- What is the intended purpose of the AI system? Identify the specific application area of the AI system, such as healthcare, finance, or manufacturing.
- Does the AI system fall under any of the high-risk categories listed in Annex III? If yes, the AI system will be subject to stringent requirements. If no, proceed to the next step.
- Is the AI system used as a safety component of a product covered by existing EU product safety legislation? If yes, the AI system will be subject to the AI Act’s requirements in addition to the existing product safety legislation. If no, proceed to the next step.
- Does the AI system pose any risks to health, safety, or fundamental rights? Assess the potential impact of the AI system on individuals and society.
- Are there any transparency obligations applicable to the AI system? Consider whether users need to be informed about their interaction with the AI system.
- What are the potential costs of compliance? Evaluate the financial implications of meeting the AI Act’s requirements, such as data quality management, technical documentation, conformity assessment, and registration.
- Which support measures could be available to the SME? Explore the possibilities of utilizing AI regulatory sandboxes, simplified obligations for microenterprises, standardized templates, and other support initiatives.
- What is the timeline for compliance? Determine the relevant deadlines for implementing the necessary changes and fulfilling the Act’s obligations.
- How can the SME integrate compliance into its business strategy? Consider the long-term implications of the AI Act and incorporate the necessary measures into the SME’s overall business planning.
Deutlich wird insbesondere, dass damit auch die seitens der KI-Anwendungen verursachten Compliance-Kosten in den Blick zu nehmen sind (Nr. 7). Controller sind daher gefordert, einer „blinden KI-Euphorie“ Einhalt zu gebieten. Das sollten sie übrigens nicht nur wegen neuer regulatorischer Vorgaben machen, sondern schlicht zur Absicherung des Geschäftserfolgs als traditioneller Kernaufgabe: Schlechte Erfahrungen mit dem Einsatz unvollkommen entwickelter KI-Assistenten, die beispielsweise bei manchen Energieversorgern Raubbau an den Nerven- und Zeitressourcen der in Frageschleifen verwickelten Kunden treiben, lassen vermeintliche Kostenvorteile schnell zusammenschmelzen, wenn Kündigungen nicht ausbleiben.
- Zum Download des Leitfadens siehe unter https://accountancyeurope.eu/publications/the-eu-ai-act-a-guide-for-sme-accountants/. Da aber auch damit, so ein weiterer Hinweis von Accountancy Europe, viele der „KMU accountants” nicht zu KI-Experten werden und die Checkliste nicht abschließend zur Absicherung befähige, ob man sich „compliant“ verhalte, also in Übereinstimmung mit den Anforderungen der KI-VO agiere, solle für Zweifelsfragen Spezialexpertise in Anspruch genommen werden: „More specialised knowledge and expertise is needed in case of doubt … SMEs in particular will need support and guidance“ („Im Zweifelsfall ist mehr Fachwissen und Expertise nötig … insbesondere KMU brauchen Unterstützung und Beratung“).
- Die deutsche Wirtschaftsprüferkammer (WPK) weist ergänzend am 20.2.2025 darauf hin, dass grundsätzliche Ausführungen zur KI-VO außerdem den Fragen und Antworten der WPK zum Einsatz von Künstlicher Intelligenz in der WP-Praxis (Frage 2.1.) zu entnehmen sind (siehe unter https://www.wpk.de/neu-auf-wpkde/ki/).
|
Dr. Hans-Jürgen Hillmer, BuS-Netzwerk Betriebswirtschaft und Steuern, Coesfeld
10 Prüfschritte zur Einhaltung der Vorschriften der KI-Verordnung - Entwickelt oder nutzt das KMU KI-Systeme? Wenn ja, fahren Sie mit dem nächsten Schritt fort.
- Welchen Zweck soll das KI-System erfüllen? Geben Sie den spezifischen Anwendungsbereich des KI-Systems an, z.B. Gesundheitswesen, Finanzen oder Fertigung.
- Fällt das KI-System unter eine der in Anhang III der KI-VO aufgeführten Hochrisikokategorien? Wenn ja, gelten für das KI-System strenge Anforderungen. Wenn nein, fahren Sie mit dem nächsten Schritt fort.
- Wird das KI-System als Sicherheitskomponente eines Produkts verwendet, das unter die bestehenden EU-Rechtsvorschriften zur Produktsicherheit fällt? Wenn ja, unterliegt das KI-System zusätzlich zu den bestehenden Produktsicherheitsvorschriften den Anforderungen der KI-VO. Wenn nein, fahren Sie mit dem nächsten Schritt fort.
- Stellt das KI-System ein Risiko für die Gesundheit, die Sicherheit oder die Grundrechte dar? Bewerten Sie die möglichen Auswirkungen des KI-Systems auf den Einzelnen und die Gesellschaft.
- Gibt es Transparenzpflichten für das KI-System? Überlegen Sie, ob die Nutzer über ihre Interaktion mit dem KI-System informiert werden müssen.
- Wie hoch sind die potenziellen Kosten für die Einhaltung der Vorschriften? Bewerten Sie die finanziellen Auswirkungen der Erfüllung der Anforderungen der KI-VO, wie Datenqualitätsmanagement, technische Dokumentation, Konformitätsbewertung und Registrierung.
- Welche Unterstützungsmaßnahmen könnten dem KMU zur Verfügung stehen? Prüfen Sie die Möglichkeiten der Nutzung von „regulatorischen Sandkästen“ für KI [*], vereinfachten Verpflichtungen für Kleinstunternehmen, standardisierten Vorlagen und anderen Unterstützungsinitiativen.
- Wie sieht der Zeitplan für die Einhaltung der KI-VO aus? Bestimmen Sie die relevanten Fristen für die Umsetzung der erforderlichen Änderungen und die Erfüllung der Verpflichtungen aus der KI-VO.
- Wie kann das KMU die Einhaltung der KI-VO in seine Geschäftsstrategie integrieren? Berücksichtigen Sie die langfristigen Auswirkungen der KI-VO, und integrieren Sie die erforderlichen Maßnahmen in die allgemeine Geschäftsplanung des KMU.
[*] Ein „regulatorischer Sandkasten“ ist ein Instrument, das es Unternehmen ermöglicht, unter Aufsicht einer Regulierungsbehörde neue und innovative Produkte, Dienstleistungen oder Unternehmen zu erforschen und zu erproben (Testen von Innovationen in einem kontrollierten Umfeld). |
BC 4/2025
BC20250404