Artikel 4 EU AI Act verlangt von Organisationen, die KI einsetzen, dass sie
die KI-Kompetenz ihres Personals fördern. Sobald Ihre Organisation KI-Systeme einsetzt,
greift die Pflicht, unabhängig von Größe und Rechtsform. Und wenn im Team längst jemand
damit arbeitet, ohne dass Sie es entschieden haben, ist genau das der Punkt, an dem Sie
hinsehen sollten.
Die DSGVO trifft Sie oft härter als ein Unternehmen, weil bei Ihnen
besonders sensible Daten liegen. Gesundheitsangaben gehören zu den besonderen Kategorien
nach Artikel 9, die unter strengerem Schutz stehen. Daten von Kindern und Jugendlichen
schützt die Verordnung zusätzlich gesondert. Die Verantwortung dafür ist dieselbe wie in
einem Unternehmen. Das Personal, das sie trägt, ist meist kleiner, und ein Teil davon
arbeitet ehrenamtlich.
NIS2 trifft viele gemeinnützige Organisationen nicht, denn die Betroffenheit
hängt an Branche und Größe. Ein Bildungsverein fällt in der Regel nicht darunter, ein
Träger im Gesundheitswesen kann sehr wohl betroffen sein. Das nimmt Ihnen im Zweifel eine
Frist, aber es nimmt Ihnen keine Sorgfalt gegenüber den Menschen ab, deren Daten bei Ihnen
liegen.
Das ist eine Einordnung aus der Praxis, keine Rechtsberatung. Ob eine Pflicht Sie im
Einzelfall trifft, klärt Ihre Rechtsberatung. Ich sage Ihnen, was daraus für Ihre
Organisation folgt.