Digitale Transformation – Ist Ihr Unternehmen auf die neuen EU-Gesetze vorbereitet?

Die Europäischen Kommission hat zur Gestaltung der digitalen Zukunft Europas eine Vielzahl gesetzlicher Regelungen vorbereitet und erlassen, die den rechtlichen Rahmen des digitalen Wandels bilden. Sie werden weitreichende Auswirkungen auf den unternehmerischen Alltag haben. Als Auftakt unserer Serie ´Digitale Transformation´ möchten wir Ihnen einen Überblick über die wichtigsten Neuerungen geben und in den kommenden Wochen dann jeweils detailliertere Informationen zu den einzelnen Themen zur Verfügung stellen. Sprechen Sie uns gerne an.

Europäische Datenverordnung (Data Act)

Am 11. Januar 2024 ist der Data Act erlassen worden, der im September 2025 in Kraft treten wird.

Die neuen Vorschriften begründen das Recht auf Zugang zu Industriedaten und regeln deren Nutzung und Austausch. Hersteller von vernetzten Produkten (´Internet of Things´ z.B. Maschinen, Sensoren, Bauteile, Haushaltsgeräte oder Fahrzeuge) werden verpflichtet, hierüber gewonnene Daten mit Nutzern (Unternehmen oder Verbraucher), Behörden und auch dritten Unternehmen zu teilen (Data Sharing). Von den Regelungen betroffen sind sowohl die Hersteller und Dateninhaber als auch Nutzer von vernetzen Geräten sowie Anbieter von Datenverarbeitungsdiensten.

Vernetzte Produkte müssen anhand der Vorgaben aus dem Data Act gestaltet werden („Access by Design“). Das Gesetz verlangt von den Dateninhabern zudem, dass sie die Daten kontinuierlich zugänglich machen. Das wird weitreichende Auswirkungen auf sensible Daten und Geschäftsgeheimnisse von Unternehmen haben, die ausreichend geschützt werden müssen.  Umgekehrt kann der Zugang zu Daten Dritter einen Anreiz für datengetriebene Innovationen bieten.
Zudem sind Datenlizenzverträge mit allen Nutzern vorgeschrieben, um zukünftig die generierten Daten nutzen zu können. Dateninhabern steht es also zukünftig nicht mehr frei, die Daten unbeschränkt zu nutzen und zu teilen.

Die komplexen vertraglichen und technischen Vorgaben sollten Sie so früh wie möglich vorbereiten und umsetzen. Am besten jetzt schon!

Europäische Verordnung über künstliche Intelligenz (AI Act)

Die Nutzungsmöglichkeiten von künstlicher Intelligenz („KI“) nehmen laufend zu und führen zu gravierenden Änderungen des Arbeitsalltags. Die EU-Kommission hat eine Regulatorik entwickelt, die eine Nutzung von KI ermöglichen, aber ihr gleichzeitig Grenzen setzt. Die Verordnung soll – nach aktuellem Stand – Mitte 2024 in Kraft treten. Nach einer Übergangsfrist von 24 Monaten wäre sie dann europaweit geltendes Recht. Betroffen sind alle Hersteller und Anwender von KI (Bild-, Sprach- und Texterkennung, HR-Systeme, Smart Home, autonomes Fahren, industrielle Anwendungen, vernetzte Geräte).  

Die Verordnung unterscheidet bei KI-Anwendungen zwischen vier Risikoklassen.  
Für jede Risikoklasse gibt es eigene Regeln, die bis hin zu einem Verbot der Nutzung gehen. Vorgesehen sind in jedem Fall ein verpflichtendes Qualitäts- und Risikomanagementsystem sowie detaillierte Transparenzpflichten. Eine Datenschutzfolgenabschätzung dürfte ebenfalls Pflicht werden. Sowohl Hersteller als auch Anwender von KI-Systemen sollten sich frühzeitig mit den gesetzlichen Vorgaben auseinandersetzen und sowohl intern (integrierte Unternehmensrichtlinie, Betriebsvereinbarung) als auch extern (Klassifizierung und Dokumentation) vorbereiten. Unsere Empfehlung ist, sich schon jetzt mit der KI-Verordnung zu beschäftigen, um den aktuellen Einsatz von digitalen Systemen an den neuen Vorschriften ausrichten zu können.

Gleichzeitig wird ein neues Europäisches Amt für KI (AI Office) eingerichtet, das die Durchsetzung der neuen Vorschriften für KI-Modelle überwachen wird. Wie die DS-GVO sieht auch die KI-Verordnung drakonische Strafen im Falle einer Verletzung vor.

Gesetz über digitale Dienste (Digital Services Act)

Die Verordnung über digitale Dienste soll einen sichereren digitalen Raum für Nutzer von Online-Diensten schaffen und bezweckt insbesondere die Bekämpfung rechtswidriger Inhalte. Der Digital Services Act ist bereits in Kraft getreten und findet seit Februar 2024 für Anbieter digitaler Dienstleistungen Anwendung.

Online-Vermittler und -Plattformen, wie etwa Online-Marktplätze, soziale Netzwerke, App-Stores und Online-Reise-Plattformen sind verpflichtet, illegale Inhalte aufzudecken, zu kennzeichnen und zu entfernen.

Gesetz über digitale Märkte (Digital Markets Act)

Die bereits am 1. November 2022 in Kraft getretene Verordnung über digitale Märkte soll sicherstellen, dass der Zugang zu und die Bedingungen auf digitalen Märkten fair und zu gleichen Bedingungen erfolgt und Unternehmen, die den Marktzugang kontrollieren (´Gatekeeper´ z.B. Google, Apple, Microsoft, Meta) ihre Position nicht zur Benachteiligung Dritter nutzen.

Datenschutzgrundverordnung (DS-GVO)

Viele Unternehmen haben die Anforderungen der 2018 in Kraft getretene DS-GVO mittlerweile umgesetzt und in den Unternehmensalltag integriert. Vor dem Hintergrund der neuen EU-Gesetze, verschiedenen Beschlüssen der EU Kommission und neuen Urteilen ist die Überprüfung und Revision der internen Prozesse zu empfehlen. Die DS-GVO wird weiterhin eine wichtige Rolle bei der Digitalisierung spielen. Gut, wenn bereits jetzt die Vorgaben umgesetzt sind.

Verordnung über Cybersicherheit (Cyber Resilience Act)

Der Vorschlag der EU Kommission für eine Verordnung über Cybersicherheitsanforderungen für Produkte mit digitalen Elementen soll die Sicherheit von Produkten gewährleisten, die miteinander oder mit dem Internet verbunden werden können („Security by Design“) und beinhaltet zahlreiche Pflichten von Herstellern und Importeuren. Nach derzeitigem Stand soll das Gesetz 2024 erlassen werden und nach einer Übergangsfrist von 36 Monaten in Kraft treten.