KI-Compliance: Warum Unternehmen den digitalen Tatort entschärfen müssen

Künstliche Intelligenz ist aus vielen Unternehmen nicht mehr wegzudenken. Doch mit der neuen Technologie wachsen auch die Risiken. Der Compliance- und Forensikspezialist Andreas Maximilian Nolte warnt im BUSINESS TALK davor, dass unkontrollierte KI-Nutzung Unternehmen in einen digitalen Tatort verwandeln kann. Besonders kleinere Betriebe und deren Geschäftsführungen stehen vor erheblichen Haftungsrisiken im Millionenbereich. Die zentrale Botschaft: KI-Compliance ist keine Zukunftsmusik, sondern eine dringende Notwendigkeit der Gegenwart.

Was bedeutet der digitale Tatort für Unternehmen?

Nolte beschreibt den Tatort in Unternehmen nicht mehr als klassischen Ort wie die Buchhaltung oder den Serverraum. Heute kann eine manipulierte E-Mail, eine gefälschte Stimme, ein KI-generiertes Dokument oder ein automatisierter Workflow der Tatort sein. Wirtschaftskriminalität werde digitaler, schneller und glaubwürdiger. KI mache Betrug nicht neu, aber sie mache Täuschung skalierbar. Eine Fake-Mail wirke plötzlich sprachlich perfekt, eine Zahlungsanweisung klinge nach Geschäftsführung, eine gefälschte Rechnung sehe plausibel aus. Genau deshalb brauchten Unternehmen heute nicht nur IT-Sicherheit, sondern digitale Wirtschaftsforensik und klare KI-Compliance.

Wie groß ist die Bedrohungslage für die deutsche Wirtschaft?

Die Zahlen sind alarmierend. Das Bundeskriminalamt beziffert den polizeilich erfassten Schaden durch Wirtschaftskriminalität im Jahr 2024 auf 2,76 Milliarden Euro. Das Bundeslagebild Cybercrime 2025 zeigt, dass Cyberangriffe auf die deutsche Wirtschaft ein geschätztes Schadensvolumen von 202,4 Milliarden Euro verursachen. KI-basierte Werkzeuge erhöhen die Professionalität solcher Angriffe weiter. Für Unternehmen bedeutet das: KI ist längst nicht mehr nur ein Innovationsthema, sondern ein zentrales Compliance-, Governance- und Forensikthema.

Warum ist unkontrollierte KI-Nutzung gefährlich?

Nolte betont, dass KI-Nutzung nicht das Problem sei, sondern unkontrollierte KI-Nutzung. In vielen Organisationen werde KI bereits verwendet, ohne dass die Geschäftsführung genau wisse, welche Tools genutzt werden, welche Daten eingegeben werden und ob personenbezogene Daten oder Geschäftsgeheimnisse betroffen sind. Dieses Phänomen nennt er Schatten-KI. Sie entstehe dort, wo Mitarbeitende schneller handeln als die Organisation Regeln schafft. Daraus entstünden Datenschutzrisiken, Haftungsfragen und Reputationsrisiken. Im schlimmsten Fall drohten Bußgelder bis zu 35 Millionen Euro oder 7 Prozent des Jahresumsatzes, je nachdem, welcher Betrag höher ist.

Welche konkreten Beispiele gibt es?

Ein Mitarbeitender, der sensible Vertragsdaten in ein öffentliches KI-Tool eingibt, um eine Zusammenfassung zu erhalten, schafft ein Datenschutz- oder Geschäftsgeheimnisproblem. Eine KI-generierte Zahlungsanweisung, die angeblich von der Geschäftsführung stammt, kann ohne klare Freigabeprozesse zu erheblichen finanziellen Schäden führen. Die forensische Frage laute dann: Wer hat was erhalten? Welche Datei wurde verändert? Welche Metadaten gibt es? Und compliance-seitig: Warum gab es keine Regeln, Schulungen oder Kontrollmechanismen?

Warum ist KI-Compliance Chefsache?

Nolte argumentiert, dass KI nicht nur die IT-Abteilung betrifft. Sie berühre Datenschutz, Arbeitsprozesse, Entscheidungswege, Geschäftsgeheimnisse, Haftung, Personal, Kunden- und Behördenkommunikation sowie interne Untersuchungen. Die Geschäftsführung müsse wissen, welche Risiken entstehen. Wer darf KI nutzen? Wofür? Mit welchen Daten? Wer prüft die Ergebnisse? Das seien keine reinen IT-Fragen, sondern Führungs- und Compliance-Fragen. Besonders einschneidend: Nach der EU-KI-VO können Bußgelder von bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes drohen. Bei Datenschutzverstößen kommen zusätzlich bis zu 20 Millionen Euro oder 4 Prozent nach der DSGVO hinzu. Für Geschäftsführungen und Vorstände gelten über § 43 GmbHG, § 93 AktG und § 130 OWiG persönliche Haftungs- und Bußgeldtatbestände.

Was bedeutet KI-Compliance konkret?

KI-Compliance bedeutet, dass ein Unternehmen den Einsatz von KI rechtlich, organisatorisch und technisch beherrscht. Dazu gehören klare Richtlinien, Rollen, Freigabeprozesse, Schulungen, Dokumentation und Kontrollmechanismen. Ein Unternehmen sollte mindestens wissen: Welche KI-Systeme werden eingesetzt? Welche Daten fließen in diese Systeme? Welche Risiken entstehen für Betroffene, Kunden, Beschäftigte und Geschäftsgeheimnisse? Welche KI-Nutzung ist erlaubt und welche verboten? Wer trägt Verantwortung? Wie werden Vorfälle dokumentiert und aufgeklärt? KI-Compliance ist also kein einzelnes Dokument, sondern ein Managementsystem für den verantwortungsvollen Einsatz künstlicher Intelligenz.

Welche Rolle spielt der EU AI Act?

Der EU AI Act ist nach Noltes Einschätzung ein Weckruf. Er zeige Unternehmen deutlich, dass KI kein rechtsfreier Raum sei. Besonders wichtig sei das Thema KI-Kompetenz. Beschäftigte, die mit KI-Systemen arbeiten, müssten verstehen, was sie tun, fachlich, rechtlich und organisatorisch. Unternehmen und Behörden könnten nicht einfach KI-Tools einführen und hoffen, dass schon alles gutgehe. Sie brauchten Schulungen, klare Zuständigkeiten und ein Verständnis für die Risiken.

Wo überschneiden sich KI-Compliance und Wirtschaftsforensik?

Die Überschneidung liege genau dort, wo ein Vorfall aufgeklärt werden müsse. Wenn eine KI-generierte Mail zu einer falschen Zahlung geführt habe oder interne Daten in einem KI-System gelandet seien, reiche ein Bauchgefühl nicht aus. Dann brauche es digitale Spuren. Die Wirtschaftsforensik frage: Was ist passiert? Wer war beteiligt? Welche Systeme wurden genutzt? Die KI-Compliance frage zusätzlich: Hätte das Unternehmen diesen Vorfall verhindern können? Gab es Regeln, Schulungen und Freigabeprozesse?

Was sind typische Schwachstellen in Unternehmen?

Die größte Schwachstelle ist Unklarheit. Viele Unternehmen haben keine Übersicht über ihre KI-Nutzung. Es gibt keine verbindliche Richtlinie, keine Schulungen, kein Risikoregister und keine klare Dokumentation. Häufig fehlen einfache, aber wirksame Regeln: Keine personenbezogenen Daten in ungeprüfte KI-Systeme. Keine vertraulichen Kunden- und Patientendaten in öffentliche Tools. Keine KI-generierten Ergebnisse ohne menschliche Kontrolle in sensiblen Entscheidungen. Keine Zahlungsfreigabe allein aufgrund digitaler, ungeschützter Kommunikation.

Was passiert, wenn Unternehmen KI-Compliance ignorieren?

Dann laufen sie blind in Risiken hinein. Im besten Fall entstehen nur Qualitätsprobleme. Im schlechteren Fall gibt es Datenschutzverstöße, Geschäftsgeheimnisverletzungen, falsche Entscheidungen, manipulierte Zahlungen, Reputationsschäden oder interne Konflikte. Besonders kritisch wird es, wenn nach einem Vorfall niemand erklären kann, welche KI verwendet wurde, welche Daten eingegeben wurden und wer die Verantwortung hatte. Aus einem technischen Problem wird dann sehr schnell ein Compliance-Problem mit finanziellen und in bestimmten Fällen auch strafrechtlichen Auswirkungen.

Wie sollten Unternehmen konkret starten?

Zuerst brauchen Unternehmen Transparenz. Sie müssen wissen, wo KI bereits genutzt wird. Danach folgt eine Risikobewertung: Welche Anwendungen sind unkritisch? Welche berühren personenbezogene Daten? Welche betreffen Kunden, Beschäftigte, Behörden oder Geschäftsgeheimnisse? Dann braucht es eine KI-Richtlinie, Schulungen, klare Verantwortlichkeiten, Freigabeprozesse und einen Notfallplan für KI-bezogene Vorfälle. Wichtig ist, dass KI-Compliance praktisch sein muss. Wenn Regeln zu kompliziert sind, werden sie im Alltag umgangen.

Ist KI also vor allem Risiko?

Nein, sagt Nolte. KI sei eine große Chance. Aber Chancen brauchten Regeln. Eine gute KI-Compliance verhindere nicht Innovation, sondern mache sie möglich. Unternehmen könnten KI nur dann sinnvoll nutzen, wenn Beschäftigte wissen, was erlaubt ist, Führungskräfte Verantwortung übernehmen und sensible Daten durch richtige Vorsorge geschützt bleiben.

Was ist die wichtigste Botschaft?

KI wird Wirtschaftskriminalität, Datenschutz und Compliance dauerhaft verändern. Unternehmen brauchen deshalb nicht nur neue Tools, sondern neue Verantwortungsstrukturen. Der digitale Tatort entsteht dort, wo Technik schneller eingeführt wird als Regeln. KI-Compliance ist der Schlüssel, damit Unternehmen Innovation nutzen können, ohne Kontrolle, Vertrauen und Rechtssicherheit zu verlieren. Wer KI nutzen will, braucht KI-Compliance. Nicht als Bremse, sondern als Sicherheitsgurt.