KI-Richtlinie.

1. Zweck und Geltungsbereich

NextOps B.V. wendet diese Richtlinie an, um sicherzustellen, dass KI-Systeme sicher, transparent, fair, nachvollziehbar und menschenzentriert eingesetzt werden. Die Richtlinie gilt für alle Mitarbeitenden, externen Fachkräfte und Auftraggeber von NextOps B.V. und umfasst sowohl den internen Einsatz von KI-Tools als auch KI-Funktionen in Lösungen, die wir für Auftraggeber entwerfen, implementieren oder betreuen.

2. Grundprinzipien

Im Einklang mit Artikel 4 und Anhang IV des AI Act sowie den Ethik-Leitlinien der Europäischen Kommission für vertrauenswürdige KI wenden wir folgende Grundsätze an:

• menschliches Handeln und menschliche Aufsicht;
• technische Robustheit und Sicherheit;
• Datenschutz und Datenqualitätsmanagement;
• Transparenz und Erklärbarkeit;
• Vielfalt, Nichtdiskriminierung und Fairness;
• gesellschaftliches und ökologisches Wohlergehen;
• Rechenschaftspflicht und Nachvollziehbarkeit.

3. Risikoeinstufung (AI Act)

Für jedes KI-System, das wir intern einsetzen oder für Auftraggeber entwickeln, nehmen wir eine Risikoeinstufung gemäß dem AI Act vor:

• Unannehmbares Risiko (Artikel 5): wird von NextOps B.V. weder entwickelt noch bereitgestellt oder genutzt;
• Hohes Risiko (Artikel 6 und Anhang III): nur mit DSFA, Konformitätsbewertung, Risikomanagementsystem und menschlicher Aufsicht;
• Begrenztes Risiko: Nutzer werden darüber informiert, dass sie mit einem KI-System interagieren (Transparenzpflicht, Artikel 50);
• Minimales Risiko: Einsatz gemäß allgemeiner Sorgfaltspflicht und dieser Richtlinie.

4. Zulässige und unzulässige Nutzung

Mitarbeitende von NextOps B.V. dürfen freigegebene KI-Tools unter anderem für Code-Unterstützung, Dokumentation, Übersetzung und Analyse nutzen, sofern dies dieser Richtlinie und der Informationssicherheitsrichtlinie entspricht. In jedem Fall untersagt ist:

• vertrauliche Kundendaten, personenbezogene Daten oder Zugangsdaten ohne geeignete Garantien oder Auftragsverarbeitungsvertrag in öffentliche KI-Dienste einzugeben;
• Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung ohne echtes menschliches Eingreifen vollständig zu automatisieren (Artikel 22 DSGVO);
• KI für Manipulation, Profiling auf Grundlage besonderer Kategorien personenbezogener Daten oder Social Scoring einzusetzen;
• KI-generierte Inhalte ohne Prüfung und ohne angemessene Kontrollen zu veröffentlichen.

5. Datenschutz und Privatsphäre

KI-Systeme werden nach den Grundsätzen Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen (Artikel 25 DSGVO) gestaltet. Für Verarbeitungen mit potenziell hohem Risiko – wozu viele KI-Anwendungen gehören – führen wir eine Datenschutz-Folgenabschätzung (DSFA) gemäß Artikel 35 DSGVO durch. Personenbezogene Daten werden nur auf einer gültigen Rechtsgrundlage verarbeitet, unter Beachtung von Datenminimierung, Zweckbindung und angemessener Sicherheit.

Beim Einsatz externer KI-Anbieter schließen wir einen Auftragsverarbeitungsvertrag (Artikel 28 DSGVO) und prüfen, wo die Daten verarbeitet werden. Für Übermittlungen außerhalb des EWR gelten zusätzliche Garantien wie die Standardvertragsklauseln.

6. Transparenz und Erklärbarkeit

Wenn Endnutzer mit einem KI-System interagieren – etwa mit einem Chatbot oder einem generativen Assistenten –, machen wir dies deutlich. KI-generierte Inhalte (Text, Bild, Audio, Video) werden, soweit zumutbar, als solche gekennzeichnet oder mit technischen Markierungen versehen, gemäß Artikel 50 des AI Act. Wir stellen sicher, dass Entscheidungen, die teilweise auf KI beruhen, nachvollziehbar und erklärbar sind.

7. Menschliche Aufsicht

Für jedes relevante KI-System ist eine menschliche Aufsicht eingerichtet, sodass eine qualifizierte Person dessen Funktionsweise überwachen, interpretieren, übersteuern oder stoppen kann. Für Hochrisiko-KI-Systeme ist dies gemäß Artikel 14 des AI Act eine zwingende Anforderung.

8. Sicherheit und Zuverlässigkeit

KI-Systeme werden nach unseren ISMS-Grundsätzen (abgeleitet von ISO 27001 und NIS2) entwickelt und betreut. Dazu gehören Modellsicherheit, Schutz vor Prompt Injection und Data Poisoning, Protokollierung, Drift-Monitoring und eine regelmäßige Neubewertung der Modelle. Vorfälle mit einem KI-System werden über unser reguläres Verfahren für Vorfälle und Schwachstellen behandelt.

9. Bias, Fairness und Nichtdiskriminierung

Wir testen KI-Modelle aktiv auf Verzerrungen (Bias) und diskriminierende Ergebnisse, auch im Hinblick auf besondere Kategorien personenbezogener Daten (Artikel 9 DSGVO). Bei erheblichen Risiken ergreifen wir Gegenmaßnahmen, etwa eine Neugewichtung der Trainingsdaten, zusätzliche Prüfungen oder eine Einschränkung des Einsatzbereichs.

10. Geistiges Eigentum und Eingaben

Beim Einsatz generativer KI achten wir die Rechte Dritter. Inhalte, die NextOps B.V. oder ihre Auftraggeber in ein KI-System eingeben, bleiben Eigentum des Rechteinhabers. Wir verwenden Kundendaten nicht zum Training von Modellen, sofern dies nicht ausdrücklich schriftlich vereinbart wurde.

11. Lieferanten und Tools

Bevor wir einen KI-Anbieter einsetzen, führen wir eine Lieferantenbewertung zu Sicherheit, Datenschutz, KI-Governance und Einhaltung des AI Act durch. Eine aktuelle Liste freigegebener KI-Tools wird intern geführt.

12. Verantwortlichkeiten

Die Geschäftsführung von NextOps B.V. trägt die Gesamtverantwortung für die Einhaltung dieser Richtlinie. Der Datenschutzbeauftragte (sofern vorhanden) und der Sicherheitsbeauftragte beraten zu Datenschutz- und Sicherheitsaspekten. Alle Mitarbeitenden sind dafür verantwortlich, diese Richtlinie in ihrer täglichen Arbeit einzuhalten.

13. Änderungen

NextOps B.V. überprüft diese KI-Richtlinie mindestens einmal jährlich sowie bei wesentlichen Änderungen der Rechtslage (etwa weiteren Durchführungsrechtsakten zum AI Act) oder unserer Leistungen.

14. Kontakt

Fragen, Hinweise oder Beschwerden zum Einsatz von KI bei NextOps B.V. richten Sie bitte an: NextOps B.V., Nobelstraat 15 BU6, 2693 BC ’s-Gravenzande, Niederlande, E-Mail legal@nextops.nl.