Die KI-VO geht über die Regelungen der DSGVO hinaus und regelt spezifische Aspekte der eingesetzten KI-Systeme.

Die Anforderungen an Transparenz, Nachvollziehbarkeit und Datenqualität werden in Bezug auf den Einsatz von KI-Systemen spezifisch geregelt:

• Die KI-VO regelt den Einsatz von KI-Systemen, indem sie Risikoklassen definiert. Viele KI-Anwendungen im Bankenumfeld implizieren gemäß KI-VO ein „hohes Risiko“ (z. B. Kreditentscheidungen oder auch Betrugsprävention). 
  
  
• Mit der jeweiligen Risikoklassifizierung sind entsprechende Pflichten verbunden - wie z. B.
  - die Einrichtung eines Risiko-Managementsystem, 
  - die Einhaltung von Daten- und Governance-Standards,
  - die technische Dokumentation sowie
  - definierte Kontrollmechanismen.

Verarbeitet also ein KI-System personenbezogene Daten, greift immer die DSGVO. Zusätzlich sind je nach Risikoklasse, die Anforderungen aus der KI-VO umzusetzen. Das heißt auch: Beide Regelwerke können verletzt werden - mit 
jeweils eigenen Sanktionen. 

In der Praxis hat sich Folgendes bewährt:

• Integriertes Compliance-Konzept: 
  Datenschutz-Management und KI-Compliance werden in einem gemeinsamen Governance-Framework 
  gedacht. 
  
  
• Aufbau von Audit-Trails:
  Eine lückenlose Dokumentation von Trainingsdaten, Modelländerungen, Entscheidungen und Kontrollen erhöhen die Resilienz.
  
  
• Stringente Steuerung der Dienstleister: 
  Auftragsverarbeitungsverträge nach DSGVO und Pflichten aus der KI-Verordnung werden aufeinander abgestimmt - insbesondere bei Cloud-SaaS- und KI-Anbietern.