Compliance in der digitalen Welt: NIS2 und AI Act – Herausforderungen meistern und Chancen nutzen

Herzlich willkommen zur siebten Folge von Code of C, dem True Compliance Podcast von .LOUPE. Hier sprechen wir über Compliance aus der Praxis für die Praxis. Mein Name ist Martin Reichetseder, ich bin Compliance Officer, Mitgründer von .LOUPE und für die nächsten Minuten Ihr Gastgeber. So, wir sind zurück aus der Sommerpause. Ich habe die Sommerpause ein bisschen genutzt, um bei ausgewählten Kolleginnen und Kollegen aus der Compliance-Praxis ein bisschen Feedback zum Podcast einzuholen und mir zusätzlich auch ein paar Themenvorschläge zu holen. Vielen lieben Dank an der Stelle für die wunderbaren Rückmeldungen, insbesondere via LinkedIn und auch via E-Mail. Das bedeutet mir tatsächlich sehr, sehr, sehr viel, und weil mir dieses Feedback sehr wichtig ist, ist auch das heutige Thema ein konkreter Wunsch aus der Community.

In der heutigen Folge sprechen wir über das Thema Compliance in Verbindung mit digitalen Technologien und IT-Security. Es geht also um die Themen NIS2 und AI Act als neue Verantwortungsbereiche von Compliance, Fragezeichen, Rufzeichen. Und um dem Thema praxisgetreu gerecht zu werden, habe ich heute zwei Kolleginnen eingeladen, mit denen ich freundschaftlich verbunden bin und die sich tagtäglich mit Informationstechnologie, mit Compliance und mit Datenschutz beschäftigen. Es ist mir wirklich, wirklich eine ganz besondere Freude, diese zwei besonderen Menschen bei mir begrüßen zu dürfen im Studio. Herzlich willkommen Katharina Bisset, Rechtsanwältin, Autorin, Start-up-Gründerin, z. B. von Netzbeweis, und selbst Podcast-Host bei Nürburgring, und herzlich willkommen Nathalie Segúr-Cabanac, Magenta Österreich, Vorständin bei der ISPA, Keynote-Speakerin und Expertin sowie Vortragende zu den Themen Datenrecht, Regulierung, künstliche Intelligenz und Compliance.

Schön, dass ihr da seid. Danke sehr, freuen uns. Danke für die Einladung. Ja, selbstverständlich. So, und mittlerweile ist es bei uns ja auch Tradition, wie ihr wisst, dass wir einen kleinen Mutmacher vorbereiten. Im August, und auch das war ein Feedback aus der Community: Es muss nicht immer Alkohol sein. Die Nathalie begnügt sich als Mutmacher mit einem Glas Wasser. Die Katharina hat eine … „Orangina“ heißt das. „Orangina“, never heard before. Und ich gönne mir ein Ginger Beer. Ich habe tatsächlich schon gekostet, es ist widerlich. Nichtsdestotrotz. Wir lockern damit ein bisschen unsere Stimme, und wir befeuchten damit unseren Gaumen, damit wir auch ordentlich sprechen können. Meine Lieben, liebe Nathalie, liebe Katharina, bevor wir uns in das Thema stürzen, zu dem ich gar nicht so viel beitragen kann dieses Mal, lade ich euch ein zum Code-of-C-Check-in.

Zum Aufwärmen darf ich euch ersuchen, folgende Sätze zu vervollständigen. Ich fange an mit der Nathalie. Datenschutz kommt nicht aus der Mode, weil … wir jeden Moment unseres Alltags mit Daten und Datenschutz in Berührung kommen. Das nehmen wir. Katharina, Compliance ist wertvoll, weil … die Leute noch immer nicht ganz verstanden haben, dass Menschen geschützt werden müssen und nicht immer nur die Themen drumherum.

Völlig richtig, völlig richtig. So, und auch für euch beide habe ich noch Entweder-oder-Sätze vorbereitet. Liebe Katharina, Compliance und der Umgang mit digitalen Technologien ist entweder ein exotisches Randthema oder eine logische Zukunftspartnerschaft? Wird es noch, sollte immer schon Teil der Arbeit sein. Sehr spannend. Nathalie, NIS2 und AI Act: entweder Bürde oder Chance für Unternehmen? Auf jeden Fall Chance für Unternehmen. Das ist ein wunderbarer Start in die siebte Folge. Wenn man sich jetzt mit diesen Grundsätzen der neuen rechtlichen Rahmenbedingungen beschäftigt, dann wird eines klar, in meiner kleinen Vorbereitung zu diesem Thema: Sie zielen alle auf die Themen Sicherheit, Vertrauen und Risikomanagement ab.

Das deckt sich, und da sind wir ganz ehrlich, ohne Zweifel mit den Aufgaben und den Zielsetzungen von einem Compliance-Management-System. Warum? Weil wir Compliance Officer Risikomanager und Risikomanagerinnen sind. Wie gehen wir da jetzt im besten Fall mit diesen neuen Risikoanforderungen und auch dem Risiko um? Damit es kein völliger Sprung ins kalte Wasser wird für die Zuhörerinnen und Zuhörer, würden wir jetzt kurz einmal darüber sprechen, was NIS2 eigentlich ist, wer ist davon betroffen, und auch, was ist der AI Act und wer ist davon betroffen. Und nachdem ihr beide ja die Spezialistinnen in diesem Gebiet seid, fange ich mal an mit dir, liebe Katharina: Erklär uns doch bitte mal, was, was ist NIS2 und wen betreffen diese Regelungen?

Und vielleicht noch wann? Das eine ist vielleicht die leichtere, das andere ist aber die schwerere Frage. NIS2 ist eine europäische Richtlinie, wie der Zweier vermuten lässt. Es gab schon eine NIS 1 vorher, die hat aber nur hauptsächlich kritische Infrastruktur, öffentliche Sachen, also sagen wir mal einen kleinen Teil der Wirtschaft und des öffentlichen Lebens. NIS2 geht jetzt viel weiter, NIS2 geht um IT-Security vor allem, geht um die Rahmenbedingungen und die technischen und organisatorischen Dinge, die man im Unternehmen implementieren muss, und betrifft eben jetzt auch sehr viele Unternehmen in der IT. Wen das genau betreffen wird, wissen wir noch nicht zu 100 Prozent, weil es eine Richtlinie ist, die musste umgesetzt werden, Österreich ist wie immer spät dran.

Und wir haben da ein bisschen Spielraum noch. Das heißt, wir haben schon eine Größenbeschränkung. Es gibt auch bei den Branchen noch ein bisschen Spielraum. Das heißt, so ganz sicher wissen wir es noch nicht. Aber warum es noch so viel relevanter ist: Je größer einmal der direkte Anwendungsbereich ist, je größer die Zielgruppe einmal erst auf dem ersten Level ist, umso mehr werden dann die Leute, die es in der Lieferkette erwischt. Das heißt, wenn ich jetzt ein Unternehmen bin und sage, ich muss jetzt das einhalten, ich muss meine Dienstleister genauso dazu verpflichten, das heißt, es ist viel größer, und im Gegensatz zu NIS 1 kriegt man das auch nicht gesagt per Bescheid, ob es jetzt zutrifft oder nicht, sondern man muss das selbst rausfinden.

Das heißt, da ist sehr, sehr viel Selbstfindungsprozess. Das heißt, ja, es geht um IT-Security, es betrifft sehr, sehr viele, sagen wir mal, größere Unternehmen, Unternehmen, die von NIS betroffen sind, die betrifft es natürlich weiter, aber gerade im IT-Bereich, von Cloud-Providern, Telekom-Providern,

betrifft es jetzt immer mehr, und da ist das, was spannend wird. Also Thema Informationssicherheit und die Security. So, dann schaue ich zur Nathalie. Was ist der AI Act? Der AI Act ist im Gegensatz zu NIS2, die eine Richtlinie ist, eigentlich eine Verordnung, heißt aber trotzdem Gesetz für die künstliche Intelligenz, also das ist die neue Bezeichnung jetzt, ist aber sozusagen nach der Terminologie, nach dem EU-Recht eine Verordnung und wirkt an und für sich direkt, muss nicht mehr umgesetzt werden. Ja, es geht um das große Regelwerk rund um künstliche Intelligenz. Es ist eigentlich vergleichbar mit einer Produktsicherheitsregulierung, es werden AI-Modelle und AI-Systeme reguliert, und der AI Act hat sich zentral einen risikobasierten Ansatz.

Wir kennen alle diese Darstellungen in Dreiecksformen, wo ganz oben die verbotenen KI-Systeme und -Modelle stehen, und dann sozusagen der Hauptteil des AI Acts handelt um die Hochrisiko-KI. Sagt einerseits, wann ist etwas Hochrisiko, und was gibt es für Anforderungen? Und dann gibt es auch noch sozusagen ein bisschen Unterbau, wo es dann sozusagen für die, wo kein Risiko besteht, auch eigentlich gar keine bis wenig Regulierung gibt oder Vorgaben. Es geht natürlich, dazu werden auch die General-Purpose-AI-Modelle und -Systeme jetzt geregelt. Dort geht es dann eher auch um diese Wirkkraft. Wie wirken die? Was haben die für eine Auswirkung potenziell? Und der Fokus ist eigentlich, was können so AI-Systeme und -Modelle, was haben die für eine Auswirkung auf Gesellschaft, auf soziale Gegebenheiten, und haben auch sehr diesen menschenzentrierten Ansatz im Fokus.

Es geht einfach um uns Menschen, dass wir sagen, wie wirken die auf uns? Wie interagieren wir mit der AI? Verstehen wir, was die AI kann und was nicht? Und was für Auswirkungen hat das auf unser persönliches Leben? Das ist sehr spannend. Insbesondere, weil jetzt sind zwar Dinge vorgekommen bei der Erklärung zu NIS2 und auch zur Erklärung zum AI Act. Bei dir, Katharina, hast du von den technischen und organisatorischen Maßnahmen gesprochen, das kennen wir ja schon aus dem Datenschutz, das ist auch ein Compliance-Thema. Und Nathalie, du hast gesprochen, der AI Act hat einen menschenzentrierten Ansatz. Und wenn wir Compliance richtig verstehen, dann stellen wir ja bei der Compliance insbesondere den Menschen ins Zentrum unserer Tätigkeiten.

Also es ist wohl logisch, dass bei beiden Themenbereichen und Themengebieten die Compliance zumindest mitarbeiten muss. Übernimmt die Compliance die volle Verantwortung? Ich würde jetzt mal behaupten, nein, weil aus Gesprächen mit Kolleginnen und Kollegen aus der Praxis weiß ich ja, dass sehr viele Unternehmen noch gar nicht wissen, wie sie damit umgehen. Also selbst diejenigen, die unter NIS zwar vorher fallen, gibt sehr viele, die noch gar nicht wissen, wie sie damit umgehen, was sie tun sollen. AI Act ist ganz neu. Da gibt es auch noch fast niemanden, der irgendeinen Plan hat, etwas zu tun. Aber es ist schon so eine Aufgabe, was Compliance hat, zumindest Dinge anzustoßen. Und darum ist vielleicht auch der Podcast jetzt sehr wertvoll für diejenigen, die in der Compliance-Organisation arbeiten, nicht um es zu übernehmen und vor allem im Lead zu übernehmen, sondern zumindest anzustoßen bei den Personen, Abteilungen, die die Verantwortung übernehmen sollen, dort auch einmal anzufangen oder nicht.

Ich muss auch ein bisschen die Panik aus der ganzen Geschichte rausnehmen, weil KI-Systeme gibt es schon länger. Also das ist alles nichts Neues, und es gibt viele Unternehmen, die damit arbeiten, der AI Act ist gekommen, gerade weil der Hype ist. Und IT-Security ist auch nichts Neues. Das heißt,

wenn man in die Bestimmungen reinschaut und wenn man in diese ganzen Listen von technischen Requirements, die man so erfüllen muss, reinschaut, also sagen wir mal in sehr vielen, gerade security-kritischen Branchen, ist das jetzt nicht unbedingt etwas Neues. Da dreht man vielleicht an der einen oder anderen Schraube, dokumentiert es noch mal anders, hat sozusagen als Checkliste übergestellt, aber es sollte jetzt nicht so sein, dass da die große Panik ausbricht. Ja, ich glaube, dass man aufgrund dieser neuen EU-Rechtsakte, sind ja nicht die einzigen zwei, das muss man sagen, auch den Blick nicht nur nach innen hat, sondern dass man auch noch vermehrt nach außen Richtung Partner, Kooperationspartner und Vertragspartner schauen muss, weil einfach jetzt in allen diesen Rechtsakten sehr klar ist, dass die Lieferkette, die vertragliche Lieferkette, einfach durchgehend diesen Regulierungen entsprechen muss.

Und das bedeutet schon ein bisschen, mich damit zu beschäftigen und schauen, wie muss ich meine Verträge anpassen, wie kann ich sicherstellen, dass meine Vertragspartner mir das Richtige liefern, dass ich die berühmten Beipackzettel bekomme, dass ich sozusagen auch gegenüber meinen Endusern oder meinen Mitarbeitern auch in der Lage bin, die Transparenzvorschriften einzuhalten. Also ich stimme Katharina zu, ja, das sollte eigentlich schon alles da sein. Aber es gehört vielleicht dann noch ein bisschen geschärft, noch mehr, besser dokumentiert, dass sozusagen auch diese Aufsichtsbehörden, die ja gerade bei NIS2 jederzeit teilweise kommen dürfen und sich das anschauen, dass man das einfach in der Lade hat.

Und da fällt mir aber noch ein, weil ich mir ja grundsätzlich denke, die Compliance übernimmt nicht die volle Verantwortung, aber wir in der Compliance haben ja tatsächlich schon die Maßnahmen und die Prozesse, also wir haben es ja zumindest schon implementiert, oder das sollte so sein, wenn es nämlich um das Thema Risiko geht. Also das Thema Risikomanagement ist ja ein Thema, das uns in der Compliance ganz stark umtreibt und für das wir tatsächlich an der einen oder anderen Stelle die Verantwortung übernehmen, wenn es Compliance-Risiken sind. Und wenn ihr beide nämlich von Risiken sprecht, ich habe vorhin gelernt im Vorgespräch, wir sprechen nicht von denselben Risiken, vielleicht können wir da dann noch kurz eingehen, aber wenn wir vom Risiko sprechen, sprechen wir auch immer von der Compliance, und das sollte schon da sein, und insofern stimme ich dir auch zu, Unternehmen sollten nicht panisch agieren, weil sehr vieles wird vermutlich schon da sein, und Strukturen werden vermutlich auch schon da sein, wo wir jetzt nur irgendwie konsolidieren müssen.

Das war ja mit der DSGVO damals das Gleiche, sehr viele von den IT-Maßnahmen hat man ja irgendwie. Man muss es vielleicht noch ein bisschen anders dokumentieren oder ein bisschen mehr dokumentieren oder das erste Mal dokumentieren. Aber da sehe ich den großen Mehrwert, den Compliance schaffen kann als zentrale Stelle, die den Blick hat auf die verschiedenen Themen, weil NIS2 und AI Act sind jetzt zwei Beispiele von, das hat die Nathalie richtig gesagt, sehr, sehr vielen europäischen Rechtsakten gerade in der Digitalisierung. Und das ist ja auch wieder nur ein kleiner Bereich, mit dem wir uns beschäftigen. Und einfach dazu sagen, hey, da kommt was, weil es kann so leicht sein, es geht was schief. Ich sage jetzt nicht nach dem Vorjahr,

es geht einfach jetzt technisch irgendwas schief, dass du gleich in mehrere Richtlinien, in mehrere Verordnungen reinfällst. Dann kannst du einen Data Breach nach der DSGVO haben, dann kannst du einen Vorfall nach NIS haben, dann kannst du in den AI Act reinfallen. Also wenn du Pech hast, hast du gleich mal gegen mehrere Dinge so einen Verstoß, mehrere Gesetze erwischt, aber das ist einfach was, warum die Prozesse so wichtig sind. Und wenn Compliance die Prozesse hat und sagt, hey, wie organisieren wir das, sortiert, wo melden wir Sachen ein, so: Hey, mein Laptop verloren? Dann kann man das dann auch bündeln und dann auch wieder ausfächern zu den richtigen Leuten. Das sollte aber tatsächlich schon vorhanden sein, weil also, wenn jetzt ein Laptop verloren geht, soll es im Unternehmen ja schon Prozesse geben.

Also das, man sollte ja als Unternehmensleitung jetzt schon eine intrinsische Motivation haben, dass man genau für diese Dinge Vorkehrungen getroffen hat. Ich glaube, wenn wir vom Thema Risiko sprechen, würde ich sagen aus der Praxis, es ist gut, wenn man sich schon normal mit dem Thema Risikomanagement und Risikobeurteilung im Unternehmen auseinandergesetzt hat und die Methoden dazu hat, und man sollte jetzt keine neuen Methoden erfinden. Das, das heißt, sollten auch die Verantwortlichen der Compliance sich mit den Risikomethoden des Unternehmens auch beschäftigt haben und die vielleicht auch in ihre Art des Assessments übernommen haben. Aber was man schon machen muss, ist, sich bei jedem Rechtsakt überlegen, was für ein Risiko hat denn dieser Rechtsakt vor Augen, was ist denn eigentlich das Risiko, weil man muss die Risiken ja auch definieren, die sind teilweise nicht im Gesetz, in der Regelung vorgegeben, sondern ich muss mir überlegen, was ist das Ziel des Rechtsaktes und wie kann ich meine Risiken definieren?

Und dann kann ich Maßnahmen ableiten, und wenn eben so etwas passiert, wie der Laptop geht verloren, dann muss ich in der Lage sein, zu schauen, in welche Risikoklassen fällt das überall? Welche Regulierungen und welche Vorgaben sind denn erfüllt? Dann fangen wir an beim Risiko. Also das ist ja genau der Startpunkt auch in der Compliance, das ist auch wie bei einem Compliance-Management-System, ich baue es auf Basis meiner Risiken, die ich identifiziert habe, natürlich basierend auf einem „Tone from the Top“ und „at the Top“, den ich brauche, aber grundsätzlich ist das Risiko jetzt einmal das Erste. Wenn ihr davon sprecht, dass es unterschiedliche Risiken gibt, wie darf ich das verstehen als jemand, der völlig neu ist in diesem Thema?

Ich glaube, in Wirklichkeit kann man da schon mal anfangen damit und schauen in die Nachrichten. Ein Server down, ein ganzer Flughafen down, es ist ein Update-Fail, und plötzlich steht da auch der Flugverkehr. Das sind Sachen, die schiefgehen können, und ich sehe das Risiko als etwas, wo man sagt, okay, das ist etwas, was nicht geplant ist, und ein Risiko kann ein finanzielles Risiko sein. Ich tu mir natürlich in meiner Rolle leichter, zu sagen: Das ist das Risiko, wenn du statt dem 50er, wenn du einen 60er fährst, ist das Risiko Euro X, wennst du erwischt wirst. Und dann kommt halt manchmal: Ja, ich muss aber 60 fahren, und ich will aber 60 fahren, und ich sage, okay, aber dann fahr wenigstens nicht ohne Nummerntafel, mit zwei hinigen Lichtern und einem Auto, was eigentlich auch nicht mehr auf der Straße sein soll.

Und das ist genau das Risiko, mit dem wir leben müssen und mit dem wir, glaube ich,

auch umgehen lernen müssen, dass es einfach nicht schwarz oder weiß ist, und es ist eigentlich nicht, aber wenn du es trotzdem machst, dann schauen wir mal. Ich glaube, das haben wir im Datenschutz schon hunderttausendmal durchexerziert, wird bei dir nicht anders sein. Aber wie unterscheidet sich das Risiko von NIS2 zu dem Risiko im AI Act? Auf was muss da die Compliance schauen, oder ist es völlig unerheblich, weil Risiko ist Risiko? Nein, ich glaube, wir müssen uns immer, also erst einmal, na ja, auch Compliance Officer, Compliance-Verantwortliche sollten sich mit dem Unternehmen, mit dem Geschäftsgegenstand des Unternehmens so weit auseinandergesetzt haben, zu verstehen, was passiert, was für Auswirkungen können Fehler haben, was für Auswirkungen können auch Probleme haben.

Und das ist eigentlich das Risiko: Was hat das für den einzelnen Menschen, sei es intern oder extern, für eine Auswirkung, und wie hoch ist die Eintrittswahrscheinlichkeit, dass das passiert? Und wenn es passiert, wie schlimm ist es? Und daran sozusagen zu messen, okay, meine Maßnahmen, ja, schon vorbeugend oder auch für den Fall, dass was passiert, was kann ich dann tun, Checklisten zu haben, wen zu informieren, wie kann ich das Problem wieder beseitigen oder zumindest mitigieren. Das ist ein total guter Punkt, weil nach meinem Verständnis ist Compliance ja auch immer das, was ich selbst daraus mache, vorausgesetzt, ich kenne meine Prozesse und ich kenne mein Business. Das heißt, wenn wir nämlich von NIS2 und AI Act reden, reden ja jetzt sehr viele immer von einem Monster, und wenn man von Compliance spricht, sprechen immer sehr viele von einem Monster.

Muss es ein Monster sein? Wenn ich dir jetzt zuhöre, Nathalie, glaube ich, muss es auch beim AI Act kein Monster sein, wenn ich verstehe, welche Prozesse habe, welche Anwendungen habe ich bei mir im Unternehmen, mit welcher künstlichen Intelligenz arbeite ich oder mit was sind auch meine Produkte ausgestattet, das heißt, wenn ich das alles weiß und wenn ich mein Business verstehe, und das würde wahrscheinlich, Katharina, bei NIS2 nicht anders sein, dann muss ich auch da nicht die Angst vor einem Monster haben. Also ich habe mir folgendes Bild für mich vor langer Zeit einmal zurechtgelegt: Was ist für mich Compliance? Compliance ist für mich ein bisschen so wie ein Resonanzkörper. Der Resonanzkörper im Unternehmen, der so ein bisschen mitschwingt, wie das Unternehmen so operiert, und das muss in einer gewissen Bandbreite sein, und das muss gut klingen, also rechtlich gut klingen.

Und als Compliance Officer, als Compliance-Verantwortlicher schaue ich, dass die richtigen akustischen Paneele dort aufgehängt sind, damit das auch weiterhin gut klingt, und dass auch die Kommunikation sichergestellt ist, dass jeder auch weiß, was er tun muss. Das ist ja die große Herausforderung, diese Komplexität der vielen Regulierungen, der vielen Regeln, einfach so runterzubrechen, dass jeder es versteht und das Unternehmen trotzdem arbeiten kann und innovativ sein kann. Das ist, glaube ich, schon ein großer Anspruch an Compliance, und dass es eben dann nicht als Monster empfunden wird, sondern eigentlich als Enabler fürs Business. Und das ist, glaube ich, das, wo im Bild noch die größere Herausforderung bei KI-Themen kommt, weil es da halt einfach manchmal zu der Situation kommt, dass du eine Blackbox hast oder nicht weißt, was wann wie rauskommt, weil einfach so lange so viel geforscht, so viel gearbeitet, so viele Daten gesammelt wurden, dass viele gar nicht mehr wissen, womit habe ich trainiert.

Zum Beispiel, stellt euch vor, man würde ein Sprachmodell nur mit den offenen, lizenzfreien Texten von Project Gutenberg trainieren. Das sind, das sind alle, wo die Autoren schon urheberrechtsfrei sind. Das heißt, die Autoren sind schon mal mindestens 50 Jahre tot. Jetzt stellt euch vor, was wird denn dort sein? Mitteleuropäische, weiße Männer, größtenteils, mit einem Gefühl, mit einem Verständnis für Sprache, für das Leben, für die soziale Umwelt, die es heute nicht mehr so gibt, die sich heute nicht mehr so vertreten lässt. Und das heißt, da ist eben genau das Risiko. Und das ist eben das, was wir noch verstehen müssen. Das heißt, ja, das Business, die Prozesse, aber gerade bei der KI geht es halt ganz tief darum: Verstehe das Produkt.

Und deswegen gibt es ja dann auch die Regulative, wo man sagt, okay, wenn ich das Produkt nicht verstehe, wie schaffe ich es, das auszugleichen? Die Geschichte von diesem Microsoft-Twitter-Bot damals vor X Jahren, der dann rassistisch, was weiß ich, was alles, Punkt, Punkt, Punkt war, weil er einfach von den Inhalten von Twitter trainiert wurde. Das ist ja genau das, was man nicht vergessen darf, und das man trotzdem, und wir reden zwar jetzt in einem Podcast über Technik sehr viel über Menschen, zurück zum Menschen, zurück zum Prozess. Ich wollte nämlich grad sagen, also das schafft ja die Brücke wieder zum Menschen, weil wenn du nämlich genau von diesen, nennen wir es jetzt einmal, diesen Stereotypen sprichst, von diesen Männern aus dem Mittelalter oder wo auch immer sie dann sind, dann kommt ja da tatsächlich die Gefahr einer diskriminierenden Sprache und dann der Diskriminierung, und eine Diskriminierung, die offensichtlich dann über künstliche Intelligenz passiert.

Und das ist wieder was, wo ich für mich persönlich jetzt dann sage, das stellt den Menschen in den Mittelpunkt, wenn es um den Schutz geht, also wenn es um die Regulierung geht, und da sind wir dann wieder in der Compliance. Genau, und woran misst du es? Wenn du dann, weiß ich nicht, einen KI-Bot über Bewerbungen drüberschauen lässt und den damit mit den Maßstäben trainierst, wonach du bisher Leute eingestellt hast, ob deine Entscheidungen bisher so objektiv waren. Umso wichtiger ist die Forschung im Moment, die sich sehr stark mit dem Thema Bias beschäftigt, und sozusagen, dass auch sehr viel diskutiert wird. Künstliche Intelligenz ist ein bisschen auch ein Spiegel von dem, wie wir kommunizieren, wie unsere Gesellschaft funktioniert.

Sie ist deshalb jetzt auch nicht per se böse oder so, sondern man kann es einmal als Spiegel sehen. Und dann sieht man auch sozusagen, wo man vielleicht noch ansetzen sollte, wo man Schrauben drehen kann. Aber wie gehe ich jetzt tatsächlich im Unternehmen damit um? Also, ich habe jetzt in sehr kurzer Zeit gelernt, es geht um IT-Risiken. Es geht um den Menschen, es geht um die künstliche Intelligenz, die, weil noch nicht gänzlich erforscht und immer noch in Entwicklung, gewisse Regulatorien benötigt. Ich habe jetzt aus dem Gespräch mit euch gelernt, es geht um Risiko. Ich habe gelernt, es ist tatsächlich ein Compliance-Thema, weil es insbesondere beim AI Act den Menschen ins Zentrum stellt, weil es insbesondere beim Thema NIS2 ein Risikothema ist, was eben der AI Act auch ist, das heißt, so weit sind wir, wir wissen, es ist ein Compliance-Thema.

Was tu ich jetzt als Compliance? Also was tu ich, was sind jetzt meine Schritte, oder wo bringe ich mich ein und bei wem bringe ich mich ein?

Wen hole ich an einen Tisch, wer muss da mitarbeiten, und was tu ich, um diese Risiken zu identifizieren? Also wenn ich im Datenschutz meine Hausaufgaben gemacht habe, dann habe ich schon ganz brauchbare Prozesse, an die ich mich andocken könnte, gerade wenn es um AI-Themen geht und künstliche Intelligenz. Was ganz wichtig ist, ist ja die maximale Transparenz. Ich muss ja verstehen, was da passiert. Das heißt, ich schaue mir an, womit werden Modelle trainiert? Sind es personenbezogene Daten, ja oder nein? Dann bin ich eben beim Datenschutz, sind es keine personenbezogenen Daten, dann bin ich vielleicht bei Betriebs- und Geschäftsgeheimnissen. Sind es urheberrechtlich geschützte, oder gibt es vielleicht auch vertragliche Pflichten, dass Vertragspartner Ansprüche auf gewisse Informationen haben, dass man sich auch damit beschäftigen muss, wie dieses funktioniert, wie funktioniert das Modellieren, das Trainieren, kann ich jederzeit auch unterbrechen, bin ich in der Lage, den Fehler zu finden, bin ich in der Lage zu prüfen, ob der Output plausibel ist, glaube ich, geht sehr viel in dieses Know-how-Aufbau.

Wie trainiere ich das? Wir kennen das auch schon in den letzten zehn Jahren von den Big-Data-Use-Cases, wo wir uns auch mit den Themen beschäftigt haben. Ich glaube, da haben wir auch sehr viel gelernt. Also, wenn Sie einen Datenschutzbeauftragten, eine Datenschutzbeauftragte haben im Unternehmen, dann wäre das ein guter Ansprechpartner, eine gute Ansprechpartnerin, solche Prozesse aufzusetzen. Was es braucht, es braucht schon noch eine Art Checkliste, gerade für Entwickler und Entwicklerinnen, die wollen natürlich wissen, was sie berücksichtigen müssen. Und da empfiehlt es sich einfach, eigene Checklisten aufzusetzen, wo sozusagen auch gewisse Fragen sind. Dass man sich auch mit den ethischen Themen beschäftigt, mit den Sicherheits-, Security-Themen, dass die sozusagen, diese ethischen Themen jetzt noch dazukommen.

Die kommen schon noch dazu. Oder werden ja ganz viele Unternehmen in Österreich sagen, aha, dann falle ich ja da gar nicht darunter, weil ich, ich, ich, ich, ich entwickle ja nix mit künstlicher Intelligenz. Können sie sich jetzt zurücklehnen und können sagen, na gut, wenn ich selbst nix entwickle mit Artificial Intelligence, dann falle ich da nicht drunter, dann ist das kein Risiko, dann ist das zwar ein Hype, dass es jetzt diesen AI Act gibt, aber der kann mir in Wahrheit, der berührt mich nicht? Der AI Act, der AI Act adressiert nicht nur die Anbieter von solchen AI-Modellen und -Systemen, das sind die, die es entwickeln und herstellen und zum Teil auch zur Verfügung stellen, sondern eben auch wirklich die Betreiber, das sind die, die es dann nehmen, anwenden, was damit machen und dann vielleicht auch in den Verkehr bringen und sozusagen im eigenen Business einsetzen.

Ja, also ich glaube, man muss sich schon beschäftigen damit. Vieles, was mich auch ein bisschen an der Kommunikation momentan stört: Da hängen sich alle an dem einen AI Act auf. Das ist, wie wenn ich sage, ich gründe ein Unternehmen und beschäftige mich nur mit der Gewerbeordnung. Ist so lässig, ist wichtig, aber trotzdem brauche ich einen Vertrag, trotzdem brauche ich Datenschutz. Das heißt, wenn ich jetzt als Anwenderin hergehe und sage, puh, gefühlt jede neue Software hat jetzt AI inside, und ich stelle mir zwei große Fragen: Was gebe ich da rein, und was mache ich mit dem, was rauskommt? Und das sind die zwei großen Dinge mit den ganzen Diskussionen, du hast richtig gesagt, personenbezogene Daten nicht rein, Geschäftsgeheimnisse.

Und das, was rauskommt, ist vielleicht nicht urheberrechtlich geschützt, vielleicht verstößt es gegen das Urheberrecht von einem anderen. Vielleicht kommen Datenschutzprobleme raus. Das heißt, wieder ganz zurück zum ersten Schritt, zu sagen: Mensch, dass man gerade, wenn man anfängt, immer einen Menschen einbezieht in die ganze Geschichte. Und deswegen glaube ich auch nicht, dass es uns ersetzen wird, weder uns Juristinnen noch uns als was auch immer. Menschen, dann die Prozesse und dann die Technik. Und ich finde es absolut falsch, herzugehen und zu sagen, wir brauchen jetzt ein AI-Tool, wir brauchen jetzt „insert random AI tool“, was halt gerade gehypt wird, so, und überlegen, was ist überhaupt mein Use Case.

Will ich wirklich zum Beispiel meine kernjuristische Tätigkeit von einer AI machen lassen, damit ich mehr Zeit zum Bügeln habe, oder eher umgekehrt? Ich will da eher alles bügeln, danke. Ja, wer näht, wer näht. Was bei mir jetzt hängen bleibt, ist zum einen, du findest die Gewerbeordnung lässig. Ja, noch bedenkt, noch bedenkt. Eigentlich gar nicht, als Zivilrechtlerin. Und zum anderen geht es, und das ist vielleicht ein guter Tipp, aufbauend auf dem, was die Nathalie gesagt hat, für Compliance-Organisationen: Wir schauen uns einfach einmal an, entwickeln wir selbst was, d. h., haben wir eine Entwicklung im Haus, die sich mit diesen Themen beschäftigt, und da müssen wir denen was an die Hand geben, eine Checkliste im besten Fall.

Und das Zweite, was da noch übrig bleibt, ist, was verwenden wir? Und mir persönlich fällt jetzt gleich ein, sei es Microsoft, der Copilot, oder seien es auch Übersetzungsprogramme, weil auch Übersetzungsprogramme, die man einfach so verwendet, haben künstliche Intelligenz und lernen. Also wahrscheinlich wird man sehr schnell darauf kommen, dass man selbst, wenn man nicht selber was entwickelt, diese Dinge auch verwendet. Und die Konsequenz ist, dass man mit der IT-Abteilung sich dann anschaut, was verwendet man, was entwickelt man, und dann mit der IT-Abteilung die weiteren Prozesse dann angeht. Was sind die weiteren Prozesse dann? Ich glaube, es gibt noch einen Schritt davor, und zwar geht das auf die strategische Ebene.

Also ich denke, in jedem Kalender von CEOs oder von Leitungen ist mittlerweile KI angekommen, und es braucht schon noch eine strategische Fragestellung. Will ich mit KI arbeiten? Was kann ich mit KI arbeiten? Was könnte uns KI bringen? Das ist auf jeden Fall auch wichtig, zumindest parallel, wenn nicht eigentlich vorgelagert, bevor ich mich mit dem Thema im Unternehmen beschäftige. Wie weit bringt mir das strategisch etwas, oder brauche ich es strategisch? Das heißt, da muss es wohl etwas geben. Das bringt mich wieder zurück zum „Tone from the Top“ in Wahrheit. Und das bringt mich zu was Nächstem: Was passiert denn eigentlich, wenn man diese Regelungen nicht ernst nimmt, und was ist, wenn man sagt: „AI Act interessiert mich nicht, NIS2 interessiert mich nicht“, und sich diese Risiken, die man eigentlich heute anschauen müsste, sich plötzlich verwirklichen, wen trifft’s?

Also vorher, finde ich, muss ich noch sagen, das ist ja spannend, finde ich schon, NIS2 sagt ja, das Management ist zu schulen, und der AI Act geht noch viel weiter. Da sagt er eigentlich, alle, die irgendwie mit der AI zu tun haben, müssen Kompetenz aufbauen. Und das ist eigentlich eines der ersten Dinge, die in Kraft treten, nämlich schon im Februar 2025. Müssen alle,

die mit der AI zu tun haben, Unternehmen, das werden ziemlich viele sein, die entsprechende Kompetenz haben. Ich glaube, das ist schon auch einmal ein wichtiger erster Schritt. Mach mal dann eine Roadshow, gell? Bevor ich mir mal lieber überlege, was dann für Konsequenzen drohen, aber ich denke mir, da muss man seine Hausaufgaben machen. Aber was ist, wenn man die nicht macht? Wer haftet dann? Haftet das Unternehmen, haftet der Datenschutzbeauftragte, haftet die Geschäftsführung, wen trifft’s? Ist der Datenschutzbeauftragte extern oder intern angestellt? Wer ist der Adressat der Strafen? Weil der Punkt wird ja jetzt sein, viele werden dann sagen, trifft mich nicht und interessiert mich nicht.

Primär das Unternehmen, aber, und gerade bei NIS2 wird noch heftig darum diskutiert, wie weit es die Geschäftsführung trifft. Das heißt, ich sage mal, als Unternehmen das Unternehmen einmal primär, auf alle Fälle, natürlich kann man im Rahmen einer Geschäftsführerhaftung immer zum Handkuss kommen. Also es sollte in jedem Fall, wenn jemand die Notwendigkeit nicht erkennt oder nicht erkennt, dass das eine gesetzliche oder eine rechtliche Vorgabe ist, sollte das zumindest eine Motivation dann sein, dass man sagt, okay, also man kann auch tatsächlich persönlich in die Haftung genommen werden, oder zumindest das Unternehmen, wo man dann am Ende des Tages die Verantwortung trägt. Ja, das ist ja auch ein Reputationsschaden, den, ich meine, das muss ich sagen, auch Konsequenzen hat.

Wir haben es gesehen vor ein paar Wochen, wie gewisse Aktien in den Keller gefallen sind, und das tut oft viel mehr weh, wenn man in die Medien gehen muss und sagen muss, boah, wir haben einen Data Breach. Na, was das Problem ist, das Problem ist, dass es immer noch so ist in der Compliance, dass eine große Motivation das Lernen durch Schmerz ist, und darum muss ich das jetzt auch in diesem Podcast immer wieder sagen, darum frage ich genau auf das hinaus. Weil ganz wenige kommen aufgrund einer intrinsischen Motivation auf die Idee, da jetzt diese Dinge ernst zu nehmen. Es gibt immer wieder Personen, aber das ist, ich würde jetzt sagen, in wenigen Fällen tatsächlich das Topmanagement. Und aus dem Grund möchte ich es zumindest ein bisschen adressieren, dass man sagt, auch für die Compliance-Organisationen und für die Compliance Officer, dass die dann ein Argument wieder haben, zu sagen, wir müssen es machen, weil es ist tatsächlich das Risiko von Geldbußen und Geldstrafen.

Und das wirkt, auch wenn ihr persönlich das für verfehlt haltet, aber das wirkt. Ich glaube aber, wenn du ansprichst, die intrinsische Motivation, dass gerade der AI Act einen extremen Boost für intrinsische Motivation bringt, das Thema ist einfach schon sehr komplex. Und das ist auch kompliziert. Und ich glaube, wenn du dich nicht beschäftigst, wie AI funktioniert oder was diese Tools können, oder diese Tools einsetzt, dann bist du nicht mehr fähig, am Wirtschaftsleben teilzunehmen in kürzester Zeit. Das heißt, du musst dich damit beschäftigen, du musst verstehen, was drin ist, weil du möchtest ja dein Geschäftsmodell noch weiter innovativer ausbauen und weiterentwickeln. Das heißt, du musst dich schon motiviert fühlen, dich mit dem Thema auch wirklich auseinanderzusetzen.

Jetzt nicht nur von der rechtlichen Seite, sondern einfach von der faktischen IT-Seite, wie das funktioniert,

wie man das einsetzen kann, wie die Dinge zusammenspielen. Das heißt, das ist ganz, ganz wichtig, oder vorhin richtig gesagt, dass, wenn man mal versteht den Zweck dahinter und den Sinn, warum gibt es NIS, warum gibt es einen AI Act, dann versteht man auch, wie man es kommuniziert. Ja, die Strafen, und das haben wir bei der DSGVO gesehen, die kleben wir dann auf eine Slide, uh, viel Strafen, alles cool. Nur IT-Security, erklären Sie mal den Leuten: Wollen Sie wirklich, dass alle Mitarbeiter in den Unternehmen da mal so Software installieren können? Was die dann für einen Stress damit haben, wenn da alle Computer stehen, weil irgendwer einen Schmarrn installiert hat, irgendwo draufgeklickt hat? Das ist ja ein ganz faktisches Problem, und das kann ein IT-Chef, eine IT-Chefin gut erklären, und noch viel mehr, wenn die Produkte sagen, wir machen jetzt eine Schnittstelle zu OpenAI, und wir haben jetzt AI-enabled in unserem Produkt, haben keine Ahnung, wie es funktioniert, dann wird das Produkt früher oder später wahrscheinlich krachen gehen.

Das heißt, das sind ganz, ganz faktische Themen dahinter. Also, im Zweifel stellen wir uns auf eine Messe und sagen, die Security wird bei uns nicht großgeschrieben, wir haben keinen Plan, und wir haben keine Ahnung, was bei uns passiert, und wenn bei uns Laptops verloren gehen, kauft man einfach neue. Also das wird ja auch niemand tun. Also führen diese Regelungen ja auch tatsächlich zu einem Marktvertrauen und zu einem Vertrauen, das einem Unternehmen auch entgegengebracht wird, was an der einen oder anderen Stelle, wenn man sehr schnell ist und sehr gut vorbereitet ist, auch ein Wettbewerbsvorteil sein kann. Und da wieder ein kleiner Shout-out für die Compliance: Die Compliance schafft auch Wettbewerbsvorteile, damit das an dieser Stelle auch noch mal gesagt ist. Ja, es gibt ja fast keine Start-ups, die jetzt nicht irgendwo hinkleben, aber dann wird es genauso wieder den Hype geben und sagen, statt dem KI-Vertrag wird es dann alte, sanfte Verträge geben mit, keine Ahnung, handgeschrieben auf der Rolle und gefaxt oder so, zeigt.

Aber am Ende des Tages, ja, gibt es den Hype, aber es wird dann genügend wieder geben, die an dem Hype zerbrechen, d. h., nur die, die es schaffen, schaffen, das seriös und gut durchdacht zu machen, und die jetzt erst schauen, was ist der menschliche Aspekt dahinter, wie schauen die Prozesse aus, was sind meine Produkte, was ist meine Strategie, dann gehen wir Tool kaufen. Also wenn du von Prozessen sprichst, dann kann ich vielleicht ganz kurz sagen, es gibt ja sehr viele Anbieter, die mich als Leiter der Rechtsabteilung kontaktieren und dann immer wieder ihre Produkte verkaufen wollen, weil sie sagen, wir müssen in das Thema künstliche Intelligenz gehen, wir müssen die ganze Vertragserstellung automatisieren.

Wir müssen alles, also Legal Tech und alle diese … (Auf allem ist die Blockchain.) Ja, genau, genau. Ja, und das Thema ist aber, und da bin ich bei dir, man muss erst die Prozesse kennen, und dann kann man sich nämlich Gedanken machen, will man denn überhaupt und braucht man denn überhaupt das Tool. Also das an dieser Stelle, also unterschreibe ich, das, was diese Prozesse betrifft, also Mensch und Prozesse, das unterschreibe ich. Und wenn wir jetzt noch mal ganz kurz zurückgehen zu: Wie geht, wie gehe ich denn an diese Sache heran? Wir schauen uns das jetzt an. Wir haben gelernt, Checklisten und Richtlinien. Also man wird an dem Thema nicht vorbeikommen. Wobei mir dein Ansatz natürlich gut gefällt.

Das mit dem Resonanzkörper gefällt mir sehr gut. Ich rede immer von Leitplanken.

Du redest von dem Resonanzkörper. Das ist vielleicht sogar noch ein bisschen charmanter. Weniger brachial. Ja, weniger brachial, völlig richtig. Aber ich sage in Wahrheit auch, dass du schaffst auch dadurch Freiräume. Und so, nämlich so, dass man sich frei bewegen kann innerhalb dieses Resonanzkörpers, und das ist genau das, wie ich Compliance verstehe. Das heißt, wir haben Richtlinien und Regeln und Checklisten, und du hast vorhin ganz was Essenzielles, glaube ich, was auch ein Kernbereich der Compliance in der Prävention ist, nämlich das Thema Schulungen und der Kompetenzaufbau. Das ist ja tatsächlich bei uns in einem Compliance-Management-System überhaupt nichts Neues. Also wir wissen ja schon, wie das funktioniert.

Und wenn das eine Grundvoraussetzung jetzt ist beim AI Act, wenn man sagt, das ist eine Kernaufgabe aus dieser Regulatorik, und wenn ich mich mal an das, mal bei der Informationssicherheit auch das Thema Schulung drinnen hat, was NIS2 betrifft, dann sind wir ja im Compliance-Management-System. Ja, und dann stellt sich gar nicht mehr die Frage, muss die Compliance da mitarbeiten oder nicht. Das heißt, Compliance, die IT, die Produktentwicklung, dann vermutlich der Einkauf, weil der wird wissen, welche Produkte werden eingekauft. Also da habe ich jetzt schon vier Bereiche, vier Abteilungen, also die Katharina hat mir zuerst den Hinweis gegeben und gesagt, bitte vergiss ja nicht die Legal-Abteilung. Nach meinem Verständnis ist das, also aus dem Unternehmen, aus dem ich komme, da ist Legal und Compliance eins, aber selbstverständlich.

Es gibt auch Unternehmen, die haben gar keine Rechtsabteilung und gar keine Compliance. Also nehmen wir die Rechtsabteilung selbstverständlich dann noch mit. Also dann habe ich in Wahrheit die Hand voll, und das ist gut so. Was auch wieder sagt, dass das keine Materie ist, wenn man sagt, da ist nur die IT verantwortlich, da ist nur die Compliance verantwortlich. Es ist tatsächlich eine Querschnittsmaterie, die sehr viele Stakeholder an einen Tisch bringt. Und wenn wir jetzt dabei sind, dass wir die Prävention in Wahrheit fertig haben, wir haben die Prävention fertig mit den Richtlinien, wir haben die Prävention fertig mit den Risk Assessments und mit den Schulungen, dann haben wir ja die drei Säulen der Compliance, und wer den Podcast schon ein bisschen kennt, weiß auch, von welchen drei Säulen ich spreche, ich spreche von der Prävention, vom Erkennen und vom Reagieren.

So, jetzt haben wir die erste Säule fertig. Was ist beim Erkennen, wenn ich einen IT-Incident habe? Und das wird gemeldet im Whistleblowing-Tool zum Beispiel. Oder es kommt überhaupt durch ein SOC. Wird eine Meldung erstattet, wir haben einen Vorfall, einen IT-Security-Vorfall. Zeichnet sich nach eurem Verständnis die Compliance-Organisation für jeden IT-Security-Vorfall, der im Whistleblowing ist, verantwortlich? Und wenn nicht, wann ist die Compliance-Organisation verantwortlich für einen IT-Security-Vorfall? Kommt drauf an, wie es organisiert ist. Du bist eine Anwältin, dass du sagst, kommt drauf an, ist völlig logisch. Aber ich habe wenigstens gesagt, worauf es ankommt, zu meiner Verteidigung.

Natürlich. Ja, ich glaube, man muss trennen: Wer operiert das Whistleblowing-System, und wer nimmt die Whistleblowings entgegen, und was passiert dann damit? Also verantwortlich ist eine Compliance-Abteilung, glaube ich, nicht für alle Hinweise, die reinkommen. Aber die Compliance-Abteilung ist sicher verantwortlich, dass dem Hinweis entsprechend nachgegangen wird und dass die Informationen gesammelt werden und dass halt die entsprechenden Rückmeldungen noch gegeben werden.

Das heißt, man muss einfach wissen, an wen man sich wenden kann. Wenn das IT-Verantwortliche hören, und die hören, dann soll sich die Compliance darum kümmern und die Leute holen und die Informationen, und soll sie mal anfangen abzuarbeiten, dann höre ich ganz viele, die sagen, super, jedes Phishing, jeden Spam, jedes alles, was da reinkommt, schicken wir mal in die Compliance, und die sollen dann mal schauen, ob das was ist, und können eh uns dann fragen, ob es denn relevant ist oder nicht. Dann muss es, nach meinem Verständnis ist es ja eigentlich nur dann in die, und darum auch die Frage, weil ich weiß nicht, ob mein Verständnis richtig ist. Wann ist Compliance verantwortlich? Ich würde sagen, dann, wenn es ein Fehlverhalten ist.

Und, oder nicht? Ich glaube, es gibt zehn Unternehmen und elf verschiedene Arten, wie Compliance operiert wird im Unternehmen. Manche Unternehmen sehen Compliance rein als Antikorruptionsthema. Also wirklich, wenn etwas passiert, wenn jemand, wo das Essen braucht. Und andere Unternehmen sehen Compliance ein bisschen weiter. Deswegen bin ich auch bei der Katharina, das kommt darauf an. Ich glaube, es ist wichtig, ich nehme an, was ihr schreibt, dass das so ist. Wichtig ist, denke ich, dass ich es mir vorher überlegt habe, wer ist wofür zuständig. Und dass, zu sagen, ganz klar ist, wer was machen muss und wer sozusagen den Lead hat bei bestimmten Themen, weil wenn über eine Whistleblowing-Hotline ein Data Breach reinkommt, wird das auch nicht der Compliance Officer abhandeln, sondern es wird dann der Datenschutzabteilung, in die DPO gegeben, und der macht das oder die macht das dann.

Stellt euch vor, dass die selbst entwickelte KI, die aufgrund eines Softwarefehlers einen über künstliche Intelligenz Data Breach verursacht. Da hast du ein Worst-Case-Szenario, und dann bist du noch irgendwann in der Finanz, gleich mal vier Sachen. Aber das heißt, wo immer es landet, das muss eine wissende Stelle sein. Das haben wir wieder bei den Prozessen, die das richtig einordnen können. Man kann uns sagen, okay, oh, das schaut raus, das hätten wir da: Datenschutz, IT-Security, KI-Themen, da brauchen wir die Leute alle an Board. Oder das ist nur Datenschutzthema, da brauchen wir nur die Leute an Board. Das muss das einordnen können. Datenschutz würde ich tatsächlich als Compliance-Thema verstehen, weil ich den Datenschutzbeauftragten und die Datenschutzorganisation quasi als Zwilling, wenn nicht sogar integriert, in eine Compliance-Organisation sehe.

Weil sie sehr ähnliche Strukturen haben, weil das Datenschutzmanagementsystem und Compliance-Management-System ja nicht völlig fremd sind, würde ich jetzt einmal behaupten. Zumindest sind sie nicht unähnlich. Also das würde ich noch sagen, Data Breach, selbstverständlich entweder Datenschutz oder Compliance, je nachdem, wo sie ist. Was ist, wenn es kein Data Breach ist? Was ist, wenn im eigenen Unternehmen jemand Schutzmechanismen entfernt, um einen, um selbst anzugreifen und um selbst irgendwas zu tun, und es ist kein Data Breach, weil keine personenbezogenen Daten, sondern ein Angriff auf Geschäfts- und Betriebsgeheimnisse? Dann würde ich sagen, das ist ein Fehlverhalten, das ist auch ein Compliance-Thema.

Aber was ist, wenn es von außen kommt? Ich glaube, wir sind, ehrlich gesagt, schon wieder dort, wo wir mal waren. Man muss sich mit den Risiken beschäftigen. Ja, was für Risiken ergeben sich aus den Regulierungen, was für Risiken ergeben sich aus meinem konkreten Business? Und dann, wenn ich sie weiß, dann muss ich schauen, brauche ich irgendwelche Vorgaben in den Richtlinien, und dort muss dann auch klar sein,

was passiert, wenn was passiert. Also es gehört einfach vorab definiert, und ich glaube, das kann man so über einen Kamm geschoren gar nicht beantworten. Das hängt immer vom einzelnen Unternehmen ab. Und was du nicht vergessen darfst, ist, du hast so kurze Fristen. Wir reden von 48, 72 Stunden, dass, wenn was passiert, du oft ja noch gar nicht weißt, was passiert ist, bei so einer Ransomware-Attack. Computer dreht sich auf, irgendwer will 100.000 Euro haben, du weißt nicht, hast du nur keinen Zugriff auf deine Systeme, haben die eine Kopie von den Systemen, was haben sie, was ist passiert, das ist, du weißt gar nicht, ist es auch ein Data Breach oder nicht, waren vielleicht gar keine personenbezogenen Daten betroffen, ist es nur ein kurzes Outage, ist es auch hoch.

Das heißt, im ersten, in der ersten Schrecksekunde weißt du wahrscheinlich gar nicht, was passiert ist. Das heißt, du brauchst genau für so was Notfallpläne, und weil die Zeit so kurz ist, immer mit dem Data Breach haben wir alles zu tun gehabt, und das kommt immer dann, wenn man es am wenigsten braucht. Aber jetzt kommen noch viel mehr andere Sachen dazu, die man noch melden muss, an verschiedene Stellen, in verschiedenen Zeiträumen. Das heißt, du musst da wirklich sehr, sehr straffes Incident-Management haben, bevor du vielleicht sogar weißt, was genau passiert ist. Das heißt, die Frage, die du stellst, ist vielleicht eher dann nachher das Aufarbeiten. Aber das passt dir gut. Also, wenn man die Frage beantworten kann mit, man muss vorher die Hausaufgaben noch machen und muss tatsächlich auch wieder in Prozessen denken, und wo kommt es denn hin?

Bezogen auch darauf, dass man sagt, das ist eine Querschnittsmaterie, das kann wo auch immer hinkommen, je nachdem, wo und wie das ein Unternehmen geregelt hat mit den entsprechenden Abteilungen und Verantwortlichkeiten, dann ist das als Antwort für mich jetzt ausreichend. Ich hätte mir dort vielleicht gewünscht für mich, für die Firma, in der ich tätig bin, eine klare Antwort. Es war einen Versuch wert, es war einen Versuch wert, aber ich kann mit dem, was ihr gesagt habt, leben. Und ich glaube, dass sehr viele damit leben können, wenn wir wieder zurückkommen zu den Prozessen. Natürlich kann man sich hinsetzen und das dann im Detail ausführen für jedes Unternehmen. Und es gefällt mir ja, wenn man sagt, das kommt drauf an, dass nicht alles zu mir in die Compliance kommt.

Oder es kommt und du darfst dann verteilen, du Arme. Ja, ich verteile gern. Auch Delegieren ist durchaus auch eine Kunst. Also das mache ich auch sehr gern. So, ich glaube, wir sind jetzt beim Reagieren, und beim Reagieren, wenn wir draufkommen, dass ich was habe, dann werde ich wohl dagegen einwirken müssen. Also nona, das ist dann die Reaktion darauf. Gibt es irgendeine Stelle, weil ihr habt gelesen, es gibt die Verpflichtung, oder es gibt zumindest die Idee, Meldestellen einzurichten, wo man dann gewisse Informationssicherheitsverfehlungen oder Sonstiges einmelden werden muss. Das heißt, das … Ja, das ist ja genau das Thema, was ich ja gerne so da, oder was ich mir wünschen würde, ist, dass es auch zentrale Stellen gibt für diese ganzen Meldungen, und die diese dann weiterleiten: Geht das an die Datenschutzbehörde, geht das an den, wer auch immer dann die NIS-Behörde ist, geht das an die AI-Behörde, weil man einfach dann echt schon andere Probleme hat, als das jetzt zu überlegen, wann muss man es melden, und dann, das ist im Worst Case, meldest du das mal gleich an drei,

vier verschiedene Stellen, und wenn dann der Cyber Resilience Act da noch kommt, holla die Waldfee. Und da sind wir wieder genau wieder dort, wo wir angefangen haben: vorbereitet sein. Das heißt, wenn was passiert, okay, ich habe einen Incident erkannt, wen hole ich jetzt an Board, brauche ich einen Pressesprecher rein, brauche ich … Haben wir Marketing auch noch mit an Board? Ja, ich zähle eine, das ist nichts wert. Ich zähle eine. Naja, das ist ja halt ein Kommunikationsthema, wenn was schiefgegangen ist, und wenn das jetzt was ist, was über einen verschwundenen Laptop hinausgeht, dann halt Juristinnen und Juristen, müssen wir über die Haftpflicht reden, haben wir Versicherungen, haben wir, also da gibt es eben eine ganze Bandbreite, das ist genau der Punkt, und das musst du vorher wissen.

Und ja, es gibt, wenn man Pech hat, wird es mehrere Meldestellen geben. Okay, das gehört zum Reagieren dann in diesem Fall dazu. Dann haben wir das, dann haben wir den AI Act und NIS2, die Anforderungen ein bisschen verpackt in einem Compliance-Management-System. Gibt es von euch irgendetwas, was ihr vor Abschluss noch gerne mitteilen möchtet? Irgendwas, was ihr sagt, bitte? Jetzt hab ich noch eine lässige Info zum AI Act. Irgendwas super Lustiges zu NIS2. Irgendwas möchte ich noch auf den Tisch legen. Also ich freue mich jetzt auf die nächsten Monate, die werden sehr spannend werden. Kann es, ich kann das nur unterschreiben. Fad wird uns beiden nicht. Und ich möchte davon nur nochmal wiederholen, das einfach mit einer Coolness anzugehen, mit einer Ordnung anzugehen.

Und es dann halt nicht jetzt anzugehen und nicht 5 vor 12, und zu schauen, was hat man, man hat schon viel, und von dort einmal wegzuarbeiten. Es ist so super, dass ihr beide eigentlich jetzt sehr, sehr vielen die Panik nehmt und die Angst nehmt, also das war hervorragend. In diesem Sinne kommen wir zum Abschluss, und zum Abschluss habe ich immer noch eine Kleinigkeit vorbereitet. Also ich habe es jetzt nicht unbedingt sehr viel vorbereitet, aber es ist immer ein kleines Wort, und das ist unser C-Wort, also das C-Wort. Compliance in einem Wort. Liebe Nathalie, was ist Compliance für dich in einem Wort? Resonanzkörper. Resonanz, das … Ich liebe das. Darf ich das, ich werde das, ich werde das verwenden.

Liebe Katharina, was ist Compliance für dich in einem Wort? Bin ich jetzt auf eine Resonanz gekommen. Beziehungsmanagement. Ah, ich, ah, I love you, I love you. Das habe ich vom Attenkehrenz. Vielen lieben Dank. So, dann darf ich zusammenfassen. Wir haben, wir haben heute gesprochen über Verantwortung, über Vertrauen. Wir haben gesprochen über Informationssicherheit und neue Technologien. Wir haben darüber gesprochen, dass sehr vieles sehr ähnlich ist zum Compliance-Management-System. Wir haben darüber gesprochen, wie man anfängt. Wir fangen an, die Risiken zu erkennen. Wir fangen an, Richtlinien zu schreiben und uns Checklisten zu erarbeiten mit den jeweiligen Abteilungen, die notwendig sind.

Und wir haben zwei Hände jetzt fast voll. Wir müssen schulen. Wir müssen wissen, wie wir Dinge erkennen und wie wir sie dann abarbeiten. Und wo wir dann, und wie wir dann reagieren, das wissen wir noch nicht. Jedenfalls ist es nichts, wo man jetzt in Panik verfallen soll.

Und lieber Vorsicht als Nachsicht für den Anfang. Uns kommen spannende Monate zu, offensichtlich. Wir sehen uns beim Business Circle, bei der Compliance Now, da werden wir gemeinsam einen Workshop machen. Die Katharina sehe ich auf der Rust. Spätestens. Wir sehen uns auf der Price Act. Also bitte, da merkt man wieder, die Compliance-Community ist tatsächlich eine Bubble, und lauter gescheite, nette, liebe Leute. So, in diesem Sinne, danke, dass ihr da wart, es war mir wirklich ein Volksfest, ihr seid Expertinnen auf diesem Gebiet, es macht wahnsinnig viel Spaß, euch zuzuhören, euch zuzusehen, mit welcher Begeisterung ihr über diese Themen sprecht und wie ihr versucht, das tatsächlich herab- und herunterzubrechen, vielen lieben Dank für die Anreise aus Niederösterreich und aus Wien. Sehr gerne, danke schön. Danke für die Einladung. Sehr gerne. Und ich verabschiede mich bis Ende September, bis dahin: Bleiben Sie compliant und bleiben Sie vor allem ein guter Mensch. Ihr Martin Reichetseder.