KI-Compliance: Führende Modelle scheitern zu 90% bei EU-Regularien

Gerichtsurteile und Studien zeigen: Datenschutz und Hinweisgeberregeln bleiben für Firmen eine große Herausforderung.

Der Schutz von Whistleblowern und die Einhaltung von Datenschutzregeln bleiben für Unternehmen eine enorme Herausforderung. Das zeigen aktuelle Gerichtsurteile und technische Prüfberichte.

Whistleblower-Klage gegen Autobauer gescheitert

Das Landesarbeitsgericht Niedersachsen hat am Freitag eine spektakuläre Schadensersatzklage abgewiesen. Zwei ehemalige Manager eines großen Automobilherstellers hatten 7,5 Millionen Euro gefordert. Sie behaupteten, nach der Meldung von gesundheitsgefährdenden Stoffen in Fahrzeugdächern beruflich benachteiligt worden zu sein.

Anzeige: Die Aithos-Studie belegt: 90% der KI-Modelle verstoßen gegen EU-Regularien – mit Strafen bis zu 35 Mio. Euro. Dieser Report zeigt, wie Sie Ihre Systeme konform machen, bevor die nächste Prüfung kommt. Jetzt kostenlosen Compliance-Report anfordern

Das Gericht stellte jedoch klar: Die internen Mitteilungen erfolgten vor Inkrafttreten des aktuellen Hinweisgeberschutzgesetzes (HinSchG). Zudem wurden die Meldungen nicht bei der offiziellen internen Meldestelle eingereicht. Die Kläger konnten keinen kausalen Zusammenhang zwischen ihren Enthüllungen und angeblichen Nachteilen nachweisen. Der Autobauer begrüßte das Urteil und hatte die Klage zuvor als potenziell missbräuchlich bezeichnet. Eine Revision zum Bundesarbeitsgericht ist möglich.

KI-Modelle versagen bei EU-Regularien

Noch alarmierender sind die Ergebnisse einer aktuellen Studie vom Donnerstag. Das Analyseunternehmen Aithos testete führende KI-Modelle in über 3.000 Einzelszenarien auf ihre Compliance. Das Ergebnis ist ernüchternd: Selbst das beste System – Claude Opus 4.7 – erreichte nur eine Konformitätsrate von 54 Prozent.

Besonders dramatisch fiel das Urteil über Gemini 3.1 Pro aus. Bei 90 Prozent der Tests wurden Verstöße festgestellt. Die Forscher fanden heraus, dass 80 Prozent der geprüften Szenarien schwerwiegende Verstöße gegen Artikel 5 des EU AI Acts offenbarten. Betroffen waren vor allem verbotene Praktiken wie Social Scoring und manipulative Verfahren. Die möglichen Strafen sind enorm: bis zu 35 Millionen Euro oder ein erheblicher Prozentsatz des weltweiten Jahresumsatzes.

Millionenstrafe für Reisedaten-Missbrauch

Auch die Reisebranche gerät zunehmend unter Druck. Die spanische Datenschutzbehörde AEPD verhängte ein Bußgeld von rund 14,4 Millionen Euro gegen den Reisedienstleister Amadeus. Der Vorwurf: Das Unternehmen hatte Passagierdaten für ein Predictive-Profiling-Tool verwendet – ohne ausreichende Rechtsgrundlage und ohne transparente Information der Betroffenen.

Amadeus kündigte an, gegen die Entscheidung vorzugehen. Branchenexperten erwarten jedoch, dass der Fall die gesamte Reiseindustrie zu strengeren Sicherheitsarchitekturen bewegen wird.

Neue Technik für anonyme Meldungen

Parallel zu diesen Entwicklungen entstehen technische Lösungen, die Datenschutz und Meldeeffizienz vereinbaren sollen. Das Unternehmen WeCare Digital stellte eine Plattform vor, die auf dem OIDC4VP-Protokoll basiert. Nutzer können damit Meldungen abgeben und gleichzeitig ihren Wohnsitz über digitale Identitäts-Wallets verifizieren. Das System soll Spam verhindern, ohne die Anonymität der Hinweisgeber zu gefährden.

Anzeige: Whistleblower-Klagen und Datenschutzverstöße kosten Unternehmen Millionen – wie der Fall Amadeus (14,4 Mio. Euro) zeigt. Unser Leitfaden hilft Ihnen, interne Meldestellen rechtskonform einzurichten und DSGVO-Verstöße zu vermeiden. Leitfaden jetzt sichern

Wenn die Fassade bröckelt

Besonders brisant: Immer häufiger klaffen öffentliches Image und interne Realität auseinander. Bei Armedangels, einem Vorreiter für nachhaltige Mode, musste CEO Martin Höfeler nach Medienrecherchen einräumen, dass die Arbeitsbedingungen im Unternehmen nicht den eigenen Ansprüchen genügen. Hoher Druck und mangelnde Sorgfalt bei Kündigungen standen im Raum. Höfeler versprach eine umfassende Restrukturierung der internen Prozesse.

Großkonzerne reagieren derweil mit standardisierten Berichtspflichten. Der Düngemittelhersteller K+S veröffentlichte Ende Mai seine Erklärung zu moderner Sklaverei für das Geschäftsjahr 2025. Das Unternehmen beschreibt darin Risikomanagement-Strategien zur Verhinderung von Zwangs- und Kinderarbeit bei rund 11.500 Mitarbeitern. Die Hotelkette H World Group legte ebenfalls ihren Nachhaltigkeitsbericht vor – mit verbessertem MSCI-ESG-Rating von "A" und Energiesparsystemen in über 11.000 Hotels.