Der anwendbare normative Rahmen für Unternehmen hat im Jahr 2024 strukturelle Veränderungen auf drei simultanen Fronten erfahren: Governance der künstlichen Intelligenz, steuerliche Transparenz großer Gruppen und die Verbindung zwischen der europäischen Verordnung über KI und der DSGVO. Wir gehen auf die technischen Punkte ein, die die Verpflichtungen der Rechts- und Finanzabteilungen konkret verändern.
Verbindung zwischen der europäischen Verordnung über KI und der DSGVO: eine doppelte Konformität zu organisieren
Die Verordnung (EU) 2024/1689 über künstliche Intelligenz ersetzt nicht die DSGVO. Beide Rahmenbedingungen müssen gemeinsam angewendet werden, was die Unternehmen zwingt, zwei separate Analyse-Raster für eine gleiche algorithmische Verarbeitung aufrechtzuerhalten.
Konkret bleibt ein KI-System, das nach der europäischen Verordnung als hochriskant eingestuft wird, den Anforderungen an Rechtmäßigkeit, Minimierung und Sicherheit der DSGVO unterworfen. Die interne Governance muss daher eine übergreifende Kartierung vorsehen: Jeder algorithmische Anwendungsfall wird sowohl im Rahmen der KI-Verordnung (Risikostufe, Dokumentationspflichten, menschliche Kontrolle) als auch im Rahmen der DSGVO (Rechtsgrundlage, Aufbewahrungsdauer, Rechte der betroffenen Personen) bewertet.
Für Unternehmen, die die rechtlichen Informationen von Développement Entreprise konsultieren möchten, gehört diese doppelte Anforderung zu den Themen, die im Laufe des Jahres genau verfolgt werden sollten.
Die Schwierigkeit liegt in den Überlappungsbereichen. Ein KI-Konformitätsaudit, das den Aspekt der personenbezogenen Daten vernachlässigt, setzt das Unternehmen potenziell beiden Seiten von Sanktionen aus. Wir empfehlen, einen einzigen Ansprechpartner zu benennen, der für die Kohärenz zwischen den beiden Regelwerken verantwortlich ist, anstatt die Compliance- und Datenschutzfunktionen zu isolieren.
Rahmenbedingungen der CNIL für generative KI: praktische Verpflichtungen seit Juli 2024
Die CNIL hat am 18. Juli 2024 ihre Fragen und Antworten zur Nutzung von generativer KI in Unternehmen veröffentlicht. Dieses Dokument geht über die Erinnerung an allgemeine Grundsätze hinaus und behandelt die operativen Details.
Drei konkrete Verpflichtungen ergeben sich aus diesem Rahmen:
- Die autorisierten und verbotenen Nutzungen von generativer KI innerhalb der Organisation formal zu definieren, durch eine dokumentierte interne Richtlinie, die gegenüber den Mitarbeitern durchsetzbar ist.
- Den Bereitstellungsmodus (API, gehostete Lösung, lokales Modell) je nach Sensibilität der verarbeiteten Daten zu wählen, insbesondere bei Kunden-, Personal- oder Vertragsdaten.
- Die Notwendigkeit einer Datenschutz-Folgenabschätzung (DSFA) vor jeder Bereitstellung, die personenbezogene Daten in großem Umfang umfasst, zu bewerten.
Der am meisten unterschätzte Punkt betrifft die Verwaltung von Eingaben, die sensible Daten enthalten. Ein Mitarbeiter, der einen Kundenvertrag an ein außerhalb der EU gehostetes Modell übermittelt, löst potenziell einen Datenübertrag außerhalb des Rahmens aus. Die interne Richtlinie muss dieses Szenario antizipieren und technische Sicherheitsvorkehrungen (Eingabefilterung, Protokollierung) vorsehen.
Land-zu-Land Steuerberichterstattung: Schwelle und Anwendungszeitraum
Seit dem 22. Juni 2024 unterliegen Gruppen, deren konsolidierter Umsatz 750 Millionen Euro erreicht, der Verpflichtung zur Veröffentlichung eines länderbezogenen Steuerberichts (CbCR öffentlich). Diese Umsetzung in französisches Recht verändert die Situation für die betroffenen Rechts- und Steuerabteilungen.
Der öffentliche CbCR darf nicht mit bestehenden Steuererklärungen verwechselt werden. Er erfordert eine für die breite Öffentlichkeit zugängliche Veröffentlichung, die die Verteilung der Gewinne, der gezahlten Steuern und der Mitarbeiterzahlen nach Jurisdiktion enthält. Die reputationsrechtliche Tragweite dieser Verpflichtung übersteigt den klassischen steuerlichen Rahmen.
Für Gruppen, die nahe an der Schwelle sind, verdient die Frage der Konsolidierung des Umsatzes über mehrere Geschäftsjahre besondere Aufmerksamkeit. Ein einmaliges Überschreiten der Schwelle kann die Verpflichtung auslösen, ohne Möglichkeit einer nachträglichen Regularisierung. Die Rechtsabteilung muss daher eine vorausschauende Überwachung des konsolidierten Umsatzes in ihre Dashboards integrieren.
Aufmerksamkeitspunkte zum Umfang
Tochtergesellschaften in nicht kooperativen Jurisdiktionen im Sinne der EU unterliegen einer verstärkten Aufmerksamkeit in der Berichterstattung. Das Fehlen einer substantiellen Tätigkeit in einem genannten Land kann Fragen von Investoren oder NGOs aufwerfen, auch wenn die formale Konformität gewahrt bleibt.
Vereinfachung des Gesellschaftsrechts: was die Texte praktisch ändern
Der von dem Justizministerium eingeleitete Prozess zur normativen Vereinfachung betrifft direkt das Gesellschaftsrecht. Die Projekte für “klares Recht” zielen darauf ab, obsolet gewordene Texte zu überarbeiten oder aufzuheben, mit einem klaren Ziel: die administrative Belastung zu reduzieren, ohne die rechtliche Sicherheit zu gefährden.
Zu den konkreten Entwicklungen gehören die Digitalisierung von Finanzinstrumenten und die Schaffung eines einheitlichen Anlaufpunkts für die Gründung von Unternehmen, die die internen Prozesse verändern. Die Rechtsabteilungen, die noch Papierregister oder Multi-Channel-Verfahren verwalteten, müssen ihre Werkzeuge anpassen.
Die Arbeitsgruppe zur Vereinfachung des Rechts der Unternehmen in Schwierigkeiten, bestehend aus elf Experten, arbeitet daran, die Insolvenzverfahren verständlicher zu gestalten. Für KMU und ETI könnte die Klarstellung der Schwellenwerte für die Einleitung von Präventionsverfahren (ad-hoc Mandat, Schlichtung) den Zeitrahmen für das Eingreifen der Rechtsberater verändern.
Formalitäten und einzigartiges Unternehmensregister
Der Übergang zum einzigartigen Register konzentriert die zuvor auf mehrere Stellen verteilten deklarativen Schritte. Diese Änderung verkürzt die Fristen, erfordert jedoch ein technisches Verständnis des neuen Portals, dessen anfängliche Funktionsstörungen von den Handelsgerichten dokumentiert wurden.
Das Jahr 2024 hat somit normative Meilensteine gesetzt, deren Auswirkungen sich über mehrere Geschäftsjahre entfalten werden. Die gleichzeitige Einhaltung der europäischen Verordnung über KI, der DSGVO, der neuen Regeln zur steuerlichen Transparenz und der Reformen des Gesellschaftsrechts erfordert eine bereichsübergreifende Koordination zwischen den Rechts-, Steuer- und IT-Funktionen. Unternehmen, die diese Themen noch isoliert betrachten, setzen sich regulatorischen blinden Flecken aus, die schwer zu beheben sind, sobald die Kontrollen eingeleitet werden.
