Deepfakes im HR: Compliance neu denken

Die EU-Whistleblower-Richtlinie verpflichtet Unternehmen im DACH-Raum seit 2021 zur Einrichtung interner Meldesysteme. Doch während die Richtlinie Schutzmechanismen für Hinweisgeber schafft, bleiben technische Schwachstellen durch KI-generierte Manipulationen unberücksichtigt. Besonders kritisch ist, dass Deepfakes die Authentizität von Meldungen untergraben können – etwa durch gefälschte Audio- oder Videoaufnahmen, die reale Personen imitieren. Die nationalen Umsetzungsgesetze, wie das deutsche Hinweisgeberschutzgesetz oder das österreichische HinweisgeberInnenschutzgesetz, bieten zwar einen rechtlichen Rahmen, adressieren aber nicht spezifisch die Risiken durch KI-Technologien. ^[1][8]

Deepfakes stellen eine neue Dimension der Compliance-Herausforderung dar. Sie ermöglichen Betrugsszenarien, bei denen Mitarbeiter durch täuschend echte Anweisungen von Vorgesetzten manipuliert werden. Im HR-Kontext können solche Manipulationen zu finanziellen Verlusten, Rufschädigung oder sogar strafrechtlichen Konsequenzen führen. Die arbeitsrechtliche Haftung von Unternehmen ist dabei besonders relevant: Fehlen angemessene Schutzmaßnahmen, wie etwa Authentifizierungsprotokolle, können Unternehmen für Schäden verantwortlich gemacht werden. Dies gilt insbesondere, wenn Mitarbeiter aufgrund von Deepfakes Handlungen vornehmen, die sie bei korrekter Identifizierung unterlassen hätten. ^[4][5]

Die rechtliche Einordnung von Deepfakes variiert innerhalb des DACH-Raums. In Deutschland und Österreich können solche Manipulationen als Betrug oder Urkundenfälschung gewertet werden, während die Schweiz derzeit prüft, spezifische Strafnormen für KI-generierte Inhalte einzuführen. Für Unternehmen bedeutet dies, dass sie nicht nur technische, sondern auch rechtliche Vorkehrungen treffen müssen. Besonders problematisch ist, dass Deepfakes oft schwer zu erkennen sind und somit die Glaubwürdigkeit interner Meldesysteme infrage stellen. Ohne klare Richtlinien zur Verifizierung von Meldungen drohen Unternehmen, in rechtliche Grauzonen zu geraten. ^[5][7]

Mitarbeiterschulungen sind ein zentraler Baustein, um Deepfake-Risiken zu minimieren. Viele Beschäftigte sind sich der Gefahr durch KI-generierte Manipulationen nicht bewusst und erkennen gefälschte Inhalte oft zu spät. Schulungen sollten daher nicht nur theoretische Grundlagen vermitteln, sondern auch praktische Beispiele und Handlungsanweisungen enthalten. Besonders wichtig ist es, Mitarbeiter für die typischen Merkmale von Deepfakes zu sensibilisieren – etwa ungewöhnliche Mimik, unnatürliche Sprachmelodie oder inkonsistente Hintergrundgeräusche. Nur so lässt sich verhindern, dass gefälschte Anweisungen ungeprüft umgesetzt werden. ^[4][6]

Technische Authentifizierungsprotokolle sind unerlässlich, um die Integrität von Meldesystemen zu gewährleisten. Unternehmen sollten sicherstellen, dass kritische Anweisungen oder Meldungen nur über verifizierte Kanäle erfolgen. Dazu gehören beispielsweise mehrstufige Bestätigungsverfahren, wie die Kombination aus E-Mail und Telefonrückruf, oder der Einsatz von digitalen Signaturen. Besonders im Finanzbereich, wo Deepfakes bereits zu erheblichen Schäden geführt haben, sind solche Maßnahmen unverzichtbar. Ohne sie bleibt das Risiko bestehen, dass gefälschte Inhalte als legitim akzeptiert werden. ^[5][6]

Die DACH-Länder unterscheiden sich in der Umsetzung der EU-Whistleblower-Richtlinie, was die Compliance-Anforderungen zusätzlich verkompliziert. Während Deutschland und Österreich klare gesetzliche Vorgaben für Unternehmen ab einer bestimmten Mitarbeiterzahl machen, fehlt in der Schweiz ein einheitliches Whistleblowing-Gesetz. Stattdessen gelten sektorale Regelungen, etwa durch die Finanzmarktaufsicht FINMA. Unternehmen mit Standorten in mehreren Ländern müssen daher unterschiedliche rechtliche Rahmenbedingungen berücksichtigen und ihre Compliance-Prozesse entsprechend anpassen. Dies erfordert eine enge Zusammenarbeit zwischen HR, IT und Rechtsabteilungen. ^[7][8]

Unternehmen im DACH-Raum müssen ihre Compliance-Strategien dringend um KI-spezifische Regeln erweitern. Dazu gehört nicht nur die Anpassung von Whistleblowing-Systemen, sondern auch die Einführung klarer Richtlinien für den Umgang mit Deepfakes. Praktisch bedeutet dies, dass Unternehmen technische und organisatorische Maßnahmen kombinieren müssen, um Manipulationen zu erkennen und zu verhindern. Nur so lassen sich Haftungsrisiken minimieren und die Integrität interner Prozesse sicherstellen. Die folgenden Schritte zeigen, wie Unternehmen dies umsetzen können. ^[3][4]