Der EU AI Act ist am 1. August 2024 in Kraft getreten und wird stufenweise anwendbar. Für die meisten Unternehmen ist er kein IT-Thema, sondern ein Organisationsthema: Wer KI einsetzt, muss künftig belegen können, wie und mit welchen Schutzmaßnahmen.
Dieser Leitfaden erklärt die Verordnung in klarer Sprache – ohne Paragrafendickicht, aber mit den Punkten, die in Audits tatsächlich geprüft werden.
Wen betrifft der EU AI Act?
Die Verordnung unterscheidet Rollen, nicht Branchen. Entscheidend ist, was Ihr Unternehmen mit einem KI-System tut – nicht, ob Sie ein Technologieunternehmen sind.
- Anbieter: entwickelt ein KI-System oder lässt es entwickeln und bringt es unter eigenem Namen auf den Markt.
- Betreiber (Deployer): nutzt ein KI-System beruflich – das trifft auf nahezu jedes Unternehmen zu, das ChatGPT, Copilot oder KI-Funktionen im CRM verwendet.
- Einführer und Händler: bringen KI aus Drittstaaten in den EU-Markt.
- Extraterritoriale Wirkung: Auch Anbieter außerhalb der EU fallen darunter, wenn die Ergebnisse in der EU genutzt werden.
Die vier Risikoklassen
Der AI Act reguliert risikobasiert. Je größer das potenzielle Schadensrisiko für Grundrechte, Gesundheit oder Sicherheit, desto strenger die Pflichten.
- Inakzeptables Risiko (verboten seit 2. Februar 2025): Social Scoring, manipulatives Verhalten, Emotionserkennung am Arbeitsplatz, ungezieltes Scraping von Gesichtsbildern.
- Hohes Risiko: KI in Personalauswahl, Kreditvergabe, kritischer Infrastruktur, Medizinprodukten, Bildung – umfangreiche Pflichten ab 2. August 2026 bzw. 2027.
- Begrenztes Risiko: Chatbots, Deepfakes, KI-generierte Inhalte – Transparenzpflichten.
- Minimales Risiko: Spamfilter, Empfehlungssysteme – keine speziellen Pflichten, aber Artikel 4 gilt trotzdem.
Die wichtigsten Fristen im Überblick
Die gestaffelte Anwendbarkeit führt regelmäßig zu Fehleinschätzungen. Viele Unternehmen glauben, der AI Act gelte erst 2026 – dabei sind zwei zentrale Pflichten längst scharf.
- 2. Februar 2025: Verbotene Praktiken und die KI-Kompetenzpflicht nach Artikel 4 gelten.
- 2. August 2025: Pflichten für Anbieter von General-Purpose-AI-Modellen, Governance-Strukturen, nationale Behörden.
- 2. August 2026: Hauptanwendbarkeit inklusive Transparenzpflichten und der meisten Hochrisiko-Anforderungen.
- 2. August 2027: Hochrisiko-KI als Sicherheitsbauteil in bereits regulierten Produkten.
Was Unternehmen jetzt konkret tun sollten
Der pragmatische Einstieg ist immer derselbe: erst Transparenz über den KI-Einsatz, dann Klassifizierung, dann Maßnahmen. Wer mit dem Aufbau eines KI-Managementsystems startet, ohne zu wissen, welche Systeme im Haus laufen, verbrennt Budget.
- KI-Inventar erstellen: Welche Tools, welche Abteilungen, welche Daten, welcher Anbieter?
- Rolle je System klären: Anbieter oder Betreiber – daraus folgen völlig unterschiedliche Pflichten.
- Risikoklasse bestimmen und dokumentieren, auch wenn das Ergebnis 'minimales Risiko' lautet.
- KI-Kompetenz nach Artikel 4 nachweisbar aufbauen (Schulung, Richtlinie, Dokumentation).
- Interne KI-Richtlinie und Freigabeprozess verankern.
Bußgelder und Haftung
Für verbotene Praktiken drohen bis zu 35 Mio. Euro oder 7 % des weltweiten Jahresumsatzes, für Verstöße gegen sonstige Pflichten bis zu 15 Mio. Euro oder 3 %. Unabhängig davon wirkt der AI Act zivilrechtlich: Wer Sorgfaltspflichten verletzt, haftet für Schäden aus fehlerhafter KI-Nutzung – ein Risiko, das schon heute besteht.
Häufige Fragen zu diesem Thema
Gilt der EU AI Act auch für kleine Unternehmen?
Ja. Es gibt keine Bagatell- oder Mitarbeitergrenze. KMU profitieren von Erleichterungen bei Dokumentation und Reallaboren, sind aber von den Verboten und der KI-Kompetenzpflicht voll erfasst.
Brauchen wir einen KI-Beauftragten?
Der AI Act schreibt keinen KI-Beauftragten vor. In der Praxis verlangt er aber klare Verantwortlichkeiten – deshalb benennen viele Unternehmen eine zentrale Rolle, oft angesiedelt bei Compliance, Datenschutz oder IT-Governance.
Ersetzt der AI Act die DSGVO?
Nein. Beide gelten parallel. Der AI Act reguliert das System, die DSGVO die personenbezogenen Daten darin. Praktisch bedeutet das: Datenschutz-Folgenabschätzung und AI-Act-Risikobewertung ergänzen sich.