Worum es bei diesem EU-Gesetz geht
Der EU AI Act verfolgt zwei Ziele gleichzeitig: Innovation ermöglichen und Grundrechte schützen. Er ist ein Produktsicherheitsgesetz – kein Datenschutzgesetz. Reguliert wird nicht „KI" als Technologie, sondern der konkrete Einsatzzweck eines Systems. Dieselbe Sprachmodell-Technologie kann in der Marketingtext-Erstellung nahezu unreguliert und im Bewerbungsscreening hochriskant sein.
Die Verordnung gilt unmittelbar in allen Mitgliedstaaten – es braucht kein deutsches Umsetzungsgesetz. Sie wirkt außerdem extraterritorial: Auch Anbieter außerhalb der EU sind erfasst, wenn die Ergebnisse ihrer KI-Systeme in der EU genutzt werden.
Wen der AI Act betrifft
Kurz: fast jedes Unternehmen. Die Verordnung unterscheidet nicht nach Branche oder Größe, sondern nach Rolle und Risiko. Wenn Sie KI-gestützte Software einsetzen – und das tun Sie mit hoher Wahrscheinlichkeit bereits in Office-Anwendungen, CRM, ERP, Recruiting-Tools oder Kundenservice – sind Sie Betreiber im Sinne der Verordnung.
- Mittelständische Produktionsbetriebe mit KI in Qualitätssicherung und Predictive Maintenance
- Dienstleister, Kanzleien und Agenturen mit generativer KI im Tagesgeschäft
- Handel und E-Commerce mit Empfehlungssystemen und dynamischer Preisgestaltung
- HR-Abteilungen mit KI-gestützter Vorauswahl von Bewerbungen (Hochrisiko!)
- Banken, Versicherungen und Gesundheitswesen mit regulierten Entscheidungsprozessen
Rollen: Anbieter, Betreiber, Importeur, Händler
Die Pflichten hängen an der Rolle. Die häufigste Fehleinschätzung im Mittelstand: „Wir entwickeln keine KI, also betrifft uns das nicht." Falsch – Betreiber haben eigenständige Pflichten. Und wer ein zugekauftes System wesentlich verändert, unter eigenem Namen anbietet oder für einen anderen Zweck einsetzt, wird selbst zum Anbieter, mit deutlich strengeren Anforderungen.
Anbieter
Entwickelt oder lässt entwickeln und bringt unter eigenem Namen in Verkehr. Volle Pflichten inkl. Konformitätsbewertung und technischer Dokumentation.
Betreiber
Nutzt KI in eigener Verantwortung. Pflichten: bestimmungsgemäße Verwendung, menschliche Aufsicht, Überwachung, Information Betroffener, KI-Kompetenz.
Importeur
Bringt KI aus Drittstaaten in die EU. Prüft Konformität des Anbieters.
Händler
Stellt KI-Systeme bereit. Sorgfaltspflichten entlang der Lieferkette.
Die vier Risikoklassen
Die Risikoklassifizierung ist das Herzstück. Sie entscheidet über Aufwand, Kosten und Dokumentationstiefe – und ist deshalb der erste Schritt jeder Beratung.
Inakzeptables Risiko – verboten
Social Scoring durch Behörden und Unternehmen, manipulative oder ausnutzende Systeme, Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen, ungezieltes Scraping von Gesichtsbildern, biometrische Kategorisierung nach sensiblen Merkmalen. Untersagt seit dem 2. Februar 2025.
Hochrisiko
KI in kritischer Infrastruktur, allgemeiner und beruflicher Bildung, Beschäftigung und Personalmanagement, Zugang zu wesentlichen Dienstleistungen (Kredit, Versicherung), Strafverfolgung, Migration und Justiz – sowie KI als Sicherheitsbauteil in regulierten Produkten. Erfordert Risikomanagementsystem, Daten-Governance, technische Dokumentation, Protokollierung, menschliche Aufsicht, Robustheit und Konformitätsbewertung.
Begrenztes Risiko – Transparenzpflichten
Chatbots müssen sich als KI zu erkennen geben, KI-generierte oder manipulierte Inhalte (Deepfakes) sind zu kennzeichnen, synthetische Inhalte maschinenlesbar zu markieren.
Minimales Risiko
Der Großteil betrieblicher Anwendungen. Keine speziellen Pflichten – freiwillige Verhaltenskodizes werden empfohlen, die KI-Kompetenzpflicht gilt dennoch.
Artikel 4: KI-Kompetenz – die Pflicht, die jeden trifft
Artikel 4 verpflichtet Anbieter und Betreiber, ein ausreichendes Maß an KI-Kompetenz ihres Personals sicherzustellen – abgestimmt auf technisches Wissen, Erfahrung, Ausbildung und den Einsatzkontext. Diese Pflicht gilt bereits seit dem 2. Februar 2025 und ist der schnellste Weg, in die Compliance zu kommen: Eine dokumentierte, rollenspezifische Schulung plus Teilnahmenachweise erfüllt den Kern der Anforderung.
Wichtig: Ein einmaliges E-Learning ohne Bezug zu Ihren tatsächlich eingesetzten Systemen genügt in der Regel nicht. Aufsichtsbehörden und Auftraggeber fragen nach Inhalten, Zielgruppen, Turnus und Nachweisen.
Fristen im Überblick
| Datum | Was gilt |
|---|---|
| 01.08.2024 | Inkrafttreten der Verordnung (EU) 2024/1689 |
| 02.02.2025 | Verbotene KI-Praktiken, KI-Kompetenzpflicht nach Art. 4 |
| 02.08.2025 | GPAI-Pflichten, Governance-Struktur, Sanktionen, nationale Behörden |
| 02.08.2026 | Allgemeine Anwendbarkeit: Hochrisiko nach Anhang III, Transparenzpflichten |
| 02.08.2027 | Hochrisiko-KI als Sicherheitsbauteil in regulierten Produkten |
Sanktionen: Was Verstöße kosten
Bis zu 35 Mio. EUR oder 7 % des weltweiten Jahresumsatzes bei verbotenen Praktiken; bis zu 15 Mio. EUR oder 3 % bei Verstößen gegen sonstige Pflichten; bis zu 7,5 Mio. EUR oder 1 % bei Falschangaben gegenüber Behörden. Jeweils gilt der höhere Betrag. Für KMU gelten die jeweils niedrigeren Obergrenzen. Realistischer Alltagsschmerz sind jedoch: gestoppte Projekte, verlorene Ausschreibungen und Nachforderungen von Auftraggebern.
Ihr Handlungsplan – die ersten fünf Schritte
- 1. KI-Inventar erstellen: Welche Systeme mit KI-Funktion sind im Einsatz – inklusive Schatten-IT?
- 2. Rollen bestimmen: Sind Sie Betreiber, Anbieter oder beides?
- 3. Risiko klassifizieren: Welche Anwendung fällt in welche Klasse – mit Begründung?
- 4. KI-Kompetenz herstellen: rollenspezifische Schulungen mit Nachweis (Art. 4).
- 5. Governance verankern: KI-Richtlinie, Freigabeprozess, Verantwortlichkeiten, jährliche Prüfung.