EU AI Act einfach erklärt: Was Unternehmen jetzt wissen müssen

Warum die EU KI regulieren will

Künstliche Intelligenz birgt neben großem wirtschaftlichem Potenzial auch Risiken: intransparente Entscheidungen, diskriminierende Ergebnisse oder mangelnde Kontrolle über automatisierte Prozesse. Die EU will mit dem AI Act verhindern, dass diese Risiken unkontrolliert in Unternehmen, Behörden und im Alltag der Menschen wirken, ohne dabei die Innovationskraft der Technologie auszubremsen.

Ziele der neuen KI-Verordnung

Im Zentrum steht der Aufbau vertrauenswürdiger KI: Systeme sollen sicher, nachvollziehbar und diskriminierungsfrei funktionieren. Gleichzeitig soll ein einheitlicher europäischer Rechtsrahmen Rechtssicherheit für Unternehmen schaffen und verhindern, dass einzelne Mitgliedstaaten eigene, abweichende KI-Regeln entwickeln. KI Compliance wird damit zu einem festen Bestandteil unternehmerischer Verantwortung, ähnlich wie es beim Datenschutz durch die DSGVO bereits ist.

Für wen der AI Act gilt

Der AI Act unterscheidet zwischen Anbietern, die KI-Systeme entwickeln und in Verkehr bringen, und Betreibern, die KI-Systeme im eigenen Unternehmen einsetzen. Beide Rollen tragen Pflichten, wobei Anbieter grundsätzlich stärker in der Verantwortung stehen. Wichtig: Auch ein Unternehmen, das lediglich ChatGPT oder Microsoft Copilot im Arbeitsalltag nutzt, ist als Betreiber vom AI Act betroffen, unabhängig von der Unternehmensgröße. Für kleine und mittlere Unternehmen sieht die Verordnung punktuell erleichterte Anforderungen vor.

Verbotene KI-Systeme

Seit dem 2. Februar 2025 sind bestimmte KI-Praktiken in der EU vollständig verboten, weil ihr Risiko als nicht vertretbar gilt. Dazu zählen unter anderem Social-Scoring-Systeme, Systeme zur gezielten unterschwelligen Beeinflussung, bestimmte Formen biometrischer Echtzeit-Überwachung im öffentlichen Raum sowie KI zur Emotionserkennung am Arbeitsplatz, von eng begrenzten Ausnahmen abgesehen. Verstöße können mit Bußgeldern von bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes geahndet werden.

Hochrisiko-KI erklärt

Hochrisiko-KI-Systeme sind nach Anhang III der Verordnung beispielsweise Systeme im Personalwesen wie das Scoring von Bewerbungen, in der Kreditwürdigkeitsprüfung, in kritischer Infrastruktur oder im Bildungsbereich. Für sie gilt der umfangreichste Pflichtenkatalog: Risikomanagement, Datenqualität, technische Dokumentation, menschliche Aufsicht und Konformitätsbewertung. Die ursprünglich für August 2026 vorgesehene volle Anwendung dieser Pflichten wurde im Zuge des sogenannten Digital Omnibus auf Dezember 2027 verschoben, einzelne Pflichten greifen sogar erst 2028. Unternehmen sollten sich davon aber nicht zur Untätigkeit verleiten lassen, denn die verbleibende Vorbereitungszeit ist begrenzt.

KI mit geringem Risiko

Der Großteil der heute eingesetzten KI-Anwendungen fällt unter minimales oder begrenztes Risiko, etwa Spamfilter, KI-gestützte Texterstellung oder einfache Empfehlungssysteme. Für sie gelten keine oder nur geringe Pflichten, vor allem Transparenzanforderungen. Dennoch lohnt sich auch hier eine bewusste Auseinandersetzung, denn die Risikoeinstufung kann sich mit dem konkreten Einsatzzweck ändern.

Generative KI wie ChatGPT & Copilot

Generative KI-Systeme wie ChatGPT, Microsoft Copilot oder Gemini gelten in der Regel nicht automatisch als Hochrisiko-KI, unterliegen aber eigenen Transparenzpflichten: KI-generierte Inhalte müssen unter bestimmten Voraussetzungen als solche gekennzeichnet werden und die Anbieter dieser sogenannten General-Purpose-AI-Modelle müssen seit August 2025 unter anderem technische Dokumentation bereitstellen und urheberrechtliche Vorgaben einhalten. Für Unternehmen als Betreiber bzw. Nutzer bedeutet das vor allem, genau hinzuschauen, wie und wofür diese Tools im Arbeitsalltag tatsächlich eingesetzt werden.

Transparenzpflichten

Interagieren Menschen mit einem KI-System, etwa über einen Chatbot, muss dies grundsätzlich erkennbar sein, sofern es nicht ohnehin offensichtlich ist. Auch der Einsatz von KI bei automatisierten Entscheidungen mit Auswirkung auf Personen unterliegt besonderen Informationspflichten.

Dokumentation und Risikobewertung

Vor allem bei höherem Risiko verlangt der AI Act eine nachvollziehbare Dokumentation: Welche KI-Systeme werden eingesetzt, wofür, mit welchen Daten und mit welchem Risiko? Eine systematische Bestandsaufnahme aller im Unternehmen genutzten KI-Anwendungen ist deshalb ein sinnvoller erster Schritt, bevor einzelne Pflichten im Detail bearbeitet werden.

Schulungen und KI-Kompetenz

Bereits seit Februar 2025 verpflichtet Artikel 4 des AI Acts Unternehmen, ausreichende KI-Kompetenz bei allen Mitarbeitenden sicherzustellen, die mit KI-Systemen arbeiten. Diese Pflicht gilt unabhängig davon, wann die übrigen AI-Act-Anforderungen greifen und ist damit für die meisten Unternehmen schon heute umzusetzen.

Eine belastbare AI-Act-Gap-Analyse setzt voraus, technische Risikoeinstufung und juristische Pflichtenbewertung gemeinsam zu betrachten, statt sie getrennt von IT-Abteilung und externer Rechtsberatung bearbeiten zu lassen. Wir unterstützen Unternehmen dabei, ihre KI-Systeme entsprechend einzuordnen und die daraus entstehenden Pflichten praxisnah und ohne doppelten Abstimmungsaufwand umzusetzen.

Datenschutz und IT-Sicherheit

Der AI Act ersetzt die DSGVO nicht, sondern ergänzt sie: Werden in einem KI-System personenbezogene Daten verarbeitet, gelten beide Regelwerke parallel. Unternehmen sollten KI-Compliance und Datenschutz deshalb nicht getrennt voneinander betrachten, sondern als zusammenhängende Aufgabe verstehen, die auch IT-Sicherheitsaspekte wie Zugriffsschutz und Protokollierung einschließt.