Künstliche Intelligenz

EU AI Act: Was Unternehmen jetzt wissen müssen

Der EU AI Act ist der europäische Rechtsrahmen für Künstliche Intelligenz. Er soll sicherstellen, dass KI-Systeme verantwortungsvoll, transparent und sicher eingesetzt werden. Für Unternehmen bedeutet das: Wer KI entwickelt, anbietet, vertreibt oder im eigenen Betrieb nutzt, sollte prüfen, welche Pflichten gelten.
Betroffen sind nicht nur große Technologieunternehmen. Auch kleine und mittlere Unternehmen können unter den AI Act fallen, wenn sie KI-Tools im Arbeitsalltag einsetzen — zum Beispiel Chatbots, Textgeneratoren, Übersetzungsdienste, Analyse-Tools, Bewerbermanagementsysteme oder KI-Funktionen in bestehender Software.

Das Wichtigste auf einen Blick

Der AI Act verfolgt einen risikobasierten Ansatz. Je höher das Risiko einer KI-Anwendung, desto strenger sind die Anforderungen.
Viele alltägliche KI-Anwendungen werden nur geringe Anforderungen auslösen. Kritischer wird es, wenn KI in sensiblen Bereichen eingesetzt wird, etwa im Personalwesen, bei Kreditentscheidungen, in der Bildung, im Gesundheitswesen, in sicherheitsrelevanten Produkten oder bei Entscheidungen mit Auswirkungen auf Menschen.
Unternehmen sollten jetzt vor allem drei Dinge tun: KI-Nutzung erfassen, Risiken einordnen und klare interne Regeln schaffen. Zusätzlich müssen Mitarbeitende, die mit KI arbeiten, über ausreichende KI-Kompetenz verfügen.

Wen betrifft der AI Act?

Der AI Act betrifft verschiedene Rollen. Welche Pflichten gelten, hängt davon ab, wie ein Unternehmen mit KI-Systemen umgeht.
Anbieter entwickeln KI-Systeme oder bringen sie unter eigenem Namen auf den Markt. Sie haben besonders umfangreiche Pflichten, vor allem bei Hochrisiko-KI.
Betreiber nutzen KI-Systeme im eigenen Unternehmen. Diese Rolle ist für viele Betriebe besonders relevant, etwa wenn KI-Tools für Texte, Kundenservice, Bewerbungen, Analysen oder interne Prozesse eingesetzt werden.
Händler, Importeure und Produkthersteller können betroffen sein, wenn sie KI-Systeme vertreiben, in Produkte integrieren oder in der EU bereitstellen.
Auch Unternehmen außerhalb der EU können unter den AI Act fallen, wenn ihre KI-Systeme in der EU angeboten oder deren Ergebnisse in der EU verwendet werden.

Der risikobasierte Ansatz

Der AI Act unterscheidet KI-Systeme nach ihrem Risiko. Daraus ergibt sich, welche Anforderungen Unternehmen erfüllen müssen.
1. Verbotene KI-Systeme
Bestimmte KI-Anwendungen sind unzulässig, weil sie Menschen manipulieren, ausnutzen oder Grundrechte besonders stark gefährden können. Dazu zählen beispielsweise bestimmte Formen von Social Scoring, manipulativer Einflussnahme oder unzulässiger biometrischer Überwachung.
Unternehmen sollten deshalb früh prüfen, ob geplante KI-Anwendungen in besonders sensiblen Bereichen eingesetzt werden.
2. Hochrisiko-KI
Hochrisiko-KI betrifft Anwendungen, die erhebliche Auswirkungen auf Menschen, Sicherheit oder Grundrechte haben können.
Typische Bereiche sind:
  • Personal und Bewerberauswahl
  • Bildung und berufliche Weiterbildung
  • Kreditwürdigkeitsprüfungen
  • kritische Infrastruktur
  • Medizinprodukte und Gesundheitsbereich
  • sicherheitsrelevante Produktfunktionen
  • Zugang zu wesentlichen Dienstleistungen
Für Hochrisiko-KI gelten umfangreiche Anforderungen, etwa an Risikomanagement, Datenqualität, Dokumentation, menschliche Aufsicht, technische Robustheit und Transparenz.
3. KI mit Transparenzpflichten
Bei bestimmten KI-Systemen müssen Nutzer erkennen können, dass KI eingesetzt wird. Das betrifft zum Beispiel Chatbots, Deepfakes oder KI-generierte Inhalte.
Für Unternehmen bedeutet das: Wenn Kunden, Beschäftigte oder andere Personen mit KI interagieren, sollte klar erkennbar sein, wann KI beteiligt ist — insbesondere im Kundenkontakt oder bei veröffentlichten Inhalten.
4. Geringes oder minimales Risiko
Viele alltägliche KI-Anwendungen fallen voraussichtlich in niedrigere Risikokategorien. Dazu gehören etwa Formulierungshilfen, Übersetzungen, Ideensammlungen oder einfache Zusammenfassungen.
Trotzdem sollten Unternehmen auch hier klare Regeln definieren. Denn Datenschutz, Geschäftsgeheimnisse, Urheberrecht und Qualitätskontrolle bleiben weiterhin wichtig.

Was Unternehmen jetzt konkret tun sollten

1. KI-Inventar erstellen
Der erste Schritt ist ein Überblick über alle KI-Systeme im Unternehmen. Viele KI-Anwendungen werden bereits genutzt, ohne zentral erfasst zu sein — zum Beispiel über Standardsoftware, Browsertools oder Fachanwendungen.
Ein KI-Inventar sollte erfassen:
  • Name des KI-Tools
  • Anbieter
  • verantwortliche Abteilung
  • Zweck der Nutzung
  • verarbeitete Daten
  • Einsatz mit personenbezogenen Daten
  • Einsatz im Kundenkontakt
  • mögliche Auswirkungen auf Personen
  • erste Risikoeinschätzung
Das Inventar muss zu Beginn nicht perfekt sein. Wichtig ist, dass Unternehmen wissen, welche KI tatsächlich eingesetzt wird.
2. Rolle und Risiko klären
Unternehmen sollten prüfen, ob sie Anbieter, Betreiber oder eine andere Rolle einnehmen. Die meisten Unternehmen sind zunächst Betreiber, weil sie fremde KI-Systeme im eigenen Betrieb nutzen.
Anschließend sollte jede KI-Anwendung grob nach Risiko eingeordnet werden. Besonders aufmerksam sollten Unternehmen sein, wenn KI im Personalbereich, bei sensiblen Daten, bei Kundenentscheidungen oder in sicherheitsrelevanten Prozessen eingesetzt wird.
3. KI-Kompetenz sicherstellen
Unternehmen müssen dafür sorgen, dass Mitarbeitende, die mit KI arbeiten, über ausreichende KI-Kompetenz verfügen. Das bedeutet: Sie sollten Chancen, Grenzen und Risiken von KI verstehen.
Eine praxisnahe Schulung sollte insbesondere behandeln:
  • Grundlagen von KI
  • sichere Nutzung von KI-Tools
  • Datenschutz und vertrauliche Informationen
  • typische Fehler wie Halluzinationen oder Bias
  • Prüfung von KI-Ergebnissen
  • interne Regeln und Freigabeprozesse
Nicht jeder Mitarbeitende braucht dieselbe Schulungstiefe. Wer KI nur gelegentlich nutzt, braucht andere Inhalte als HR, IT, Compliance oder Produktentwicklung.
4. Interne KI-Regeln festlegen
Eine kurze KI-Richtlinie hilft, Unsicherheiten im Alltag zu vermeiden. Sie sollte klar und verständlich regeln, was erlaubt ist und wo Grenzen liegen.
Die Richtlinie sollte beantworten:
  • Welche KI-Tools dürfen genutzt werden?
  • Welche Daten dürfen nicht eingegeben werden?
  • Wann müssen KI-Ergebnisse überprüft werden?
  • Wer gibt neue KI-Tools frei?
  • Wann muss KI-Nutzung transparent gemacht werden?
  • Wer ist intern Ansprechpartner?
Besonders wichtig ist der Umgang mit vertraulichen Informationen. Personenbezogene Daten, Kundendaten, Geschäftsgeheimnisse, Passwörter, interne Strategien oder Quellcode sollten nicht ungeprüft in externe KI-Tools eingegeben werden.
5. Datenschutz und Verträge prüfen
Der AI Act ersetzt nicht die DSGVO. Wenn personenbezogene Daten verarbeitet werden, müssen weiterhin Datenschutzgrundlagen, Informationspflichten, Löschfristen, Auftragsverarbeitung und Betroffenenrechte geprüft werden.
Auch bei der Auswahl von KI-Anbietern sollten Unternehmen genauer hinsehen:
  • Wo werden Daten verarbeitet?
  • Werden Eingaben zum Training genutzt?
  • Gibt es einen Vertrag zur Auftragsverarbeitung?
  • Welche Sicherheitsmaßnahmen bestehen?
  • Welche Informationen stellt der Anbieter bereit?
  • Gibt es Möglichkeiten zur Kontrolle und Dokumentation?
Gerade bei sensiblen oder geschäftskritischen Anwendungen sollte KI nicht ohne Prüfung eingeführt werden.

Wichtige Fristen im Überblick

1. August 2024
Der AI Act ist in Kraft getreten.
2. Februar 2025
Erste Pflichten gelten, insbesondere zu verbotenen KI-Praktiken und zur KI-Kompetenz.
2. August 2025
Weitere Vorgaben gelten, unter anderem für KI-Modelle mit allgemeinem Verwendungszweck und Governance-Regelungen.
2. August 2026
Viele zentrale Pflichten des AI Act werden breiter anwendbar. Unternehmen sollten bis dahin ihre KI-Nutzung erfasst und grundlegende Prozesse eingerichtet haben.
2. August 2028
Für bestimmte Hochrisiko-KI-Systeme, insbesondere im Zusammenhang mit regulierten Produkten, gelten längere Übergangsfristen.

Quick-Check: Ist Ihr Unternehmen vorbereitet?

Beantworten Sie die folgenden Fragen:
  • Wissen wir, welche KI-Tools im Unternehmen genutzt werden?
  • Gibt es ein KI-Inventar?
  • Haben wir risikoreiche KI-Anwendungen identifiziert?
  • Gibt es Regeln für den Umgang mit vertraulichen Daten?
  • Wissen Mitarbeitende, welche KI-Tools erlaubt sind?
  • Wurden relevante Mitarbeitende zu KI geschult?
  • Gibt es einen Freigabeprozess für neue KI-Tools?
  • Prüfen wir Datenschutz und Anbieterinformationen?
  • Werden KI-Ergebnisse bei wichtigen Themen kontrolliert?
  • Gibt es eine verantwortliche Person oder Stelle für KI-Fragen?
Wenn mehrere Fragen mit „Nein“ beantwortet werden, sollten Unternehmen mit drei Basismaßnahmen starten: KI-Inventar, KI-Richtlinie und Mitarbeiterschulung.

Empfehlung für den Einstieg

Unternehmen müssen nicht alles auf einmal lösen. Wichtig ist ein strukturierter Start.
Beginnen Sie mit einem Überblick über alle KI-Anwendungen. Prüfen Sie anschließend, welche Anwendungen besonders sensibel sind. Erstellen Sie klare interne Regeln und schulen Sie Mitarbeitende, die mit KI arbeiten. Neue KI-Tools sollten künftig nur nach einer einfachen internen Prüfung eingeführt werden.
So entsteht Schritt für Schritt ein belastbarer Rahmen für den sicheren und rechtskonformen Einsatz von KI.

Zusammenfassung

Der AI Act betrifft viele Unternehmen früher, als sie denken — auch dann, wenn sie KI lediglich nutzen und nicht selbst entwickeln. Besonders wichtig sind Transparenz, Risikobewertung, Datenschutz, Mitarbeiterschulung und klare Verantwortlichkeiten.
Wer jetzt ein KI-Inventar erstellt, Mitarbeitende qualifiziert und verständliche interne Regeln einführt, schafft eine gute Grundlage für sichere, effiziente und rechtssichere KI-Nutzung.
Hinweis: Diese Informationen bieten eine erste Orientierung und ersetzen keine rechtliche Beratung.

Weiterführende Quellen

  • Den finalen Entwurf des AI-Acts können Sie auf der Seite der offiziellen Website der EU einsehen.
  • Das EU AI Act Conformity Tool vom Europäischen Institut für Innovation und Technologie (EIT) hilft Ihnen, herauszufinden unter welche Risikoklasse Ihre KI-Anwendung fällt.
  • Die EU AI Act Compliance Journey des appliedAI Institute for Europe ist eine „Landkarte“, die die Navigation durch das KI-Gesetz erleichtert, da alle Phasen und Entscheidungspunkte in dem Flussdiagramm auf einen Blick zu sehen sind.
  • Die EU Ethik-Leitlinien für vertrauenswürdige KI können Sie bei ethischen Fragestellung in der KI-Entwicklung zu Rate ziehen.