Der EU AI Act ist in Kraft. Erfahren Sie, was das fur Ihren KI-Einsatz bedeutet, welche Risiken bestehen und wie Sie konform bleiben. Ein praktischer Leitfaden fur Unternehmen.

Der EU AI Act trat am 1. August 2024 in Kraft. Seine Anforderungen gelten schrittweise: verbotene Praktiken und KI-Kompetenz seit dem 2. Februar 2025, Governance und Pflichten für KI mit allgemeinem Verwendungszweck seit dem 2. August 2025 und die meisten übrigen Bestimmungen ab dem 2. August 2026. Für bestimmte Hochrisiko-Anwendungen gelten spätere Termine.

Fur Unternehmen bedeutet das, durch neue Pflichten, Risikokategorien und Compliance-Anforderungen zu navigieren. Die Frage, die viele Vorstandsetagen beschaftigt: Was bedeutet das konkret fur unsere KI-Initiativen?

Die Verordnung ist risikobasiert und kein allgemeines Verbot. Die Einstufung hängt vom Verwendungszweck und Einsatzkontext ab. Bestimmte KI-Anwendungen in Beschäftigung und anderen sensiblen Bereichen können als Hochrisiko gelten, während für andere Assistenten vor allem Transparenzpflichten gelten.

Die Herausforderung: Viele Organisationen verstehen noch nicht, wo ihre KI-Systeme genau einzuordnen sind, welche Pflichten gelten und wie sie Konformitat nachweisen konnen.

Dieser Artikel bietet einen praktischen Leitfaden. Kein juristisches Fachsimpeln, dafur konkrete Handlungsempfehlungen. Nach der Lekture wissen Sie, welche KI-Kategorien es gibt, wo Ihre Anwendungen wahrscheinlich einzuordnen sind und welche Schritte Sie unternehmen mussen.

Die Struktur: KI nach Risiko kategorisiert

Der EU AI Act verfolgt einen risikobasierten Ansatz. Nicht jede KI ist gleich: Ein Chatbot, der Produktfragen beantwortet, ist grundlegend anders als ein System, das daruber entscheidet, ob jemand eine Hypothek erhalt. Das Gesetz erkennt das an und schafft vier Kategorien:

Kategorie 1: Unannehmbares Risiko (verboten)

Bestimmte KI-Anwendungen sind in der EU schlicht verboten:

  • Social-Scoring-Systeme (wie in China)
  • Biometrische Identifizierung in offentlichen Raumen (mit Ausnahmen fur die Strafverfolgung)
  • Manipulative KI, die verletzliche Gruppen ausnutzt
  • Emotionserkennung am Arbeitsplatz und im Bildungswesen

Diese Kategorie ist eindeutig: nicht tun. Die Bussgelder betragen bis zu 35 Millionen Euro oder 7 % des weltweiten Umsatzes.

Kategorie 2: Hohes Risiko

KI-Systeme mit signifikantem Einfluss auf die Rechte und die Sicherheit von Personen:

  • Kreditentscheidungen und Versicherungstarifierung
  • Personalgewinnung und -auswahl (Lebenslauf-Screening, Bewerbungsgesprache)
  • Bildung: Zulassung und Bewertung
  • Kritische Infrastruktur
  • Medizinische Diagnosen
  • Strafverfolgung

Fur Hochrisiko-KI gelten strenge Anforderungen:

  • Risikobewertung und Risikominderung
  • Datenqualitatsanforderungen
  • Technische Dokumentation
  • Menschliche Aufsicht
  • Registrierung in der EU-Datenbank
  • Konformitatsbewertung

Transparenzpflichten fur bestimmte KI-Systeme

Der endgultige AI Act verwendet "begrenztes Risiko" nicht als universelle Produktklassifizierung. Artikel 50 legt Transparenzpflichten fur bestimmte Systeme und Ausgaben fest, darunter:

  • Chatbots und Conversational AI
  • KI-generierte Inhalte
  • Emotionserkennung (ausserhalb verbotener Kontexte)
  • Biometrische Kategorisierung

Je nach System konnen die Pflichten Folgendes umfassen:

  • Nutzer informieren, dass sie mit KI kommunizieren
  • Deutlich machen, wenn Inhalte KI-generiert sind
  • Kennzeichnung bestimmter KI-generierter oder manipulierter Inhalte

Kategorie 4: Minimales Risiko

KI-Systeme ohne spezifische Pflichten:

  • Spam-Filter
  • Videospiel-KI
  • Bestandsoptimierung

Hier gilt lediglich die allgemeine Verpflichtung, KI "verantwortungsvoll" einzusetzen.

Wo ordnen sich Enterprise-Wissensassistenten ein?

Ein Wissensassistent ist nicht automatisch hochriskant. Die Einstufung hangt vom vorgesehenen Zweck und der tatsachlichen Nutzung ab. Transparenzpflichten nach Artikel 50 konnen fur Systeme gelten, die direkt mit Menschen interagieren. Ein HR-System, das Beschaftigungsentscheidungen trifft oder wesentlich beeinflusst, kann dagegen ein Hochrisiko-Anwendungsfall sein. Beispiele, die eine anwendungsspezifische Prufung erfordern:

  • HR-Policy-Assistenten
  • Juristische Wissensdatenbanken
  • IT-Helpdesk-KI
  • Interne Suchsysteme

Die Transparenzpflicht bedeutet in der Praxis: Nutzer mussen wissen, dass sie mit KI kommunizieren, und im Zweifelsfall mussen sie nachvollziehen konnen, woher die Information stammt.

💡

Key Insight

Klassifizieren Sie den Anwendungsfall, nicht nur das Produktetikett. Ein Dokumentensuchassistent und ein System fur Beschaftigungsentscheidungen konnen sehr unterschiedliche Pflichten haben.

Die Kernpflichten: Was mussen Sie tun?

Die Pflichten hangen vom System, der Rolle als Anbieter oder Betreiber, dem vorgesehenen Zweck und dem Deploymentkontext ab.

Transparenzpflichten (Artikel 50)

  1. KI-Offenlegung: Nutzer mussen wissen, dass sie mit einem KI-System interagieren und nicht mit einem Menschen. Das kann einfach sein: "Sie sprechen mit einem KI-Assistenten."

  2. Inhaltskennzeichnung: KI-generierte Texte, Audio- oder Bildinhalte mussen als solche erkennbar sein. Fur interne Systeme bedeutet das eine klare Kennzeichnung.

  3. Quellenangabe: Obwohl nicht explizit vom AI Act gefordert, entspricht dies dem Geist des Gesetzes. Wenn KI Antworten generiert, ist es Best Practice, die Quellen anzuzeigen.

Governance-Anforderungen

Unabhangig von der Risikokategorie empfiehlt das Gesetz:

  • KI-Register: Dokumentieren Sie, welche KI-Systeme Sie einsetzen
  • Risikobewertung: Bewerten Sie regelmasig die Auswirkungen
  • Verantwortlichkeiten: Benennen Sie einen KI-Verantwortlichen
  • Schulung: Stellen Sie sicher, dass Nutzer verstehen, wie KI funktioniert und wo ihre Grenzen liegen

Die Uberschneidung mit der DSGVO

Der EU AI Act ersetzt die DSGVO nicht. Beide erganzen sich. Wenn Ihre KI personenbezogene Daten verarbeitet (und das ist fast immer der Fall), gelten beide Regelwerke:

| DSGVO | EU AI Act | |-------|-----------| | Rechtsgrundlage fur die Verarbeitung | Risikokategorisierung | | Privacy by Design | Transparenzanforderungen | | Betroffenenrechte | Menschliche Aufsicht | | Auftragsverarbeitung erforderlich | Technische Dokumentation |

Organisationen, die die DSGVO ernst nehmen, haben einen Vorsprung: Die Prinzipien von Transparenz, Verantwortlichkeit und Daten-Governance sind vergleichbar.

Pro-Tipp: Wenn Sie Ihre DSGVO-Konformitat bereits im Griff haben, sind Sie im Vorteil. Die Prinzipien von Privacy by Design, Dokumentation und Rechenschaftspflicht lassen sich direkt auf die AI-Act-Compliance ubertragen.