EU AI Act: Der praktische Leitfaden fur europaische Unternehmen

August 2025 markierte einen Wendepunkt. Der EU AI Act, das weltweit erste umfassende KI-Gesetz, trat offiziell in Kraft. Und obwohl die meisten Bestimmungen erst 2026 und 2027 vollstandig wirksam werden, ist die Botschaft klar: Europa nimmt KI-Regulierung ernst.

Fur Unternehmen bedeutet das, durch neue Pflichten, Risikokategorien und Compliance-Anforderungen zu navigieren. Die Frage, die viele Vorstandsetagen beschaftigt: Was bedeutet das konkret fur unsere KI-Initiativen?

Die gute Nachricht: Der EU AI Act ist kein Verbotsgesetz. Es ist ein Rahmenwerk, das verantwortungsvollen KI-Einsatz ermoglicht. Die meisten Enterprise-KI-Anwendungen, von Wissensassistenten bis zur Dokumentenanalyse, fallen unter Kategorien mit uberschaubaren Pflichten.

Die Herausforderung: Viele Organisationen verstehen noch nicht, wo ihre KI-Systeme genau einzuordnen sind, welche Pflichten gelten und wie sie Konformitat nachweisen konnen.

Dieser Artikel bietet einen praktischen Leitfaden. Kein juristisches Fachsimpeln, dafur konkrete Handlungsempfehlungen. Nach der Lekture wissen Sie, welche KI-Kategorien es gibt, wo Ihre Anwendungen wahrscheinlich einzuordnen sind und welche Schritte Sie unternehmen mussen.

Die Struktur: KI nach Risiko kategorisiert

Der EU AI Act verfolgt einen risikobasierten Ansatz. Nicht jede KI ist gleich: Ein Chatbot, der Produktfragen beantwortet, ist grundlegend anders als ein System, das daruber entscheidet, ob jemand eine Hypothek erhalt. Das Gesetz erkennt das an und schafft vier Kategorien:

Kategorie 1: Unannehmbares Risiko (verboten)

Bestimmte KI-Anwendungen sind in der EU schlicht verboten:

• Social-Scoring-Systeme (wie in China)
• Biometrische Identifizierung in offentlichen Raumen (mit Ausnahmen fur die Strafverfolgung)
• Manipulative KI, die verletzliche Gruppen ausnutzt
• Emotionserkennung am Arbeitsplatz und im Bildungswesen

Diese Kategorie ist eindeutig: nicht tun. Die Bussgelder betragen bis zu 35 Millionen Euro oder 7 % des weltweiten Umsatzes.

Kategorie 2: Hohes Risiko

KI-Systeme mit signifikantem Einfluss auf die Rechte und die Sicherheit von Personen:

• Kreditentscheidungen und Versicherungstarifierung
• Personalgewinnung und -auswahl (Lebenslauf-Screening, Bewerbungsgesprache)
• Bildung: Zulassung und Bewertung
• Kritische Infrastruktur
• Medizinische Diagnosen
• Strafverfolgung

Fur Hochrisiko-KI gelten strenge Anforderungen:

• Risikobewertung und Risikominderung
• Datenqualitatsanforderungen
• Technische Dokumentation
• Menschliche Aufsicht
• Registrierung in der EU-Datenbank
• Konformitatsbewertung

Kategorie 3: Begrenztes Risiko (Limited Risk)

Hierunter fallen die meisten Enterprise-KI-Anwendungen, darunter:

• Chatbots und Conversational AI
• KI-generierte Inhalte
• Emotionserkennung (ausserhalb verbotener Kontexte)
• Biometrische Kategorisierung

Die Pflichten sind uberschaubar und drehen sich vorrangig um Transparenz:

• Nutzer informieren, dass sie mit KI kommunizieren
• Deutlich machen, wenn Inhalte KI-generiert sind
• Nachvollziehbarkeit von Entscheidungen

Kategorie 4: Minimales Risiko

KI-Systeme ohne spezifische Pflichten:

• Spam-Filter
• Videospiel-KI
• Bestandsoptimierung

Hier gilt lediglich die allgemeine Verpflichtung, KI "verantwortungsvoll" einzusetzen.

Wo ordnen sich Enterprise-Wissensassistenten ein?

KI-Systeme, die internes Wissen erschliessen, Fragen aus Dokumenten beantworten oder Mitarbeitende bei der Informationssuche unterstutzen, fallen typischerweise unter "begrenztes Risiko" (Artikel 52). Das gilt auch fur:

• HR-Policy-Assistenten
• Juristische Wissensdatenbanken
• IT-Helpdesk-KI
• Interne Suchsysteme

Die Transparenzpflicht bedeutet in der Praxis: Nutzer mussen wissen, dass sie mit KI kommunizieren, und im Zweifelsfall mussen sie nachvollziehen konnen, woher die Information stammt.

Key Insight: Die meisten Enterprise-KI-Anwendungen (Wissensdatenbanken, HR-Assistenten, Helpdesk-KI) fallen unter "begrenztes Risiko" mit uberschaubaren Pflichten. Der Fokus liegt auf Transparenz, nicht auf Verboten.

Die Kernpflichten: Was mussen Sie tun?

Je nach Risikokategorie gelten unterschiedliche Pflichten. Fur die meisten Enterprise-KI-Anwendungen (begrenztes Risiko) sind die Anforderungen konkret und umsetzbar.

Transparenzpflichten (Artikel 52)

1. KI-Offenlegung: Nutzer mussen wissen, dass sie mit einem KI-System interagieren und nicht mit einem Menschen. Das kann einfach sein: "Sie sprechen mit einem KI-Assistenten."

2. Inhaltskennzeichnung: KI-generierte Texte, Audio- oder Bildinhalte mussen als solche erkennbar sein. Fur interne Systeme bedeutet das eine klare Kennzeichnung.

3. Quellenangabe: Obwohl nicht explizit vom AI Act gefordert, entspricht dies dem Geist des Gesetzes. Wenn KI Antworten generiert, ist es Best Practice, die Quellen anzuzeigen.

Governance-Anforderungen

Unabhangig von der Risikokategorie empfiehlt das Gesetz:

• KI-Register: Dokumentieren Sie, welche KI-Systeme Sie einsetzen
• Risikobewertung: Bewerten Sie regelmasig die Auswirkungen
• Verantwortlichkeiten: Benennen Sie einen KI-Verantwortlichen
• Schulung: Stellen Sie sicher, dass Nutzer verstehen, wie KI funktioniert und wo ihre Grenzen liegen

Die Uberschneidung mit der DSGVO

Der EU AI Act ersetzt die DSGVO nicht. Beide erganzen sich. Wenn Ihre KI personenbezogene Daten verarbeitet (und das ist fast immer der Fall), gelten beide Regelwerke:

| DSGVO | EU AI Act | |-------|-----------| | Rechtsgrundlage fur die Verarbeitung | Risikokategorisierung | | Privacy by Design | Transparenzanforderungen | | Betroffenenrechte | Menschliche Aufsicht | | Auftragsverarbeitung erforderlich | Technische Dokumentation |

Organisationen, die die DSGVO ernst nehmen, haben einen Vorsprung: Die Prinzipien von Transparenz, Verantwortlichkeit und Daten-Governance sind vergleichbar.

Pro-Tipp: Wenn Sie Ihre DSGVO-Konformitat bereits im Griff haben, sind Sie im Vorteil. Die Prinzipien von Privacy by Design, Dokumentation und Rechenschaftspflicht lassen sich direkt auf die AI-Act-Compliance ubertragen.

Zeitplan: Bis wann muss was geregelt sein?

• August 2025: Gesetz in Kraft, verbotene Praktiken gelten sofort
• Februar 2026: Governance-Regeln und Pflichten fur KI-Modelle mit allgemeinem Verwendungszweck
• August 2026: Hochrisiko-KI-Pflichten vollstandig wirksam
• August 2027: Vollstandige Durchsetzung fur alle Systeme

Die Botschaft: Es gibt Zeit zur Vorbereitung, aber warten Sie nicht bis zum letzten Moment.

Bussgelder und Durchsetzung

Die EU greift bei den Sanktionen nicht zu kurz:

• Verbotene KI-Praktiken: bis zu 35 Millionen EUR oder 7 % des weltweiten Umsatzes
• Verstose bei Hochrisiko-KI: bis zu 15 Millionen EUR oder 3 % des Umsatzes
• Falsche Angaben gegenuber Aufsichtsbehorden: bis zu 7,5 Millionen EUR oder 1,5 % des Umsatzes

Die nationalen Aufsichtsbehorden werden noch benannt, doch es wird erwartet, dass bestehende Behorden (etwa die Datenschutzaufsichtsbehorden) eine Rolle ubernehmen.

Compliance in der Praxis: Von der Theorie zur Umsetzung

Das Gesetz zu verstehen ist der erste Schritt. Es in der Organisation umzusetzen, ist die eigentliche Herausforderung. Hier ist ein praxisnaher Stufenplan.

Schritt 1: KI-Inventarisierung

Erfassen Sie, welche KI-Systeme Ihre Organisation einsetzt:

• Eigenentwickelte KI
• KI-Funktionalitaten in SaaS-Produkten
• KI-Integrationen von Drittanbietern
• Experimente und Pilotprojekte

Viele Organisationen unterschatzen, wie viel KI sie tatsachlich einsetzen. Die "intelligente Suchfunktion" in Ihrer Wissensdatenbank? Das ist KI. Die automatische Kategorisierung in Ihrem Ticketsystem? Ebenfalls KI.

Schritt 2: Risikoklassifizierung

Pro identifiziertem System:

• In welche Kategorie fallt es?
• Welche Pflichten gelten?
• Wie ist der aktuelle Compliance-Status?

Tipp: Beziehen Sie sowohl IT als auch die Rechtsabteilung ein. Technische Realitat und juristische Einordnung mussen ubereinstimmen.

Key Insight: Viele Organisationen unterschatzen, wie viel KI sie bereits nutzen. Die "intelligente Suchfunktion"? KI. Die automatische Kategorisierung? Ebenfalls KI. Beginnen Sie mit einer vollstandigen Bestandsaufnahme.

Schritt 3: Gap-Analyse

Identifizieren Sie, wo Handlungsbedarf besteht:

• Fehlt die Transparenzbenachrichtigung?
• Sind Quellen nicht nachvollziehbar?
• Fehlt Dokumentation?
• Ist keine menschliche Aufsicht definiert?

Schritt 4: Massnahmenplanung

Priorisieren Sie auf Basis von:

• Risikoniveau (Hochrisiko zuerst)
• Zeitplan (wann werden Pflichten wirksam?)
• Auswirkung (wie viele Nutzer, wie viele Entscheidungen?)

Schritt 5: Anbieterbewertung

Fur eingekaufte KI: Bewerten Sie Anbieter hinsichtlich:

• EU-Datenresidenz
• AI-Act-Compliance-Aussagen
• Transparenzmoglichkeiten
• Audit-Trail-Funktionalitat

Fragen Sie explizit: "Wie hilft mir dieses Produkt, den EU AI Act einzuhalten?"

Pro-Tipp: Nehmen Sie die Frage "Wie hilft mir dieses Produkt, den EU AI Act einzuhalten?" in jede KI-bezogene Ausschreibung auf. Anbieter, die hier keine klare Antwort haben, sind noch nicht so weit.

Die Rolle des Einkaufs

KI-Compliance beginnt bei der Beschaffung. Nehmen Sie AI-Act-Anforderungen auf in:

• Ausschreibungen und Kriterien fur die Anbieterauswahl
• Vertrage und SLAs
• Due-Diligence-Checklisten

Worauf Sie bei konformen KI-Losungen achten sollten

1. EU-gehostet: Daten verbleiben in Europa
2. Transparente Funktionsweise: Sie konnen erklaren, wie das System zu Antworten kommt
3. Quellenangaben: Jede Ausgabe ist auf die Eingabe zuruckfuhrbar
4. Audit-Logs: Wer hat was gefragt, wann, und was war die Antwort
5. Menschliche Aufsicht: Moglichkeit, KI-Entscheidungen zu uberprufen
6. Kein Training mit Kundendaten: Ihre Daten verbessern nicht das Modell fur andere

Haufig gestellte Fragen und Missverstandnisse

"Mussen wir die KI abschalten, bis wir konform sind?"

Nein. Die meisten Enterprise-KI-Systeme konnen weiterlaufen. Der Schwerpunkt liegt auf Transparenz und Dokumentation, nicht auf Verboten. Beginnen Sie mit der Inventarisierung und arbeiten Sie schrittweise auf vollstandige Konformitat hin.

"Fallt unsere Wissensdatenbank-KI unter Hochrisiko?"

Wahrscheinlich nicht. Eine KI, die interne Dokumente durchsucht und Fragen beantwortet, fallt typischerweise unter begrenztes Risiko (Artikel 52). Hochrisiko gilt, wenn KI wesentliche Entscheidungen uber Rechte, Beschaftigung, Kreditwurdigkeit oder Gesundheit von Personen trifft.

"Was, wenn unser KI-Anbieter nicht in der EU ansassig ist?"

Der AI Act gilt fur KI, die in der EU eingesetzt wird, unabhangig davon, wo der Anbieter seinen Sitz hat. Fragen Sie Ihren Anbieter:

• Wo werden Daten verarbeitet?
• Gibt es EU-spezifische Optionen?
• Wie wird Compliance unterstutzt?

"Ist Open-Source-KI ausgenommen?"

Teilweise. Open-Source-KI-Modelle sind von einigen Anbieterpflichten befreit, doch wenn Sie sie in Ihrer Organisation einsetzen, gelten die Pflichten fur den Betreiber weiterhin.

"Wie verhat sich das zu branchenspezifischer Regulierung?"

Der AI Act wirkt zusammen mit bestehender Regulierung. In Finanzdienstleistungen, im Gesundheitswesen und in anderen regulierten Branchen konnen zusatzliche Anforderungen gelten. Der AI Act ist ein Mindestniveau, keine Obergrenze.

"Was, wenn wir nur KI von Microsoft/Google/AWS nutzen?"

Die grossen Cloud-Anbieter arbeiten an der Konformitat, doch die Verantwortung fur den korrekten Einsatz liegt bei Ihnen. Deren Tools konnen konform sein; Ihre Implementierung entscheidet daruber, ob Sie konform sind.

Fazit: Compliance als Wettbewerbsvorteil

Der EU AI Act wird oft als Hurde dargestellt. Doch vorausschauende Organisationen sehen es anders: Es ist eine Chance.

In einer Welt, in der Konsumenten und Geschaftskunden den KI-Einsatz zunehmend kritisch betrachten, ist die Aussage "Wir erfullen den EU AI Act" ein Vertrauenssignal. Sie kommuniziert: Wir nehmen KI ernst. Wir nehmen Datenschutz ernst. Wir nehmen Ihre Rechte ernst.

Organisationen, die jetzt in konforme KI investieren, legen ein Fundament, das:

• Vertrauen bei Kunden und Mitarbeitenden schafft
• Risiken bei kunftiger Gesetzgebung minimiert
• Schnellere Einfuhrung ermoglicht (weniger Widerstand)
• Anbieterabhangigkeit vermeidet (EU-gehostete Optionen sind ubertragbar)

Der EU AI Act ist nicht das letzte KI-Gesetz. Es ist das erste. Organisationen, die jetzt lernen, sich in dieser Landschaft zu bewegen, sind besser auf das vorbereitet, was kommt.

Die praktische Frage ist nicht "Muss ich das ernst nehmen?" Die Antwort lautet ja. Die Frage ist "Wie fange ich an?" Und die Antwort: Beginnen Sie mit der Inventarisierung, Klassifizierung und Dokumentation. Suchen Sie Anbieter, die Compliance unterstutzen. Und denken Sie daran: Transparenz ist der Kern.

KI, der Sie vertrauen konnen, beginnt mit KI, die Sie erklaren konnen. Gegenuber Nutzern, gegenuber Aufsichtsbehorden und gegenuber sich selbst.

Fazit: Der EU AI Act ist keine Hurde, sondern eine Chance. Organisationen, die jetzt in konforme KI investieren, erarbeiten sich einen Vertrauensvorsprung, der schwer aufzuholen ist.