EU AI Act: was Unternehmen jetzt wissen müssen
Der EU AI Act ist die erste umfassende KI-Regulierung der Welt. Sie stuft Systeme nach Risiko in vier Klassen ein und knüpft an jede Klasse konkrete Pflichten. Betroffen sind nicht nur Anbieter von KI, sondern jedes Unternehmen, das KI einsetzt — als Betreiber. Für die meisten Mittelständler bedeutet das drei Dinge: Systeme einordnen, Mitarbeiter nachweislich schulen und die Nutzung dokumentieren.
Wen betrifft der EU AI Act?
Jedes Unternehmen, das ein KI-System in der EU einsetzt — unabhängig davon, wo der Anbieter sitzt. Die Verordnung unterscheidet zwei Hauptrollen.
Anbieter (Provider)
Wer ein KI-System entwickelt und unter eigenem Namen in Verkehr bringt. Trägt die Hauptlast: Konformitätsbewertung, technische Dokumentation, Registrierung von Hochrisiko-Systemen.
Betreiber (Deployer) — meistens Sie
Wer KI im eigenen Betrieb nutzt. Eigene, kleinere Pflichten: Einsatz nach Herstellervorgaben, menschliche Aufsicht sicherstellen, Protokolle aufbewahren, Beschäftigte informieren und schulen.
Diese Unterscheidung wird in der Praxis am häufigsten übersehen. Wer ein fertiges Werkzeug einkauft, denkt, die Pflichten lägen beim Hersteller — ein Teil davon liegt beim eigenen Haus, und zwar unabhängig von der Unternehmensgröße.
Wie funktioniert der risikobasierte Ansatz?
Nicht die Technologie entscheidet über die Pflichten, sondern der Anwendungsfall. Dasselbe Sprachmodell kann in der einen Verwendung minimal reguliert und in der anderen hochriskant sein.
Verboten seit Februar 2025: Social Scoring durch Behörden, Emotionserkennung am Arbeitsplatz, biometrische Kategorisierung nach sensiblen Merkmalen, manipulative Systeme.
KI in Personalauswahl, Kreditwürdigkeit, Zugang zu wesentlichen Diensten, kritischer Infrastruktur, Bildung, Strafverfolgung.
Chatbots, generierte Inhalte, Deepfakes — alles, wo Menschen wissen müssen, dass sie mit KI interagieren.
Spamfilter, Empfehlungssysteme, die meisten Büroanwendungen — hier liegt der Großteil des betrieblichen Einsatzes.
Ausführlich mit Beispielen und Selbsteinordnung:Hochrisiko-Systeme.
Seit wann gilt der EU AI Act?
Die Verordnung ist am 1. August 2024 in Kraft getreten, greift aber gestaffelt. Die beiden Termine, die Betreiber betreffen, liegen bereits hinter uns.
- Februar 2025
- Verbotene Praktiken gelten. Schulungspflicht nach Artikel 4 ist wirksam.
- August 2025
- Regeln für KI-Modelle mit allgemeinem Verwendungszweck (GPAI) und Sanktionsrahmen.
- August 2026
- Der Großteil der Pflichten für Hochrisiko-Systeme.
- August 2027
- Hochrisiko-KI als Sicherheitsbauteil regulierter Produkte.
Details und was bis wann vorbereitet sein sollte:Fristen im Überblick.
Was bedeutet das für den Mittelstand konkret?
Deutlich weniger, als die Schlagzeilen vermuten lassen — aber nicht nichts. Wer KI für Büroaufgaben nutzt, landet fast immer in der Klasse mit minimalem Risiko und hat dort keine besonderen Auflagen. Zwei Dinge gelten trotzdem, und zwar ab dem ersten Tag.
KI-Kompetenz ist Pflicht
Artikel 4 verlangt, dass Beschäftigte, die KI einsetzen, sie auch verstehen. Das gilt unabhängig von Risikoklasse und Unternehmensgröße, und der Nachweis liegt beim Arbeitgeber.
Einordnung muss dokumentiert sein
«Wir sind nicht betroffen» ist eine Aussage, die begründet werden muss. Eine Liste der eingesetzten Systeme mit Einstufung und Begründung reicht in den meisten Fällen aus.
Praktisch heißt das: eine Stunde Bestandsaufnahme, eine Tabelle, ein Schulungsnachweis. Aufwendig wird es erst, wenn KI in Entscheidungen über Menschen mitwirkt — Bewerberauswahl, Kreditvergabe, Zugang zu Leistungen. Dann greifen die Hochrisiko-Regeln mit Risikomanagement, menschlicher Aufsicht und Protokollierung.
Alle Themen im Detail
Pflichten für Unternehmen
Was ein Unternehmen als Betreiber konkret tun muss — die drei Pflichten und ihr Umfang.
Hochrisiko-Systeme
Welche Anwendungen als hochriskant gelten und wie Sie Ihren Fall selbst einordnen.
Artikel 4: KI-Kompetenz
Die Schulungspflicht, die seit Februar 2025 gilt — und was als Nachweis zählt.
Fristen
Wann welche Regel greift: der Zeitplan bis 2027 im Überblick.
Verbotene Praktiken
Acht Anwendungen, die seit Februar 2025 gar nicht mehr erlaubt sind.
Text und Struktur
Aufbau der Verordnung, Artikel und Anhänge — wo was steht.
Häufige Fragen
Was ist der EU AI Act in einem Satz?+
Betrifft der AI Act auch Unternehmen, die KI nur einsetzen?+
Seit wann gilt der EU AI Act?+
Was passiert bei Verstößen?+
Wir nutzen nur ChatGPT und Microsoft Copilot. Reicht das für eine Einstufung?+
Brauchen wir dafür eine Rechtsberatung?+
Einordnung statt Rätselraten
Wir sind keine Kanzlei und geben keine Rechtsberatung. Was wir liefern, ist die technische Seite: Bestandsaufnahme der eingesetzten Systeme, Einordnung der Anwendungsfälle, technische Dokumentation und Belegketten, mit denen Ihre Rechtsabteilung und die Prüfung arbeiten können.
Unterstützung bei der Umsetzung