Pflichten für Unternehmen, die KI einsetzen
Der EU AI Act trifft nicht nur Anbieter von KI, sondern jedes Unternehmen, das sie nutzt — in der Rolle des Betreibers. Für die meisten Mittelständler bedeutet das drei konkrete Pflichten: die eingesetzten Systeme klassifizieren, Mitarbeiter nachweislich schulen und die Nutzung dokumentieren. Wer nur Standardwerkzeuge wie ChatGPT oder Copilot einsetzt, fällt in die niedrigste Risikostufe —aber nicht aus der Pflicht.
Wen betrifft der Anwendungsbereich?
Maßgeblich ist nicht der Sitz des Anbieters, sondern der Ort des Einsatzes. Ein amerikanisches Werkzeug in einem österreichischen Betrieb fällt unter die Verordnung, ein europäisches Werkzeug mit Ergebnissen in der EU ebenfalls.
Die Rolle des Betreibers entsteht automatisch, sobald ein KI-System im Unternehmen genutzt wird — unabhängig von Größe, Branche und davon, ob die Software zugekauft, gemietet oder selbst gebaut ist. Ausgenommen ist ausschließlich die private Nutzung außerhalb beruflicher Tätigkeit.
In der Praxis wird das am häufigsten übersehen, weil Unternehmen davon ausgehen, die Pflichten lägen beim Hersteller. Ein Teil davon liegt dort tatsächlich — der Rest beim eigenen Haus, und den nimmt niemand ab.
Welche Anforderungen stellt der EU AI Act konkret?
Die ersten drei Pflichten gelten immer. Die letzten drei greifen, sobald ein System als hochriskant eingestuft ist.
Systeme einordnen
Bestandsaufnahme aller eingesetzten KI-Werkzeuge, Zuordnung zu einer der vier Risikoklassen, schriftliche Begründung. Umfasst auch Werkzeuge, die Fachbereiche eigenständig eingeführt haben.
KI-Kompetenz sicherstellen
Artikel 4 verlangt ausreichendes Verständnis bei allen, die KI einsetzen — angemessen zu Rolle und Anwendungsfall. Der Nachweis liegt beim Arbeitgeber.
Einsatz dokumentieren
Wer nutzt welches System wofür, mit welchen Daten, unter welcher Aufsicht. Bei Hochrisiko-Systemen zusätzlich Protokolle mindestens sechs Monate aufbewahren.
Menschliche Aufsicht
Bei Hochrisiko-Anwendungen muss eine Person die Ergebnisse prüfen können und befugt sein, sie zu übergehen. «Der Algorithmus hat entschieden» ist keine zulässige Begründung.
Betroffene informieren
Werden Beschäftigte am Arbeitsplatz einem Hochrisiko-System ausgesetzt, sind sie vorab zu informieren. In Deutschland kommt die Mitbestimmung des Betriebsrats hinzu.
Vorfälle melden
Schwerwiegende Vorfälle und Fehlfunktionen sind dem Anbieter und gegebenenfalls der Marktüberwachungsbehörde zu melden.
Gibt es eine Kennzeichnungspflicht?
Ja, aber nur dort, wo Menschen sonst getäuscht werden könnten. Ein Chatbot im Kundenkontakt muss erkennbar machen, dass am anderen Ende eine Maschine sitzt. Synthetische Bilder, Audio und Video sind als solche zu kennzeichnen.
Für rein interne Werkzeuge ohne Außenwirkung greift die Pflicht in der Regel nicht — ein Assistent, der Mitarbeitern Antworten aus Firmendokumenten liefert, braucht kein Hinweisschild. Sobald derselbe Assistent Kunden antwortet, ändert sich das.
Was können Sie diese Woche tun?
Fünf Schritte, für die Sie niemanden brauchen. Das Ergebnis ist bereits ein belastbarer Nachweis, dass Sie sich mit der Einordnung befasst haben.
- 1Liste aller eingesetzten KI-Werkzeuge erstellen — inklusive derer, die Fachbereiche selbst eingeführt haben.
- 2Je Werkzeug den Zweck notieren: was genau wird damit entschieden oder vorbereitet.
- 3Prüfen, ob eines davon Menschen betrifft: Auswahl, Bewertung, Zugang zu Leistungen.
- 4Schulungsstand erfassen: wer arbeitet mit KI und wurde nachweislich eingewiesen.
- 5Ergebnis in einer Tabelle festhalten und datieren — das ist bereits Ihre Einordnungsdokumentation.
Was in der Tabelle stehen sollte
System · Zweck · verarbeitete Datenarten · Risikoklasse · Begründung der Einstufung · verantwortliche Person · Datum. Die Begründung ist der Teil, den Prüfer lesen: «minimal» ohne Herleitung ist keine Dokumentation.
Was passiert bei Verstößen?
Die Bußgelder sind nach Schwere gestaffelt. Für Betreiber ist die mittlere Stufe relevant — Verstöße gegen Betreiberpflichten, nicht gegen Verbote.
- Verbotene Praktiken
- bis 35 Mio. € oder 7 % des weltweiten Jahresumsatzes
- Verstoß gegen sonstige Pflichten
- bis 15 Mio. € oder 3 % des Jahresumsatzes
- Falsche Angaben gegenüber Behörden
- bis 7,5 Mio. € oder 1 % des Jahresumsatzes
Maßgeblich ist jeweils der höhere Betrag. Für kleine und mittlere Unternehmen sieht die Verordnung vor, dass die Obergrenzen anteilig angewendet werden.
Wann Sie uns dafür nicht brauchen
- Wenn im Haus ausschließlich Standardwerkzeuge ohne Personenbezug laufen — dann reichen Liste, Begründung und eine Schulung.
- Wenn Sie eine rechtliche Bewertung brauchen: dafür ist eine Kanzlei zuständig, wir liefern die technische Seite.
- Wenn noch gar keine KI eingesetzt wird — dann genügt eine datierte Notiz, dass das geprüft wurde.
Häufige Fragen
Betrifft der EU AI Act unser Unternehmen überhaupt?+
Welche Anforderungen stellt der EU AI Act an Betreiber?+
Gilt eine Kennzeichnungspflicht für KI-Inhalte?+
Was ist der Anwendungsbereich — gilt das auch für Anbieter außerhalb der EU?+
Wie dokumentiert man die Einordnung praktisch?+
Was kostet die Umsetzung?+
Wenn die Einordnung nicht eindeutig ist
Grenzfälle gibt es vor allem dort, wo KI Entscheidungen über Menschen vorbereitet. Wir nehmen den Bestand auf, ordnen die Anwendungsfälle ein und liefern die technische Dokumentation samt Belegketten — die rechtliche Bewertung bleibt bei Ihrer Kanzlei.