EU AI Act: Der ultimative Guide für Unternehmen

Dieses Gesetz betrifft nicht nur große Tech-Konzerne. Jedes Unternehmen, das KI-Systeme entwickelt, anbietet oder auch nur nutzt, gerät ins Visier der neuen Vorschriften. In diesem Beitrag erfahren Sie genau, was der EU AI Act beinhaltet, wie Sie prüfen, ob Ihr Unternehmen betroffen ist, und welche Schritte Sie bis zur wichtigen Frist im August 2026 unternehmen müssen.

Der EU AI Act ist ein europäisches Gesetz, das einen einheitlichen Rechtsrahmen für die Entwicklung, das Inverkehrbringen und die Nutzung von Künstlicher Intelligenz schafft. Das Hauptziel ist es, die Grundrechte, die Sicherheit und die Gesundheit der EU-Bürger zu schützen, ohne dabei die technologische Innovation auszubremsen.

Das Gesetz basiert auf einem risikobasierten Ansatz. KI-Systeme werden in vier Kategorien eingeteilt:

1. Unannehmbares Risiko: Solche Systeme (z. B. Social Scoring oder ungerichtetes Gesichtserkennungsscrapping) sind komplett verboten.
2. Hohes Risiko: Diese Systeme unterliegen strengen Auflagen hinsichtlich Datenqualität, Transparenz und menschlicher Aufsicht. Hierzu zählen KI-Lösungen im Personalwesen, in kritischen Infrastrukturen oder in der Medizin.
3. Begrenztes Risiko: Hier gelten vor allem Transparenzpflichten. Nutzer müssen wissen, dass sie mit einer KI interagieren (z. B. bei Chatbots oder Deepfakes).
4. Minimales Risiko: Für Systeme wie Spam-Filter gelten keine zusätzlichen rechtlichen Vorgaben.

Das Gesetz betrifft nahezu jedes Unternehmen, das im EU-Markt agiert. Es greift für Anbieter, die KI-Systeme in der EU auf den Markt bringen, aber auch für Betreiber (Nutzer), die KI-Systeme im beruflichen Alltag einsetzen. Sogar Unternehmen mit Sitz außerhalb der EU sind betroffen, wenn die Ergebnisse ihrer KI-Systeme in der EU genutzt werden.

Um böse Überraschungen zu vermeiden, müssen Sie genau wissen, wo Ihr Unternehmen steht. Nutzen Sie diesen praktischen 3-Schritte-Check, um Ihre Situation zu evaluieren.

Schritt 1: Inventur aller KI-Systeme
Verschaffen Sie sich einen Überblick. Welche KI-Tools nutzen Sie bereits oder planen Sie zu nutzen?

• Erfassen Sie interne Eigenentwicklungen.
• Listen Sie eingekaufte Software von Drittanbietern auf (z. B. KI-gestützte CRM-Systeme, HR-Software oder Chatbots).
• Prüfen Sie, ob Mitarbeiter eigenmächtig Tools wie ChatGPT oder Midjourney für Arbeitszwecke nutzen (Schatten-IT).

Schritt 2: Rollenbestimmung
Definieren Sie Ihre rechtliche Rolle im Sinne des AI Acts:

• Anbieter: Entwickeln Sie eigene KI-Systeme und bringen diese auf den Markt?
• Betreiber: Nutzen Sie KI-Systeme in Ihrem Unternehmensalltag (z. B. zur Bewerberauswahl oder zur Datenanalyse)?
• Importeur/Händler: Vertreiben Sie KI-Systeme aus Nicht-EU-Ländern?

Schritt 3: Risikoklassifizierung
Ordnen Sie jedes identifizierte KI-System einer der vier Risikokategorien des EU AI Acts zu. Nutzen Sie Ihr KI-System beispielsweise zur Filterung von Lebensläufen im Recruiting-Prozess? Dann fallen Sie in die Hochrisikokategorie und müssen strenge Compliance-Regeln einhalten. Handelt es sich lediglich um einen Kundenservice-Chatbot? Dann reicht in der Regel die Erfüllung der Transparenzpflichten.

Die Umsetzung des EU AI Acts ist keine reine IT-Aufgabe. Verschiedene Abteilungen müssen zusammenarbeiten, um vollständige Compliance zu gewährleisten.

• IT und Technik:
  • Aufbau einer robusten Daten-Governance zur Sicherstellung der Datenqualität bei Trainingsdaten.
  • Implementierung von Logging-Funktionen, um die Entscheidungen der KI nachvollziehen zu können.
  • Gewährleistung hoher Standards bei Cybersicherheit und Systemrobustheit.

• HR und Personal:
  • Überprüfung aller KI-Tools, die im Recruiting, bei Beförderungen oder der Leistungsbewertung eingesetzt werden (Achtung: Dies sind meist Hochrisiko-Systeme).
  • Schulung der Mitarbeiter im Umgang mit KI (siehe Artikel 4).
  • Anpassung von Arbeitsverträgen und Betriebsvereinbarungen zum Thema KI-Nutzung.

• Marketing und Vertrieb:
  • Einhaltung der Transparenzpflichten: Kunden müssen klar erkennen können, ob sie mit einem Menschen oder einer Maschine (Chatbot) kommunizieren.
  • Deutliche Kennzeichnung von KI-generierten Inhalten, Bildern oder Videos (Deepfakes).

• Legal und Compliance:
  • Aufbau eines internen KI-Risikomanagementsystems.
  • Erstellung der notwendigen technischen Dokumentationen für Aufsichtsbehörden.
  • Anpassung von Verträgen mit Software-Lieferanten (Sicherstellung, dass Drittanbieter ebenfalls AI-Act-konform handeln).

Der EU AI Act tritt stufenweise in Kraft. Ein strukturierter Zeitplan ist entscheidend, um Fristen nicht zu verpassen. August 2026 ist ein kritisches Datum, da hier die Regeln für die meisten Hochrisiko-KI-Systeme verbindlich werden.

Hier ist ein Meilensteinplan für Ihre Umsetzung:

1. Jetzt sofort: Benennen Sie einen KI-Verantwortlichen in Ihrem Unternehmen und starten Sie mit dem 3-Schritte-Check zur Inventarisierung.
2. Spätestens 6 Monate nach Inkrafttreten (ca. Ende 2024): Stoppen Sie die Nutzung jeglicher KI-Systeme, die unter das absolute Verbot fallen (unannehmbares Risiko).
3. Innerhalb von 12 Monaten (ca. Mitte 2025): Stellen Sie sicher, dass Sie alle Transparenzanforderungen für General Purpose AI (Allzweck-KI-Modelle) erfüllen. Setzen Sie die Richtlinien zur KI-Kompetenz (Artikel 4) im Unternehmen um.
4. Vor August 2026 (24 Monate): Implementieren Sie das vollständige Risikomanagementsystem für Hochrisiko-KI-Systeme. Schließen Sie alle Zertifizierungen, Dokumentationen und CE-Kennzeichnungen ab, bevor diese Systeme weiter betrieben oder neu auf den Markt gebracht werden.

Artikel 4 des EU AI Acts ist ein oft übersehener, aber zentraler Baustein des Gesetzes. Er fordert die sogenannte „KI-Kompetenz“ (AI Literacy).

Das bedeutet: Unternehmen und Organisationen sind rechtlich verpflichtet, sicherzustellen, dass ihr Personal über ausreichende Kenntnisse im Umgang mit KI verfügt. Es reicht nicht aus, ein KI-Tool bereitzustellen. Ihre Mitarbeiter müssen verstehen, wie das System funktioniert, wo seine Grenzen liegen und welche ethischen oder datenschutzrechtlichen Risiken bestehen.

Sie können dies erreichen durch:

• Regelmäßige Schulungen und Workshops für alle Abteilungen.
• Die Erstellung klarer interner KI-Richtlinien (AI Guidelines), die festlegen, welche Prompts erlaubt sind und welche Daten niemals in ein KI-Tool eingegeben werden dürfen.
• Die Förderung einer Fehlerkultur, in der Mitarbeiter KI-Halluzinationen (falsche Ausgaben der KI) kritisch hinterfragen.

Die EU meint es ernst mit der Durchsetzung. Wer die Regeln ignoriert, riskiert drastische finanzielle Konsequenzen, die an die DSGVO (Datenschutz-Grundverordnung) erinnern.

Die möglichen Bußgelder staffeln sich nach der Schwere des Verstoßes:

• Einsatz verbotener KI-Systeme: Bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes (je nachdem, welcher Betrag höher ist).
• Verstöße gegen Auflagen für Hochrisiko-Systeme: Bis zu 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes.
• Falsche Auskünfte gegenüber Behörden: Bis zu 7,5 Millionen Euro oder 1,5 % des weltweiten Jahresumsatzes.

Um diese teuren Fehler zu vermeiden, ist ein proaktives Risikomanagement unerlässlich. Verlassen Sie sich nicht auf bloße Versprechungen von Software-Anbietern. Fordern Sie klare vertragliche Zusicherungen zur AI-Act-Konformität ein. Dokumentieren Sie jeden Ihrer Compliance-Schritte minutiös. Wenn Sie nachweisen können, dass Sie umfassende Schutzmaßnahmen und Schulungen etabliert haben, minimieren Sie Ihr Haftungsrisiko drastisch.

Beginnen Sie heute mit der Bestandsaufnahme Ihrer KI-Systeme. Der EU AI Act ist komplex, aber mit der richtigen Vorbereitung wird Ihr Unternehmen die neuen Anforderungen nicht nur erfüllen, sondern KI sicher und wettbewerbsfähig einsetzen.

Silke Rader
Marketing