EU AI Act: Was die neue KI-Verordnung für Unternehmen bedeutet

Was ist der EU AI Act?

Der EU AI Act ist eine europäische Verordnung mit harmonisierten Regeln für künstliche Intelligenz. Sie soll dafür sorgen, dass KI-Systeme innerhalb der Europäischen Union sicher eingesetzt werden und grundlegende Rechte respektieren.

Die Verordnung ist am 1. August 2024 in Kraft getreten. Sie gilt jedoch nicht vollständig ab diesem Datum. Die einzelnen Pflichten werden stufenweise anwendbar.

Im Mittelpunkt steht kein pauschales Verbot von künstlicher Intelligenz. Stattdessen unterscheidet die EU zwischen verschiedenen Risikostufen. Ein einfacher Spamfilter wird anders behandelt als ein KI-System, das Bewerber bewertet oder über den Zugang zu wichtigen Leistungen mitentscheidet.

Wen betrifft die KI-Verordnung?

Der EU AI Act unterscheidet mehrere Rollen. Welche Pflichten gelten, hängt davon ab, wie ein Unternehmen mit einem KI-System umgeht.

Anbieter

Anbieter entwickeln ein KI-System oder lassen es entwickeln und bringen es unter ihrem Namen in der Europäischen Union auf den Markt beziehungsweise nehmen es in Betrieb.

Betreiber

Betreiber setzen ein KI-System unter ihrer eigenen Verantwortung ein. Diese Rolle ist für viele normale Unternehmen besonders wichtig. Ein Betrieb kann beispielsweise Betreiber sein, wenn er KI in der Personalverwaltung, Kundenkommunikation, Videoüberwachung oder Bonitätsprüfung nutzt.

Importeure und Händler

Auch Unternehmen, die KI-Systeme aus Drittstaaten in die EU einführen oder innerhalb der EU vertreiben, können eigene Prüf- und Informationspflichten haben.

Unternehmen außerhalb der EU

Die Verordnung kann auch Anbieter und Betreiber außerhalb der Europäischen Union erfassen, wenn ihre KI-Systeme in der EU angeboten werden oder deren Ergebnisse innerhalb der EU genutzt werden.

Für kleine Unternehmen bedeutet das: Nicht die Unternehmensgröße allein entscheidet. Ausschlaggebend sind die Rolle, der Einsatzzweck und das Risiko des verwendeten KI-Systems.

Die Risikoklassen des EU AI Act

Der EU AI Act folgt einem risikobasierten Modell. Vereinfacht lassen sich vier Gruppen unterscheiden.

1. Unannehmbares Risiko

Bestimmte KI-Praktiken werden grundsätzlich verboten, weil sie mit den Werten und Grundrechten der Europäischen Union nicht vereinbar sind.

2. Hohes Risiko

Hochrisiko-KI darf grundsätzlich eingesetzt werden, unterliegt jedoch umfangreichen Vorgaben. Dazu gehören unter anderem Risikomanagement, Dokumentation, Datenqualität, menschliche Aufsicht und technische Sicherheit.

3. Begrenztes Risiko

Für bestimmte Systeme gelten vor allem Transparenzpflichten. Nutzer sollen beispielsweise erkennen können, dass sie mit einer KI kommunizieren oder dass Inhalte künstlich erzeugt beziehungsweise verändert wurden.

4. Minimales oder kein besonderes Risiko

Viele alltägliche KI-Anwendungen fallen in diesen Bereich. Dazu können Spamfilter, einfache Empfehlungsfunktionen oder KI-gestützte Rechtschreibkorrekturen gehören. Für sie sieht der AI Act häufig keine besonderen zusätzlichen Pflichten vor.

Welche KI-Anwendungen sind verboten?

Seit dem 2. Februar 2025 gelten die Verbote bestimmter KI-Praktiken. Dazu gehören insbesondere Anwendungen, die Menschen in unzulässiger Weise manipulieren, ausnutzen oder bewerten.

• manipulative oder täuschende KI-Techniken, die Menschen erheblich schädigen können
• die gezielte Ausnutzung besonderer Schutzbedürftigkeit, etwa aufgrund von Alter oder Behinderung
• bestimmte Formen des Social Scoring
• bestimmte Vorhersagen einer Straftat allein auf Grundlage von Persönlichkeitsmerkmalen
• das ungezielte Sammeln von Gesichtsbildern aus dem Internet oder aus Überwachungsaufnahmen zum Aufbau von Gesichtsdatenbanken
• bestimmte Formen der Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen
• biometrische Kategorisierung anhand besonders sensibler Merkmale
• bestimmte Formen biometrischer Echtzeit-Fernidentifizierung im öffentlichen Raum

Für einzelne Bereiche, insbesondere Strafverfolgung und Gefahrenabwehr, sieht die Verordnung eng begrenzte Ausnahmen vor.

Was sind Hochrisiko-KI-Systeme?

Als Hochrisiko-KI gelten Systeme, deren Einsatz erhebliche Auswirkungen auf Sicherheit, Gesundheit oder Grundrechte haben kann.

• biometrische Identifizierung und Kategorisierung
• kritische Infrastruktur
• Bildung und berufliche Ausbildung
• Personalgewinnung, Bewerberauswahl und Beschäftigung
• Zugang zu wesentlichen privaten oder öffentlichen Leistungen
• bestimmte Anwendungen bei Strafverfolgung und Grenzkontrolle
• Rechtspflege und demokratische Prozesse
• KI als Sicherheitskomponente bestimmter regulierter Produkte

Beispiel Personalabteilung

Eine KI, die Lebensläufe sortiert, Bewerber bewertet oder Entscheidungen über Einstellungen und Beförderungen vorbereitet, kann als Hochrisiko-System eingestuft werden. Eine einfache Rechtschreibprüfung für eine Stellenanzeige ist dagegen regelmäßig keine Hochrisiko-KI.

Pflichten bei Hochrisiko-KI

Anbieter von Hochrisiko-Systemen müssen unter anderem ein Risikomanagement einrichten, technische Dokumentationen führen, Protokollierungsfunktionen vorsehen und eine angemessene Datenqualität sicherstellen.

Betreiber müssen je nach Fall unter anderem die Gebrauchsanweisung beachten, menschliche Aufsicht sicherstellen, Protokolle aufbewahren und den Einsatz organisatorisch kontrollieren.

Transparenzpflichten für KI-Inhalte

Der AI Act enthält besondere Transparenzregeln für Systeme, bei denen Menschen erkennen sollen, dass künstliche Intelligenz beteiligt ist.

Chatbots und automatisierte Kommunikation

Menschen müssen grundsätzlich darüber informiert werden, wenn sie direkt mit einem KI-System interagieren. Eine Kennzeichnung kann entbehrlich sein, wenn aus den Umständen offensichtlich ist, dass es sich um ein automatisiertes System handelt.

Deepfakes

KI-generierte oder manipulierte Bild-, Audio- und Videoinhalte, die echten Personen oder Ereignissen ähneln, müssen grundsätzlich als künstlich erzeugt oder verändert kenntlich gemacht werden.

KI-generierte Texte

Für Texte, die zu Informationszwecken über Angelegenheiten von öffentlichem Interesse veröffentlicht werden, können Kennzeichnungspflichten gelten. Ausnahmen sind unter anderem möglich, wenn eine menschliche redaktionelle Prüfung stattgefunden hat und eine Person oder Organisation die redaktionelle Verantwortung trägt.

Für normale Blogartikel bedeutet das nicht automatisch, dass jeder mit KI unterstützte Text sichtbar gekennzeichnet werden muss. Entscheidend sind Zweck, Veröffentlichungskontext, redaktionelle Verantwortung und die konkrete Vorschrift.

Pflicht zur KI-Kompetenz im Unternehmen

Bereits seit dem 2. Februar 2025 müssen Anbieter und Betreiber von KI-Systemen Maßnahmen treffen, um ein ausreichendes Maß an KI-Kompetenz bei ihren Beschäftigten und anderen mit dem Betrieb befassten Personen sicherzustellen.

Das bedeutet nicht zwingend, dass jeder Mitarbeiter ein technisches KI-Seminar absolvieren muss. Schulungen und Informationen sollten sich am konkreten Einsatz orientieren.

• welche KI-Werkzeuge im Unternehmen erlaubt sind
• welche Daten nicht in öffentliche KI-Dienste eingegeben werden dürfen
• wie Ergebnisse auf Fehler und Halluzinationen geprüft werden
• wann eine menschliche Entscheidung erforderlich bleibt
• wie Urheberrecht, Datenschutz und Geschäftsgeheimnisse geschützt werden
• wer bei Problemen oder Unsicherheiten zuständig ist

Unternehmen sollten durchgeführte Schulungen, interne Hinweise und Freigaben dokumentieren. Das erleichtert später den Nachweis, dass die Organisation ihre Verantwortung ernst genommen hat. Weitere Informtionen finden sie in dem Beitrag KI-Schulung für Mitarbeiter.

Was gilt für ChatGPT und generative KI?

Generative KI kann Texte, Bilder, Audio, Videos oder Programmcode erzeugen. Der AI Act enthält besondere Regeln für Anbieter sogenannter KI-Modelle mit allgemeinem Verwendungszweck. Dazu gehören viele große Sprachmodelle.

Die umfangreichsten Pflichten richten sich zunächst an die Anbieter der Modelle. Sie müssen beispielsweise technische Informationen bereitstellen und eine Strategie zur Einhaltung des europäischen Urheberrechts vorsehen. Für besonders leistungsfähige Modelle mit systemischem Risiko gelten zusätzliche Sicherheitsanforderungen.

Was müssen normale Nutzer beachten?

Unternehmen, die einen fertigen KI-Dienst lediglich verwenden, werden dadurch nicht automatisch zum Anbieter des zugrunde liegenden Modells. Sie bleiben jedoch verantwortlich für den konkreten Einsatz.

• keine vertraulichen Unternehmensdaten unkontrolliert eingeben
• personenbezogene Daten nur mit tragfähiger Rechtsgrundlage verarbeiten
• KI-Ergebnisse fachlich prüfen
• keine automatisierten Entscheidungen mit erheblicher Wirkung ungeprüft übernehmen
• Lizenz- und Nutzungsbedingungen des jeweiligen Dienstes beachten
• interne Regeln für erlaubte und verbotene Anwendungen festlegen

Wann gelten welche Vorschriften?

Die Regeln des AI Act werden stufenweise wirksam. Der Zeitplan wurde teilweise durch spätere europäische Änderungen angepasst.

Wichtig: Der AI Act wird durch Leitlinien, Durchführungsrechtsakte, Normen und nationale Zuständigkeiten konkretisiert. Unternehmen sollten sich deshalb nicht ausschließlich auf eine einmal erstellte Checkliste verlassen.

Was Unternehmen jetzt tun sollten

1. KI-Inventar erstellen

Erfassen Sie, welche KI-Systeme im Unternehmen eingesetzt werden. Dazu gehören nicht nur offiziell beschaffte Anwendungen, sondern auch KI-Funktionen in Office-Programmen, CRM-Systemen, Bewerberportalen, Bildbearbeitung und Onlinediensten.

2. Rollen und Einsatzzwecke bestimmen

Dokumentieren Sie, ob das Unternehmen Anbieter, Betreiber, Importeur oder Händler ist. Halten Sie außerdem fest, wofür das jeweilige System genutzt wird.

3. Risiko grob einordnen

Prüfen Sie, ob eine verbotene Praxis, ein Hochrisiko-Bereich oder eine Transparenzpflicht in Betracht kommt. Bei Personalentscheidungen, Kreditwürdigkeitsprüfungen, biometrischen Anwendungen und kritischer Infrastruktur ist besondere Vorsicht angebracht.

4. Interne KI-Richtlinie einführen

Eine interne Richtlinie sollte regeln, welche Dienste verwendet werden dürfen, welche Daten eingegeben werden dürfen, wie Ergebnisse geprüft werden und wer für Freigaben zuständig ist.

5. Mitarbeiter schulen

Die Schulung sollte zur tatsächlichen Nutzung passen. Marketingmitarbeiter benötigen andere Hinweise als Personalabteilung, IT oder Geschäftsführung. Weitere Informtionen finden sie in dem Beitrag KI-Schulung für Mitarbeiter.

6. Datenschutz und Verträge prüfen

Der AI Act ersetzt weder die Datenschutz-Grundverordnung noch Urheberrecht, Arbeitsrecht oder Geheimnisschutz. Diese Regelwerke gelten parallel weiter.

7. Kennzeichnung und menschliche Kontrolle organisieren

Prüfen Sie, wo Nutzer über den Einsatz von KI informiert werden müssen und welche Ergebnisse zwingend von einer Person kontrolliert werden sollten.

8. Dokumentation fortlaufend pflegen

KI-Systeme, Anbieterbedingungen und Nutzungsmöglichkeiten verändern sich schnell. Das KI-Inventar und die internen Vorgaben sollten deshalb regelmäßig aktualisiert werden.

Welche Bußgelder drohen?

Der AI Act sieht erhebliche Geldbußen vor. Die maximale Höhe hängt von Art und Schwere des Verstoßes ab.

Bei Verstößen gegen verbotene KI-Praktiken können grundsätzlich Geldbußen von bis zu 35 Millionen Euro oder bis zu sieben Prozent des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres drohen. Für andere Verstöße gelten niedrigere, aber weiterhin erhebliche Höchstgrenzen.

Bei Unternehmen wird grundsätzlich der jeweils höhere einschlägige Betrag betrachtet. Für kleine und mittlere Unternehmen gelten bei der konkreten Ausgestaltung besondere Verhältnismäßigkeitsregeln.

Die hohen Höchstbeträge bedeuten nicht, dass jeder Fehler automatisch zu einer Millionenstrafe führt. Behörden müssen Art, Dauer und Folgen des Verstoßes sowie weitere Umstände berücksichtigen.

Häufig gestellte Fragen zum EU AI Act

Ist der EU AI Act eine Richtlinie?

Nein. Es handelt sich um eine EU-Verordnung. Sie gilt grundsätzlich unmittelbar in allen Mitgliedstaaten und muss nicht wie eine Richtlinie erst vollständig in nationales Recht umgesetzt werden.

Betrifft der AI Act auch kleine Unternehmen?

Ja. Die Pflichten hängen vor allem von der Rolle und dem Einsatzzweck ab. Ein kleines Unternehmen kann Betreiber eines KI-Systems sein und muss dann bestimmte Vorgaben beachten.

Muss jeder KI-generierte Blogartikel gekennzeichnet werden?

Nein, eine pauschale Kennzeichnungspflicht für jeden mit KI unterstützten Text besteht nicht. Relevant sind insbesondere öffentliche Informationsinhalte, Täuschungsrisiken, der Grad menschlicher Bearbeitung und die redaktionelle Verantwortung.

Darf ChatGPT im Unternehmen weiter verwendet werden?

Grundsätzlich ja. Unternehmen sollten jedoch Datenschutz, Vertraulichkeit, Urheberrecht, fachliche Kontrolle und interne Freigaben beachten.

Braucht jedes Unternehmen eine KI-Richtlinie?

Der AI Act schreibt nicht unter dieser Bezeichnung für jedes Unternehmen ein bestimmtes Dokument vor. Eine interne KI-Richtlinie ist jedoch ein sehr sinnvolles Mittel, um Zuständigkeiten, erlaubte Anwendungen und Schutzmaßnahmen festzulegen.

Was bedeutet KI-Kompetenz?

Beschäftigte und andere beteiligte Personen sollen über ausreichende Kenntnisse verfügen, um KI-Systeme sachgerecht und verantwortungsvoll zu nutzen. Umfang und Tiefe hängen von Aufgabe, Erfahrung und Risiko ab.

Ersetzt der AI Act die DSGVO?

Nein. Der AI Act gilt zusätzlich zur DSGVO und zu weiteren Rechtsvorschriften. Werden personenbezogene Daten verarbeitet, müssen beide Regelwerke berücksichtigt werden.

Wer kontrolliert die Einhaltung?

Die Aufsicht wird zwischen europäischen und nationalen Stellen aufgeteilt. Das Europäische Amt für künstliche Intelligenz spielt insbesondere bei Modellen mit allgemeinem Verwendungszweck eine wichtige Rolle.

Fazit: Der AI Act macht KI-Nutzung zur Organisationsaufgabe

Der EU AI Act richtet sich nicht nur an Entwickler großer KI-Modelle. Auch normale Unternehmen müssen wissen, welche KI-Systeme sie einsetzen, welche Risiken damit verbunden sind und ob Transparenz-, Schulungs- oder Dokumentationspflichten bestehen.

Für viele kleine und mittlere Unternehmen ist der sinnvollste erste Schritt keine umfangreiche juristische Analyse, sondern eine saubere Bestandsaufnahme. Welche KI wird verwendet? Welche Daten werden verarbeitet? Wer kontrolliert die Ergebnisse? Gibt es Anwendungen in besonders sensiblen Bereichen?

Wer ein KI-Inventar führt, Mitarbeiter schult und klare interne Regeln festlegt, schafft bereits eine solide Grundlage. Bei Hochrisiko-Anwendungen oder automatisierten Entscheidungen mit erheblichen Folgen sollte jedoch frühzeitig fachkundiger rechtlicher und technischer Rat eingeholt werden.