EU AI Act: Was die KI-Verordnung für Ihre KI-Projekte bedeutet

Kurz gefasst: Der EU AI Act ist die europäische KI-Verordnung und regelt KI-Systeme nach ihrem Risiko. Für die meisten KMU-Anwendungen wie Chatbots, Textassistenten oder Dokumentenauswertung gelten vor allem Transparenzpflichten und die Pflicht, Mitarbeitende im Umgang mit KI zu schulen. Strenge Auflagen treffen Hochrisiko-Systeme, etwa in Personalauswahl, Kreditvergabe oder kritischer Infrastruktur. Entscheidend ist, dass Sie Ihre KI-Anwendungen erfassen, einer Risikoklasse zuordnen und Ihre Rolle als Anbieter oder Betreiber kennen.

Was der EU AI Act regelt

Die Verordnung (EU) 2024/1689 ist im August 2024 in Kraft getreten und gilt unmittelbar in allen Mitgliedstaaten, ohne dass ein nationales Gesetz sie erst umsetzen muss. Sie betrifft alle, die KI-Systeme in der EU entwickeln, anbieten oder einsetzen, auch Unternehmen außerhalb der EU, deren Systeme hier genutzt werden.

Der Ansatz ist risikobasiert. Je größer die möglichen Folgen für Gesundheit, Sicherheit oder Grundrechte, desto strenger die Anforderungen. Ein Spamfilter wird anders behandelt als ein System, das über Bewerbungen vorentscheidet.

Die vier Risikoklassen der KI-Verordnung

Verbotene Praktiken

Bestimmte Anwendungen sind seit Februar 2025 untersagt. Dazu gehören Social Scoring, manipulative Techniken, die Schwächen von Menschen ausnutzen, Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen sowie das ungezielte Sammeln von Gesichtsbildern für Datenbanken. Für normale Geschäftsanwendungen spielt das selten eine Rolle, eine kurze Prüfung gehört trotzdem dazu.

Hochrisiko-Systeme

Hierunter fallen KI-Systeme in sensiblen Bereichen: Personalauswahl und Leistungsbewertung, Zugang zu Bildung, Kreditwürdigkeitsprüfung, kritische Infrastruktur sowie KI als Sicherheitsbauteil regulierter Produkte wie Maschinen oder Medizinprodukte. Anbieter solcher Systeme brauchen ein Risikomanagement, eine technische Dokumentation, hohe Datenqualität, Protokollierung, menschliche Aufsicht und eine Konformitätsbewertung. Die Pflichten greifen gestaffelt. Die EU hat zudem eine Verschiebung einzelner Fristen vorgeschlagen, deshalb lohnt sich vor einem Hochrisiko-Projekt ein Blick auf den aktuellen Stand.

Begrenztes Risiko mit Transparenzpflichten

Viele typische KMU-Anwendungen landen hier. Wer mit einem Chatbot spricht, muss erkennen können, dass er mit einer KI kommuniziert. KI-generierte oder manipulierte Bilder, Videos und Audioinhalte (Deepfakes) müssen als solche gekennzeichnet sein, synthetische Inhalte maschinenlesbar markiert werden.

Minimales Risiko

Spamfilter, Empfehlungen im Shop, interne Textzusammenfassungen oder Übersetzungshilfen unterliegen keinen besonderen Pflichten aus der Verordnung. Die DSGVO und andere Gesetze gelten natürlich weiterhin.

Anbieter oder Betreiber: Welche Rolle haben Sie?

Der AI Act unterscheidet zwischen Anbietern, die ein KI-System entwickeln und unter eigenem Namen in Verkehr bringen, und Betreibern, die ein System in eigener Verantwortung einsetzen. Die meisten Pflichten liegen beim Anbieter. Setzen Sie ein fertiges Tool ein, sind Sie in der Regel Betreiber. Lassen Sie eine eigene KI-Anwendung entwickeln und bieten sie Kunden an, werden Sie selbst zum Anbieter.

Für Modelle mit allgemeinem Verwendungszweck wie die großen Sprachmodelle gelten seit August 2025 eigene Pflichten für deren Hersteller, etwa zur Dokumentation und zum Urheberrecht. Wer ein solches Modell per API in seine Anwendung einbindet, profitiert davon, weil der Modellanbieter Informationen bereitstellen muss. Wie eine saubere Einbindung aussieht, zeigt unser Beitrag zur LLM-Integration im Unternehmen.

Was KMU jetzt konkret tun sollten

Beginnen Sie mit einer Bestandsaufnahme: Welche KI-Systeme sind im Einsatz, vom Chatbot auf der Website bis zum Bewerbermanagement-Tool? Ordnen Sie jedes einer Risikoklasse zu und halten Sie Ihre Rolle fest.

Seit Februar 2025 gilt außerdem die Pflicht zur KI-Kompetenz. Unternehmen müssen sicherstellen, dass Mitarbeitende, die mit KI-Systemen arbeiten, über ausreichendes Wissen verfügen. Eine dokumentierte Schulung zu Funktionsweise, Grenzen und Risiken der eingesetzten Werkzeuge ist ein guter Anfang.

Bei neuen Projekten gehören Transparenz und Nachvollziehbarkeit ins Konzept. Ein KI-Chatbot für den Produktivbetrieb sollte sich als KI zu erkennen geben, Antworten protokollieren und an einen Menschen übergeben können. Viele dieser Maßnahmen überschneiden sich mit dem, was die DSGVO ohnehin verlangt, wie unser Leitfaden zur DSGVO-konformen Softwareentwicklung zeigt.

Häufige Fragen (FAQ)

Gilt der EU AI Act auch für kleine Unternehmen?

Ja, die Verordnung gilt unabhängig von der Unternehmensgröße. Für KMU und Start-ups sieht sie aber Erleichterungen vor, etwa vereinfachte Dokumentation und bevorzugten Zugang zu Reallaboren. In der Praxis betreffen die meisten KMU vor allem die Transparenzpflichten und die Schulungspflicht.

Ist ChatGPT im Unternehmen nach dem AI Act erlaubt?

Ja. Die Nutzung eines Sprachmodells für Texte, Recherche oder Zusammenfassungen fällt in der Regel unter minimales oder begrenztes Risiko. Wichtig sind geschulte Mitarbeitende, klare Regeln zu vertraulichen Daten und Transparenz, wenn Kunden direkt mit einer KI interagieren.

Wer überwacht die Einhaltung in Deutschland?

Jeder Mitgliedstaat benennt nationale Aufsichtsbehörden. In Deutschland ist dafür die Bundesnetzagentur als zentrale Stelle vorgesehen, für bestimmte Bereiche bleiben Fachaufsichten zuständig. Verstöße können mit empfindlichen Bußgeldern geahndet werden.

Muss ich bestehende KI-Anwendungen anpassen?

Das hängt von der Risikoklasse ab. Chatbots brauchen einen klaren Hinweis, dass eine KI antwortet, generierte Medien eine Kennzeichnung. Fällt ein bestehendes System in den Hochrisiko-Bereich, ist eine gründliche Prüfung mit rechtlicher Beratung sinnvoll.

Fazit

Für die meisten mittelständischen Unternehmen ist der EU AI Act beherrschbar: Inventar führen, Mitarbeitende schulen, Transparenz einbauen. Aufwendig wird es nur in Hochrisiko-Bereichen, und dort lohnt es sich, Dokumentation und menschliche Kontrolle von Beginn an mitzuplanen statt sie später nachzurüsten. Dieser Beitrag ersetzt keine Rechtsberatung.

Wenn Sie eine KI-Anwendung planen, die von Anfang an regelkonform gebaut sein soll, sprechen Sie mit uns über KI & Automatisierung.