Was die KI-Verordnung für Unternehmen bedeutet, die KI einsetzen: vier Risikoklassen, die Pflichten als Betreiber, die KI-Kompetenz nach Art. 4 und der Zeitplan. Dazu ein Selbsttest, der Ihren Anwendungsfall in wenigen Fragen grob einordnet.
Der AI Act regelt nicht die Technik an sich, sondern ihren Einsatz. Entscheidend ist, wofür ein KI-System verwendet wird und wen es betrifft. Ein Agent, der Eingangsrechnungen liest, wird anders behandelt als ein System, das Bewerbende sortiert.
Die Verordnung unterscheidet außerdem nach Rollen. Anbieter entwickeln ein KI-System oder lassen es entwickeln und bringen es unter eigenem Namen in Verkehr. Betreiber setzen ein System in eigener Verantwortung beruflich ein. Die meisten Mittelständler sind Betreiber. Wer ein System wesentlich verändert oder für einen neuen Zweck einsetzt, kann aber selbst in die Anbieterrolle rutschen.
Für die meisten Automatisierungen im Büro ist die Einordnung unkompliziert. Wichtig ist, sie bewusst vorzunehmen und festzuhalten, bevor ein System gebaut wird.
Die Beispiele sind vereinfacht. Ob ein System in eine Klasse fällt, hängt vom genauen Zweck und den Ausnahmen der Verordnung ab.
- Stufe 4
Verboten
Praktiken, die die EU für unvereinbar mit Grundrechten hält. Sie dürfen seit Februar 2025 nicht eingesetzt werden.
- Unterschwellige Manipulation und Ausnutzen von Schwächen
- Social Scoring
- Emotionserkennung am Arbeitsplatz und in der Bildung
- Ungezieltes Sammeln von Gesichtsbildern
- Stufe 3
Hohes Risiko
Erlaubt, aber mit umfangreichen Pflichten zu Risikomanagement, Daten, Dokumentation, menschlicher Aufsicht und Protokollierung.
- Auswahl und Bewertung von Bewerbenden und Beschäftigten
- Kreditwürdigkeit von Privatpersonen
- Zugang zu Bildung und öffentlichen Leistungen
- Sicherheitsbauteile regulierter Produkte
- Stufe 2
Transparenzpflichten
Menschen müssen erkennen können, dass sie mit einer KI sprechen oder dass ein Inhalt künstlich erzeugt wurde.
- Chat auf der Website und Telefonassistenten
- Automatisch versandte Antworten
- Künstlich erzeugte Bilder, Videos und Stimmen
- Veröffentlichte KI-Texte ohne redaktionelle Prüfung
- Stufe 1
Minimales Risiko
Der weitaus größte Teil der Anwendungen im Büro. Keine besonderen Pflichten aus dem AI Act, abgesehen von der KI-Kompetenz.
- Rechnungseingang und Vorkontierung
- Dokumente auslesen und ablegen
- Postfach vorsortieren mit Freigabe
- Interner Assistent für Handbücher
Beschreiben Sie in Gedanken einen konkreten Ablauf, den Sie mit KI unterstützen wollen. Beantworten Sie dann bis zu sieben Fragen mit Ja oder Nein. Ihre Antworten bleiben in Ihrem Browser.
Frage 1
Soll das System Menschen unterschwellig beeinflussen, Schwächen ausnutzen, Personen nach ihrem Sozialverhalten bewerten oder Emotionen von Beschäftigten erkennen?
Gemeint sind etwa manipulative Techniken, Social Scoring oder Emotionserkennung am Arbeitsplatz. Solche Praktiken nennt Art. 5 als verboten, mit wenigen Ausnahmen.
Tastatur: J für Ja, N für Nein, Rücktaste für zurück
Für Betreiber von Hochrisiko-Systemen nennt Art. 26 eine Reihe von Pflichten. Die wichtigsten in Kürze:
- 01
Bestimmungsgemäß nutzen
Das System so einsetzen, wie es der Anbieter in der Betriebsanleitung vorsieht, und geeignete technische und organisatorische Maßnahmen treffen.
- 02
Menschliche Aufsicht
Personen mit der Aufsicht betrauen, die dafür die nötige Kompetenz, Schulung und Befugnis haben.
- 03
Eingabedaten im Blick
Soweit Sie die Eingabedaten kontrollieren, darauf achten, dass sie für den Zweck relevant und ausreichend repräsentativ sind.
- 04
Betrieb überwachen
Den Betrieb beobachten und bei Risiken oder schwerwiegenden Vorfällen Anbieter und Behörden informieren, den Einsatz notfalls aussetzen.
- 05
Protokolle aufbewahren
Automatisch erzeugte Protokolle, soweit sie unter Ihrer Kontrolle stehen, angemessen lange aufbewahren, nach der Verordnung mindestens sechs Monate.
- 06
Informieren
Beschäftigte und ihre Vertretung vor dem Einsatz am Arbeitsplatz informieren, Betroffene über den Einsatz bei Entscheidungen über sie.
Öffentliche Stellen und bestimmte private Betreiber, etwa bei der Prüfung der Kreditwürdigkeit oder Risikobewertungen in der Lebens- und Krankenversicherung, müssen zusätzlich eine Grundrechte-Folgenabschätzung durchführen. Für Systeme mit Transparenzpflichten genügt es dagegen in der Regel, klar und rechtzeitig darauf hinzuweisen, dass eine KI im Spiel ist.
Unabhängig von der Risikoklasse: Wer KI einsetzt, muss dafür sorgen, dass die Beteiligten wissen, was sie tun.
Seit dem 2. Februar 2025 verlangt Art. 4, dass Anbieter und Betreiber Maßnahmen ergreifen, damit ihr Personal und andere Personen, die in ihrem Auftrag mit KI-Systemen arbeiten, über ausreichende KI-Kompetenz verfügen. Die Verordnung schreibt dafür weder ein Zertifikat noch eine feste Stundenzahl vor. Es kommt auf die Aufgabe, die Vorkenntnisse und den Einsatzzweck an.
Auch zu Art. 4 gibt es auf EU-Ebene Vorschläge, die Pflicht anders zu fassen (Stand November 2026). Unabhängig davon ist geschultes Personal die beste Absicherung gegen Fehler im Alltag.
- Grundlagen: was das eingesetzte System kann und was nicht
- Typische Fehler wie Halluzinationen erkennen
- Regeln, welche Daten eingegeben werden dürfen
- Wer freigibt und wann ein Mensch entscheidet
- Schulungen kurz dokumentieren, mit Datum und Inhalt
- Bei neuen Systemen oder Aufgaben auffrischen
Die Termine nach dem Wortlaut der Verordnung. Spätere Fristen stehen unter Vorbehalt, Stand November 2026.
1. August 2024
In Kraft getreten
Die Verordnung (EU) 2024/1689 tritt in Kraft. Sie gilt unmittelbar in allen Mitgliedstaaten, die einzelnen Teile aber gestaffelt.
2. Februar 2025
Verbote und KI-Kompetenz
Verbotene Praktiken nach Art. 5 dürfen nicht mehr eingesetzt werden. Seitdem gilt auch die Pflicht zur KI-Kompetenz nach Art. 4.
2. August 2025
KI-Modelle mit allgemeinem Verwendungszweck
Pflichten für Anbieter großer Sprachmodelle, dazu Regeln zu Aufsicht und Sanktionen. Für Unternehmen, die solche Modelle nur nutzen, ändert sich dadurch wenig direkt.
2. August 2026
Großteil der übrigen RegelnVerschiebung möglich
Nach dem ursprünglichen Zeitplan gelten ab hier die Transparenzpflichten nach Art. 50 und die Pflichten für Hochrisiko-Systeme aus Anhang III. Die EU hat Ende 2025 vorgeschlagen, Teile davon zu verschieben. Prüfen Sie, welche Fristen zum Zeitpunkt Ihres Projekts verbindlich sind.
2. August 2027
Hochrisiko in regulierten ProduktenVerschiebung möglich
Nach dem ursprünglichen Zeitplan folgen Hochrisiko-Systeme, die Sicherheitsbauteil regulierter Produkte nach Anhang I sind. Auch hier sind spätere Termine im Gespräch.
Gilt der AI Act auch für kleine und mittlere Unternehmen?
Ja. Die Verordnung unterscheidet nicht nach Größe, sondern nach Rolle und Risiko. Für KMU gibt es einzelne Erleichterungen, etwa bei Bußgeldern und Reallaboren, aber keine generelle Ausnahme.
Sind wir Anbieter oder Betreiber?
Wer ein KI-System unter eigener Verantwortung beruflich einsetzt, ist Betreiber. Anbieter ist, wer ein System entwickelt oder entwickeln lässt und unter eigenem Namen in Verkehr bringt. Wer ein System wesentlich verändert oder seinen Zweck ändert, kann selbst zum Anbieter werden.
Reicht es, ChatGPT oder Claude im Unternehmen zu erlauben?
Für die Nutzung allgemeiner Sprachmodelle im Büro gilt vor allem die KI-Kompetenz nach Art. 4. Dazu kommen Datenschutz und Geheimnisschutz. Klare Regeln, was eingegeben werden darf, gehören deshalb an den Anfang.
Was ist mit der DSGVO?
Die DSGVO gilt unabhängig vom AI Act weiter. Ein Anwendungsfall mit minimalem Risiko nach AI Act kann trotzdem eine Rechtsgrundlage, einen AV-Vertrag oder eine Datenschutz-Folgenabschätzung brauchen.
Was droht bei Verstößen?
Die Verordnung sieht gestaffelte Bußgelder vor, am höchsten bei verbotenen Praktiken. Die Höhe richtet sich nach Art und Schwere des Verstoßes, für KMU gelten niedrigere Obergrenzen. Die Durchsetzung liegt bei nationalen Behörden.
Im Prozess-Audit ordnen wir jeden Anwendungsfall nach EU AI Act ein und dokumentieren die Pflichten. Zwei Tage für 890 € netto, bei Beauftragung voll verrechnet.