EU AI Act
Definition
Der EU AI Act ist die KI-Verordnung der Europäischen Union. Sie stuft KI-Systeme nach Risiko ein und knüpft daran gestaffelte Pflichten - von Transparenz bis zu strengen Auflagen für Hochrisiko-Anwendungen.
Der EU AI Act folgt einem risikobasierten Ansatz mit vier Stufen: verbotene Praktiken, Hochrisiko-Systeme mit umfangreichen Pflichten (Risikomanagement, Datenqualität, menschliche Aufsicht, Protokollierung), begrenztes Risiko mit Transparenzpflichten und minimales Risiko ohne besondere Auflagen. Entscheidend ist der konkrete Einsatzzweck, nicht die Technik an sich.
Für Unternehmen heißt das: Zuerst muss man wissen, in welche Risikoklasse eine Anwendung fällt, denn daraus ergeben sich alle weiteren Pflichten. Nachvollziehbarkeit, systematische Evaluation und menschliche Aufsicht sind dabei wiederkehrende Anforderungen - dieselben Bausteine, die auch technisch für verlässliche KI sorgen. Eine erste Einordnung liefert der interaktive EU-AI-Act-Risiko-Check auf dieser Website.
In der Praxis
Ein Sondermaschinenbauer inventarisiert drei KI-Anwendungen
Ein Sondermaschinenbauer mit 240 Mitarbeitenden stellt bei einer internen Bestandsaufnahme fest, dass KI bereits an drei Stellen im Haus arbeitet: Ein Assistent formuliert Angebotstexte im Vertrieb, ein Bildsystem bewertet Schweißnähte in der Endkontrolle, und im Personalbereich sortiert ein Werkzeug eingehende Bewerbungen vor. Die drei Anwendungen sind in drei Abteilungen und über zwei Jahre hinweg entstanden, niemand hatte sie je nebeneinander gelegt.
Genau dieses Nebeneinander ist die eigentliche Arbeit. Denn die drei fallen erkennbar unterschiedlich aus: Das Formulieren von Angebotstexten ist eine Unterstützungsaufgabe mit geringem Risiko, bei der ein Mensch ohnehin jedes Ergebnis freigibt. Die Sichtprüfung in der Endkontrolle berührt die Qualität eines ausgelieferten Produkts und ist damit deutlich heikler. Und die Vorsortierung von Bewerbungen betrifft die Personalauswahl - einen Bereich, den die Verordnung erklärtermaßen streng behandelt.
Das Ergebnis eines halben Tages ist keine Rechtsauskunft, sondern eine Liste: Anwendung, Zweck, betroffene Personen, Datenquellen, wer sie betreibt, wer sie freigegeben hat, ob ein Mensch entscheidet. Auf dieser Grundlage lässt sich die Einstufung anschließend fachkundig prüfen - und zwar gezielt für die eine Anwendung, bei der es darauf ankommt. Das teure Missverständnis wäre gewesen, alle drei gleich zu behandeln: die Bewerbungsvorsortierung so beiläufig wie das Textwerkzeug - oder umgekehrt den ganzen Betrieb wegen einer Anwendung lahmzulegen.
Abgrenzung
Nicht zu verwechseln mit
- DSGVO
- Die DSGVO schützt personenbezogene Daten, der AI Act reguliert den Einsatzzweck eines KI-Systems. Beide gelten nebeneinander: Eine Anwendung kann datenschutzrechtlich sauber sein und trotzdem als Hochrisiko-System eingestuft werden - und eine Anwendung ohne jeden Personenbezug bleibt dennoch vom AI Act erfasst, wenn ihr Einsatzzweck darunter fällt.
- Managementnorm für KI (ISO/IEC 42001)
- Eine Norm ist freiwillig und beschreibt, wie Sie KI im Haus organisieren; die Verordnung ist geltendes Recht und schreibt vor, was Sie für eine bestimmte Anwendung erfüllen müssen. Ein Managementsystem nach Norm kann die Umsetzung erleichtern, ersetzt aber keine Einstufung und keinen Nachweis.
- Evaluation
- Evaluation ist die technische Messung, ob eine KI-Anwendung tut, was sie soll. Der AI Act ist der rechtliche Rahmen, der eine solche Messung für bestimmte Anwendungen überhaupt verlangt. Evaluation liefert damit das Material, mit dem sich Pflichten belegen lassen - ist aber für sich genommen noch keine Erfüllung.
Fehlerbilder
Worauf es ankommt
Die eigene Rolle nicht geklärt
Viele Unternehmen gehen selbstverständlich davon aus, nur Anwender zu sein. Wer ein zugekauftes System aber wesentlich verändert, es unter eigenem Namen anbietet oder es für einen anderen Zweck einsetzt als vorgesehen, kann in eine deutlich weitergehende Rolle rutschen. Diese Frage gehört an den Anfang eines Projekts, nicht in die Schlussphase - sie entscheidet über den gesamten Pflichtenumfang.
Alles über einen Kamm scheren
Die verbreiteten Reaktionen sind ein pauschales Verbot per Rundmail oder eine pauschale Freigabe. Beide sind falsch, weil die Einstufung am Einsatzzweck hängt: Dieselbe Technik ist beim Formulieren einer Serienmail unkritisch und bei einer Personalentscheidung streng reguliert. Ein Verbot treibt die Nutzung zudem in nicht kontrollierte Privatkonten ab.
Nachweise erst bei der Prüfung erzeugen wollen
Protokolle, Testergebnisse, Versionsstände von Prompts und Modellen lassen sich nicht rückwirkend herstellen. Wer erst auf Nachfrage anfängt, hat schlicht kein Material - und sitzt vor einem System, dessen Verhalten vor sechs Monaten niemand mehr rekonstruieren kann. Protokollierung und Evaluation kosten am Anfang Tage und später Monate.
Schatten-KI übersehen
Das Inventar erfasst zuverlässig die Projekte der IT und übersieht das Abonnement, das der Vertrieb selbst gebucht hat, sowie die KI-Funktion, die ein Softwareanbieter still in ein bestehendes Produkt eingebaut hat. Fragen Sie beides aktiv ab: Abrechnungen nach Abonnements durchsehen und Bestandslieferanten schriftlich nach neuen KI-Funktionen fragen.
Häufige Fragen
Was zu EU AI Act oft gefragt wird
Gilt der EU AI Act auch für kleine und mittlere Unternehmen?
Ja - die Verordnung knüpft nicht an die Unternehmensgröße an, sondern an Einsatzzweck und Rolle. Für kleinere Unternehmen sieht sie zwar Erleichterungen bei einzelnen Nachweisen vor, aber keine grundsätzliche Ausnahme. Praktisch bedeutet das für die meisten Mittelständler: Der weit überwiegende Teil der Alltagsanwendungen liegt in den unteren Risikostufen mit überschaubaren Pflichten, und der Aufwand konzentriert sich auf die wenigen Anwendungen, die Personen unmittelbar betreffen.
Was müssen wir tun, wenn wir nur einen KI-Assistenten im Büro nutzen?
In dieser Konstellation sind Sie in aller Regel Anwender eines fremden Systems, nicht dessen Anbieter, und die Pflichten sind entsprechend begrenzt. Drei Dinge lohnen sich trotzdem sofort: eine schriftliche Nutzungsregel, die sagt, welche Daten hinein dürfen und welche nicht; ein einfaches Verzeichnis der eingesetzten Werkzeuge; und eine Schulung der Mitarbeitenden, die KI benutzen. Die Verordnung erwartet ausdrücklich, dass Beschäftigte hinreichend kompetent im Umgang mit KI sind.
Ab wann gelten die Pflichten aus dem EU AI Act?
Die Verordnung ist bereits in Kraft und wird stufenweise anwendbar: Die Verbote besonders schädlicher Praktiken greifen als Erstes, die Pflichten für allgemeine KI-Modelle und für Hochrisiko-Anwendungen folgen zeitlich versetzt über mehrere Jahre. Welche Stufe für Ihre konkrete Anwendung wann greift, hängt an deren Einstufung und teils an Übergangsregeln für Bestandssysteme - das sollten Sie rechtlich prüfen lassen, statt sich auf eine Jahreszahl aus zweiter Hand zu verlassen.
Was kostet die Vorbereitung auf den EU AI Act?
Der erste Schritt - Inventar aller KI-Anwendungen, Zweck, Datenquellen, Rolle - ist in den meisten mittelständischen Unternehmen die Arbeit von ein bis zwei Tagen und lässt sich intern leisten. Teuer wird es erst dort, wo eine Anwendung tatsächlich in eine hohe Risikoklasse fällt: Dann kommen Risikomanagement, Dokumentation, Protokollierung und laufende Prüfung hinzu. Genau deshalb ist die Einstufung die wirtschaftlich wichtigste Entscheidung im ganzen Vorhaben - sie sagt Ihnen, wo Sie Geld ausgeben müssen und wo nicht.
Verwandte Begriffe
Weiter im Glossar
Von der Definition zur Umsetzung?
Lassen Sie uns besprechen, wie sich das konkret in Ihrem Unternehmen anwenden lässt.
Projekt anfragen