Der EU AI Act in der Praxis: Ein Leitfaden für Unternehmen

Der EU AI Act (Verordnung (EU) 2024/1689) ist am 1. August 2024 in Kraft getreten. Als EU-Verordnung gilt er direkt in allen Mitgliedstaaten, ohne dass er erst in nationales Recht übersetzt werden muss. Das wichtigste Prinzip ist der risikobasierte Ansatz: Reguliert wird nicht die Technologie an sich, sondern ihr konkreter Einsatzzweck. Ein und dasselbe LLM kann harmlos sein (z. B. wenn es E-Mails formuliert) oder als Hochrisiko eingestuft werden (wenn es über die Kreditwürdigkeit eines Menschen entscheidet). Zudem unterscheidet das Gesetz zwischen Anbietern (entwickeln KI-Systeme) und Betreibern (setzen KI-Systeme beruflich ein). Der Geltungsbereich ist global: Auch US-Anbieter, deren Tools in der EU genutzt werden, fallen unter das Gesetz.

Der EU AI Act teilt KI-Systeme in vier Stufen ein:

1. Unannehmbares Risiko: Absolut verboten (seit 2. Februar 2025). Dazu gehören Social Scoring, Emotionserkennung am Arbeitsplatz oder biometrische Kategorisierung nach sensiblen Merkmalen.
2. Hohes Risiko: Streng reguliert (z. B. Bewerber-Screening, Kreditprüfung, kritische Infrastruktur). Erfordert Risikomanagement, hohe Datenqualität, menschliche Aufsicht und eine Konformitätsbewertung.
3. Begrenztes Risiko: Erfordert Transparenz (z. B. Chatbots, Deepfakes). Nutzer müssen wissen, dass sie mit einer KI interagieren.
4. Minimales Risiko: Keine Pflichten (z. B. Spamfilter, Videospiele). Die große Mehrheit heutiger KI-Anwendungen fällt hierunter.

Die Pflichten des EU AI Act treten gestaffelt in Kraft. Die wichtigsten Meilensteine sind:

• 1. August 2024: Inkrafttreten der Verordnung.
• 2. Februar 2025: Verbote (unannehmbares Risiko) und die KI-Kompetenzpflicht (Art. 4) greifen bereits.
• 2. August 2025: Regeln für GPAI-Modelle (General Purpose AI wie große Sprachmodelle) treten in Kraft.
• 2. August 2026: Der Hauptteil der Pflichten wird wirksam (Hochrisiko-Systeme nach Anhang III und Transparenzpflichten). Dies ist der zentrale Stichtag für die meisten Unternehmen.
• 2. August 2027: Verlängerte Frist für Hochrisiko-KI in bereits regulierten Produkten (Anhang I).

Seit dem 2. Februar 2025 fordert Art. 4, dass Anbieter und Betreiber für ein ausreichendes Maß an KI-Kompetenz bei ihren Mitarbeitern sorgen. Dies ist eine Bemühenspflicht, keine starre Schulungsvorschrift. Es gibt keine gesetzlich vorgeschriebene Stundenzahl oder offizielle Zertifikate. Unternehmen müssen nachweisbar sicherstellen, dass Mitarbeiter die Risiken, Grenzen und Funktionsweisen der genutzten KI-Systeme verstehen. Dies lässt sich pragmatisch durch interne Richtlinien, dokumentierte Kurzschulungen und Leitfäden umsetzen.

Ab dem 2. August 2026 greifen die Transparenzregeln (Art. 50). Diese betreffen fast jedes Unternehmen mit Kundenkontakt:

• Chatbots: Nutzer müssen aktiv darauf hingewiesen werden, dass sie mit einer KI kommunizieren.
• KI-Inhalte: Synthetische Bilder, Audios und Videos müssen maschinenlesbar als solche gekennzeichnet werden.
• Deepfakes: Realistische, aber manipulierte Medien müssen eine gut sichtbare Kennzeichnung tragen.
• Texte: KI-generierte Texte, die die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informieren, müssen unter bestimmten Bedingungen deklariert werden.

Die meisten Unternehmen entwickeln keine Hochrisiko-KI selbst, nutzen aber solche Systeme (z. B. KI-gestützte HR-Software für Bewerbungen). Als Betreiber (Deployer) haben Sie strenge Pflichten: Sie müssen das System exakt nach der Betriebsanleitung nutzen, eine wirksame menschliche Aufsicht (Human Oversight) sicherstellen, die Eingabedaten auf Eignung prüfen, Logfiles des Betriebs aufbewahren und bei Fehlfunktionen oder Risiken sofort reagieren.

Um die Compliance ohne Panik anzugehen, empfiehlt sich ein strukturierter 5-Schritte-Fahrplan:

1. Inventur: Erfassen Sie alle im Unternehmen genutzten KI-Tools (auch inoffizielle, die Mitarbeiter nutzen).
2. Einstufung: Ordnen Sie die Tools den Risikoklassen zu.
3. Rollen klären: Bestimmen Sie, ob Sie Anbieter oder Betreiber sind.
4. Kompetenz aufbauen: Setzen Sie Art. 4 durch Richtlinien und Schulungen um.
5. Transparenz umsetzen: Bereiten Sie Kennzeichnungen für Chatbots und KI-Inhalte rechtzeitig vor dem Stichtag vor.