EU AI Act: Bin ich betroffen — und was muss ich jetzt tun?

Was der EU AI Act ist — und warum er Ihr Unternehmen angeht

Der EU AI Act (Verordnung (EU) 2024/1689) ist seit August 2024 in Kraft und wird stufenweise angewendet. Er ist das erste umfassende KI-Gesetz weltweit und gilt EU-weit unmittelbar, ohne dass eine nationale Umsetzung nötig wäre. Wer glaubt, das Gesetz betreffe nur große Tech-Konzerne, irrt: Jedes Unternehmen, das KI-Systeme einsetzt, in eigene Produkte integriert oder intern betreibt, fällt als Betreiber unter das Gesetz.

Konkret bedeutet das: Wer ChatGPT, Copilot, Claude oder andere KI-Tools im Unternehmen nutzt, ist Betreiber im Sinne des AI Act. Wer ein Produkt mit KI-Funktion verkauft oder vermietet, ist zusätzlich Anbieter. Und wer KI in Einstellungsprozessen, Kreditentscheidungen oder im Gesundheitsbereich einsetzt, unterliegt den besonders strengen Hochrisiko-Regeln.

Die Nichteinhaltung ist teuer: Bußgelder von bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes sind möglich — je nachdem, was höher ist. Für KMU gelten keine generellen Ausnahmen, lediglich verhältnismäßige Anforderungen. Die Frage ist also nicht, ob der AI Act gilt, sondern welche Risikoklasse Ihr KI-Einsatz hat und was das konkret bedeutet.

Die vier Risikoklassen im Überblick

Das Herzstück des AI Act ist ein risikobasiertes Stufenmodell. Je höher das potenzielle Schadenspotenzial einer KI, desto strenger die Anforderungen.

• Klasse 1 — Unannehmbares Risiko: Diese KI-Systeme sind vollständig verboten. Dazu gehören Social-Scoring-Systeme, biometrische Massenüberwachung im öffentlichen Raum, manipulative KI, die Schwächen von Personen ausnutzt, und KI zur Vorhersage von Straftaten auf Basis von Persönlichkeitsmerkmalen. Für die meisten mittelständischen Unternehmen kein relevantes Thema — aber wichtig zu wissen.
• Klasse 2 — Hochrisiko-KI: Streng reguliert. Betrifft KI in kritischer Infrastruktur, im Bildungswesen (Prüfungsauswertung), in Personalentscheidungen (Einstellungen, Beförderungen, Kündigungen), in der Kreditwürdigkeitsprüfung, in medizinischen Diagnose-Tools und in der Strafverfolgung. Diese Systeme müssen registriert, laufend überwacht und dokumentiert werden. Menschliche Kontrolle ist Pflicht.
• Klasse 3 — Begrenztes Risiko: Hier fallen die meisten Standard-KI-Tools rein, die Unternehmen heute nutzen — Chatbots, generative KI wie ChatGPT, KI-generierte Texte und Bilder. Die Hauptpflicht ist Transparenz: Nutzer müssen wissen, dass sie mit einer KI interagieren oder KI-generierte Inhalte sehen.
• Klasse 4 — Minimales Risiko: Spamfilter, Empfehlungssysteme in Webshops, einfache Automatisierung. Hier gibt es keine gesetzlichen Sonderpflichten.

Welche KI-Einsätze in der Regel unter Hochrisiko fallen

• Personalentscheidungen: KI bei Stellenausschreibung, Lebenslaufscreening, Einstellungsinterviews oder Bewerberbewertung
• Kreditwürdigkeit: automatisierte Bonitätsprüfung oder Kreditentscheidung per KI
• Medizinische KI: Diagnosesysteme, KI-gestützte Behandlungsempfehlungen
• Kritische Infrastruktur: KI in Energieversorgung, Wasserversorgung, Verkehrssteuerung
• Bildung: KI-gestützte Prüfungsbewertung oder Lernplatzzuteilung
• Biometrische Identifikation: Gesichtserkennung, Fingerabdruck-Systeme in nicht-privaten Umgebungen
• Strafverfolgung: Risikobewertung oder Tathergangs-Rekonstruktion per KI
• Migrationsverfahren: KI bei Visums- oder Asylentscheidungen

Was Ihr Unternehmen konkret tun muss

Der AI Act definiert vier Kernpflichten für Betreiber — für alle, die KI-Systeme einsetzen. Diese gelten unabhängig davon, ob das Unternehmen die KI selbst entwickelt hat oder fertige Produkte wie ChatGPT nutzt. Die Pflichten sind abgestuft nach Risikoklasse, aber selbst bei Klasse 3 (Begrenztes Risiko) besteht Handlungsbedarf.

Risikobewertung: Unternehmen müssen aktiv einschätzen, welche Risikoklasse ihre KI-Anwendungen haben. Das ist keine einmalige Aufgabe, sondern bei jeder neuen KI-Implementierung erneut erforderlich. Bei Hochrisiko-KI ist eine formale Konformitätsbewertung Pflicht.

Dokumentation: Alle eingesetzten KI-Systeme müssen dokumentiert sein — welche Systeme genutzt werden, für welchen Zweck, wer die Verantwortung trägt. Bei Hochrisiko-KI muss die technische Dokumentation umfassend und aktuell gehalten werden.

Transparenz: Bei Chatbots und KI-generierten Inhalten muss kenntlich gemacht werden, dass es sich um KI handelt — gegenüber Kunden wie Nutzern.

Human Oversight: Bei Hochrisiko-KI muss ein Mensch die Entscheidungen der KI überwachen und eingreifen können. Vollautomatische Entscheidungen ohne menschliche Kontrolle sind in diesen Bereichen nicht zulässig. Die Geschäftsleitung haftet dabei persönlich für die Einhaltung des AI Act — eine Delegation an die IT-Abteilung reicht nicht aus.

Was jetzt zu tun ist — Schritt für Schritt

1. KI-Inventar erstellen: Erfassen Sie alle KI-Systeme, die in Ihrem Unternehmen eingesetzt werden — intern und gegenüber Kunden. Dazu gehören auch eingekaufte Softwareprodukte mit KI-Funktionen, Plugins und API-Integrationen. Viele Unternehmen unterschätzen, wie viele KI-Komponenten bereits im Einsatz sind. 2. Risikoklasse bestimmen: Ordnen Sie jeden KI-Einsatz einer der vier Risikoklassen zu. Entscheidend ist der konkrete Verwendungszweck, nicht die Technologie. Ein Chatbot im Kundensupport ist Klasse 3, derselbe Chatbot zur Vorauswahl von Bewerbern wäre Klasse 2. 3. Dokumentation aufbauen: Halten Sie fest, welche Systeme eingesetzt werden, für welchen Zweck, wer verantwortlich ist und wie die Datenbasis aussieht. Diese Dokumentation ist kein einmaliges Projekt, sondern ein laufender Prozess, der bei jeder Änderung aktualisiert werden muss. 4. Transparenzpflichten umsetzen: Prüfen Sie alle Kundenkontaktpunkte: Gibt es Chatbots? KI-generierte Antworten? KI-erstellte Bilder oder Texte? Überall dort muss klar kommuniziert werden, dass KI im Einsatz ist — etwa über Hinweistexte, Logos oder Disclaimer. 5. Schulungen planen: Der AI Act verlangt nachweisbare KI-Kompetenz bei Mitarbeitern, die KI einsetzen. Planen Sie strukturierte Schulungen und dokumentieren Sie die Teilnahme. Ohne Nachweis gibt es bei Kontrollen kein Argument. 6. Verantwortung festlegen: Bestimmen Sie eine Person oder Funktion im Unternehmen, die für AI-Compliance verantwortlich ist. Die Geschäftsführung haftet persönlich — sie kann die Verantwortung delegieren, aber nicht die Haftung. Eine klare Zuständigkeit ist der erste Schritt zur tatsächlichen Umsetzung.

ChatGPT im Unternehmen ist nicht automatisch compliant

Wer ChatGPT, Copilot oder andere KI-Tools im Unternehmen einsetzt, ist Betreiber im Sinne des AI Act — und trägt die Verantwortung für den regelkonformen Einsatz. Die Nutzung eines kommerziellen Business-Plans (etwa ChatGPT Team oder Enterprise) erledigt nicht automatisch die Compliance-Pflichten. Ein Praxisbeispiel: Ein Mittelständler nutzt ChatGPT zur Vorauswahl von Bewerbungen. Das ist in der Regel Hochrisiko-KI im Sinne des AI Act — mit Registrierungspflicht, Dokumentationsanforderungen und Pflicht zur menschlichen Aufsicht. Wer das ignoriert, riskiert Bußgelder und im Schadensfall persönliche Haftung der Geschäftsleitung.

Für kleinere Unternehmen gilt: Beginnen Sie mit einem einfachen KI-Inventar — welche Tools werden wo eingesetzt, für welchen Zweck. Das reicht als erster Schritt für die meisten KMU. Wer ChatGPT nur für Textentwürfe nutzt, hat eine überschaubare Compliance-Aufgabe. Wer KI in Personalentscheidungen einsetzt, sollte jetzt externe Beratung hinzuziehen — die Anforderungen sind komplex und die Haftung real.