Unternehmen, die KI-Systeme einsetzen, unterliegen seit 2026 einem verbindlichen Rechtsrahmen, der aus mehreren Schichten besteht: dem EU AI Act als zentraler KI-Verordnung, der DSGVO f\u00fcr datenschutzrechtliche Anforderungen sowie erg\u00e4nzenden Gesetzen wie dem BSIG und dem TDDDG. Die konkreten Pflichten h\u00e4ngen davon ab, welche Rolle ein Unternehmen einnimmt und welche Risikostufe dem eingesetzten KI-System zugeordnet wird. Dieser Artikel beantwortet die wichtigsten Fragen rund um KI-Compliance \u2013 von der Klassifizierung und konkreten Betreiberpflichten bis hin zur strukturierten Umsetzung.<\/p>\n
Der EU AI Act ist die weltweit erste umfassende gesetzliche Regulierung f\u00fcr k\u00fcnstliche Intelligenz. Er legt verbindliche Anforderungen an Sicherheit, Transparenz und Verantwortlichkeit f\u00fcr KI-Systeme fest und gilt f\u00fcr alle Unternehmen, die KI-Systeme in der EU entwickeln, vertreiben oder einsetzen \u2013 unabh\u00e4ngig davon, ob sie ihren Sitz innerhalb oder au\u00dferhalb der EU haben.<\/p>\n
Der Anwendungsbereich ist bewusst weit gefasst. Betroffen sind sowohl Anbieter, die KI-Systeme entwickeln und in Verkehr bringen, als auch Betreiber, die KI-Systeme im eigenen Gesch\u00e4ftsbetrieb nutzen. Importeure und H\u00e4ndler k\u00f6nnen unter bestimmten Umst\u00e4nden ebenfalls Pflichten unterliegen. F\u00fcr viele mittelst\u00e4ndische Unternehmen ist die Betreiberrolle besonders relevant: Wer ein KI-gest\u00fctztes Bewerbermanagementsystem, ein automatisiertes Kreditscoring-Tool oder eine KI-basierte \u00dcberwachungsl\u00f6sung einsetzt, f\u00e4llt in den Anwendungsbereich des Gesetzes.<\/p>\n
Die Verordnung trat stufenweise in Kraft. Verbote unzul\u00e4ssiger KI-Praktiken gelten seit Februar 2025, einschlie\u00dflich der Pflicht zur Sicherstellung von KI-Kompetenz gem\u00e4\u00df Art. 4 AI Act. Die Anforderungen an Hochrisiko-KI-Systeme gelten ab August 2026 vollumf\u00e4nglich. Unternehmen, die diese Fristen ignorieren, riskieren erhebliche Sanktionen.<\/p>\n
Der EU AI Act unterteilt KI-Systeme in vier Risikoklassen: inakzeptables Risiko, hohes Risiko, begrenztes Risiko und minimales Risiko. Die Risikoklasse bestimmt, welche Pflichten ein Unternehmen erf\u00fcllen muss. Je h\u00f6her das Risiko, desto strenger die Anforderungen.<\/p>\n
KI-Systeme mit inakzeptablem Risiko sind verboten. Dazu geh\u00f6ren Systeme, die darauf ausgelegt sind, das Verhalten von Personen ohne deren Wissen zu manipulieren, oder Social-Scoring-Systeme, die von Beh\u00f6rden betrieben werden. Hochrisiko-KI-Systeme sind zul\u00e4ssig, aber stark reguliert. Sie kommen in sensiblen Bereichen wie Personalwesen, Kreditvergabe, Gesundheitsversorgung und kritischer Infrastruktur zum Einsatz.<\/p>\n
Systeme mit begrenztem Risiko, wie etwa Chatbots, unterliegen in erster Linie Transparenzpflichten: Nutzende m\u00fcssen wissen, dass sie mit einer KI interagieren. KI-Systeme mit minimalem Risiko \u2013 zum Beispiel einfache Spam-Filter oder KI-gest\u00fctzte Empfehlungssysteme in Streaming-Diensten \u2013 sind weitgehend unreguliert. In der Praxis bedeutet das: Der erste Schritt zur KI-Compliance ist stets die sorgf\u00e4ltige Einordnung des eigenen Systems in die richtige Risikokategorie.<\/p>\n
Betreiber von Hochrisiko-KI-Systemen m\u00fcssen eine Reihe verbindlicher Pflichten erf\u00fcllen, darunter die Einrichtung eines Risikomanagementsystems, die Gew\u00e4hrleistung menschlicher Aufsicht, die F\u00fchrung technischer Dokumentation sowie die Protokollierung des Systembetriebs. Dar\u00fcber hinaus gilt seit Februar 2025 die Pflicht, KI-Kompetenz innerhalb der Organisation nachzuweisen.<\/p>\n
Die KI-Kompetenzpflicht gem\u00e4\u00df Art. 4 AI Act verpflichtet Anbieter und Betreiber dazu sicherzustellen, dass ihre Mitarbeitenden, die an Betrieb und Nutzung von KI-Systemen beteiligt sind, \u00fcber ein ausreichendes Ma\u00df an KI-Kompetenz verf\u00fcgen. Dabei sind technisches Wissen, Erfahrung, Schulungen und der konkrete Einsatzkontext zu ber\u00fccksichtigen. Diese Anforderung gilt nicht nur f\u00fcr IT-Abteilungen, sondern f\u00fcr alle Besch\u00e4ftigten, die KI-gest\u00fctzte Tools in ihrer t\u00e4glichen Arbeit verwenden.<\/p>\n
Weitere wesentliche Betreiberpflichten umfassen:<\/p>\n
Unternehmen sollten diese Pflichten nicht als einmalige Aufgabe betrachten, sondern als fortlaufenden Prozess, der in bestehende Compliance- und Qualit\u00e4tsmanagementsysteme integriert werden muss.<\/p>\n
KI-Compliance und DSGVO-Compliance \u00fcberschneiden sich erheblich, da die meisten KI-Systeme personenbezogene Daten verarbeiten. Die DSGVO bleibt neben dem EU AI Act vollumf\u00e4nglich anwendbar und stellt eigene parallele Anforderungen an Transparenz, Zweckbindung, Datensparsamkeit und Betroffenenrechte.<\/p>\n
Besonders herausfordernd ist das Recht auf Erkl\u00e4rung bei automatisierten Entscheidungen gem\u00e4\u00df Art. 22 DSGVO. Wenn ein KI-System Entscheidungen trifft, die rechtliche oder \u00e4hnlich bedeutsame Auswirkungen auf Personen haben, m\u00fcssen Betroffene eine aussagekr\u00e4ftige Erkl\u00e4rung der zugrunde liegenden Logik erhalten. Der Black-Box-Charakter vieler KI-Modelle macht dies in der Praxis schwierig.<\/p>\n
Auch das Recht auf L\u00f6schung gem\u00e4\u00df Art. 17 DSGVO stellt Unternehmen vor technische Herausforderungen: KI-Modelle speichern Daten nicht direkt, k\u00f6nnen aber R\u00fcckschl\u00fcsse aus Trainingsdaten ziehen. Das sogenannte Machine Unlearning \u2013 die gezielte Entfernung von Informationen aus einem trainierten Modell \u2013 befindet sich noch in der Forschungsphase. Aktuelle praktische Ans\u00e4tze umfassen Datensparsamkeit durch Privacy by Design sowie den Einsatz synthetischer oder anonymisierter Daten im Training.<\/p>\n
Ebenfalls anwendbar ist das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG): Sobald ein KI-System Kommunikationsinhalte, Verbindungsdaten oder Ger\u00e4teinformationen verarbeitet, greifen die TDDDG-Pflichten zum Schutz der Privatsph\u00e4re in digitalen Diensten. Unternehmen m\u00fcssen ihren KI-Einsatz daher ganzheitlich \u00fcberpr\u00fcfen<\/a> und DSGVO, TDDDG und AI Act gleichzeitig im Blick behalten.<\/p>\n Verst\u00f6\u00dfe gegen den EU AI Act k\u00f6nnen mit Bu\u00dfgeldern von bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag h\u00f6her ist. DSGVO-Verst\u00f6\u00dfe k\u00f6nnen zus\u00e4tzlich mit bis zu 20 Millionen Euro oder 4 Prozent des Jahresumsatzes sanktioniert werden. Beide Bu\u00dfgeldrahmen k\u00f6nnen gleichzeitig zur Anwendung kommen.<\/p>\n Die H\u00f6he des Bu\u00dfgelds h\u00e4ngt von der Art des Versto\u00dfes ab. Der Einsatz verbotener KI-Praktiken zieht den h\u00f6chsten Strafrahmen nach sich. Verst\u00f6\u00dfe gegen Anforderungen an Hochrisiko-Systeme oder Transparenzpflichten werden mit niedrigeren, aber dennoch erheblichen Betr\u00e4gen geahndet. F\u00fcr kleinere Unternehmen und Start-ups sieht der AI Act zwar Verh\u00e4ltnism\u00e4\u00dfigkeitsgrunds\u00e4tze vor, dies bedeutet jedoch keine Befreiung von den grundlegenden Pflichten.<\/p>\n Neben finanziellen Sanktionen drohen Unternehmen Reputationssch\u00e4den, Marktverbote f\u00fcr bestimmte KI-Systeme sowie zivilrechtliche Haftungsanspr\u00fcche betroffener Personen. Unternehmen, die im Bereich kritischer Infrastruktur t\u00e4tig sind, m\u00fcssen zus\u00e4tzlich die Anforderungen des BSIG beachten, das seit Dezember 2025 in seiner aktuellen Fassung in Kraft ist und umfangreiche Pflichten zu Risikomanagement, Betriebskontinuit\u00e4t und Lieferkettensicherheit enth\u00e4lt.<\/p>\n KI-Compliance l\u00e4sst sich am wirksamsten umsetzen, wenn Unternehmen einen strukturierten, normenbasierten Ansatz w\u00e4hlen. ISO\/IEC 42001:2023 bietet daf\u00fcr einen anerkannten Rahmen: Die Norm beschreibt Mindestanforderungen an KI-Managementsysteme und gibt Unternehmen eine klare Struktur, um alle KI-Aktivit\u00e4ten verantwortungsvoll zu steuern, Risiken zu adressieren und regulatorische Anforderungen systematisch zu erf\u00fcllen.<\/p>\n Ein bew\u00e4hrter Umsetzungspfad folgt diesen Schritten:<\/p>\n Empfehlenswert ist au\u00dferdem, ISO\/IEC 23894:2023 f\u00fcr KI-spezifisches Risikomanagement sowie die EU Ethics Guidelines for Trustworthy AI heranzuziehen, die Aspekte wie menschliche Aufsicht, technische Robustheit und Nichtdiskriminierung adressieren. Ein ISO 42001 Audit<\/a> kann dabei helfen, den aktuellen Reifegrad deines KI-Managementsystems objektiv zu bewerten.<\/p>\n Als spezialisierter Trainingsanbieter mit mehr als 20 Jahren Erfahrung im IT-Management unterst\u00fctzen wir Unternehmen und Fachkr\u00e4fte dabei, ein fundiertes Verst\u00e4ndnis der KI-Compliance-Anforderungen zu entwickeln und diese in die Praxis umzusetzen. Unser Angebot umfasst:<\/p>\nWelche Sanktionen drohen Unternehmen bei Verst\u00f6\u00dfen gegen KI-Vorschriften?<\/h2>\n
Wie k\u00f6nnen Unternehmen KI-Compliance strukturiert umsetzen?<\/h2>\n
\n
Wie unterst\u00fctzt mITSM dich bei der KI-Compliance<\/h2>\n
\n