Der EU AI Act verpflichtet Unternehmen, die KI-Systeme entwickeln oder einsetzen, zur Einhaltung konkreter Anforderungen an Transparenz, Risikomanagement und Dokumentation. Die Verordnung gilt seit August 2024 und wird schrittweise verbindlich, wobei die meisten Kernpflichten ab 2026 vollst\u00e4ndig greifen. Dieser Artikel beantwortet die wichtigsten Fragen zu Betroffenheit, Risikoklassen, konkreten Pflichten und dem Weg zur Compliance.<\/p>\n\n\n
Der EU AI Act betrifft grunds\u00e4tzlich alle Unternehmen, die KI-Systeme in der EU entwickeln, vertreiben oder einsetzen, unabh\u00e4ngig von ihrer Gr\u00f6\u00dfe oder Branche. Auch Unternehmen au\u00dferhalb der EU fallen unter die Verordnung, wenn ihre KI-Systeme innerhalb der EU genutzt werden oder deren Ausgaben in der EU Wirkung entfalten.<\/p>\n\n\n
Die Verordnung unterscheidet zwischen verschiedenen Rollen: Anbieter<\/strong> entwickeln oder vermarkten KI-Systeme, Betreiber<\/strong> setzen diese in ihrem Gesch\u00e4ftsbetrieb ein. Beide Gruppen tragen Pflichten, wobei Anbieter in der Regel umfangreichere Anforderungen erf\u00fcllen m\u00fcssen. Selbst Unternehmen, die ausschlie\u00dflich kommerzielle KI-Tools von Drittanbietern nutzen, sind als Betreiber betroffen und m\u00fcssen bestimmte Sorgfaltspflichten einhalten.<\/p>\n\n\n Besonders relevant ist die Verordnung f\u00fcr Unternehmen, die KI in sensiblen Bereichen einsetzen: Personalentscheidungen, Kreditvergabe, medizinische Diagnostik, kritische Infrastruktur oder Strafverfolgung. Wer KI-Systeme am Arbeitsplatz einsetzt, hat nach Artikel 26 Absatz 7 zudem Informationspflichten gegen\u00fcber der Arbeitnehmervertretung zu erf\u00fcllen.<\/p>\n\n\n Der EU AI Act teilt KI-Systeme in vier Risikoklassen ein: verbotene KI-Praktiken, Hochrisiko-KI-Systeme, KI-Systeme mit begrenztem Risiko und KI-Systeme mit minimalem Risiko. Die Einstufung bestimmt, welche Pflichten ein Unternehmen erf\u00fcllen muss.<\/p>\n\n\n Die strengste Kategorie umfasst KI-Anwendungen, die vollst\u00e4ndig verboten sind. Dazu z\u00e4hlen Systeme zur unterschwelligen Beeinflussung von Personen, Social Scoring durch staatliche Stellen sowie bestimmte Formen der biometrischen Echtzeit-Fernidentifizierung im \u00f6ffentlichen Raum. Diese Verbote gelten seit Februar 2025.<\/p>\n\n\n Hochrisiko-Systeme werden in Anhang III der Verordnung aufgelistet und umfassen unter anderem KI in der Personalverwaltung, im Bildungswesen, in der Strafverfolgung und im Gesundheitswesen. F\u00fcr diese Systeme gelten die umfangreichsten Compliance-Anforderungen.<\/p>\n\n\n KI-Systeme mit begrenztem Risiko, etwa Chatbots, unterliegen vor allem Transparenzpflichten: Nutzer m\u00fcssen wissen, dass sie mit einer KI interagieren. KI-Systeme mit minimalem Risiko, wie einfache Spam-Filter, unterliegen keinen verpflichtenden Zusatzanforderungen. Freiwillig k\u00f6nnen Unternehmen jedoch einen Verhaltenskodex nach Artikel 95 der KI-Verordnung aufstellen.<\/p>\n\n\n Betreiber von Hochrisiko-KI-Systemen m\u00fcssen nach Artikel 26 der KI-Verordnung eine Reihe verbindlicher Anforderungen erf\u00fcllen: Sie m\u00fcssen das System gem\u00e4\u00df der Betriebsanleitung des Anbieters einsetzen, menschliche \u00dcberwachungsmechanismen implementieren und schwerwiegende Vorf\u00e4lle den zust\u00e4ndigen Beh\u00f6rden melden.<\/p>\n\n\n Die wichtigsten Betreiberpflichten im \u00dcberblick:<\/p>\n\n\n F\u00fcr alle Unternehmen, unabh\u00e4ngig von der Risikoklasse, gilt zudem die Pflicht zur Sicherstellung von KI-Kompetenz<\/strong> nach Artikel 4 der KI-Verordnung. Das bedeutet: Mitarbeitende, die mit KI-Systemen arbeiten, m\u00fcssen \u00fcber ein ausreichendes Verst\u00e4ndnis der eingesetzten Technologie verf\u00fcgen. Diese Anforderung gilt seit dem 2. August 2025.<\/p>\n\n\n Der EU AI Act sieht gestaffelte Bu\u00dfgelder vor, die sich an der Schwere des Versto\u00dfes und der Unternehmensgr\u00f6\u00dfe orientieren. Bei Verst\u00f6\u00dfen gegen die Verbote besonders gef\u00e4hrlicher KI-Praktiken drohen Bu\u00dfgelder von bis zu 35 Millionen Euro oder sieben Prozent des weltweiten Jahresumsatzes.<\/p>\n\n\n Verst\u00f6\u00dfe gegen andere Anforderungen, etwa bei Hochrisiko-Systemen oder Transparenzpflichten, k\u00f6nnen mit bis zu 15 Millionen Euro oder drei Prozent des Jahresumsatzes geahndet werden. F\u00fcr die \u00dcbermittlung falscher Informationen an Beh\u00f6rden sind Bu\u00dfgelder von bis zu 7,5 Millionen Euro oder 1,5 Prozent des Umsatzes vorgesehen. F\u00fcr kleine und mittlere Unternehmen gelten jeweils die niedrigeren der beiden Betr\u00e4ge.<\/p>\n\n\n Neben Bu\u00dfgeldern k\u00f6nnen Beh\u00f6rden auch den Marktzugang f\u00fcr nicht konforme KI-Systeme einschr\u00e4nken oder den R\u00fcckruf von Produkten anordnen. Das EU AI Office \u00fcberwacht die Einhaltung der Verordnung auf europ\u00e4ischer Ebene, w\u00e4hrend nationale Beh\u00f6rden f\u00fcr die Durchsetzung in den Mitgliedstaaten zust\u00e4ndig sind.<\/p>\n\n\n Der EU AI Act trat am 1. August 2024 in Kraft und wird in Phasen verbindlich. Die Verbote f\u00fcr inakzeptable KI-Risiken galten ab Februar 2025, die Pflichten f\u00fcr Hochrisiko-Systeme und allgemeine KI-Modelle sind seit August 2025 anwendbar. F\u00fcr bestimmte Hochrisiko-Systeme in bestehenden Produkten gilt eine verl\u00e4ngerte \u00dcbergangsfrist bis August 2027.<\/p>\n\n\n 2026 stehen Unternehmen damit mitten in der Umsetzungsphase: Die KI-Kompetenzpflicht nach Artikel 4, die Transparenzanforderungen f\u00fcr Systeme mit begrenztem Risiko und die Betreiberpflichten f\u00fcr Hochrisiko-KI-Systeme sind bereits vollst\u00e4ndig wirksam. Unternehmen, die noch keine Bestandsaufnahme ihrer KI-Systeme vorgenommen haben, sollten dies umgehend nachholen, um Compliance-L\u00fccken zu schlie\u00dfen und ISO 42001 Anforderungen<\/a> fr\u00fchzeitig zu ber\u00fccksichtigen.<\/p>\n\n\n EU AI Act Compliance beginnt mit einer systematischen Bestandsaufnahme aller im Unternehmen eingesetzten KI-Systeme und deren Einstufung in die entsprechenden Risikoklassen. Darauf aufbauend werden die jeweils geltenden Pflichten identifiziert und in konkrete Ma\u00dfnahmen \u00fcbersetzt.<\/p>\n\n\n Ein bew\u00e4hrter Ansatz umfasst folgende Schritte:<\/p>\n\n\nWas sind die Risikoklassen des EU AI Acts?<\/h2>\n\n\n
Verbotene KI-Praktiken<\/h3>\n\n\n
Hochrisiko-KI-Systeme<\/h3>\n\n\n
Begrenzte und minimale Risiken<\/h3>\n\n\n
Welche konkreten Pflichten gelten f\u00fcr Hochrisiko-KI-Systeme?<\/h2>\n\n\n
\n
Welche Strafen drohen bei Verst\u00f6\u00dfen gegen den EU AI Act?<\/h2>\n\n\n
Bis wann m\u00fcssen Unternehmen den EU AI Act umsetzen?<\/h2>\n\n\n
Wie k\u00f6nnen Unternehmen EU AI Act Compliance erreichen?<\/h2>\n\n\n
\n