Unternehmen, die KI-Systeme entwickeln, vertreiben oder einsetzen, müssen die Anforderungen des EU AI Act einhalten, sofern ihre Systeme auf dem europäischen Markt aktiv sind. Die Verordnung gilt seit August 2024 schrittweise und ist seit 2026 in weiten Teilen vollständig anwendbar. In diesem Artikel beantworten wir die wichtigsten Fragen zur Umsetzung: Wer ist betroffen, welche Pflichten gelten, und wie gehen Unternehmen die Compliance strukturiert an.

Welche Unternehmen sind vom EU AI Act betroffen?

Der EU AI Act betrifft grundsätzlich alle Unternehmen, die KI-Systeme in der EU entwickeln, auf dem EU-Markt bereitstellen oder einsetzen, unabhängig davon, ob sie ihren Sitz innerhalb oder außerhalb der EU haben. Entscheidend ist, wo das KI-System genutzt wird oder wessen Interessen es berührt.

Die Verordnung unterscheidet zwischen verschiedenen Rollen, die ein Unternehmen einnehmen kann:

• Anbieter: Unternehmen, die KI-Systeme entwickeln und auf dem Markt bereitstellen, tragen die umfangreichsten Pflichten.
• Betreiber: Unternehmen, die KI-Systeme im eigenen Kontext einsetzen, etwa zur Personalentscheidung, Kreditbewertung oder Steuerung von Arbeitsprozessen.
• Einführer und Händler: Unternehmen, die KI-Systeme aus Drittstaaten importieren oder weitervertreiben.

Besonders relevant ist die Betreiberrolle für viele mittelständische und große Unternehmen: Wer ein Hochrisiko-KI-System am Arbeitsplatz einsetzt, unterliegt laut Art. 26 Abs. 7 EU AI Act spezifischen Informationspflichten gegenüber den betroffenen Mitarbeitenden. Auch öffentliche und private Einrichtungen, die öffentliche Dienste erbringen, haben unter bestimmten Umständen eine Grundrechte-Folgenabschätzung durchzuführen. Kurz gesagt: Wer KI nutzt, ist vom EU AI Act betroffen, und zwar unabhängig von Branche oder Unternehmensgröße.

Wie werden KI-Systeme nach dem EU AI Act klassifiziert?

Der EU AI Act klassifiziert KI-Systeme in vier Risikoklassen: verbotene KI-Praktiken, Hochrisiko-KI-Systeme, Systeme mit begrenztem Risiko (Transparenzrisiko) sowie Systeme mit minimalem Risiko. Je höher das Risiko, desto strenger die Anforderungen.

Die Klassifizierung erfolgt anhand des potenziellen Schadens, den ein KI-System für Grundrechte, Sicherheit oder gesellschaftliche Werte verursachen kann:

• Verbotene KI-Praktiken: Systeme wie Social Scoring durch Behörden oder manipulative KI, die psychologische Schwächen ausnutzt, sind vollständig untersagt.
• Hochrisiko-KI-Systeme: Systeme in Bereichen wie Personalwesen, Kreditvergabe, Bildung, kritische Infrastruktur oder Strafverfolgung. Für sie gelten die umfangreichsten Pflichten.
• KI-Systeme mit Transparenzrisiko: Systeme wie Chatbots oder Deepfake-Generatoren, bei denen Nutzer über die KI-Interaktion informiert werden müssen.
• KI-Systeme mit minimalem Risiko: Für diese Systeme bestehen keine verpflichtenden Zusatzanforderungen, freiwillige Verhaltenskodizes werden jedoch empfohlen.

Wichtig: Unabhängig von der Risikoklasse gilt für alle Unternehmen die Pflicht zur Sicherstellung von KI-Kompetenz gemäß Art. 4 EU AI Act. Das bedeutet, Mitarbeitende müssen in die Lage versetzt werden, KI-Systeme angemessen zu verstehen und zu nutzen. Um KI-Kompetenz im Unternehmen aufzubauen, sind strukturierte Weiterbildungsmaßnahmen ein zentraler Baustein.

Welche konkreten Pflichten gelten für Hochrisiko-KI-Systeme?

Anbieter und Betreiber von Hochrisiko-KI-Systemen müssen eine Vielzahl technischer und organisatorischer Anforderungen erfüllen, darunter Risikomanagement, Datendokumentation, Transparenz, menschliche Aufsicht sowie die Registrierung in einer EU-Datenbank.

Die Pflichten für Anbieter von Hochrisiko-KI-Systemen umfassen unter anderem:

• Einrichtung eines Risikomanagementsystems gemäß Art. 9 EU AI Act
• Sicherstellung der Datenqualität und Datenverwaltung nach Art. 10
• Erstellung und Pflege technischer Dokumentation gemäß Art. 11
• Transparenz gegenüber Betreibern und nachgelagerten Akteuren nach Art. 13
• Menschliche Aufsicht über das KI-System als Pflichtanforderung
• Nachweis von Genauigkeit, Robustheit und Cybersicherheit gemäß Art. 15
• Registrierungspflicht in der EU-Datenbank nach Art. 49

Betreiber von Hochrisiko-KI-Systemen tragen ergänzende Pflichten: Sie müssen sicherstellen, dass das System nur zweckgemäß eingesetzt wird, Mitarbeitende entsprechend schulen und bei bestimmten Anwendungsfällen, etwa im Bereich öffentlicher Dienste, eine Grundrechte-Folgenabschätzung nach Art. 27 durchführen. Setzt ein Arbeitgeber ein Hochrisiko-KI-System am Arbeitsplatz ein, sind zudem Informationspflichten gegenüber den betroffenen Beschäftigten zu erfüllen. Ein ISO 42001 Audit kann Unternehmen dabei helfen, ihre Prozesse systematisch auf diese Anforderungen auszurichten.

Bis wann müssen Unternehmen den EU AI Act umsetzen?

Der EU AI Act ist am 1. August 2024 in Kraft getreten und wird stufenweise anwendbar. Die meisten Kernpflichten, insbesondere für Hochrisiko-KI-Systeme, gelten ab August 2026 vollständig. Verbotene KI-Praktiken mussten bereits ab Februar 2025 eingestellt sein.

Die wichtigsten Fristen im Überblick:

• Februar 2025: Verbote bestimmter KI-Praktiken sind in Kraft getreten.
• August 2025: Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck (GPAI) und Governance-Strukturen auf EU-Ebene werden wirksam.
• August 2026: Vollständige Anwendung der Anforderungen für Hochrisiko-KI-Systeme und Transparenzpflichten.
• August 2027: Verlängerte Übergangsfrist für bestimmte Hochrisiko-KI-Systeme, die bereits vor dem Inkrafttreten auf dem Markt waren.

Für Unternehmen bedeutet das: Die Zeit zur Vorbereitung ist knapp. Wer noch keine Bestandsaufnahme seiner KI-Systeme vorgenommen, Verantwortlichkeiten definiert oder Schulungsmaßnahmen eingeleitet hat, sollte jetzt handeln, um Bußgelder und Reputationsschäden zu vermeiden.

Wie läuft die praktische Umsetzung des EU AI Act im Unternehmen ab?

Die praktische Umsetzung des EU AI Act beginnt mit einer systematischen Bestandsaufnahme aller genutzten KI-Systeme, gefolgt von Risikoklassifizierung, Zuweisung von Verantwortlichkeiten, Aufbau eines KI-Managementsystems und gezielter Schulung der Mitarbeitenden.

Eine bewährte Vorgehensweise orientiert sich an drei Phasen:

Phase 1: Orientierung und Bestandsaufnahme (0 bis 6 Monate)

Zunächst gilt es, alle im Unternehmen genutzten oder geplanten KI-Systeme zu inventarisieren und gemäß den Risikoklassen des EU AI Act einzustufen. Parallel dazu sollten Rollen und Verantwortlichkeiten definiert werden, etwa durch die Benennung eines KI-Compliance-Beauftragten. Eine Skill-Gap-Analyse hilft, den Schulungsbedarf der Belegschaft zu ermitteln.

Phase 2: Strukturaufbau und Skalierung (6 bis 18 Monate)

In dieser Phase werden Prozesse und Dokumentationen für Hochrisiko-KI-Systeme aufgebaut: Risikomanagement, technische Dokumentation, Datenverwaltung und menschliche Aufsichtsmechanismen. Empfehlenswert ist die Einführung eines KI-Managementsystems, etwa nach ISO/IEC 42001, das eine strukturierte Grundlage für Governance, Transparenz und kontinuierliche Verbesserung bietet. Schulungsprogramme werden ausgerollt, und der Betriebsrat wird, sofern relevant, in den Prozess eingebunden.

Phase 3: Kontinuierliche Compliance und Innovation (ab 18 Monaten)

Compliance ist kein einmaliges Projekt, sondern ein fortlaufender Prozess. Regelmäßige interne Audits, Aktualisierungen der Dokumentation bei Systemänderungen sowie ein transparentes Change-Management sichern die dauerhafte Konformität. Unternehmen, die eine Kultur des kontinuierlichen Lernens etablieren, sind besser gerüstet, auf neue regulatorische Anforderungen zu reagieren.

Welche Strafen drohen bei Verstößen gegen den EU AI Act?

Verstöße gegen den EU AI Act können mit Bußgeldern von bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist. Die Höhe der Strafe hängt von der Art und Schwere des Verstoßes ab.

Der EU AI Act sieht ein abgestuftes Sanktionssystem vor:

• Bis zu 35 Millionen Euro oder 7 Prozent des Jahresumsatzes: Bei Verstößen gegen verbotene KI-Praktiken, also dem Einsatz von KI-Systemen, die nach Art. 5 ausdrücklich untersagt sind.
• Bis zu 15 Millionen Euro oder 3 Prozent des Jahresumsatzes: Bei Nichteinhaltung der Anforderungen für Hochrisiko-KI-Systeme oder anderer wesentlicher Pflichten der Verordnung.
• Bis zu 7,5 Millionen Euro oder 1,5 Prozent des Jahresumsatzes: Bei der Übermittlung falscher oder irreführender Informationen an Aufsichtsbehörden.

Für kleine und mittelständische Unternehmen sowie Start-ups sieht die Verordnung verhältnismäßige Bußgeldrahmen vor. Dennoch sollten auch kleinere Unternehmen die Compliance ernst nehmen, denn neben finanziellen Sanktionen drohen Reputationsschäden, der Entzug von Marktzulassungen und zivilrechtliche Haftungsansprüche. Frühzeitige Investitionen in KI-Governance und Compliance sind daher wirtschaftlich sinnvoll.

So unterstützt mITSM bei der EU AI Act Umsetzung

Wir bei mITSM bieten praxisnahe Weiterbildungen, die Unternehmen und Fachkräfte gezielt auf die Anforderungen des EU AI Act vorbereiten. Unser Schulungsportfolio deckt alle relevanten Bereiche ab:

• Grundlagen der KI-Anwendung und Risikobewertung für Einsteiger und Verantwortliche
• KI-Compliance-Schulungen zu EU AI Act Pflichten, Rollen und Prozessen
• Ausbildung zum KI-Manager und KI-Compliance Beauftragter mit Zertifizierung über ICO-Cert
• KIMS Auditor Schulungen zum Aufbau eines zertifizierbaren KI-Managementsystems
• Inhouse-Schulungen, die als standardisierte Kursformate direkt bei Ihnen vor Ort stattfinden

Unsere Trainer sind zertifizierte Experten, die ihre Inhalte aus der täglichen Praxis kennen und verständlich vermitteln. Als vom SZ-Institut 2025 ausgezeichneter bester Anbieter im Bereich IT-Sicherheitsweiterbildung stehen wir für Qualität und Praxisrelevanz. Starten Sie jetzt und entdecken Sie unsere Schulungsangebote zu KI-Compliance und EU AI Act.

Dieser Inhalt wurde mithilfe von KI erstellt und kann Fehler enthalten.