EU AI Act Anforderungen: So setzten Unternehmen sie richtig um

Unternehmen, die KI-Systeme entwickeln, vertreiben oder einsetzen, müssen die Anforderungen des EU AI Act erfüllen, wenn ihre Systeme auf dem europäischen Markt aktiv sind. Die Verordnung wird seit August 2024 schrittweise eingeführt und gilt in den meisten Teilen ab 2026 vollständig. In diesem Artikel beantworten wir die wichtigsten Fragen zur Umsetzung: Wer ist betroffen, welche Pflichten gelten und wie kannst du die Compliance strukturiert angehen.

Welche Unternehmen sind vom EU AI Act betroffen?

Der EU AI Act gilt grundsätzlich für alle Unternehmen, die KI-Systeme in der EU entwickeln, bereitstellen oder einsetzen – unabhängig davon, ob sie ihren Sitz innerhalb oder außerhalb der EU haben. Entscheidend ist, wo das KI-System genutzt wird oder wessen Interessen es berührt.

Die Verordnung unterscheidet zwischen verschiedenen Rollen, die ein Unternehmen einnehmen kann:

Anbieter: Unternehmen, die KI-Systeme entwickeln und auf dem Markt bereitstellen, tragen die umfangreichsten Pflichten.
Betreiber: Unternehmen, die KI-Systeme im eigenen Kontext einsetzen, etwa für Personalentscheidungen, Kreditbewertungen oder die Steuerung von Arbeitsprozessen.
Importeure und Händler: Unternehmen, die KI-Systeme aus Drittländern importieren oder weiterverkaufen.

Die Betreiberrolle ist für viele mittelständische und große Unternehmen besonders relevant: Wer ein Hochrisiko-KI-System am Arbeitsplatz einsetzt, unterliegt nach Art. 26 Abs. 7 des EU AI Act spezifischen Informationspflichten gegenüber betroffenen Beschäftigten. Öffentliche und private Einrichtungen, die öffentliche Dienstleistungen erbringen, sind unter bestimmten Umständen außerdem verpflichtet, eine Grundrechte-Folgenabschätzung durchzuführen. Kurz gesagt: Wer KI nutzt, ist vom EU AI Act betroffen – unabhängig von Branche oder Unternehmensgröße.

Wie werden KI-Systeme im EU AI Act klassifiziert?

Der EU AI Act klassifiziert KI-Systeme in vier Risikokategorien: verbotene KI-Praktiken, Hochrisiko-KI-Systeme, Systeme mit begrenztem Risiko (Transparenzrisiko) und Systeme mit minimalem Risiko. Je höher das Risiko, desto strenger die Anforderungen.

Die Einstufung richtet sich nach dem potenziellen Schaden, den ein KI-System für Grundrechte, Sicherheit oder gesellschaftliche Werte verursachen kann:

Verbotene KI-Praktiken: Systeme wie Social Scoring durch Behörden oder manipulative KI, die psychische Schwächen ausnutzt, sind vollständig verboten.
Hochrisiko-KI-Systeme: Systeme in Bereichen wie Human Resources, Kreditvergabe, Bildung, kritische Infrastruktur oder Strafverfolgung. Für diese gelten die umfangreichsten Pflichten.
KI-Systeme mit Transparenzrisiko: Systeme wie Chatbots oder Deepfake-Generatoren, bei denen Nutzerinnen und Nutzer über die KI-Interaktion informiert werden müssen.
KI-Systeme mit minimalem Risiko: Für diese Systeme gelten keine verpflichtenden Zusatzanforderungen, freiwillige Verhaltenskodizes werden jedoch empfohlen.

Wichtig: Unabhängig von der Risikokategorie sind alle Unternehmen verpflichtet, KI-Kompetenz gemäß Art. 4 des EU AI Act sicherzustellen. Das bedeutet, Beschäftigte müssen in die Lage versetzt werden, KI-Systeme angemessen zu verstehen und zu nutzen. Um KI-Kompetenz in deiner Organisation aufzubauen, sind strukturierte Schulungsmaßnahmen ein zentraler Baustein.

Welche konkreten Pflichten gelten für Hochrisiko-KI-Systeme?

Anbieter und Betreiber von Hochrisiko-KI-Systemen müssen eine Vielzahl technischer und organisatorischer Anforderungen erfüllen, darunter Risikomanagement, Datendokumentation, Transparenz, menschliche Aufsicht und die Registrierung in einer EU-Datenbank.

Zu den Pflichten von Anbietern von Hochrisiko-KI-Systemen gehören unter anderem:

Aufbau eines Risikomanagementsystems gemäß Art. 9 des EU AI Act
Sicherstellung von Datenqualität und Data Governance nach Art. 10
Erstellung und Pflege technischer Dokumentation gemäß Art. 11
Transparenz gegenüber Betreibern und nachgelagerten Akteuren nach Art. 13
Menschliche Aufsicht über das KI-System als verbindliche Anforderung
Nachweis von Genauigkeit, Robustheit und Cybersicherheit gemäß Art. 15
Registrierungspflicht in der EU-Datenbank nach Art. 49

Betreiber von Hochrisiko-KI-Systemen tragen zusätzliche Pflichten: Sie müssen sicherstellen, dass das System nur für seinen bestimmungsgemäßen Zweck eingesetzt wird, Beschäftigte entsprechend schulen und – in bestimmten Anwendungsfällen, etwa im Bereich öffentlicher Dienstleistungen – eine Grundrechte-Folgenabschätzung nach Art. 27 durchführen. Setzt ein Arbeitgeber ein Hochrisiko-KI-System am Arbeitsplatz ein, müssen außerdem Informationspflichten gegenüber betroffenen Beschäftigten erfüllt werden. Ein ISO 42001 Audit kann Unternehmen dabei helfen, ihre Prozesse systematisch auf diese Anforderungen auszurichten.

Bis wann müssen Unternehmen den EU AI Act umsetzen?

Der EU AI Act ist am 1. August 2024 in Kraft getreten und wird stufenweise angewendet. Die meisten zentralen Pflichten – insbesondere jene für Hochrisiko-KI-Systeme – gelten ab August 2026 vollumfänglich. Verbotene KI-Praktiken mussten spätestens im Februar 2025 eingestellt werden.

Die wichtigsten Fristen im Überblick:

Februar 2025: Verbote bestimmter KI-Praktiken sind in Kraft getreten.
August 2025: Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck (GPAI) und Governance-Strukturen auf EU-Ebene werden wirksam.
August 2026: Vollständige Anwendung der Anforderungen für Hochrisiko-KI-Systeme und Transparenzpflichten.
August 2027: Verlängerte Übergangsfrist für bestimmte Hochrisiko-KI-Systeme, die bereits vor Inkrafttreten der Verordnung auf dem Markt waren.

Für Unternehmen bedeutet das: Die Zeit zur Vorbereitung ist knapp. Wer noch keine Bestandsaufnahme seiner KI-Systeme gemacht, Verantwortlichkeiten definiert oder Schulungsmaßnahmen eingeleitet hat, sollte jetzt handeln – um Bußgelder und Reputationsschäden zu vermeiden.

Wie funktioniert die praktische Umsetzung des EU AI Act im Unternehmen?

Die praktische Umsetzung des EU AI Act beginnt mit einer systematischen Bestandsaufnahme aller eingesetzten KI-Systeme, gefolgt von der Risikoeinstufung, der Zuweisung von Verantwortlichkeiten, dem Aufbau eines KI-Managementsystems und der gezielten Schulung von Beschäftigten.

Ein bewährter Ansatz gliedert sich in drei Phasen:

Phase 1: Orientierung und Bestandsaufnahme (0 bis 6 Monate)

Im ersten Schritt werden alle im Unternehmen genutzten oder geplanten KI-Systeme erfasst und anhand der Risikokategorien des EU AI Act eingestuft. Gleichzeitig sollten Rollen und Verantwortlichkeiten definiert werden – etwa durch die Benennung eines KI-Compliance-Officers. Eine Kompetenzlückenanalyse hilft dabei, den Schulungsbedarf der Belegschaft zu ermitteln.

Phase 2: Strukturen aufbauen und skalieren (6 bis 18 Monate)

In dieser Phase werden Prozesse und Dokumentationen für Hochrisiko-KI-Systeme etabliert: Risikomanagement, technische Dokumentation, Data Governance und Mechanismen zur menschlichen Aufsicht. Es empfiehlt sich, ein KI-Managementsystem einzuführen – beispielsweise auf Basis von ISO/IEC 42001 –, das eine strukturierte Grundlage für Governance, Transparenz und kontinuierliche Verbesserung bietet. Schulungsprogramme werden ausgerollt und der Betriebsrat wird, sofern relevant, in den Prozess eingebunden.

Phase 3: Laufende Compliance und Innovation (ab 18 Monate)

Compliance ist kein einmaliges Projekt, sondern ein fortlaufender Prozess. Regelmäßige interne Audits, die Aktualisierung von Dokumentationen bei Systemänderungen und ein transparentes Change Management sorgen für dauerhafte Konformität. Unternehmen, die eine Kultur des kontinuierlichen Lernens etablieren, sind besser aufgestellt, um auf neue regulatorische Anforderungen zu reagieren.

Welche Strafen drohen bei Verstößen gegen den EU AI Act?

Verstöße gegen den EU AI Act können mit Bußgeldern von bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes geahndet werden – je nachdem, welcher Betrag höher ist. Die Höhe der Strafe richtet sich nach Art und Schwere des Verstoßes.

Der EU AI Act sieht ein abgestuftes Sanktionssystem vor:

Bis zu 35 Millionen Euro oder 7 Prozent des Jahresumsatzes: Bei Verstößen gegen verbotene KI-Praktiken – also dem Einsatz von KI-Systemen, die nach Art. 5 ausdrücklich verboten sind.
Bis zu 15 Millionen Euro oder 3 Prozent des Jahresumsatzes: Bei Nichteinhaltung der Anforderungen für Hochrisiko-KI-Systeme oder anderer wesentlicher Pflichten der Verordnung.
Bis zu 7,5 Millionen Euro oder 1,5 Prozent des Jahresumsatzes: Bei der Übermittlung falscher oder irreführender Informationen an Aufsichtsbehörden.

Für kleine und mittlere Unternehmen sowie Start-ups sieht die Verordnung verhältnismäßige Bußgeldrahmen vor. Dennoch sollten auch kleinere Unternehmen Compliance ernst nehmen – denn neben finanziellen Sanktionen stehen auch Reputationsschäden, der Entzug des Marktzugangs und zivilrechtliche Haftungsansprüche auf dem Spiel. Frühzeitige Investitionen in KI-Governance und Compliance sind daher wirtschaftlich sinnvoll.

Wie unterstützt dich mITSM bei der Umsetzung des EU AI Act?

Wir bei mITSM bieten praxisnahe Schulungsprogramme an, die Unternehmen und Fachkräfte gezielt auf die Anforderungen des EU AI Act vorbereiten. Unser Schulungsportfolio deckt alle relevanten Bereiche ab:

Grundlagen der KI-Anwendung und Risikobewertung für Einsteiger und Verantwortliche
KI-Compliance-Training zu Pflichten, Rollen und Prozessen des EU AI Act
Ausbildung zum KI-Manager und KI-Compliance-Officer mit Zertifizierung über ICO-Cert
KIMS-Auditorenschulung zum Aufbau eines zertifizierbaren KI-Managementsystems
Inhouse-Schulungen als standardisierte Kursformate direkt an deinem Standort

Unsere Trainer sind zertifizierte Expertinnen und Experten, die auf ihre tägliche Praxiserfahrung zurückgreifen und ihre Inhalte verständlich vermitteln. Als ausgezeichneter bester Anbieter im Bereich IT-Sicherheitsschulungen durch das SZ-Institut im Jahr 2025 stehen wir für Qualität und Praxisrelevanz. Starte jetzt und entdecke unser Schulungsangebot zu KI-Compliance und dem EU AI Act.

Dieser Inhalt wurde mithilfe von KI erstellt und kann Fehler enthalten.