Der EU AI Act verpflichtet Unternehmen, die KI-Systeme entwickeln oder einsetzen, zur Einhaltung konkreter Anforderungen an Transparenz, Risikomanagement und Dokumentation. Die Verordnung gilt seit August 2024 und wird schrittweise verbindlich, wobei die meisten Kernpflichten ab 2026 vollständig greifen. Dieser Artikel beantwortet die wichtigsten Fragen zu Betroffenheit, Risikoklassen, konkreten Pflichten und dem Weg zur Compliance.
Der EU AI Act betrifft grundsätzlich alle Unternehmen, die KI-Systeme in der EU entwickeln, vertreiben oder einsetzen, unabhängig von ihrer Größe oder Branche. Auch Unternehmen außerhalb der EU fallen unter die Verordnung, wenn ihre KI-Systeme innerhalb der EU genutzt werden oder deren Ausgaben in der EU Wirkung entfalten.
Die Verordnung unterscheidet zwischen verschiedenen Rollen: Anbieter entwickeln oder vermarkten KI-Systeme, Betreiber setzen diese in ihrem Geschäftsbetrieb ein. Beide Gruppen tragen Pflichten, wobei Anbieter in der Regel umfangreichere Anforderungen erfüllen müssen. Selbst Unternehmen, die ausschließlich kommerzielle KI-Tools von Drittanbietern nutzen, sind als Betreiber betroffen und müssen bestimmte Sorgfaltspflichten einhalten.
Besonders relevant ist die Verordnung für Unternehmen, die KI in sensiblen Bereichen einsetzen: Personalentscheidungen, Kreditvergabe, medizinische Diagnostik, kritische Infrastruktur oder Strafverfolgung. Wer KI-Systeme am Arbeitsplatz einsetzt, hat nach Artikel 26 Absatz 7 zudem Informationspflichten gegenüber der Arbeitnehmervertretung zu erfüllen.
Der EU AI Act teilt KI-Systeme in vier Risikoklassen ein: verbotene KI-Praktiken, Hochrisiko-KI-Systeme, KI-Systeme mit begrenztem Risiko und KI-Systeme mit minimalem Risiko. Die Einstufung bestimmt, welche Pflichten ein Unternehmen erfüllen muss.
Die strengste Kategorie umfasst KI-Anwendungen, die vollständig verboten sind. Dazu zählen Systeme zur unterschwelligen Beeinflussung von Personen, Social Scoring durch staatliche Stellen sowie bestimmte Formen der biometrischen Echtzeit-Fernidentifizierung im öffentlichen Raum. Diese Verbote gelten seit Februar 2025.
Hochrisiko-Systeme werden in Anhang III der Verordnung aufgelistet und umfassen unter anderem KI in der Personalverwaltung, im Bildungswesen, in der Strafverfolgung und im Gesundheitswesen. Für diese Systeme gelten die umfangreichsten Compliance-Anforderungen.
KI-Systeme mit begrenztem Risiko, etwa Chatbots, unterliegen vor allem Transparenzpflichten: Nutzer müssen wissen, dass sie mit einer KI interagieren. KI-Systeme mit minimalem Risiko, wie einfache Spam-Filter, unterliegen keinen verpflichtenden Zusatzanforderungen. Freiwillig können Unternehmen jedoch einen Verhaltenskodex nach Artikel 95 der KI-Verordnung aufstellen.
Betreiber von Hochrisiko-KI-Systemen müssen nach Artikel 26 der KI-Verordnung eine Reihe verbindlicher Anforderungen erfüllen: Sie müssen das System gemäß der Betriebsanleitung des Anbieters einsetzen, menschliche Überwachungsmechanismen implementieren und schwerwiegende Vorfälle den zuständigen Behörden melden.
Die wichtigsten Betreiberpflichten im Überblick:
Für alle Unternehmen, unabhängig von der Risikoklasse, gilt zudem die Pflicht zur Sicherstellung von KI-Kompetenz nach Artikel 4 der KI-Verordnung. Das bedeutet: Mitarbeitende, die mit KI-Systemen arbeiten, müssen über ein ausreichendes Verständnis der eingesetzten Technologie verfügen. Diese Anforderung gilt seit dem 2. August 2025.
Der EU AI Act sieht gestaffelte Bußgelder vor, die sich an der Schwere des Verstoßes und der Unternehmensgröße orientieren. Bei Verstößen gegen die Verbote besonders gefährlicher KI-Praktiken drohen Bußgelder von bis zu 35 Millionen Euro oder sieben Prozent des weltweiten Jahresumsatzes.
Verstöße gegen andere Anforderungen, etwa bei Hochrisiko-Systemen oder Transparenzpflichten, können mit bis zu 15 Millionen Euro oder drei Prozent des Jahresumsatzes geahndet werden. Für die Übermittlung falscher Informationen an Behörden sind Bußgelder von bis zu 7,5 Millionen Euro oder 1,5 Prozent des Umsatzes vorgesehen. Für kleine und mittlere Unternehmen gelten jeweils die niedrigeren der beiden Beträge.
Neben Bußgeldern können Behörden auch den Marktzugang für nicht konforme KI-Systeme einschränken oder den Rückruf von Produkten anordnen. Das EU AI Office überwacht die Einhaltung der Verordnung auf europäischer Ebene, während nationale Behörden für die Durchsetzung in den Mitgliedstaaten zuständig sind.
Der EU AI Act trat am 1. August 2024 in Kraft und wird in Phasen verbindlich. Die Verbote für inakzeptable KI-Risiken galten ab Februar 2025, die Pflichten für Hochrisiko-Systeme und allgemeine KI-Modelle sind seit August 2025 anwendbar. Für bestimmte Hochrisiko-Systeme in bestehenden Produkten gilt eine verlängerte Übergangsfrist bis August 2027.
2026 stehen Unternehmen damit mitten in der Umsetzungsphase: Die KI-Kompetenzpflicht nach Artikel 4, die Transparenzanforderungen für Systeme mit begrenztem Risiko und die Betreiberpflichten für Hochrisiko-KI-Systeme sind bereits vollständig wirksam. Unternehmen, die noch keine Bestandsaufnahme ihrer KI-Systeme vorgenommen haben, sollten dies umgehend nachholen, um Compliance-Lücken zu schließen und ISO 42001 Anforderungen frühzeitig zu berücksichtigen.
EU AI Act Compliance beginnt mit einer systematischen Bestandsaufnahme aller im Unternehmen eingesetzten KI-Systeme und deren Einstufung in die entsprechenden Risikoklassen. Darauf aufbauend werden die jeweils geltenden Pflichten identifiziert und in konkrete Maßnahmen übersetzt.
Ein bewährter Ansatz umfasst folgende Schritte:
Wer ein strukturiertes KI-Managementsystem aufbauen möchte, kann sich an der ISO 42001 orientieren. Der internationale Standard bietet einen anerkannten Rahmen für verantwortungsvolles KI-Management und ergänzt die Anforderungen des EU AI Acts um eine prozessorientierte Perspektive.
Wir bei mITSM bieten praxisnahe Schulungen und Zertifizierungen, die Fach- und Führungskräfte gezielt auf die Anforderungen des EU AI Acts vorbereiten. Unsere Trainer sind zertifizierte Experten mit direkter Praxiserfahrung, die komplexe regulatorische Inhalte verständlich vermitteln.
Unser Angebot im Überblick:
Ob Sie als Unternehmen die KI-Kompetenzpflicht nach Artikel 4 erfüllen oder Ihre Mitarbeitenden systematisch auf den Umgang mit Hochrisiko-Systemen vorbereiten möchten: Entdecken Sie jetzt unser Schulungsangebot und sprechen Sie uns an. Wir begleiten Sie auf dem Weg zu rechtssicherer KI-Nutzung.
Dieser Inhalt wurde mithilfe von KI erstellt und kann Fehler enthalten.