Der EU AI Act betrifft nicht nur Unternehmen, die eigene KI-Modelle entwickeln. Auch Organisationen, die KI-Systeme einsetzen, müssen wissen, welche Anwendungen vorhanden sind, wofür sie genutzt werden und welche Rolle das Unternehmen dabei einnimmt. Dieser Beitrag bietet eine technische und organisatorische Orientierung, ersetzt aber keine Rechtsberatung.
Nicht jede KI-Anwendung hat dieselben Pflichten.
Die europäische KI-Verordnung arbeitet risikobasiert. Bestimmte Praktiken sind verboten, für Hochrisiko-Systeme gelten umfangreiche Anforderungen und für manche Systeme bestehen Transparenzpflichten. Viele alltägliche Assistenzfunktionen fallen nicht automatisch in die höchste Risikoklasse. Entscheidend sind Zweck, Einsatzkontext und mögliche Folgen.
Pflichten zu verbotenen Praktiken und KI-Kompetenz gelten bereits seit dem 2. Februar 2025. Weitere Regelungen greifen gestaffelt. Unternehmen sollten deshalb nicht auf eine letzte Frist warten, sondern ihren Bestand und ihre Zuständigkeiten jetzt ordnen.
Am Anfang steht ein vollständiger KI-Bestand.
Zur Übersicht gehören nicht nur bekannte Chatbots. KI kann in Bürosoftware, Bewerberverwaltung, Kundenservice, Analyse, Übersetzung, Sicherheitssystemen oder Fachanwendungen stecken. Für jede Anwendung sollten Anbieter, Zweck, Nutzergruppe, verarbeitete Daten, Ergebnis und verantwortliche Stelle festgehalten werden.
Auch Testkonten und eigenständig eingeführte Werkzeuge gehören in die Bestandsaufnahme. Erst danach lässt sich beurteilen, welche Anwendungen unkritisch, erklärungsbedürftig oder besonders prüfungsintensiv sind.
Risiko entsteht aus Aufgabe und Wirkung.
Ein Werkzeug zur Umformulierung öffentlicher Texte ist anders zu bewerten als ein System, das Bewerbungen vorsortiert oder Leistungen von Mitarbeitenden bewertet. Relevante Fragen sind: Beeinflusst das Ergebnis Rechte oder wichtige Entscheidungen? Können Menschen widersprechen? Werden sensible Daten verarbeitet? Ist eine verantwortliche Kontrolle realistisch?
Datenschutz und AI Act werden gemeinsam betrachtet, sind aber nicht dasselbe. Eine datenschutzkonforme Verarbeitung allein erfüllt nicht automatisch alle Anforderungen der KI-Verordnung.
Fünf sinnvolle Schritte für Unternehmen.
- KI-Anwendungen und versteckte KI-Funktionen erfassen
- Zweck, Daten, Anbieter und betroffene Personen dokumentieren
- mögliche Risikoklasse und eigene Rolle vorläufig einordnen
- Zuständigkeiten, Freigaben und menschliche Kontrolle festlegen
- KI-Kompetenz anhand der tatsächlich eingesetzten Systeme aufbauen
Bei rechtlich oder personell folgenreichen Anwendungen sollte die Einordnung zusätzlich fachjuristisch geprüft werden.
Häufige Fragen zum EU AI Act.
Gilt der AI Act auch für kleine Unternehmen?
Die Unternehmensgröße allein schließt Pflichten nicht aus. Entscheidend sind Rolle, System und Einsatz. Für KMU bestehen an verschiedenen Stellen Unterstützungs- und Verhältnismäßigkeitsansätze.
Ist ChatGPT automatisch ein Hochrisiko-System?
Nein. Maßgeblich ist der konkrete Einsatz. Derselbe technische Dienst kann für harmlose Entwürfe oder in einem sensiblen Entscheidungsprozess verwendet werden.
Was bedeutet KI-Kompetenz?
Personen, die KI-Systeme betreiben oder nutzen, sollen über Wissen und Fähigkeiten verfügen, die zu Aufgabe, Risiko und Nutzungskontext passen.