Der EU AI Act verständlich erklärt

Der EU AI Act in einem Satz

Der EU AI Act ist eine EU-Verordnung, die künstliche Intelligenz nicht nach Technologie, sondern nach Risiko reguliert: Je größer der mögliche Schaden für Menschen, desto strenger die Pflichten – von völligem Verbot über umfangreiche Nachweise bis hin zu gar keinen zusätzlichen Auflagen.

Er gilt seit August 2024 und wird stufenweise wirksam. Weil es eine Verordnung ist und keine Richtlinie, gilt sie unmittelbar in allen Mitgliedstaaten – niemand muss auf ein deutsches Umsetzungsgesetz warten. Betroffen bist du auch dann, wenn dein Unternehmen außerhalb der EU sitzt, die Ergebnisse deines KI-Systems aber in der EU genutzt werden.

> Hinweis: Dieser Artikel ist eine Orientierung, keine Rechtsberatung. Für die Bewertung eines konkreten Systems in deinem Unternehmen brauchst du juristische Prüfung – die Einordnung im Einzelfall hängt an Details, die ein Überblicksartikel nicht abbilden kann.

Die vier Risikoklassen

Das ganze Gesetz hängt an einer einzigen Frage: Was kann schiefgehen, wenn dieses System versagt? Daraus ergeben sich vier Stufen.

Die praktisch wichtigste Erkenntnis für die meisten Unternehmen: Der Großteil des Arbeitsalltags fällt in die unteren beiden Stufen. Wer mit einem KI-Assistenten Texte entwirft, Meetings zusammenfasst oder Kampagnen auswertet, betreibt kein Hochrisiko-System. Die schweren Pflichten treffen dich dort, wo KI über den Zugang von Menschen zu Arbeit, Geld, Bildung oder Gesundheit mitentscheidet.

Allzweck-KI: eine eigene Kategorie

Große Sprachmodelle passen nicht ins Risikoraster, weil sie für alles Mögliche einsetzbar sind. Deshalb behandelt der AI Act sie separat als General Purpose AI (GPAI). Die Anbieter solcher Modelle – also OpenAI, Google, Anthropic, Mistral und Co. – müssen technische Dokumentation bereitstellen, Informationen für nachgelagerte Anbieter liefern, das EU-Urheberrecht respektieren und eine Zusammenfassung der Trainingsdaten veröffentlichen. Für besonders leistungsstarke Modelle mit systemischem Risiko kommen Modellbewertungen, Vorfallmeldungen und Cybersicherheitsauflagen hinzu.

Für dich als Nutzer ist das vor allem eine gute Nachricht: Diese Pflichten liegen beim Modellanbieter, nicht bei dir. Relevant wird es erst, wenn du ein fremdes Modell so weit anpasst oder unter eigenem Namen anbietest, dass du selbst zum Anbieter wirst. Was diese Modelle technisch sind und wie sie funktionieren, erklärt der Artikel Wie funktioniert KI?.

Deine Rolle entscheidet über deine Pflichten

Der AI Act unterscheidet konsequent nach Rollen. Dieselbe Software kann für zwei Unternehmen völlig unterschiedliche Konsequenzen haben.

• Anbieter (Provider): Du entwickelst ein KI-System oder bringst es unter deinem Namen oder deiner Marke auf den Markt. Hier liegt die Hauptlast der Pflichten.
• Betreiber (Deployer): Du nutzt ein KI-System beruflich. Deine Pflichten sind deutlich schlanker – dazu gehören aber Nutzung gemäß Anleitung, menschliche Aufsicht bei Hochrisiko-Systemen und Information der betroffenen Personen.
• Importeur und Händler: Du bringst Systeme aus Drittstaaten in die EU oder gibst sie weiter und musst prüfen, ob die Konformitätsanforderungen erfüllt sind.

Vorsicht bei der Rollengrenze: Aus einem Betreiber wird schnell ein Anbieter. Wer ein Hochrisiko-System unter eigenem Namen weitergibt, seinen Zweck wesentlich verändert oder ein Modell substanziell umtrainiert, übernimmt die Anbieterpflichten. Wer einen eigenen Assistenten baut und intern ausrollt, sollte diese Grenze bewusst prüfen – das gilt auch für selbstgebaute Systeme, wie sie unter KI-Agenten erstellen beschrieben sind.

Der Zeitplan

Die Verordnung ist im August 2024 in Kraft getreten, wirkt aber gestaffelt.

Auf EU-Ebene wird seit Ende 2025 über Vereinfachungen und mögliche Fristverschiebungen bei Teilen der Hochrisiko-Regeln diskutiert. Wenn du ein konkretes Vorhaben bewertest, prüfe deshalb immer den tagesaktuellen Stand – die Grundlogik aus Risikoklassen und Rollen bleibt davon unberührt, einzelne Termine können sich verschieben.

Was das für kleine und mittlere Unternehmen bedeutet

Die verbreitete Sorge lautet: „Wir dürfen jetzt keine KI mehr einsetzen.“ Realistisch ist das Gegenteil – für die meisten KMU bleibt der Aufwand überschaubar, wenn vier Dinge geklärt sind.

1. Verschaff dir einen Überblick. Liste auf, welche KI-Systeme im Unternehmen tatsächlich im Einsatz sind – inklusive der Tools, die einzelne Teams ohne Freigabe eingeführt haben. Ohne dieses Inventar lässt sich nichts einordnen.

2. Ordne jedes System einer Risikoklasse zu. In den meisten Fällen landest du bei minimalem oder begrenztem Risiko. Genau eine Kategorie verdient dabei besondere Aufmerksamkeit: alles, was mit Bewerbungen, Leistungsbeurteilung oder Personalentscheidungen zu tun hat. Das ist ausdrücklich Hochrisiko.

3. Kläre die Kennzeichnung. Wenn Kundinnen und Kunden mit einem Chatbot sprechen, müssen sie das wissen. KI-generierte Bilder und Videos müssen als solche erkennbar sein. Für Marketing-Teams ist das die praktisch relevanteste Pflicht überhaupt.

4. Sorge für KI-Kompetenz. Artikel 4 verlangt, dass alle Beschäftigten, die mit KI arbeiten, ein ausreichendes Verständnis dafür mitbringen. Diese Pflicht gilt bereits und betrifft praktisch jedes Unternehmen mit KI-Einsatz – Details dazu findest du unter Schulungspflicht nach Art. 4 EU AI Act.

Ein sinnvoller nächster Schritt ist eine schriftliche interne Regelung, die Zuständigkeiten, erlaubte Tools und Freigabeprozesse festhält. Wie so ein Dokument aufgebaut wird, zeigt KI-Richtlinie fürs Unternehmen.

Bußgelder: der Rahmen

Die Sanktionen sind gestaffelt und orientieren sich am jeweils höheren Wert aus Festbetrag oder Umsatzanteil:

• Verbotene Praktiken: bis 35 Mio. Euro oder 7 % des weltweiten Jahresumsatzes
• Verstöße gegen die meisten anderen Pflichten: bis 15 Mio. Euro oder 3 %
• Falsche oder irreführende Angaben gegenüber Behörden: bis 7,5 Mio. Euro oder 1 %

Für kleine und mittlere Unternehmen gilt jeweils der niedrigere der beiden Werte – die Obergrenzen sind auf Konzerne zugeschnitten, nicht auf den Mittelstand. Wichtiger als die Schreckzahl ist die Botschaft dahinter: Die härtesten Sanktionen treffen die verbotenen Praktiken, nicht Dokumentationslücken.

AI Act und DSGVO: zwei Gesetze, ein Projekt

Der AI Act ersetzt den Datenschutz nicht, er kommt hinzu. Beide greifen unabhängig voneinander: Ein KI-System kann AI-Act-konform und trotzdem datenschutzwidrig sein – etwa wenn personenbezogene Daten ohne Rechtsgrundlage in ein US-Modell fließen. Was der Datenschutz zusätzlich verlangt, behandelt der Artikel KI und Datenschutz. Praktisch lohnt es sich, beide Themen in einem Projekt zu bearbeiten, weil Systeminventar, Rollenklärung und Dokumentation ohnehin doppelt gebraucht werden.

Fazit

Der EU AI Act ist deutlich weniger dramatisch, als seine Berichterstattung nahelegt – aber er ist auch nichts, was man aussitzen kann. Die Logik ist einfach: Risiko einschätzen, Rolle klären, Pflichten ableiten. Für die meisten Unternehmen bedeutet das ein Systeminventar, eine ehrliche Einordnung, Transparenz bei KI-Inhalten und geschulte Mitarbeitende. Wer diese vier Punkte erledigt hat, steht solide da – und kann KI weiter einsetzen, statt sie aus Unsicherheit zu verbieten.