EU AI Act und KI-Kompetenz: Was Unternehmen wissen müssen

Der EU AI Act ist das erste umfassende Gesetz zur Regulierung künstlicher Intelligenz. Seit August 2024 ist er in Kraft, und seit Februar 2025 gelten die ersten Pflichten auch für Unternehmen, die KI lediglich nutzen. Trotzdem wissen viele Geschäftsführer in kleinen und mittleren Unternehmen nicht, ob und wie sie betroffen sind. Die Bandbreite reicht von “betrifft uns nicht, wir bauen ja keine KI” bis zu “wir dürfen ChatGPT nicht mehr benutzen”. Beides ist falsch.

Dieser Artikel ordnet den EU AI Act für Unternehmen ein, die Claude oder vergleichbare Werkzeuge für Texte, Kundenservice und Recherche nutzen. Sie erfahren, welche Fristen gelten, wie die Risikoklassen funktionieren, welche Pflichten Sie praktisch treffen und welche eher nicht, und wie Sie die geforderte KI-Kompetenz nachweisen. Am Ende steht ein Umsetzungsplan als Tabelle.

Wie bei allen Rechtsthemen auf dieser Website gilt: Das ist keine Rechtsberatung. Die Verordnung ist umfangreich, die Auslegung entwickelt sich, und die EU hat 2025 und 2026 Anpassungen am Zeitplan diskutiert. Prüfen Sie den aktuellen Stand und lassen Sie Ihre konkrete Situation von einer Rechtsberatung bewerten.

Was der EU AI Act regelt

Der EU AI Act, formal die Verordnung (EU) 2024/1689, regelt die Entwicklung, das Inverkehrbringen und die Nutzung von KI-Systemen in der Europäischen Union. Als Verordnung gilt er unmittelbar in allen Mitgliedstaaten, ohne dass ein nationales Gesetz nötig ist. Er betrifft Anbieter, also die Unternehmen, die KI-Systeme entwickeln oder unter eigenem Namen vertreiben, und Betreiber, also die Unternehmen, die KI-Systeme in eigener Verantwortung nutzen.

Der Kern der Verordnung ist ein risikobasierter Ansatz: Je größer das Risiko, das von einem KI-System für Gesundheit, Sicherheit oder Grundrechte ausgeht, desto strenger die Pflichten. Für die meisten Anwendungen in KMU sind die Pflichten überschaubar. Für einige wenige Anwendungen, etwa im Personalwesen oder bei der Kreditvergabe, sind sie erheblich.

Für Unternehmen, die Claude nutzen, ist die Rollenverteilung klar: Anthropic ist Anbieter des Modells, Ihr Unternehmen ist Betreiber des Systems, das Sie damit einsetzen. Wer allerdings ein eigenes Produkt auf Basis von Claude baut und unter eigenem Namen an Kunden vertreibt, kann selbst zum Anbieter werden. Diese Abgrenzung sollten Sie prüfen lassen, bevor Sie ein KI-Produkt auf den Markt bringen.

Zeitplan: Welche Pflichten seit wann gelten

Die Verordnung tritt gestaffelt in Kraft. Der Stand, wie er im Gesetz steht:

Datum	Was gilt
1. August 2024	Verordnung in Kraft getreten
2. Februar 2025	Verbotene Praktiken (Art. 5) und Pflicht zur KI-Kompetenz (Art. 4) gelten
2. August 2025	Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck (GPAI), Governance-Strukturen, Sanktionen
ab 2026	Weitere Pflichten, insbesondere Transparenzpflichten und der Großteil der Regeln für Hochrisiko-Systeme
ab 2027	Hochrisiko-Systeme, die als Sicherheitskomponente in bereits regulierten Produkten stecken

Wichtig: Die EU-Kommission hat 2025 und 2026 Vorschläge diskutiert, einzelne Fristen zu verschieben, insbesondere für Hochrisiko-Systeme, weil harmonisierte Normen und Leitlinien nicht rechtzeitig fertig waren. Ob und in welchem Umfang das umgesetzt wurde, sollten Sie zum Zeitpunkt Ihrer Planung prüfen. Die beiden Termine, die für KMU als Nutzer am wichtigsten sind, das Verbot bestimmter Praktiken und die Pflicht zur KI-Kompetenz, gelten seit Februar 2025 und sind von diesen Diskussionen nicht betroffen.

Die vier Risikoklassen

Der EU AI Act teilt KI-Systeme nach ihrem Risiko in Klassen ein. Jede Klasse zieht andere Pflichten nach sich.

Verbotene Praktiken

Einige Anwendungen sind vollständig verboten. Dazu gehören unter anderem Systeme zur unterschwelligen Manipulation, die Ausnutzung der Schwächen bestimmter Personengruppen, Social Scoring durch Behörden und die Erkennung von Emotionen am Arbeitsplatz, mit engen Ausnahmen. Für ein KMU, das Claude für Texte und Service nutzt, sind diese Verbote selten relevant, aber sie ziehen eine klare Grenze: Ein System, das die Stimmung von Mitarbeitenden aus ihren E-Mails oder Anrufen bewertet, wäre ein Problem.

Hochrisiko-Systeme

Hochrisiko-Systeme sind in Anhang III der Verordnung aufgelistet. Für Unternehmen relevant sind vor allem: Systeme zur Auswahl und Bewertung von Bewerbern, zur Entscheidung über Beförderung oder Kündigung, zur Zuweisung von Aufgaben auf Basis von Verhaltensanalysen, zur Bewertung der Kreditwürdigkeit natürlicher Personen und zur Risikobewertung bei Versicherungen. Solche Systeme dürfen betrieben werden, unterliegen aber umfangreichen Pflichten: Risikomanagement, Dokumentation, menschliche Aufsicht, Protokollierung, Registrierung und mehr.

Systeme mit Transparenzpflichten

Für bestimmte Systeme gelten Transparenzpflichten, unabhängig von der Risikoklasse. Wer ein KI-System einsetzt, das direkt mit Menschen interagiert, muss diese darüber informieren, sofern es nicht offensichtlich ist. Wer KI-generierte Inhalte wie Deepfakes oder Texte zu Themen von öffentlichem Interesse veröffentlicht, muss das unter bestimmten Umständen kennzeichnen. Anbieter müssen KI-generierte Inhalte maschinenlesbar markieren.

Minimales Risiko

Alles, was in keine der oberen Klassen fällt, unterliegt keinen besonderen Pflichten aus dem AI Act, mit Ausnahme der allgemeinen Pflicht zur KI-Kompetenz. Hierunter fällt der Großteil dessen, was KMU mit Claude tun: Texte entwerfen, zusammenfassen, übersetzen, recherchieren, Daten strukturieren, interne Prozesse unterstützen.

Was für ein KMU mit Claude praktisch relevant ist

Nehmen wir ein typisches Beispiel: Ein Unternehmen mit 60 Mitarbeitenden nutzt Claude über einen Team-Plan. Das Marketing schreibt Texte, der Vertrieb fasst Kundengespräche zusammen, der Kundenservice erstellt Antwortentwürfe, die Geschäftsführung lässt Berichte analysieren. Was folgt daraus?

Artikel 4: KI-Kompetenz

Das ist die Pflicht, die dieses Unternehmen mit Sicherheit trifft. Artikel 4 verlangt, dass Anbieter und Betreiber Maßnahmen ergreifen, damit ihr Personal und andere Personen, die in ihrem Auftrag mit KI-Systemen umgehen, über ausreichende KI-Kompetenz verfügen. Berücksichtigt werden sollen dabei die technischen Kenntnisse, die Erfahrung, die Ausbildung und der Kontext, in dem die Systeme eingesetzt werden, sowie die Personen, die davon betroffen sind.

Der Artikel definiert weder Inhalte noch Umfang noch Form. Er ist eine Sorgfaltspflicht, kein Prüfungskatalog. Eine unmittelbare Sanktion allein für Verstöße gegen Artikel 4 sieht die Verordnung nicht vor, aber fehlende Kompetenz kann bei anderen Verstößen, bei Schadensfällen und bei arbeitsrechtlichen Fragen erheblich ins Gewicht fallen. Wie die Pflicht praktisch erfüllt wird, folgt weiter unten.

Transparenz

Wenn das Unternehmen einen Chatbot auf der Website betreibt, in dem Kunden mit Claude interagieren, müssen die Kunden erfahren, dass sie mit einem KI-System kommunizieren. Wenn Mitarbeitende mit Claude Entwürfe erstellen, die sie prüfen und unter eigenem Namen versenden, ist das anders zu bewerten; hier interagiert der Kunde mit einem Menschen. Wo genau die Grenze verläuft, etwa bei weitgehend automatisierten Antworten mit minimaler Prüfung, ist eine Frage, die mit der Rechtsberatung geklärt werden sollte.

Verbotene Praktiken

Das Unternehmen sollte sicherstellen, dass niemand Claude für etwas einsetzt, das unter die Verbote fällt. In der Praxis heißt das: keine Emotionserkennung bei Mitarbeitenden, keine Manipulation von Kunden. Ein Satz in der KI-Richtlinie reicht dafür meist aus.

Dokumentation

Der AI Act verlangt für minimales Risiko keine formelle Dokumentation. Trotzdem ist es sinnvoll, festzuhalten, welche KI-Systeme für welche Zwecke eingesetzt werden. Das erleichtert die Einordnung, wenn neue Anwendungen dazukommen, und überschneidet sich mit dem Verzeichnis der Verarbeitungstätigkeiten aus der DSGVO. Die Wechselwirkungen zwischen beiden Regelwerken beschreibt der Beitrag zu Claude, Datenschutz und DSGVO.

Was für die meisten KMU nicht relevant ist

Die Hochrisiko-Pflichten sind der Teil des AI Act, der die meisten Schlagzeilen und die meiste Sorge erzeugt. Für ein KMU, das Claude für Texte, Service und Recherche nutzt, greifen sie in der Regel nicht. Ein Sprachmodell, das E-Mails zusammenfasst, ist kein Hochrisiko-System.

Kritisch wird es dort, wo KI über Menschen entscheidet oder Entscheidungen maßgeblich vorbereitet. Drei Beispiele, die in der Praxis vorkommen und die Sie vermeiden oder rechtlich prüfen lassen sollten:

• Claude bewertet Bewerbungen und erstellt eine Rangliste, nach der eingeladen wird. Das fällt in den Bereich Beschäftigung in Anhang III.
• Claude analysiert die Leistung von Mitarbeitenden anhand ihrer Kommunikation und schlägt Maßnahmen vor. Ebenfalls Anhang III, dazu mit Nähe zu verbotenen Praktiken.
• Claude entscheidet über die Vergabe von Zahlungszielen an Privatkunden auf Basis persönlicher Daten. Nähe zur Kreditwürdigkeitsprüfung.

In allen drei Fällen ist nicht das Werkzeug das Problem, sondern der Einsatzzweck. Eine Zusammenfassung von Bewerbungsunterlagen ohne Bewertung ist etwas anderes als eine automatisierte Vorauswahl. Die Grenze ist manchmal fein, und wenn Sie sich in diesen Bereichen bewegen, ist eine rechtliche Einordnung vor dem Einsatz nötig.

KI-Kompetenz praktisch nachweisen

Weil Artikel 4 keine Form vorschreibt, müssen Unternehmen selbst entscheiden, wie sie die Pflicht erfüllen und dokumentieren. Drei Bausteine haben sich in der Praxis bewährt, und zusammen ergeben sie einen nachvollziehbaren Nachweis.

Schulung

Der zentrale Baustein. Mitarbeitende, die KI-Systeme nutzen, werden geschult: Funktionsweise und Grenzen der Werkzeuge, Prompting, Prüfen von Ergebnissen, Datenschutz, interne Regeln. Die Tiefe richtet sich nach der Rolle: Wer täglich Kundenkommunikation mit Claude erstellt, braucht mehr als wer gelegentlich einen Text zusammenfassen lässt. Die Schulung wird dokumentiert mit Datum, Teilnehmern, Inhalten und Dauer. Wie so eine KI-Schulung aufgebaut sein sollte und welche Fehler Sie vermeiden, beschreibt der Beitrag zu KI-Schulungen für Mitarbeiter im Detail.

Richtlinie

Eine interne KI-Richtlinie legt fest, welche Werkzeuge erlaubt sind, welche Daten eingegeben werden dürfen, dass Ergebnisse geprüft werden müssen, welche Anwendungen verboten sind und an wen sich Mitarbeitende wenden. Sie ist Teil der KI-Governance und wird in der Schulung vermittelt. Ihre Existenz und ihre Bekanntgabe belegen, dass das Unternehmen sich mit dem Thema befasst hat.

Dokumentation

Ein kurzes Register der eingesetzten KI-Systeme mit Zweck, Risikoeinordnung, Verantwortlichem und Datum der letzten Prüfung. Dazu die Schulungsnachweise und die Richtlinie. Bei Nachfragen einer Behörde, eines Kunden oder im Streitfall kann das Unternehmen damit zeigen, dass es seine Sorgfaltspflicht wahrgenommen hat.

Ein Beispiel, wie ein Eintrag in so einem Register aussehen kann:

System: Claude (Anthropic), Team-Plan
Zweck: Textentwürfe, Zusammenfassungen, Recherche, Antwortentwürfe Kundenservice
Rolle: Betreiber
Risikoeinordnung: minimales Risiko; keine Entscheidungen über Personen
Transparenz: kein direkter Kundenkontakt mit dem System; Entwürfe werden von Mitarbeitenden geprüft
Verantwortlich: Leitung Organisation
Schulung: Auftakt 03/2026, Vertiefung 05/2026, Nachweise abgelegt
Letzte Prüfung: 09/2026

Das ist kein großer Aufwand, aber ein wirksamer Nachweis.

Beispiel-Umsetzungsplan für ein KMU

Der folgende Plan zeigt, wie ein Unternehmen mit 20 bis 200 Mitarbeitenden die für sich relevanten Pflichten in etwa drei Monaten umsetzen kann. Die Reihenfolge ist wichtiger als die Zeitangaben; passen Sie sie an Ihre Kapazitäten an.

Phase	Zeitraum	Maßnahme	Verantwortlich	Ergebnis
1	Woche 1 bis 2	Bestandsaufnahme: Welche KI-Systeme werden genutzt, auch inoffiziell? Welche Zwecke?	Geschäftsführung, IT	Liste aller Systeme und Anwendungsfälle
2	Woche 2 bis 3	Risikoeinordnung jedes Anwendungsfalls; Prüfung auf Hochrisiko und verbotene Praktiken	Geschäftsführung, Rechtsberatung	Register mit Einordnung
3	Woche 3 bis 5	KI-Richtlinie erstellen; Abstimmung mit Datenschutzbeauftragtem und Betriebsrat	Organisation, Datenschutz	Verabschiedete Richtlinie
4	Woche 5 bis 6	Unternehmensplan einrichten, private Konten ablösen, AV-Vertrag prüfen	IT, Datenschutz	Vertragliche Grundlage
5	Woche 6 bis 9	Schulungen nach Zielgruppen: Geschäftsführung, Führungskräfte, Fachbereiche	Externe oder interne Trainer	Schulungsnachweise
6	Woche 9 bis 10	Transparenz prüfen: Chatbots, Kundenkommunikation, Kennzeichnung	Marketing, Service, Rechtsberatung	Angepasste Prozesse und Hinweise
7	Woche 10 bis 12	Prompt-Bibliothek und Ansprechpartner etablieren, Meldeweg für Vorfälle	Organisation	Laufender Betrieb
8	fortlaufend	Jährliche Prüfung: neue Anwendungsfälle, Rechtslage, Schulungsbedarf	Geschäftsführung	Aktualisiertes Register

Wer diesen Plan durchläuft, hat die Pflichten des AI Act für typische Anwendungsfälle abgedeckt und zugleich die Grundlage für einen sinnvollen Einsatz gelegt. Für die Phasen 3 und 5 unterstützt die KI-Beratung für den Mittelstand; wer mit einer Schulung beginnen möchte, findet auf der Seite zur KI-Schulung für Unternehmen die passenden Formate.

Fazit

Der EU AI Act ist für die meisten kleinen und mittleren Unternehmen, die Claude für Texte, Kundenservice und Recherche nutzen, kein Grund zur Sorge, aber ein Grund zum Handeln. Die Pflicht zur KI-Kompetenz gilt seit Februar 2025 und lässt sich mit Schulung, Richtlinie und Dokumentation erfüllen. Transparenzpflichten greifen dort, wo Kunden direkt mit KI interagieren. Die aufwendigen Hochrisiko-Pflichten betreffen nur wenige Anwendungen, und diese sollte man kennen, um sie nicht versehentlich zu bauen. Wer den Zeitplan im Blick behält und die eigene Einordnung regelmäßig prüft, ist gut aufgestellt.

Häufige Fragen

Gilt der EU AI Act auch für kleine Unternehmen, die nur ChatGPT oder Claude nutzen?

Ja. Wer ein KI-System in eigener Verantwortung nutzt, ist Betreiber im Sinne der Verordnung. Für die typische Nutzung zum Schreiben, Zusammenfassen und Recherchieren sind vor allem die Pflicht zur KI-Kompetenz nach Artikel 4 und gegebenenfalls Transparenzpflichten relevant. Eine Ausnahme für kleine Unternehmen gibt es bei diesen Pflichten nicht.

Was bedeutet KI-Kompetenz nach Artikel 4 konkret?

Die Verordnung verlangt, dass Mitarbeitende, die mit KI-Systemen arbeiten, über ausreichende Kenntnisse verfügen, um die Systeme sachkundig einzusetzen und Risiken zu erkennen. Inhalte und Form sind nicht vorgeschrieben. In der Praxis erfüllt man die Pflicht mit dokumentierten Schulungen, einer internen Richtlinie und einer Übersicht der eingesetzten Systeme.

Ist die Nutzung von Claude ein Hochrisiko-System?

Nicht das Werkzeug entscheidet, sondern der Einsatzzweck. Textentwürfe, Zusammenfassungen und Recherche fallen in die Klasse mit minimalem Risiko. Wird Claude eingesetzt, um Bewerber zu bewerten, Mitarbeitende zu beurteilen oder über Kreditwürdigkeit zu entscheiden, kann der Einsatz als Hochrisiko einzustufen sein. Solche Anwendungen sollten vor dem Einsatz rechtlich geprüft werden.

Muss ich Kunden sagen, dass ein Text mit KI erstellt wurde?

Wenn Kunden direkt mit einem KI-System interagieren, etwa in einem Chatbot, müssen sie darüber informiert werden. Für Texte, die ein Mitarbeiter mit Claude entwirft, prüft und unter eigenem Namen versendet, gilt diese Pflicht in der Regel nicht. Bei bestimmten veröffentlichten Inhalten, etwa Deepfakes, gelten Kennzeichnungspflichten. Die Einzelheiten sollten Sie mit Ihrer Rechtsberatung klären.

Welche Strafen drohen bei Verstößen?

Die Verordnung sieht Bußgelder vor, die nach Schwere des Verstoßes gestaffelt sind, mit den höchsten Beträgen für verbotene Praktiken. Für Verstöße gegen die Pflicht zur KI-Kompetenz allein ist kein eigenes Bußgeld vorgesehen, fehlende Kompetenz kann aber bei anderen Verstößen und in Haftungsfragen eine Rolle spielen. Für KMU sind bei Bußgeldern teils niedrigere Obergrenzen vorgesehen.

Hat sich der Zeitplan des EU AI Act geändert?

Die EU hat 2025 und 2026 Anpassungen diskutiert, insbesondere Verschiebungen bei den Pflichten für Hochrisiko-Systeme. Die Pflicht zur KI-Kompetenz und die Verbote gelten unverändert seit dem 2. Februar 2025. Prüfen Sie den aktuellen Stand der Verordnung und der Leitlinien der EU-Kommission, bevor Sie Ihre Planung festlegen.