EU AI Act
Der EU AI Act (Verordnung (EU) 2024/1689) ist das Gesetz der Europäischen Union zur Regulierung künstlicher Intelligenz. Er ist seit dem 1. August 2024 in Kraft, teilt KI-Systeme nach ihrem Risiko in Klassen ein und legt gestaffelte Pflichten für Anbieter und Betreiber fest, die zwischen Februar 2025 und 2027 wirksam werden.
Auch bekannt als: AI Act, KI-Verordnung, Verordnung (EU) 2024/1689, KI-Gesetz der EU
Was ist der EU AI Act?
Der EU AI Act (Verordnung (EU) 2024/1689) ist das Gesetz der Europäischen Union zur Regulierung künstlicher Intelligenz. Er ist seit dem 1. August 2024 in Kraft, teilt KI-Systeme nach ihrem Risiko in Klassen ein und legt gestaffelte Pflichten für Anbieter und Betreiber fest, die zwischen Februar 2025 und 2027 wirksam werden.
Der AI Act ist das erste umfassende KI-Gesetz weltweit. Als Verordnung gilt er unmittelbar in allen Mitgliedstaaten, ohne dass nationale Gesetze ihn umsetzen müssen. Er betrifft jedes Unternehmen, das KI-Systeme in der EU entwickelt, vertreibt oder einsetzt, unabhängig von Größe und Branche. Für den Mittelstand ist deshalb weniger die Frage, ob der AI Act gilt, sondern welche seiner Pflichten im Einzelfall greifen.
Der Grundgedanke ist risikobasiert: Je größer das Risiko eines KI-Systems für Gesundheit, Sicherheit oder Grundrechte, desto strenger die Anforderungen. Ein Chatbot für Textentwürfe wird anders behandelt als ein System, das über Kreditvergaben entscheidet. Diese Abstufung ist der Grund, warum die meisten KMU mit überschaubaren Pflichten rechnen können.
Dieser Eintrag gibt einen Überblick aus Unternehmenssicht. Er ersetzt keine Rechtsberatung. Der AI Act ist umfangreich, viele Detailfragen werden erst durch Leitlinien und Behördenpraxis geklärt, und die EU hat 2025 und 2026 Anpassungen des Zeitplans diskutiert. Prüfen Sie für konkrete Entscheidungen den aktuellen Stand und ziehen Sie rechtliche Beratung hinzu.
Die vier Risikoklassen
Der AI Act unterscheidet vier Stufen. Die erste Stufe sind verbotene Praktiken. Dazu gehören unter anderem KI-Systeme zur manipulativen Beeinflussung, zur Ausnutzung von Schwächen bestimmter Personengruppen, zum Social Scoring durch Behörden und bestimmte Formen biometrischer Überwachung. Diese Verbote gelten seit dem 2. Februar 2025. Für gewöhnliche Unternehmensanwendungen spielen sie in der Praxis kaum eine Rolle, ein Blick auf die Liste ist dennoch Pflicht.
Die zweite Stufe sind Hochrisiko-Systeme. Der AI Act nennt in seinen Anhängen Bereiche, in denen KI-Systeme als Hochrisiko gelten, darunter kritische Infrastruktur, Bildung, Beschäftigung und Personalmanagement, Zugang zu wesentlichen Diensten wie Kreditvergabe, Strafverfolgung und Migration. Für solche Systeme gelten umfangreiche Anforderungen an Risikomanagement, Datenqualität, Dokumentation, menschliche Aufsicht und Genauigkeit. Betreiber müssen unter anderem die Anweisungen des Anbieters befolgen, menschliche Aufsicht sicherstellen und den Betrieb überwachen.
Die dritte Stufe sind Systeme mit Transparenzpflichten. Wer einen Chatbot betreibt, muss Nutzer darüber informieren, dass sie mit einer KI interagieren, sofern das nicht offensichtlich ist. KI-generierte oder manipulierte Bilder, Audio- und Videoinhalte müssen als solche gekennzeichnet werden. Diese Pflichten betreffen viele Unternehmen, die KI im Kundenkontakt einsetzen.
Die vierte Stufe sind Systeme mit minimalem Risiko, für die der AI Act keine spezifischen Pflichten vorsieht. Hierunter fällt der Großteil der KI-Nutzung im Unternehmensalltag: Textentwürfe, Zusammenfassungen, Übersetzungen, interne Recherchen, Programmierhilfe.
Modelle mit allgemeinem Verwendungszweck
Eine Sonderkategorie sind KI-Modelle mit allgemeinem Verwendungszweck, im Gesetz als General Purpose AI oder GPAI bezeichnet. Dazu gehören die großen Sprachmodelle hinter Claude, ChatGPT und Gemini. Für ihre Anbieter gelten seit dem 2. August 2025 eigene Pflichten: technische Dokumentation, Informationen für nachgelagerte Anbieter, eine Zusammenfassung der Trainingsdaten und Einhaltung des Urheberrechts. Für besonders leistungsfähige Modelle mit systemischem Risiko kommen weitere Anforderungen hinzu.
Für Unternehmen, die diese Modelle nutzen, ist wichtig: Die Pflichten des Modellanbieters sind nicht Ihre Pflichten. Sie werden zum Anbieter eines KI-Systems im Sinne des Gesetzes erst dann, wenn Sie aus einem Modell ein eigenes System für einen bestimmten Zweck bauen und es unter eigenem Namen in Verkehr bringen. Wer Claude über die Oberfläche oder die API für interne Aufgaben nutzt, ist Betreiber, und die Betreiberpflichten richten sich nach der Risikoklasse des konkreten Einsatzes.
Was Art. 4 für alle Unternehmen bedeutet
Die für KMU wichtigste Vorschrift steht in Art. 4 und gilt seit dem 2. Februar 2025. Sie verpflichtet Anbieter und Betreiber von KI-Systemen, nach besten Kräften sicherzustellen, dass ihr Personal und andere Personen, die in ihrem Auftrag mit KI-Systemen umgehen, über ein ausreichendes Maß an KI-Kompetenz verfügen. Dabei sind technische Kenntnisse, Erfahrung, Ausbildung und Schulung ebenso zu berücksichtigen wie der Kontext, in dem die Systeme eingesetzt werden.
Das Gesetz schreibt kein bestimmtes Format vor, keine Prüfung, kein Zertifikat. Es verlangt Angemessenheit. Ein Mitarbeiter, der gelegentlich Texte formulieren lässt, braucht andere Kenntnisse als ein Sachbearbeiter, der KI zur Vorbereitung von Entscheidungen über Kunden nutzt. Erfahrungsgemäß deckt eine strukturierte KI-Schulung mit Grundlagen, Grenzen, Datenschutz und praktischen Übungen die Anforderungen für den üblichen Einsatz ab, sofern sie dokumentiert wird und bei Bedarf aufgefrischt wird.
Art. 4 ist damit die Pflicht, die tatsächlich jedes Unternehmen betrifft, das KI einsetzt. Eine ausführliche Einordnung bietet der Artikel EU AI Act und KI-Kompetenz: Was Unternehmen wissen müssen.
Zeitplan im Überblick
| Datum | Was gilt |
|---|---|
| 1. August 2024 | Inkrafttreten der Verordnung |
| 2. Februar 2025 | Verbotene Praktiken, Pflicht zur KI-Kompetenz (Art. 4) |
| 2. August 2025 | Pflichten für Anbieter von GPAI-Modellen, Aufbau der Behördenstruktur |
| ab 2026 | Weitere Pflichten, u. a. Transparenz und ein Großteil der Hochrisiko-Regeln |
| ab 2027 | Restliche Hochrisiko-Regeln, insbesondere für KI in regulierten Produkten |
Die EU hat 2025 und 2026 Anpassungen dieses Zeitplans diskutiert, insbesondere Verschiebungen bei den Hochrisiko-Pflichten. Die hier genannten Daten entsprechen dem Stand der Verordnung, der aktuelle Stand sollte vor Entscheidungen geprüft werden.
Praxisbeispiel aus dem Unternehmensalltag
Ein Logistikunternehmen mit 120 Mitarbeitenden setzt Claude in drei Bereichen ein: Die Disposition lässt Kundenanfragen zusammenfassen und Antworten vorformulieren, das Marketing erstellt Texte für Website und Newsletter, und die Personalabteilung hat begonnen, Bewerbungen vorzusortieren.
Die Geschäftsführung lässt die drei Anwendungen prüfen. Ergebnis: Disposition und Marketing fallen unter minimales Risiko, es gelten Art. 4 und die allgemeinen Datenschutzregeln. Bei den Bewerbungen ist das Bild anders. Der Bereich Beschäftigung ist im Anhang des AI Act als Hochrisiko genannt, wenn KI zur Auswahl oder Bewertung von Bewerbern eingesetzt wird. Das Unternehmen entscheidet sich, die Vorsortierung so umzubauen, dass Claude nur Daten aus den Unterlagen strukturiert extrahiert und zusammenfasst, ohne Bewertung oder Rangfolge. Die Auswahl bleibt vollständig bei den Recruitern, und das wird dokumentiert.
Alle Mitarbeitenden, die mit Claude arbeiten, nehmen an einer Schulung teil, deren Inhalte und Teilnahme dokumentiert werden. Auf der Website wird der Chatbot für Sendungsanfragen als KI-System gekennzeichnet. Das Unternehmen hat damit die für seinen Einsatz relevanten Pflichten abgedeckt, ohne den KI-Einsatz einzuschränken. Ob die Einordnung im Einzelfall trägt, hat es mit einer Anwaltskanzlei geprüft.
Bedeutung für kleine und mittelständische Unternehmen
Für die meisten KMU ist der AI Act weniger bedrohlich, als die öffentliche Diskussion vermuten lässt. Wer KI-Assistenten für Texte, Recherche, Zusammenfassungen und Kundenkommunikation nutzt, muss vor allem drei Dinge tun: Mitarbeitende schulen und das dokumentieren, Transparenz im Kundenkontakt wahren und den KI-Einsatz im Blick behalten, damit ein Wechsel in einen Hochrisiko-Bereich nicht unbemerkt geschieht.
Diese drei Aufgaben lassen sich mit den Bausteinen einer KI-Governance abdecken: Zuständigkeit, Werkzeugverzeichnis, Richtlinie, Schulung. Der Aufwand ist überschaubar, der Nutzen geht über die Pflichterfüllung hinaus, weil geschulte Mitarbeitende bessere Ergebnisse erzielen. Unsere KI-Schulung für Unternehmen ist so aufgebaut, dass sie die Anforderungen des Art. 4 für den üblichen Einsatz abdeckt und dokumentierbar ist. Die Einordnung Ihrer Anwendungsfälle nach Risikoklassen gehört zur KI-Beratung für den Mittelstand. Beides ersetzt keine Rechtsberatung, sondern bereitet sie vor.
Vorteile und Grenzen
Der AI Act schafft einen einheitlichen Rahmen in der EU und gibt Unternehmen Klarheit darüber, welche KI-Anwendungen mit welchen Anforderungen verbunden sind. Für den Mittelstand bedeutet die risikobasierte Abstufung, dass die meisten Anwendungen ohne großen Aufwand zulässig bleiben.
Die Grenzen liegen in der Unschärfe vieler Begriffe und im noch laufenden Aufbau der Behördenstruktur. Was im Einzelfall als Hochrisiko gilt, wo die Grenze zwischen Betreiber und Anbieter verläuft und wie Art. 4 im Detail auszulegen ist, wird sich erst durch Leitlinien und Praxis klären. Dazu kommen die Wechselwirkungen mit der DSGVO, die der Eintrag DSGVO und KI behandelt. Unternehmen sollten den aktuellen Stand regelmäßig prüfen und ihre Dokumentation so führen, dass sie Nachfragen jederzeit beantworten können.