Die EU-KI-Verordnung (AI Act) ist seit August 2024 in Kraft und gilt gestaffelt. Für die meisten mittelständischen Unternehmen ist entscheidend: Sie sind in der Regel nicht Anbieter von KI-Systemen, sondern Betreiber – sie setzen fremde KI ein. Auch dafür gibt es Pflichten, und die ersten gelten längst.
Der Zeitplan im Überblick
- Seit Februar 2025: Verbot bestimmter KI-Praktiken (z. B. manipulative Systeme, Social Scoring) und die Pflicht zur KI-Kompetenz der Mitarbeitenden (Art. 4).
- Seit August 2025: Regeln für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck (GPAI) – relevant für Unternehmen vor allem mittelbar über ihre Lieferanten.
- Ab August 2026: Der Großteil der Pflichten für Hochrisiko-Systeme sowie die Transparenzpflichten – etwa die Kennzeichnung von KI-generierten Inhalten und die Information, wenn Menschen mit einem Chatbot interagieren.
Was „KI-Kompetenz“ praktisch bedeutet
Artikel 4 verlangt, dass Beschäftigte, die KI-Systeme bedienen, über ausreichende Kompetenz verfügen. Das heißt nicht, dass jeder Mitarbeitende ein Zertifikat braucht. Es heißt: Wer KI im Arbeitsalltag nutzt, muss die Grenzen kennen – dass Modelle Fehler machen, dass Eingaben Betriebsgeheimnisse enthalten können, dass Ergebnisse geprüft werden müssen. Eine dokumentierte Schulung plus eine KI-Nutzungsrichtlinie deckt das für die meisten Unternehmen ab. Wichtig ist das Wort dokumentiert: Im Streitfall zählt, was belegbar ist.
Bin ich Hochrisiko-Betreiber?
Hochrisiko sind KI-Systeme in sensiblen Feldern – unter anderem Personalauswahl, Kreditwürdigkeitsprüfung, kritische Infrastruktur, Bildung. Der häufigste Mittelstandsfall: KI im Recruiting. Wer Bewerbungen KI-gestützt vorsortieren lässt, betreibt voraussichtlich ein Hochrisiko-System und muss dann u. a. menschliche Aufsicht sicherstellen, Eingabedaten kontrollieren und die vorgesehenen Protokolle aufbewahren. Wer solche Systeme einsetzt, sollte jetzt beim Anbieter nachfragen, wie dieser seine Anbieterpflichten erfüllt – und die eigene Betreiberrolle sauber dokumentieren.
Die pragmatische To-do-Liste
- Inventur: Welche KI-Systeme sind im Unternehmen im Einsatz – inklusive der inoffiziellen (Schatten-KI in Browsern und Apps)?
- Einstufung: Fällt etwas in die Verbots- oder Hochrisiko-Kategorien? Im Zweifel: fachkundig prüfen lassen.
- Richtlinie und Schulung: KI-Nutzungsrichtlinie erstellen, Schulung durchführen, beides dokumentieren.
- Transparenz vorbereiten: Wo interagieren Kunden mit KI (Chatbots, generierte Inhalte)? Kennzeichnung bis August 2026 einplanen.
- Lieferanten fragen: Bei eingekauften KI-Funktionen die AI-Act-Konformität des Anbieters schriftlich einholen.
Der AI Act ist für Betreiber kein Grund zur Panik – aber ein Grund für eine Inventur. Wer die fünf Punkte abarbeitet, hat den Pflichtteil für den Normalfall erledigt und weiß, ob er zu den Fällen gehört, die tiefer einsteigen müssen.
Dieser Artikel ist eine allgemeine Einordnung und ersetzt keine Rechtsberatung im Einzelfall.