AI Act: Was die KI-Verordnung für Unternehmen bedeutet
- Die KI-Verordnung der EU reguliert KI-Systeme basierend auf ihrem Risikopotenzial.
- KI-Systeme mit "inakzeptablem Risiko" wie Social Scoring sind seit Februar 2025 verboten.
- Hochrisiko-KI-Systeme unterliegen strengen Anforderungen und Konformitätsprüfungen.
- Unternehmen müssen Risikobewertungen, Transparenz und lückenlose Dokumentation sicherstellen.
- Verstöße können Bußgelder bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes nach sich ziehen.
Was ist der EU AI Act?
Die Verordnung über künstliche Intelligenz (KI-VO), auch AI Act genannt, ist das weltweit erste umfassende Gesetz zur Regulierung von KI-Systemen. Sie gilt unmittelbar in allen EU-Mitgliedstaaten – eine Umsetzung in nationales Recht ist nicht erforderlich.
Die KI-Verordnung verfolgt vier zentrale Ziele:
- Schutz der Grundrechte und der Sicherheit von EU-Bürgern
- Überwachung und Regulierung des KI-Einsatzes in Unternehmen
- Schaffung eines sicheren Innovationsrahmens für europäische KI-Entwicklungen
- Stärkung des Vertrauens von Verbrauchern und Unternehmen in KI-Technologien
Was regelt der EU-AI Act?
Die KI-VO definiert ein KI-System als „ein maschinengestütztes System, das für einen in unterschiedlichem Grade autonomen Betrieb ausgelegt ist und das nach seiner Betriebsaufnahme anpassungsfähig sein kann. Es leitet aus erhaltenen Eingaben für explizite und implizite Ziele ab, wie Ausgaben (Vorhersagen, Inhalte, Empfehlungen oder Entscheidungen) erstellt werden, , die physische oder virtuelle Umgebungen beeinflussen können“.
Entscheidend sind damit drei Merkmale: Das System arbeitet in gewissem Grad autonom, es leitet Ergebnisse aus Eingaben ab, statt nur festgelegte Regeln abzuarbeiten, und seine Ausgaben wirken auf die Umwelt. Klassische, vollständig regelbasierte Software fällt nicht darunter.
Risikobasierte Klassifizierung von KI-Systemen
Die Strenge der Regulierung hängt vom Risikopotenzial des KI-Systems ab. Die Verordnung unterteilt KI in vier Kategorien:
1. KI mit inakzeptablem Risiko: Verboten
KI-Systeme, die eine klare Gefahr für Grundrechte darstellen, sind seit Februar 2025 in der EU verboten. Dazu gehören:
- Social Scoring durch öffentliche oder private Stellen
- Biometrische Echtzeit-Fernidentifizierung im öffentlichen Raum zu Strafverfolgungszwecken (mit engen Ausnahmen)
- Emotionserkennung am Arbeitsplatz oder in Bildungseinrichtungen
2. Hochrisiko-KI-Systeme: Strenge Regulierung
Hochrisiko-KI-Systeme werden in kritischen Bereichen eingesetzt, etwa:
- Personalwesen: KI-gestützte Bewerbermanagementsysteme
- Gesundheitswesen: KI-Diagnostik
- Kritische Infrastruktur: Steuerung von Energie- oder Verkehrsnetzen
- Strafverfolgung & Justiz: Risikobewertung bei Gerichtsverfahren
Beispiel: Ein Softwareunternehmen, das ein KI-basiertes Recruiting-Tool entwickelt, muss Konformitätsbewertungen durchführen und technische Dokumentationen erstellen.
3. KI mit besonderen Transparenzpflichten
KI-Systeme wie Chatbots oder Deepfake-Generatoren dürfen verwendet werden, sofern Nutzer klar darüber informiert werden, dass sie mit einer KI interagieren. Dafür müssen Betreiber von KI-Tools bestimmte KI-generierte Inhalte und Chatbots seit 2. August 2026 klar als solche kennzeichnen.
Tool-Anbieter müssen zudem sicherstellen, dass KI-generierte Inhalte technisch maschinenlesbar gekennzeichnet werden. Für Systeme, die bereits vorher in Verkehr gebracht wurden, gilt für die technische Kennzeichnungspflicht eine Übergangsfrist bis zum 2. Dezember 2026.
4. KI mit minimalem Risiko: Keine spezifischen Anforderungen
KI-Systeme wie Spam-Filter oder KI-gestützte Videospiele unterliegen keinen besonderen Vorgaben. Die KI-Kompetenzpflicht nach Art. 4 KI-VO und das Datenschutzrecht gelten jedoch unabhängig von der Risikoklasse.
Unsicher, was der AI Act für Ihr Unternehmen und Ihre KI-Projekte bedeutet? Zertifizierte Experten von Proliance zeigen, wie Sie KI-Systeme sicher implementieren können. Erhalten Sie klare Handlungsempfehlungen und pragmatische Beratung zum AI Act.
Wann treten die Regelungen der KI-Verordnung in Kraft?
Die KI-Verordnung trat am 1. August 2024 in Kraft. Allerdings gelten gestaffelte Übergangsfristen.
Neueste Entwicklungen beim EU AI Act im Überblick
Seit Juli 2026 ist die Digitale-Omnibus-Verordnung zur KI in Kraft. Damit hat der europäische Gesetzgeber die KI-VO an mehreren Stellen geändert und Fristen verlängert. Der Hochrisiko-Begriff wurde enger gefasst, die Kompetenzpflicht angepasst und es gibt Erleichterungen für KMU.
In unserem Magazin erfahren Sie mehr über die Inhalte des Digitalen Omnibus der EU.
Für wen gilt der AI Act?
Die KI-VO knüpft Pflichten an Rollen, statt an Unternehmensgrößen. Sie richtet sich vor allem an Anbieter, Betreiber und Importeure von KI-Systemen:
- Anbieter: entwickeln KI-Systeme und bringen sie auf den Markt
- Betreiber: setzen KI-Systeme im eigenen Unternehmen ein
- Einführer und Händler: bringen KI-Systeme in die EU oder verkaufen sie weiter
Die meisten mittelständischen Unternehmen sind Betreiber.
Achtung: Wer ein zugekauftes KI-System unter eigenem Namen weitergibt oder seinen Einsatzzweck wesentlich ändert, wird selbst zum Anbieter.
Welche Anforderungen stellt der EU AI Act an KMU?
Folgende zentrale Anforderungen sind für Unternehmen relevant, die mit KI im Alltag arbeiten.
1. Risikobewertung und Risikomanagement
Unternehmen müssen eine umfassende Risikobewertung ihrer KI-Systeme durchführen und dokumentieren:
- Welche Risiken entstehen durch den Einsatz des KI-Systems?
- Welche Maßnahmen werden ergriffen, um diese Risiken zu minimieren?
- Wie wird das System überwacht und aktualisiert?
2. Transparenzanforderungen
Nutzer müssen klar darüber informiert werden, dass sie mit einem KI-System interagieren, insbesondere bei Chatbots oder Systemen, die Emotionen erkennen oder biometrische Daten verwenden.
3. Dokumentation und Aufzeichnungen
Was Sie dokumentieren müssen, richtet sich nach Ihrer Rolle:
- Als Anbieter eines Hochrisiko-KI-Systems: technische Dokumentation zu Systemarchitektur, Trainings-, Validierungs- und Testdaten, Leistungsgrenzen, Risikomanagement und Änderungen (Art. 11, Anhang IV KI-VO).
- Als Betreiber: die vom System automatisch erzeugten Protokolle sowie Nachweise über menschliche Aufsicht, Schulungen und gemeldete Vorfälle (Art. 26 KI-VO).
Unabhängig von der Risikoklasse empfiehlt sich ein zentrales KI-Register: Welche KI-Systeme sind im Einsatz, wer verantwortet sie, welche Daten verarbeiten sie, welche Rolle nehmen Sie ein? Dieses Register ist Grundlage jeder späteren Einstufung und lässt sich mit dem Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO verbinden.
4. KI-Kompetenz im Unternehmen
Anbieter und Betreiber müssen dafür sorgen, dass ihr Personal über ein ausreichendes Maß an KI-Kompetenz verfügt. Die Verordnung schreibt kein bestimmtes Format vor. Entscheidend ist, dass das Kompetenzniveau zum jeweiligen Einsatz passt: Je risikoreicher die Anwendung, desto höher die Anforderung.
Bisher mussten Anbieter und Betreiber KI-Kompetenz sicherstellen. Seit Inkrafttreten des Digitalen Omnibus für KI genügt es, sie zu fördern. Betroffene Unternehmen müssen kein geprüftes Kompetenzniveau nachweisen, sondern zeigen können, was Sie unternommen haben. Aus einer Erfolgspflicht ist damit eine Handlungspflicht geworden.
Spezielle Regelungen für Hochrisiko-KI-Systeme
Für Hochrisiko-KI-Systeme gilt ein einheitlich hohes Schutzniveau. Die technische Umsetzung schuldet der Anbieter, die sachgerechte Nutzung der Betreiber. Diese Systeme müssen:
✅ Robust und sicher sein
✅ Die Grundrechte der Nutzer nicht verletzen
✅ Einer strengen Konformitätsbewertung unterzogen werden
✅ Menschliche Aufsicht ermöglichen (Human-in-the-Loop)
Konformität nach dem AI Act
Die Konformitätsbewertung ist ein zentraler Bestandteil der KI-VO. Bei Hochrisiko-KI-Systemen entscheidet Ihre Rolle über den Aufwand.
Schritte zur Konformität für Anbieter:
1. Risikoklassifizierung: Ist Ihr KI-System als Hochrisiko einzustufen?
2. Risikomanagementsystem einrichten
3. Technische Dokumentation erstellen
4. Qualitätsmanagementsystem implementieren
5. Konformitätsbewertung durchführen – intern oder über eine notifizierte Stelle
6. EU-Konformitätserklärung ausstellen und CE-Kennzeichnung anbringen
7. Registrierung in EU-Datenbank
Das gilt für Betreiber
Wenn Sie ein zugekauftes System einsetzen, geht es nicht um Nachweise, sondern um den sachgerechten Betrieb (Art. 26 KI-VO):
- System wie in der Gebrauchsanweisung vorgesehen nutzen
- Menschliche Aufsicht verankern und kompetente Personen dafür benennen
- Protokolle aufbewahren und den Anbieter bei Risiken informieren
- Beschäftigte vor der Inbetriebnahme informieren (Art. 26 Abs. 7 KI-VO)
- Grundrechte-Folgenabschätzung, wenn Sie darunterfallen (Art. 27 KI-VO)
Mit unserer KI-Academy schulen Sie Ihre Mitarbeiter praxisnah und belegen sauber, dass Sie die KI-Kompetenz in Ihrem Unternehmen nachweislich födern.
Durchsetzung der Verordnung und drohende Strafen
Für die Überwachung und Durchsetzung der KI-VO ist in Deutschland die Bundesnetzagentur zuständig. Sie kontrolliert als Marktüberwachungsbehörde die Einhaltung der Verordnung und ist Anlaufstelle für europäische Institutionen. Das neue Koordinierungs- und Kompetenzzentrum für die KI-Verordnung (KoKIVO) arbeitet zudem mit anderen öffentlichen Stellen zusammen und berät bei Entscheidungen.
Welche Strafen drohen Unternehmen, die gegen die KI-VO verstoßen?
Die Bußgelder folgen der Systematik der DSGVO, liegen im Höchstmaß allerdings darüber. Bei KMU und Start-ups gilt jeweils der niedrigere der beiden Beträge:
Herausforderungen bei der Umsetzung der KI-Verordnung
Die KI-Verordnung schafft erstmals einen sicheren Rechtsrahmen für den Einsatz von KI. Dennoch gibt es Kritikpunkte:
1. Unklare Risikoklassifizierung: Viele Unternehmen sind unsicher, ob ihre KI-Systeme als Hochrisiko gelten.
2. Hoher bürokratischer Aufwand: Insbesondere KMU fürchten den Dokumentations- und Prüfaufwand.
3. Hemmung von Innovationen: Strenge Vorschriften könnten europäische Unternehmen im globalen Wettbewerb benachteiligen.
Der AI Act bringt Chancen und Herausforderungen für den Mittelstand. Unser Factsheet erklärt, was Sie wissen müssen: von den 4 Risikostufen bis zu den Auswirkungen auf Datenschutz und IT-Sicherheit. Holen Sie sich jetzt alle wichtigen Infos auf einen Blick.
Ausblick: So geht es mit KI-VO und KI-Gesetz weiter
Mit dem AI Act hat die Europäische Union einen wichtigen Schritt getan, um den Einsatz von KI sicherer und verantwortungsvoller zu gestalten.
Für Unternehmen bedeutet das:
✅ Handeln Sie jetzt: Warten Sie nicht bis zur nächsten Frist
✅ Setzen Sie auf Experten: KI-Compliance ist komplex
✅ Nutzen Sie Synergien: DSGVO, NIS2, KI-VO integriert denken
✅ Dokumentieren Sie zentral: Compliance-Plattformen sparen bis zu 70 % Zeit
Wir beraten Sie zur Umsetzung der EU KI-Verordnung und halten Sie auf dem aktuellen Stand bei Fristen und Entwicklungen wie dem Digitalen Omnibus.
Sie haben noch Fragen? Wir haben die Antworten
Die KI-Verordnung trat am 1. August 2024 in Kraft. Seit 2. Februar 2025 ist KI mit inakzeptablem Risiko verboten, seit 2. August 2026 müssen viele Unternehmen in Europa Transparenz- und Kennzeichnungspflichten für KI-Inhalte oder Chatbots beachten. Die volle Anwendbarkeit für Hochrisiko-KI-Systeme gilt ab 2. Dezember 2027 und für Hochrisiko-KI als Sicherheitskomponente in regulierten Produkten ab 2. August 2028.
Verstöße können mit Bußgeldern von bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes geahndet werden – je nachdem, welcher Betrag höher ist.
Die DSGVO gilt unverändert weiter. Wer KI einsetzt, braucht weiterhin eine Rechtsgrundlage, muss Betroffene informieren und je nach Anwendung eine Datenschutz-Folgenabschätzung durchführen. Der AI Act ergänzt jedoch Anforderungen wie die Risikoeinstufung oder die Transparenz gegenüber Nutzern. Wie Sie den AI Act und die DSGVO praktisch zusammenbringen, zeigen unsere 7 Best Practices für den datenschutzkonformen KI-Einsatz.
Bei der IT-Sicherheit verlangt der AI Act für Hochrisiko-Systeme ausdrücklich Robustheit und Cybersicherheit. Ihre Maßnahmen nach ISO 27001 oder NIS2 müssen KI-Systeme künftig mit abdecken.
Sie haben noch Fragen? Lassen Sie sich jetzt kostenlos von unseren Compliance Expert:innen beraten.
Zu unseren mehr als 3.000 Kunden zählen Start-ups, mittlere Unternehmen und Unternehmensgruppen aus nahezu allen Branchen.
-und-datenschutz.avif)
