EU AI Act einfach erklärt: Was die KI-Verordnung für Ihr Unternehmen bedeutet

Der EU AI Act ist das erste umfassende Gesetz für künstliche Intelligenz weltweit. Statt jede Technik einzeln zu regeln, verfolgt er einen einfachen Grundgedanken: Je höher das Risiko einer KI-Anwendung für Menschen, desto strenger die Anforderungen. Wer das Prinzip verstanden hat, kann seinen eigenen KI-Einsatz schnell einordnen.

Offiziell heißt das Gesetz Verordnung (EU) 2024/1689. Es gilt unmittelbar in allen Mitgliedsstaaten, ein nationales Umsetzungsgesetz braucht es dafür nicht. Dieser Beitrag erklärt die Logik dahinter und zeigt, was davon Ihren Betrieb wirklich betrifft.

Was der AI Act überhaupt als KI zählt

Bevor die Risikostufen greifen, stellt sich eine Vorfrage, die in der Praxis fast immer übersprungen wird: Ist das, was wir einsetzen, überhaupt ein KI-System im Sinne der Verordnung? Artikel 3 Nummer 1 definiert es so:

ein maschinengestütztes System, das für einen in unterschiedlichem Grade autonomen Betrieb ausgelegt ist und das nach seiner Betriebsaufnahme anpassungsfähig sein kann und das aus den erhaltenen Eingaben für explizite oder implizite Ziele ableitet, wie Ausgaben wie etwa Vorhersagen, Inhalte, Empfehlungen oder Entscheidungen erstellt werden, die physische oder virtuelle Umgebungen beeinflussen können

Das entscheidende Wort ist ableiten. Ein System, dessen Verhalten vollständig durch feste Regeln vorgegeben ist, leitet nichts ab. Eine Tabellenkalkulation mit Formeln, ein Workflow mit starren Wenn-Dann-Bedingungen, ein Serienbrief mit Platzhaltern: das ist Automatisierung, aber keine KI im Sinne der Verordnung.

Sobald ein System aus Daten Muster gewinnt und daraus Ausgaben erzeugt, die nicht vorher festgelegt waren, sieht es anders aus. Ein Textassistent, der Formulierungen vorschlägt, eine Software, die Belege selbst zuordnet, ein Filter, der Bewerbungen nach Passung sortiert: alle drei leiten ab und fallen darunter.

Der risikobasierte Ansatz

Der AI Act teilt KI-Systeme in vier Risikostufen ein. An jeder Stufe hängen andere Pflichten.

Inakzeptables Risiko: verboten

Einige Anwendungen sind seit dem 2. Februar 2025 schlicht verboten. Dazu zählen etwa Systeme zur sozialen Bewertung von Menschen durch den Staat, manipulative Techniken, die das Verhalten gezielt unterlaufen, oder das ungezielte Auslesen von Gesichtern aus dem Internet zum Aufbau von Datenbanken. Für die meisten Unternehmen ist diese Kategorie keine Hürde, weil sie solche Systeme ohnehin nicht einsetzen.

Hohes Risiko: strenge Auflagen

Hochrisiko-Systeme wirken in sensiblen Bereichen, etwa bei der Personalauswahl, der Kreditwürdigkeitsprüfung, in der kritischen Infrastruktur, im Bildungswesen oder in der Strafverfolgung. Wer solche Systeme anbietet oder betreibt, muss umfangreiche Pflichten erfüllen: Risikomanagement, Datenqualität, technische Dokumentation, Protokollierung und eine wirksame menschliche Aufsicht. Diese Stufe ist anspruchsvoll, betrifft aber gezielt bestimmte Einsatzfelder.

Der häufigste Fall, in dem ein normales Unternehmen unerwartet hier landet, ist das Personalwesen. Software, die Bewerbungen vorsortiert oder Beschäftigte bewertet, kann unter diese Stufe fallen. Wer solche Werkzeuge einsetzt, sollte genauer hinsehen. Einzelheiten dazu unter Hochrisiko-KI-Systeme.

Begrenztes Risiko: Transparenz

Hier geht es vor allem um Offenheit. Wer mit einem Chatbot kommuniziert, soll wissen, dass eine Maschine antwortet. Künstlich erzeugte oder veränderte Inhalte, also etwa Deepfakes, müssen als solche gekennzeichnet werden. Die Pflicht ist überschaubar, aber praxisrelevant, sobald Sie KI im Kundenkontakt einsetzen.

Minimales Risiko: keine besonderen Auflagen

Die große Mehrheit der KI-Anwendungen landet hier: Textbausteine, Rechtschreibhilfen, Übersetzungen, einfache Assistenzfunktionen. Für diese Stufe sieht der AI Act keine besonderen Pflichten vor.

Selbsttest: Wo stehen Sie?

Vier Fragen genügen für eine erste Einordnung Ihres eigenen Einsatzes:

1. Leitet das System aus Eingaben etwas ab, das nicht fest programmiert ist? Wenn nein, ist es kein KI-System im Sinne der Verordnung, und die folgenden Fragen erübrigen sich.
2. Entscheidet oder bewertet es über Menschen? Personalauswahl, Kreditwürdigkeit, Zugang zu Bildung oder Leistungen: dann prüfen Sie die Hochrisiko-Stufe genau.
3. Merken Außenstehende, dass eine Maschine im Spiel ist? Wenn nicht, greifen Transparenzpflichten. Ein Chatbot muss sich zu erkennen geben, künstlich erzeugte Inhalte müssen gekennzeichnet werden.
4. Nutzen Beschäftigte das System beruflich? Wenn ja, gilt die Kompetenzpflicht aus Artikel 4, unabhängig von allen vorherigen Antworten.

In der Praxis lautet die Antwort für die meisten Betriebe: kein Hochrisiko, gelegentlich Transparenz, immer Kompetenz.

Wen der AI Act betrifft

Die Verordnung nimmt mehrere Rollen in die Pflicht. Anbieter entwickeln KI-Systeme oder bringen sie unter eigenem Namen auf den Markt. Betreiber setzen Systeme unter eigener Verantwortung ein. Hinzu kommen Einführer und Händler. Für die meisten Unternehmen ist die Betreiber-Rolle entscheidend, weil sie fertige Werkzeuge nutzen.

Wichtig ist die Grenze dieser Rolle. Artikel 3 Nummer 4 nimmt die persönliche und nicht berufliche Nutzung ausdrücklich aus. Wer privat mit einem Chatbot arbeitet, ist kein Betreiber. Sobald dasselbe Werkzeug beruflich zum Einsatz kommt, ändert sich das.

Bemerkenswert ist außerdem die geografische Reichweite. Der AI Act gilt nicht nur für Unternehmen mit Sitz in der EU. Auch ein Anbieter aus den USA oder Asien fällt darunter, sobald sein System in der EU eingesetzt wird oder dessen Ergebnisse hier verwendet werden. Das macht die Verordnung zu einem internationalen Maßstab.

KI mit allgemeinem Verwendungszweck

Große Sprachmodelle passen nicht recht in das Vier-Stufen-Schema, weil sie für alles Mögliche eingesetzt werden können. Die Verordnung behandelt sie deshalb in einem eigenen Kapitel als Modelle mit allgemeinem Verwendungszweck. Die Pflichten daraus treffen überwiegend die Anbieter dieser Modelle, etwa in Bezug auf Dokumentation und Informationen an nachgelagerte Nutzer.

Für Sie als Anwender bedeutet das eine Entlastung: Sie müssen kein Modell dokumentieren, das Sie nicht gebaut haben. Ihre Pflicht bleibt die Kompetenz nach Artikel 4 und, je nach Einsatz, die Transparenz gegenüber den Menschen, mit denen das System interagiert.

Verhältnis zur DSGVO

Eine häufige Fehlannahme lautet, der AI Act löse die Datenschutz-Grundverordnung ab. Das Gegenteil ist der Fall: Beide gelten nebeneinander und regeln Verschiedenes.

Der AI Act betrachtet das System und sein Risiko. Die DSGVO betrachtet die personenbezogenen Daten und ihre Verarbeitung. Wer Kundendaten in ein KI-Werkzeug eingibt, braucht dafür weiterhin eine Rechtsgrundlage nach der DSGVO, muss den Verarbeitungszweck festlegen und die Betroffenenrechte wahren. Der AI Act kommt obendrauf, er ersetzt nichts.

Praktisch heißt das: Klären Sie beides in einem Zug. Die Frage „Welche Daten dürfen in welches Werkzeug?" beantwortet gleichzeitig einen Teil Ihrer AI-Act-Hausaufgaben und einen Teil Ihrer Datenschutzdokumentation.

Die wichtigsten Fristen

Die Regeln greifen gestaffelt über mehrere Jahre. Die Verbote und die Kompetenzpflicht gelten seit Februar 2025. Die Vorschriften für KI mit allgemeinem Verwendungszweck und die Sanktionsvorschriften der Verordnung folgten im August 2025. Die Verordnung gilt seit August 2026 allgemein. Die Hochrisiko-Pflichten folgen ab Dezember 2027. In Deutschland gilt seit dem 29. Juli 2026 das KI-MIG. Zuständige Marktüberwachungsbehörde ist die Bundesnetzagentur. Die vollständige Übersicht haben wir hier aufbereitet: Ab wann gilt die KI-Schulungspflicht?

Was das für Ihr Unternehmen bedeutet

Für die allermeisten Betriebe ist die Lage entspannter, als die Schlagzeilen vermuten lassen. Wenn Sie KI für Texte, Recherche, Übersetzung oder einfache Automatisierung nutzen, bewegen Sie sich meist im Bereich des minimalen oder begrenzten Risikos. Die schweren Pflichten der Hochrisiko-Stufe betreffen Sie nur, wenn Sie KI in einem der sensiblen Felder einsetzen.

Eine Anforderung gilt jedoch für praktisch jeden: die KI-Kompetenz nach Artikel 4. Sie ist die niedrigschwellige, aber breit greifende Pflicht des AI Act. Wer hier ansetzt, erfüllt nicht nur das Gesetz, sondern legt auch die Grundlage dafür, KI im Betrieb sicher und sinnvoll zu nutzen. Wie Sie das umsetzen, lesen Sie im Leitfaden zu Artikel 4.