EU AI Act erklärt – Was Unternehmen jetzt wissen müssen

Was ist der EU AI Act?

Der EU AI Act (Verordnung 2024/1689) ist das erste umfassende KI-Gesetz weltweit. Er wurde am 12. Juli 2024 im Amtsblatt der EU veröffentlicht und trat am 1. August 2024 in Kraft. Als EU-Verordnung gilt er direkt in allen Mitgliedstaaten – ohne Umsetzung in nationales Recht.

Wichtig: Der AI Act gilt nicht nur für europäische Unternehmen. Er gilt für alle, die KI-Systeme in der EU einsetzen oder deren Ergebnisse in der EU nutzen – auch wenn der Anbieter in den USA sitzt. OpenAI, Google und Anthropic müssen sich als Anbieter von GPAI-Modellen (General Purpose AI) ebenfalls an den AI Act halten.

Der risikobasierte Ansatz: 4 Kategorien

Der AI Act teilt KI-Systeme in vier Risikokategorien ein. Je höher das Risiko, desto strenger die Anforderungen:

Kategorie 1: Unannehmbares Risiko → VERBOTEN (seit 02.02.2025)
Kategorie 2: Hohes Risiko         → Strenge Pflichten (ab 02.08.2026/2027)
Kategorie 3: Begrenztes Risiko    → Transparenzpflichten
Kategorie 4: Minimales Risiko     → Keine spezifischen Pflichten

Kategorie 1: Verbotene KI-Praktiken (seit 2. Februar 2025)

Diese KI-Systeme sind in der EU vollständig verboten – wer sie einsetzt, riskiert Bußgelder bis 35 Mio. Euro oder 7% des weltweiten Jahresumsatzes:

Verbotene Praxis	Beschreibung
Social Scoring	KI-Systeme die Menschen anhand ihres Verhaltens bewerten und benachteiligen (wie in China)
Kognitive Verhaltensmanipulation	KI die Personen unbewusst manipuliert, z.B. durch Ausnutzung von Schwächen
Biometrische Echtzeit-Identifikation	Gesichtserkennung in öffentlichen Räumen zur Strafverfolgung (mit engen Ausnahmen)
Gesichtserkennungs-Datenbanken	Massenhaftes Auslesen von Gesichtsbildern aus dem Internet (wie Clearview AI)
Emotionserkennung am Arbeitsplatz	KI die Emotionen von Mitarbeitern oder Schülern erkennt und auswertet
Biometrische Kategorisierung	Ableitung sensibler Merkmale (politische Meinung, Religion, Sexualität) aus biometrischen Daten

Für die meisten Unternehmen relevant: Emotionserkennung am Arbeitsplatz und Social Scoring. Wer KI-Systeme zur Mitarbeiterüberwachung oder -bewertung einsetzt, muss diese auf Konformität prüfen.

Kategorie 2: Hochrisiko-KI-Systeme

Hochrisiko-KI ist nicht verboten, aber stark reguliert. Betreiber müssen umfangreiche Dokumentations-, Transparenz- und Überwachungspflichten erfüllen.

Wann ist ein KI-System Hochrisiko?

• Personalwesen: KI für Recruiting, Beförderungen, Kündigung, Leistungsbewertung
• Kreditvergabe: KI-gestützte Kreditwürdigkeitsprüfung
• Bildung: KI die Zugangsentscheidungen zu Bildungseinrichtungen trifft
• Kritische Infrastruktur: KI in Energie, Wasser, Verkehr
• Strafverfolgung: KI für Risikobewertung, Lügendetektion, Beweisauswertung
• Migration: KI für Asylentscheidungen, Grenzkontrollen
• Justiz: KI zur Unterstützung von Gerichtsentscheidungen

Pflichten für Hochrisiko-Betreiber:

• Technische Dokumentation und Risikoanalyse
• Menschliche Aufsicht sicherstellen
• Robustheit, Genauigkeit und Cybersicherheit gewährleisten
• Protokollierung und Nachvollziehbarkeit
• Registrierung in der EU-Datenbank für Hochrisiko-KI

Kategorie 3: Begrenztes Risiko – Transparenzpflichten

KI-Systeme die mit Menschen interagieren, müssen dies kenntlich machen:

• Chatbots und KI-Assistenten: Nutzer müssen wissen, dass sie mit einer KI sprechen
• Deepfakes: KI-generierte Bilder, Videos und Audio müssen als solche gekennzeichnet werden
• Emotionserkennung (nicht am Arbeitsplatz): Betroffene müssen informiert werden

Praktische Konsequenz: Wer einen KI-Chatbot auf seiner Website betreibt, muss klar kennzeichnen, dass es sich um eine KI handelt.

GPAI-Modelle: Besondere Pflichten für Anbieter (seit 2. August 2025)

General Purpose AI (GPAI) sind Modelle wie GPT-5, Claude oder Gemini – Modelle die für viele verschiedene Aufgaben genutzt werden können. Für ihre Anbieter (OpenAI, Anthropic, Google) gelten seit August 2025 besondere Pflichten:

• Technische Dokumentation bereitstellen
• Urheberrechtsrichtlinien veröffentlichen
• Zusammenfassung der Trainingsdaten veröffentlichen
• Für Modelle mit „systemischem Risiko” (sehr große Modelle): Adversarial Testing, Incident Reporting, Cybersicherheitsmaßnahmen

Für Nutzer von GPAI-Modellen (also Unternehmen die ChatGPT oder Claude nutzen): Die GPAI-Pflichten treffen primär die Anbieter, nicht die Nutzer. Aber: Als Betreiber bist du für den konkreten Einsatz verantwortlich.

Die KI-Kompetenzpflicht (gilt jetzt für alle)

Art. 4 AI Act verpflichtet alle Anbieter und Betreiber von KI-Systemen – unabhängig von der Risikokategorie – sicherzustellen, dass ihr Personal über ausreichende KI-Kompetenz verfügt.

Das bedeutet konkret:

• Mitarbeiter die KI-Systeme nutzen, müssen deren Funktionsweise und Grenzen verstehen
• Schulungen und Weiterbildungen müssen angeboten werden
• Die Kompetenzanforderungen hängen vom Kontext ab (Risiko, Aufgabe, Zielgruppe)

Praktisch: Wer ChatGPT im Unternehmen einsetzt, muss sicherstellen, dass Mitarbeiter wissen, was Halluzinationen sind, wie man Ausgaben prüft und welche Daten nicht eingegeben werden dürfen.

Zeitplan: Was gilt wann?

Datum	Was wird anwendbar?
1. August 2024	AI Act tritt in Kraft
2. Februar 2025	Verbotene KI-Praktiken (Art. 5) – jetzt gültig
2. August 2025	GPAI-Pflichten für Modellanbieter – jetzt gültig
2. August 2026	Vollständige Anwendung (Hochrisiko, Transparenz, Governance)
2. August 2027	Hochrisiko-KI in Anhang I (bestimmte Sektoren)

Hinweis: Die EU-Kommission hat im November 2025 vorgeschlagen, einige Hochrisiko-Fristen auf Dezember 2027 zu verschieben. Dieser Vorschlag muss noch von Parlament und Rat verabschiedet werden.

Bußgelder und Sanktionen

Verstoß	Maximales Bußgeld
Verbotene KI-Praktiken (Art. 5)	35 Mio. € oder 7% des weltweiten Jahresumsatzes
Andere Verstöße	15 Mio. € oder 3% des Jahresumsatzes
Falsche Informationen an Behörden	7,5 Mio. € oder 1% des Jahresumsatzes

Marktüberwachungsbehörden können ab August 2026 Untersuchungen einleiten. In Deutschland wird die Bundesnetzagentur voraussichtlich als nationale KI-Aufsichtsbehörde fungieren.

Compliance-Checkliste für Unternehmen

Sofort (bereits gültig)

• KI-Inventar erstellen: Welche KI-Systeme nutzt oder entwickelt das Unternehmen?
• Verbotene Praktiken prüfen: Emotionserkennung am Arbeitsplatz? Social Scoring?
• KI-Kompetenzpflicht: Schulungen für Mitarbeiter die KI nutzen
• Chatbots kennzeichnen: Nutzer müssen wissen dass sie mit KI sprechen
• Datenschutz: AVV mit KI-Anbietern, keine personenbezogenen Daten ohne Prüfung

Bis August 2026

• Hochrisiko-Prüfung: Werden KI-Systeme für Personalentscheidungen, Kreditvergabe etc. genutzt?
• Dokumentation für Hochrisiko-Systeme erstellen
• Menschliche Aufsicht für Hochrisiko-Entscheidungen sicherstellen
• Registrierung in EU-Datenbank für Hochrisiko-KI (falls zutreffend)
• Deepfake-Kennzeichnung implementieren

Kontinuierlich

• KI-Systeme auf Konformität überwachen
• Mitarbeiter regelmäßig schulen
• Änderungen im AI Act verfolgen (Durchführungsrechtsakte, Leitlinien)

Häufige Fehler und wie du sie vermeidest

Problem: „Wir nutzen nur ChatGPT – das betrifft uns nicht”

Ursache: Missverständnis dass der AI Act nur KI-Entwickler betrifft. Lösung: Der AI Act gilt auch für Betreiber (Nutzer) von KI-Systemen. KI-Kompetenzpflicht, Transparenzpflichten und das Verbot bestimmter Praktiken gelten für alle Unternehmen die KI einsetzen.

Problem: „Wir wissen nicht welche unserer KI-Systeme Hochrisiko sind”

Ursache: Kein systematisches KI-Inventar. Lösung: KI-Inventar erstellen und jeden Einsatz gegen die Hochrisiko-Kriterien prüfen. Besonders kritisch: KI in HR, Kreditvergabe, Sicherheitssystemen. Im Zweifel Rechtsberatung einholen.

Problem: „Wir haben keine Zeit für Compliance”

Ursache: Compliance wird als Bürde gesehen statt als Risikomanagement. Lösung: Priorisieren: Verbotene Praktiken sofort prüfen (Bußgeld bis 7% Umsatz). KI-Kompetenzpflicht mit bestehenden Schulungsprogrammen kombinieren. Hochrisiko-Compliance bis 2026 planen.