Die wichtigsten Erkenntnisse
- Der AI Act gilt für alle Unternehmen die KI in der EU einsetzen – auch wenn der Anbieter außerhalb der EU sitzt
- Verbotene Praktiken (Social Scoring, Emotionserkennung am Arbeitsplatz) sind seit 2. Februar 2025 illegal
- GPAI-Pflichten (ChatGPT, Claude, Gemini als Anbieter) gelten seit 2. August 2025
- Hochrisiko-KI nach Anhang III folgt ab 2. Dezember 2027; in regulierten Produkten ab 2. August 2028
- KI-Kompetenzpflicht gilt jetzt für alle – Mitarbeiter müssen ausreichend KI-Kenntnisse haben
Was ist der EU AI Act?
Der EU AI Act (Verordnung 2024/1689) ist das erste umfassende KI-Gesetz weltweit. Er wurde am 12. Juli 2024 im Amtsblatt der EU veröffentlicht und trat am 1. August 2024 in Kraft. Als EU-Verordnung gilt er direkt in allen Mitgliedstaaten – ohne Umsetzung in nationales Recht.
Wichtig: Der AI Act gilt nicht nur für europäische Unternehmen. Er gilt für alle, die KI-Systeme in der EU einsetzen oder deren Ergebnisse in der EU nutzen – auch wenn der Anbieter in den USA sitzt. OpenAI, Google und Anthropic müssen sich als Anbieter von GPAI-Modellen (General Purpose AI) ebenfalls an den AI Act halten.
Der risikobasierte Ansatz: 4 Kategorien
Der AI Act teilt KI-Systeme in vier Risikokategorien ein. Je höher das Risiko, desto strenger die Anforderungen:
Kategorie 1: Unannehmbares Risiko → VERBOTEN (seit 02.02.2025)
Kategorie 2: Hohes Risiko → Strenge Pflichten (ab 02.12.2027 bzw. 02.08.2028)
Kategorie 3: Begrenztes Risiko → Transparenzpflichten
Kategorie 4: Minimales Risiko → Keine spezifischen PflichtenKategorie 1: Verbotene KI-Praktiken (seit 2. Februar 2025)
Diese KI-Systeme sind in der EU vollständig verboten – wer sie einsetzt, riskiert Bußgelder bis 35 Mio. Euro oder 7% des weltweiten Jahresumsatzes:
| Verbotene Praxis | Beschreibung |
|---|---|
| Social Scoring | KI-Systeme die Menschen anhand ihres Verhaltens bewerten und benachteiligen (wie in China) |
| Kognitive Verhaltensmanipulation | KI die Personen unbewusst manipuliert, z.B. durch Ausnutzung von Schwächen |
| Biometrische Echtzeit-Identifikation | Gesichtserkennung in öffentlichen Räumen zur Strafverfolgung (mit engen Ausnahmen) |
| Gesichtserkennungs-Datenbanken | Massenhaftes Auslesen von Gesichtsbildern aus dem Internet (wie Clearview AI) |
| Emotionserkennung am Arbeitsplatz | KI die Emotionen von Mitarbeitern oder Schülern erkennt und auswertet |
| Biometrische Kategorisierung | Ableitung sensibler Merkmale (politische Meinung, Religion, Sexualität) aus biometrischen Daten |
Für die meisten Unternehmen relevant: Emotionserkennung am Arbeitsplatz und Social Scoring. Wer KI-Systeme zur Mitarbeiterüberwachung oder -bewertung einsetzt, muss diese auf Konformität prüfen.
Kategorie 2: Hochrisiko-KI-Systeme
Hochrisiko-KI ist nicht verboten, aber stark reguliert. Für Systeme nach Anhang III greifen die Pflichten ab 2. Dezember 2027; für Hochrisiko-KI als Bestandteil regulierter Produkte ab 2. August 2028. Bereite Dokumentation, Transparenz und Überwachung vor der jeweils einschlägigen Frist vor.
Wann ist ein KI-System Hochrisiko?
- Personalwesen: KI für Recruiting, Beförderungen, Kündigung, Leistungsbewertung
- Kreditvergabe: KI-gestützte Kreditwürdigkeitsprüfung
- Bildung: KI die Zugangsentscheidungen zu Bildungseinrichtungen trifft
- Kritische Infrastruktur: KI in Energie, Wasser, Verkehr
- Strafverfolgung: KI für Risikobewertung, Lügendetektion, Beweisauswertung
- Migration: KI für Asylentscheidungen, Grenzkontrollen
- Justiz: KI zur Unterstützung von Gerichtsentscheidungen
Pflichten für Hochrisiko-Betreiber:
- Technische Dokumentation und Risikoanalyse
- Menschliche Aufsicht sicherstellen
- Robustheit, Genauigkeit und Cybersicherheit gewährleisten
- Protokollierung und Nachvollziehbarkeit
- Registrierung in der EU-Datenbank für Hochrisiko-KI
Kategorie 3: Begrenztes Risiko – Transparenzpflichten
KI-Systeme die mit Menschen interagieren, müssen dies kenntlich machen:
- Chatbots und KI-Assistenten: Nutzer müssen wissen, dass sie mit einer KI sprechen
- Deepfakes: KI-generierte Bilder, Videos und Audio müssen als solche gekennzeichnet werden
- Emotionserkennung (nicht am Arbeitsplatz): Betroffene müssen informiert werden
Praktische Konsequenz: Wer einen KI-Chatbot auf seiner Website betreibt, muss klar kennzeichnen, dass es sich um eine KI handelt.
GPAI-Modelle: Besondere Pflichten für Anbieter (seit 2. August 2025)
General Purpose AI (GPAI) sind Modelle wie aktuelle GPT-, Claude- oder Gemini-Modelle – Modelle, die für viele verschiedene Aufgaben genutzt werden können. Für ihre Anbieter (OpenAI, Anthropic, Google) gelten seit August 2025 besondere Pflichten:
- Technische Dokumentation bereitstellen
- Urheberrechtsrichtlinien veröffentlichen
- Zusammenfassung der Trainingsdaten veröffentlichen
- Für Modelle mit „systemischem Risiko” (sehr große Modelle): Adversarial Testing, Incident Reporting, Cybersicherheitsmaßnahmen
Für Nutzer von GPAI-Modellen (also Unternehmen die ChatGPT oder Claude nutzen): Die GPAI-Pflichten treffen primär die Anbieter, nicht die Nutzer. Aber: Als Betreiber bist du für den konkreten Einsatz verantwortlich.
Die KI-Kompetenzpflicht (gilt jetzt für alle)
Art. 4 AI Act verpflichtet alle Anbieter und Betreiber von KI-Systemen – unabhängig von der Risikokategorie – sicherzustellen, dass ihr Personal über ausreichende KI-Kompetenz verfügt.
Das bedeutet konkret:
- Mitarbeiter die KI-Systeme nutzen, müssen deren Funktionsweise und Grenzen verstehen
- Schulungen und Weiterbildungen müssen angeboten werden
- Die Kompetenzanforderungen hängen vom Kontext ab (Risiko, Aufgabe, Zielgruppe)
Praktisch: Wer ChatGPT im Unternehmen einsetzt, muss sicherstellen, dass Mitarbeiter wissen, was Halluzinationen sind, wie man Ausgaben prüft und welche Daten nicht eingegeben werden dürfen.
Zeitplan: Was gilt wann?
| Datum | Was wird anwendbar? |
|---|---|
| 1. August 2024 | AI Act tritt in Kraft |
| 2. Februar 2025 | Verbotene KI-Praktiken (Art. 5) – jetzt gültig |
| 2. August 2025 | GPAI-Pflichten für Modellanbieter – jetzt gültig |
| 2. August 2026 | Transparenzpflichten und Durchsetzung – jetzt gültig |
| 2. Dezember 2027 | Hochrisiko-KI nach Anhang III |
| 2. August 2028 | Hochrisiko-KI als Teil regulierter Produkte |
Hinweis: Die Verordnung wurde 2026 angepasst; die oben genannten Termine bilden den derzeitigen Zeitplan ab. Bei einem konkreten Hochrisiko-Einsatz sollte die rechtliche Einordnung fachkundig geprüft werden.
Bußgelder und Sanktionen
| Verstoß | Maximales Bußgeld |
|---|---|
| Verbotene KI-Praktiken (Art. 5) | 35 Mio. € oder 7% des weltweiten Jahresumsatzes |
| Andere Verstöße | 15 Mio. € oder 3% des Jahresumsatzes |
| Falsche Informationen an Behörden | 7,5 Mio. € oder 1% des Jahresumsatzes |
Marktüberwachungsbehörden können seit August 2026 Untersuchungen einleiten. In Deutschland wird die Bundesnetzagentur voraussichtlich als nationale KI-Aufsichtsbehörde fungieren.
Compliance-Checkliste für Unternehmen
Sofort (bereits gültig)
- KI-Inventar erstellen: Welche KI-Systeme nutzt oder entwickelt das Unternehmen?
- Verbotene Praktiken prüfen: Emotionserkennung am Arbeitsplatz? Social Scoring?
- KI-Kompetenzpflicht: Schulungen für Mitarbeiter die KI nutzen
- Chatbots kennzeichnen: Nutzer müssen wissen dass sie mit KI sprechen
- Datenschutz: AVV mit KI-Anbietern, keine personenbezogenen Daten ohne Prüfung
Vor dem einschlägigen Hochrisiko-Termin
- Hochrisiko-Prüfung: Werden KI-Systeme für Personalentscheidungen, Kreditvergabe etc. genutzt?
- Dokumentation für Hochrisiko-Systeme erstellen
- Menschliche Aufsicht für Hochrisiko-Entscheidungen sicherstellen
- Registrierung in EU-Datenbank für Hochrisiko-KI (falls zutreffend)
- Termin prüfen: Anhang-III-Systeme ab 2. Dezember 2027, regulierte Produkte ab 2. August 2028
Kontinuierlich
- KI-Systeme auf Konformität überwachen
- Mitarbeiter regelmäßig schulen
- Änderungen im AI Act verfolgen (Durchführungsrechtsakte, Leitlinien)
Häufige Fehler und wie du sie vermeidest
Problem: „Wir nutzen nur ChatGPT – das betrifft uns nicht”
Ursache: Missverständnis dass der AI Act nur KI-Entwickler betrifft. Lösung: Der AI Act gilt auch für Betreiber (Nutzer) von KI-Systemen. KI-Kompetenzpflicht, Transparenzpflichten und das Verbot bestimmter Praktiken gelten für alle Unternehmen die KI einsetzen.
Problem: „Wir wissen nicht welche unserer KI-Systeme Hochrisiko sind”
Ursache: Kein systematisches KI-Inventar. Lösung: KI-Inventar erstellen und jeden Einsatz gegen die Hochrisiko-Kriterien prüfen. Besonders kritisch: KI in HR, Kreditvergabe, Sicherheitssystemen. Im Zweifel Rechtsberatung einholen.
Problem: „Wir haben keine Zeit für Compliance”
Ursache: Compliance wird als Bürde gesehen statt als Risikomanagement. Lösung: Priorisieren: Verbotene Praktiken sofort prüfen (Bußgeld bis 7 % Umsatz). KI-Kompetenzpflicht mit bestehenden Schulungsprogrammen kombinieren. Hochrisiko-Compliance rechtzeitig vor dem einschlägigen Termin planen.