AI-Act & Pflichten

EU AI Act

Der EU AI Act (Verordnung (EU) 2024/1689) ist das europäische KI-Gesetz: Er regelt seit dem 1. August 2024 gestaffelt, welche KI-Anwendungen verboten sind, welche als hochriskant streng geprüft werden und welche Transparenz- und Schulungspflichten alle Unternehmen treffen, die KI einsetzen.

Das Wichtigste in Kürze

Gilt gestaffelt: KI-Kompetenzpflicht seit 02.02.2025, Transparenzpflichten seit 02.08.2026
Betrifft auch Anwender: Wer KI nur NUTZT (z. B. ChatGPT im Vertrieb), ist „Betreiber" mit eigenen Pflichten
Bußgelder bis 35 Mio. € bzw. 7 % des Weltumsatzes für verbotene Praktiken
Für die meisten KMU relevant: Kompetenz (Art. 4), Kennzeichnung (Art. 50), Bestandsaufnahme der eingesetzten Tools

Was ist das?

Der AI Act sortiert KI-Anwendungen nach Risiko. Verboten sind wenige Extremfälle (etwa Social Scoring). Streng reguliert sind Hochrisiko-Systeme, zum Beispiel KI in der Personalauswahl oder Kreditvergabe. Für den breiten Rest — Textassistenten, Übersetzung, Bildgenerierung, Chatbots — gelten vor allem Transparenz- und Kompetenzpflichten.

Wichtig für euch: Die Verordnung unterscheidet zwischen Anbietern (die KI-Systeme entwickeln oder unter eigenem Namen anbieten) und Betreibern (die KI beruflich einsetzen). Schon wer ein fertiges Tool wie ChatGPT oder Copilot im Arbeitsalltag nutzt, ist Betreiber — und muss dafür sorgen, dass die eigenen Leute ausreichend geschult sind (Art. 4) und KI-Inhalte dort gekennzeichnet werden, wo die Verordnung es verlangt (Art. 50).

Die Pflichten kamen in Wellen: Verbote und KI-Kompetenz seit dem 2. Februar 2025, Regeln für allgemeine KI-Modelle seit dem 2. August 2025, der Großteil — inklusive Transparenzpflichten — seit dem 2. August 2026. Einzelne Übergangsfristen für Hochrisiko-Systeme laufen bis 2027.

Was bringt das eurem Betrieb?

So unbequem eine Verordnung klingt: Für die meisten Mittelständler ist der AI Act machbar und sogar nützlich. Die Pflichten zwingen zu drei Dingen, die sich ohnehin lohnen — einer Bestandsaufnahme, welche KI-Tools im Haus wirklich genutzt werden (oft mehr als die Geschäftsführung weiß, Stichwort Schatten-KI), einer Grundschulung des Teams und klaren Spielregeln in einer KI-Richtlinie. Wer das sauber aufsetzt, hat nicht nur Compliance, sondern auch die Grundlage, KI produktiv und ohne Wildwuchs zu nutzen.

Was kostet das?

Für typische KMU ohne Hochrisiko-Anwendungen ist der Aufwand überschaubar: eine Bestandsaufnahme (ein bis zwei Arbeitstage), eine Team-Schulung und eine KI-Richtlinie. Teuer wird es erst bei Hochrisiko-Systemen (z. B. KI-gestützte Bewerberauswahl) — dort gelten Dokumentations- und Prüfpflichten, die ihr vor der Einführung kennen solltet. Hinweis: Dieser Beitrag ist keine Rechtsberatung; klärt Detailfragen mit eurer Datenschutz- oder Rechtsberatung.

Beispiel aus dem Mittelstand

Ein Maschinenbauer mit 120 Mitarbeitenden nutzt ChatGPT im Vertrieb, ein Übersetzungstool im Export und testet KI-gestützte Angebotserstellung. AI-Act-seitig heißt das: alle drei Tools in eine Bestandsliste, Team einmal grundlegend schulen (Art. 4), Kennzeichnungsregeln für nach außen gehende KI-Inhalte festlegen (Art. 50) — und bei der Angebots-KI prüfen, ob sie Personaldaten oder Preisentscheidungen berührt. Kein Projekt für Monate, aber eines mit Verantwortlichem und Termin.

Häufige Fragen

Was bedeutet der EU AI Act für kleine Unternehmen — und ab wann gilt was?

Die für KMU wichtigsten Pflichten gelten bereits: Seit Februar 2025 müssen Mitarbeitende, die KI nutzen, ausreichend geschult sein; seit August 2026 gelten die Transparenzpflichten. Verbotene Anwendungen betreffen die wenigsten Betriebe. Erste Aufgabe ist eine ehrliche Bestandsaufnahme der genutzten Tools.

Gilt der AI Act auch, wenn wir KI nur nutzen und nichts selbst entwickeln?

Ja. Wer KI beruflich einsetzt, ist „Betreiber" im Sinn der Verordnung — mit eigenen Pflichten wie der KI-Kompetenz nach Art. 4. Die schweren Anbieter-Pflichten (Konformitätsbewertung, technische Dokumentation) treffen euch als reine Nutzer dagegen nicht.

Welche Strafen drohen bei Verstößen?

Der Rahmen reicht je nach Verstoß bis 35 Mio. € oder 7 % des weltweiten Jahresumsatzes (verbotene Praktiken); für die meisten anderen Verstöße liegt die Obergrenze bei 15 Mio. € oder 3 %. Für KMU sieht die Verordnung ausdrücklich verhältnismäßige Sanktionen vor — Bußgelder ersetzen aber keine Vorbereitung.