EU AI Act — Was ist das und was bedeutet es für Unternehmen?
Die weltweit erste KI-Verordnung ist da. Was drin steht, wann was gilt und was du als Unternehmer wissen musst.
Der EU AI Act ist seit August 2024 in Kraft und reguliert KI-Systeme nach Risikokategorien. Bußgelder bis 35 Mio € oder 7% des Jahresumsatzes sind möglich. Gleichzeitig herrscht viel Verwirrung: Was ist wirklich Pflicht, was sind Mythen, und wann musst du konkret handeln? Hier bekommst du sachliche Antworten ohne Panik.
Unternehmen mit EU AI Act Vorbereitung vs. ohne Vorbereitung
Frühe AI Act-Compliance schafft Wettbewerbsvorteile und verhindert teure Bußgelder.
| Kriterium | Mit Vorbereitung | Ohne Vorbereitung |
|---|---|---|
| Rechtssicherheit | Vollständiger Schutz vor EU AI Act-Bußgeldern bis 35 Mio € durch rechtzeitige Vorbereitung, Risikobewertung und ordnungsgemäße Dokumentation aller KI-Systeme. | Permanentes Damoklesschwert: Bußgeld-Risiko bis 35 Mio € oder 7% Jahresumsatz ab 2024/2026, ohne zu wissen, welche KI-Anwendungen betroffen sind. |
| Bußgeldrisiko | Minimiert durch proaktive Maßnahmen: verbotene Praktiken vermeiden, Hochrisiko-KI ordnungsgemäß dokumentieren, Transparenzpflichten erfüllen. | Maximiert durch Unwissen: Jede KI-Anwendung kann unerkannt zu teuren Verstößen führen. EU-Behörden werden bei KI besonders aufmerksam prüfen. |
| Wettbewerbsvorteil | Frühe Compliance schafft Marktvorteile: Du kannst KI-Services rechtssicher anbieten, während Konkurrenten noch unsicher sind. | Wettbewerbsnachteil: Andere bieten bereits AI Act-konforme Lösungen, während du noch rechtliche Risiken klärst. |
| Kundenvertrauen | Gestärkt durch proaktive Transparenz: Kunden schätzen Unternehmen, die verantwortungsvoll mit KI umgehen und Compliance ernst nehmen. | Gefährdet durch Rechtsunsicherheit: Kunden werden misstrauisch bei Anbietern, die nicht erklären können, ob ihre KI-Services legal sind. |
| Innovationsfähigkeit | Planbare Innovation: Mit klaren AI Act-Richtlinien weißt du, welche KI-Entwicklungen erlaubt sind und welche nicht. Entscheidungen werden schneller. | Gelähmte Innovation: Rechtsunsicherheit verhindert KI-Investitionen. Du wagst keine neuen KI-Projekte, weil das Compliance-Risiko unklar ist. |
| Dokumentationsaufwand | Strukturiert und effizient: Einmal aufgesetzte AI Act-Dokumentation macht KI-Systeme wartbarer und Updates einfacher. | Chaotisch und teuer: Notfall-Dokumentation unter Behördendruck kostet 5-10x mehr als präventive Vorbereitung. |
| Marktzugang EU | Gesichert: AI Act-Compliance ist dein Ticket für den EU-Markt mit 450 Millionen potenziellen Kunden. | Gefährdet: Ohne Compliance darfst du viele KI-Systeme nicht in der EU betreiben oder vermarkten. |
| Zeitdruck | Entspannt: Frühe Vorbereitung gibt dir Spielraum für sorgfältige Umsetzung und Budgetplanung. | Extrem: Je näher 2025/2026 rückt, desto teurer und stressiger wird Compliance. Beratungskapazitäten werden knapp. |
Die 4 Risikokategorien des EU AI Act
Der AI Act teilt KI-Systeme in vier Kategorien mit unterschiedlichen Anforderungen ein.
Unzulässiges Risiko (VERBOTEN)
Diese KI-Anwendungen sind seit August 2024 grundsätzlich verboten: **Social Scoring** durch öffentliche Stellen (Bürgerbewertung wie in China), **manipulative KI-Techniken**, die Menschen unterschwellig beeinflussen (z.B. in Werbung), **biometrische Echtzeit-Fernidentifizierung** in öffentlichen Räumen (mit Ausnahmen für Strafverfolgung). Verstöße: bis zu 35 Mio € oder 7% Jahresumsatz.
Hochrisiko-KI (STRENGE REGELN)
KI in kritischen Bereichen nach Anhang III: **kritische Infrastrukturen**, **Bildungswesen**, **Beschäftigungswesen** (HR-KI), **wesentliche Dienstleistungen** (Kreditscoring), **Strafverfolgung**, **Migration/Asyl**, **Rechtspflege**. Ab August 2026 Pflicht: CE-Kennzeichnung, Risikobewertung, umfassende Dokumentation, menschliche Aufsicht. Ohne Nachweis: Betriebsverbot.
Begrenztes Risiko (TRANSPARENZPFLICHTEN)
KI mit Interaktionsrisiken: **Chatbots** müssen sich als KI identifizieren, **Deepfakes** müssen als künstlich gekennzeichnet werden, **Emotion Recognition** und **biometrische Kategorisierung** brauchen Nutzerinformation. Diese Pflichten gelten teilweise schon jetzt. Relativ einfach umsetzbar, aber wichtig für Kundentransparenz.
Minimales/geringes Risiko (KEINE BESONDEREN PFLICHTEN)
Der Großteil der KI-Anwendungen fällt hierunter: **Spam-Filter**, **Textkorrektur-Tools**, **einfache Datenanalytik**, **Lagerverwaltungs-KI**, **interne Optimierungstools** ohne Personenbezug. Für diese KI-Systeme gelten keine besonderen AI Act-Anforderungen – nur die normalen Gesetze (DSGVO, Produkthaftung etc.).
Was der EU AI Act NICHT regelt
Diese KI-Bereiche sind vom AI Act ausgenommen oder haben Sonderregelungen.
Reine Forschung und Entwicklung
KI-Systeme, die ausschließlich für **wissenschaftliche Forschung** entwickelt und getestet werden, sind vom AI Act ausgenommen. Das gilt aber nur, solange sie nicht in den Markt gebracht oder in realen Anwendungen eingesetzt werden. Sobald Forschungs-KI produktiv genutzt wird, greifen die AI Act-Regeln.
Militärische und verteidigungspolitische KI
KI-Systeme für **nationale Sicherheit, Verteidigung und militärische Zwecke** sind ausdrücklich ausgenommen. Das betrifft sowohl rein militärische Anwendungen als auch Dual-Use-Technologien im Sicherheitskontext. Aber Achtung: Zivile Nutzung derselben KI fällt wieder unter den AI Act.
Rein private/persönliche Nutzung
KI-Anwendungen für **ausschließlich persönliche, nicht-berufliche Tätigkeiten** sind ausgenommen. Das betrifft private Nutzung von ChatGPT, Smartphone-KI, Smart-Home-Systeme für den Hausgebrauch. Sobald KI geschäftlich genutzt wird – auch im Home Office –, kann der AI Act greifen.
Open-Source-KI (mit Einschränkungen)
**Open-Source-KI-Komponenten** haben Erleichterungen, sind aber nicht vollständig ausgenommen. General-Purpose-KI-Modelle mit mehr als 10^25 FLOPs haben auch als Open Source Pflichten. Außerdem: Wer Open-Source-KI geschäftlich einsetzt, kann trotzdem als Deployer Pflichten haben. Open Source bedeutet nicht automatisch AI Act-frei.
Wann du jetzt handeln solltest
Diese 6 Situationen machen AI Act-Vorbereitung zur Priorität.
Du nutzt möglicherweise bereits verbotene KI-Praktiken
Seit August 2024 sind bestimmte KI-Anwendungen verboten: Social Scoring durch Unternehmen, manipulative KI-Techniken, biometrische Echtzeit-Identifikation in öffentlichen Räumen. Beispiele aus der Praxis: Bewertung von Mitarbeitern basierend auf Verhalten, unterschwellige KI-Beeinflussung in Werbung, Gesichtserkennung im Laden. Diese Praktiken sind JETZT schon illegal und werden bestraft.
Deine KI-Systeme fallen unter Hochrisiko-Kategorien
Hochrisiko-KI nach Anhang III umfasst: KI in kritischen Infrastrukturen, Bildungswesen, Personalwesen (Bewerbungsfilter, Leistungsbewertung), Kreditentscheidungen, Strafverfolgung, Migration/Asyl. Ab August 2026 brauchst du für solche Systeme CE-Kennzeichnung, Risikobewertung, Dokumentation und menschliche Aufsicht. Ohne diese Nachweise darfst du die KI nicht betreiben.
Die Übergangsfristen laufen bereits
Verbotene Praktiken gelten SEIT August 2024. GPAI-Modellverpflichtungen greifen ab Februar 2025. Hochrisiko-KI muss bis August 2026 compliant sein. Das klingt nach viel Zeit, aber Compliance-Projekte dauern 6-18 Monate. Wenn du 2025 startest, wird es knapp. Wenn du 2026 startest, ist es zu spät. Der AI Act ist nicht nur angekündigt – er läuft bereits.
Du bist KI-Anbieter, nicht nur -Nutzer
Viele Unternehmen unterschätzen: Sobald du KI-Systeme für Kunden oder Geschäftspartner bereitstellst, giltst du als 'Provider' mit vollen Anbieterpflichten. Das betrifft: SaaS mit KI-Features, automatisierte Kundenbewertungen, KI-basierte Apps, personalisierte Services. Als Provider hast du deutlich mehr Compliance-Aufwand als reine Nutzer.
Du hast mehr als 50 Mitarbeiter oder machst EU-Geschäfte
Der EU AI Act gilt für alle Unternehmen, die KI-Systeme in der EU in Verkehr bringen oder betreiben – unabhängig von der Unternehmensgröße oder dem Sitz. Auch US-amerikanische oder asiatische Unternehmen müssen sich daran halten, wenn sie EU-Kunden haben. Es gibt KEINE Größenausnahme wie bei anderen Gesetzen.
Deine KI verarbeitet personenbezogene oder sensible Daten
KI-Systeme mit personenbezogenen Daten haben höhere Compliance-Anforderungen: Kombination aus DSGVO und AI Act. Besonders kritisch: biometrische Daten, Gesundheitsdaten, Finanzdaten. Hier greifen oft sowohl Hochrisiko-Klassifikationen als auch Verbotspraktiken. Du brauchst sowohl DSGVO-Expertise als auch AI Act-Knowhow.
Wann du (noch) nicht betroffen bist
In diesen Fällen hast du mehr Spielraum bei der AI Act-Vorbereitung.
Du nutzt nur KI mit minimalem Risiko
KI-Anwendungen mit minimalem Risiko haben keine besonderen AI Act-Pflichten: einfache Spam-Filter, Textkorrektur-Tools, reine Datenanalytik ohne Entscheidungsfindung, interne Optimierungstools ohne Personenbezug. Wenn deine KI keine Entscheidungen über Menschen trifft und keine sensiblen Bereiche betrifft, bist du erstmal entspannt dran.
Du setzt noch gar keine KI-Systeme ein
Wer noch keine KI nutzt, hat logischerweise auch keine AI Act-Pflichten. Das betrifft nach wie vor viele traditionelle Unternehmen: Handwerksbetriebe, lokale Dienstleister, klassische Industrieunternehmen ohne Automatisierung. Allerdings: Der Trend geht Richtung KI, und dann solltest du vorbereitet sein.
Du nutzt KI nur für rein interne Prozesse
Interne KI-Tools ohne Auswirkung auf Dritte sind oft weniger kritisch: Lageroptimierung, Maschinenwartungsplanung, interne Datenauswertung ohne Personenbezug. Aber Achtung: Sobald Mitarbeiterdaten involviert sind (Leistungsbewertung, Arbeitszeit-Tracking) oder externe Auswirkungen bestehen, wird es wieder komplexer.
Du profitierst von KMU-Erleichterungen
Artikel 62 der AI-Verordnung sieht Unterstützung für kleine und mittlere Unternehmen vor: vereinfachte Verfahren, kostenlose oder vergünstigte Konformitätsbewertung, technische Unterstützung durch nationale Behörden. Die genauen Erleichterungen werden noch ausgearbeitet, aber KMU sollen nicht unverhältnismäßig belastet werden.
Wichtiger Hinweis
Die Informationen auf dieser Seite dienen ausschließlich der allgemeinen Orientierung und stellen keine Rechtsberatung dar. Für eine individuelle Einschätzung der AI Act-Anforderungen für Ihr Unternehmen empfehlen wir die Beratung durch einen Fachanwalt für IT-Recht.
EU AI Act: Die wichtigsten Fragen beantwortet
Weitere KI-Themen für Unternehmen
DSGVO und KI
Welche Datenschutz-Regeln bei KI-Einsatz gelten und worauf du achten musst.
WeiterlesenKI für KMU — Was bringt es wirklich?
Ehrlicher Überblick: Wo KI hilft, was es kostet und wann du besser wartest.
WeiterlesenKI-Chatbot für Unternehmen
Automatisierter Kundensupport im Vergleich — mit interaktivem Check.
WeiterlesenDer EU AI Act ist machbar
Der AI Act klingt kompliziert, ist aber strukturiert aufgebaut. Mit der richtigen Vorbereitung kannst du KI weiterhin nutzen und sogar Wettbewerbsvorteile entwickeln. Die meisten KI-Anwendungen fallen unter 'minimales Risiko' und haben kaum zusätzliche Pflichten. Der Aufwand konzentriert sich auf wirklich kritische Bereiche – und das ist auch sinnvoll.