Der EU-AI-Act: Was Unternehmen 2026 wissen müssen
Seit dem Inkrafttreten des EU-AI-Acts stehen mittelständische Unternehmen vor neuen regulatorischen Herausforderungen. Die Verordnung gilt als weltweit erstes umfassendes KI-Gesetz und betrifft alle Unternehmen, die KI-Systeme entwickeln, vertreiben oder einsetzen.
Warum der AI Act wichtig ist
Der AI Act verfolgt mehrere Ziele:
• Verbraucherschutz: Schutz von Bürgern vor riskanten KI-Anwendungen
• Rechtssicherheit: Klare Regeln für Entwickler und Anwender
• Innovation fördern: Vertrauenswürdige KI stärkt die Akzeptanz
• Wettbewerbsfähigkeit: Europäische Standards als globaler Maßstab
Das Risikoklassen-System verstehen
Der AI Act kategorisiert KI-Systeme in vier Risikoklassen:
1. Verbotene KI-Praktiken (unannehmbares Risiko)
Diese KI-Anwendungen sind grundsätzlich verboten:
• Social Scoring durch Behörden
• Manipulative Systeme, die Schwächen ausnutzen
• Biometrische Echtzeit-Identifizierung im öffentlichen Raum
• Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen
2. Hochrisiko-KI-Systeme
Strenge Anforderungen gelten für:
• Beschäftigung: KI für Bewerbungsauswahl und Leistungsbewertung
• Bildung: Automatisierte Prüfungsbewertung
• Kritische Infrastruktur: Steuerung von Energie- und Wasserversorgung
• Finanzdienstleistungen: Kreditwürdigkeitsprüfung
• Strafverfolgung: Prädiktive Polizeiarbeit
3. Begrenzte Risiken (Transparenzpflichten)
Hier gelten Informationspflichten:
• Chatbots müssen als KI gekennzeichnet werden
• Deepfakes müssen als künstlich generiert markiert sein
• Emotionserkennungssysteme erfordern Hinweise
4. Minimales Risiko
Für die meisten KI-Anwendungen wie Spam-Filter oder KI-gestützte Videospiele gelten keine besonderen Anforderungen.
Pflichten für den Mittelstand
Als Anwender von Hochrisiko-KI
Wenn Ihr Unternehmen Hochrisiko-KI-Systeme einsetzt:
• Konformitätsbewertung: Sicherstellen, dass der Anbieter CE-Kennzeichnung hat
• Menschliche Aufsicht: Geschultes Personal für Überwachung einsetzen
• Logging: Automatische Protokolle mindestens 6 Monate aufbewahren
• Datenschutz: DSGVO-Konformität sicherstellen
• Information: Betroffene über KI-Einsatz informieren
Als Entwickler oder Anbieter
Unternehmen, die KI-Systeme entwickeln oder anpassen:
• Risikomanagement-System implementieren
• Technische Dokumentation erstellen
• Qualitätsmanagementsystem aufbauen
• Post-Market-Monitoring durchführen
Dokumentationspflichten im Detail
Was muss dokumentiert werden?
Für Hochrisiko-KI-Systeme:
1. Allgemeine Beschreibung: Zweck, Funktionsweise, Zielgruppe
2. Technische Spezifikationen: Algorithmen, Trainingsmethoden, Datenquellen
3. Leistungsmetriken: Genauigkeit, Robustheit, Cybersicherheit
4. Risikobewertung: Identifizierte Risiken und Gegenmaßnahmen
5. Menschliche Aufsicht: Beschreibung der Kontrollmechanismen
Aufbewahrungsfristen
• Technische Dokumentation: 10 Jahre nach Inverkehrbringen
• Automatisch generierte Protokolle: mindestens 6 Monate
• Konformitätserklärungen: 10 Jahre
Praktische Umsetzungsschritte
Schritt 1: Bestandsaufnahme (sofort)
Inventarisieren Sie alle KI-Systeme in Ihrem Unternehmen:
• Welche KI-Tools werden eingesetzt?
• In welchen Abteilungen und für welche Zwecke?
• Wer sind die Anbieter?
• Welche Daten werden verarbeitet?
Schritt 2: Risikoklassifizierung
Ordnen Sie jedes System einer Risikoklasse zu:
• Nutzen Sie die offiziellen Leitlinien der EU-Kommission
• Konsultieren Sie bei Unsicherheit einen Experten
• Dokumentieren Sie Ihre Einschätzung nachvollziehbar
Schritt 3: Gap-Analyse
Identifizieren Sie Handlungsbedarf:
• Welche Anforderungen erfüllen Sie bereits?
• Wo bestehen Lücken?
• Welche Ressourcen werden benötigt?
Schritt 4: Maßnahmenplan erstellen
Priorisieren Sie nach Dringlichkeit und Risiko:
• Hochrisiko-Systeme zuerst adressieren
• Realistische Zeitpläne setzen
• Verantwortlichkeiten zuweisen
Schritt 5: Schulungen durchführen
Mitarbeiter müssen verstehen:
• Grundlagen des AI Acts
• Ihre spezifischen Pflichten
• Meldewege bei Problemen
Typische KI-Anwendungen im Mittelstand
Meist geringes oder minimales Risiko:
• Microsoft Copilot: Produktivitätsassistent (minimales Risiko)
• ChatGPT für Marketing: Content-Erstellung (minimales Risiko)
• KI-gestützte Buchhaltung: Rechnungserkennung (begrenztes Risiko)
• Chatbots: Kundenservice (begrenztes Risiko, Transparenzpflicht)
Potenziell Hochrisiko:
• HR-Software: Automatisierte Bewerberauswahl
• Kreditprüfung: Bonitätsbewertung von Kunden
• Predictive Maintenance: In kritischer Infrastruktur
Sanktionen bei Verstößen
Der AI Act sieht empfindliche Strafen vor:
• Verbotene KI-Praktiken: Bis zu 35 Mio. € oder 7% des weltweiten Jahresumsatzes
• Hochrisiko-Verstöße: Bis zu 15 Mio. € oder 3% des Umsatzes
• Falsche Angaben: Bis zu 7,5 Mio. € oder 1% des Umsatzes
Für KMU gelten reduzierte Obergrenzen, aber die Strafen bleiben erheblich.
Zeitplan: Wichtige Fristen
• Februar 2025: Verbote für unzulässige KI-Praktiken in Kraft
• August 2025: Regeln für General Purpose AI (wie GPT-4)
• August 2026: Vollständige Anwendung für Hochrisiko-Systeme
• August 2027: Regeln für bestimmte Produktgruppen
Unterstützung für KMU
Die EU hat Erleichterungen für kleine und mittlere Unternehmen vorgesehen:
• Regulatory Sandboxes: Testumgebungen für KI-Innovationen
• Reduzierte Gebühren: Niedrigere Kosten für Konformitätsbewertungen
• Vereinfachte Dokumentation: Proportionale Anforderungen
• Kostenlose Beratung: Über nationale KI-Behörden
Checkliste für den Compliance-Check
Prüfen Sie regelmäßig:
☐ Vollständiges KI-Inventar vorhanden
☐ Alle Systeme einer Risikoklasse zugeordnet
☐ Hochrisiko-Systeme identifiziert und dokumentiert
☐ Anbieter-Konformität überprüft
☐ Menschliche Aufsicht gewährleistet
☐ Mitarbeiter geschult
☐ Transparenzpflichten erfüllt
☐ Datenschutz-Integration geprüft
☐ Meldeprozesse etabliert
☐ Dokumentation aktuell
Fazit: Compliance als Chance
Der AI Act mag zunächst als bürokratische Hürde erscheinen. Doch Unternehmen, die frühzeitig Compliance-Strukturen aufbauen, profitieren mehrfach:
• Vertrauensvorsprung: Kunden und Partner schätzen verantwortungsvollen KI-Einsatz
• Risikominimierung: Systematische Prüfungen verhindern Schadensfälle
• Wettbewerbsvorteil: Compliance-Nachweis als Qualitätsmerkmal
• Innovationskultur: Strukturierte KI-Governance fördert nachhaltige Innovation
Nächste Schritte
Sie möchten Ihr Unternehmen fit für den AI Act machen? Wir unterstützen Sie bei der Bestandsaufnahme, Risikoklassifizierung und Entwicklung eines maßgeschneiderten Compliance-Plans. Kontaktieren Sie uns für ein unverbindliches Erstgespräch.