Seit dem 2. August 2024 ist der EU AI Act offiziell in Kraft. Die Umsetzungsfristen laufen gestaffelt bis 2027, doch die ersten verbindlichen Regeln galten bereits ab Februar 2025. Für Unternehmen, die KI-Systeme entwickeln, einsetzen oder als Dienstleistung beziehen, bedeutet das: Warten ist keine Option mehr.
Was der EU AI Act konkret verlangt
Der EU AI Act teilt KI-Systeme in vier Risikoklassen ein. Anwendungen mit unannehmbarem Risiko sind verboten, dazu gehören zum Beispiel Social-Scoring-Systeme staatlicher Stellen oder Echtzeit-Biometrie in öffentlichen Räumen ohne enge Ausnahmen. Hochrisiko-KI umfasst Systeme in Bereichen wie Personalentscheidungen, Kreditvergabe, medizinische Diagnostik oder kritische Infrastruktur. Hier gelten strenge Anforderungen an Dokumentation, Transparenz und menschliche Aufsicht.
Für die Mehrzahl der Unternehmen relevanter sind die Anforderungen an Allzweck-KI-Modelle, also Systeme wie große Sprachmodelle, die in verschiedenen Kontexten eingesetzt werden. Anbieter solcher Modelle müssen technische Dokumentation bereitstellen und Urheberrechtsvorgaben einhalten. Ab einer bestimmten Trainingsleistung kommen zusätzliche Pflichten hinzu.
Schulungspflicht: Artikel 4 als unterschätzter Ankerpunkt
Weniger diskutiert, aber operativ bedeutsam ist Artikel 4 des EU AI Act. Er verpflichtet Anbieter und Betreiber von KI-Systemen dazu, sicherzustellen, dass ihr Personal über ausreichende KI-Kompetenz verfügt. Der Begriff „AI literacy“ klingt abstrakt, meint aber sehr Konkretes: Mitarbeitende, die KI-gestützte Tools nutzen oder deren Ergebnisse bewerten, müssen die Funktionsweise, die Grenzen und die Risiken dieser Systeme verstehen.
Das gilt nicht nur für IT-Abteilungen. Ein Sachbearbeiter, der Kreditanträge mithilfe eines KI-Scoring-Systems bewertet, fällt genauso darunter wie eine HR-Managerin, die automatisiert vorgefilterte Bewerberlisten erhält. Wer als Unternehmen keine nachvollziehbare Schulungsstrategie vorweisen kann, riskiert Bußgelder und Reputationsschäden.
Kompetenznachweis: Warum Zertifizierungen jetzt relevant werden
Behörden und Kunden werden künftig fragen, wie Unternehmen die KI-Kompetenz ihrer Mitarbeitenden sicherstellen. Interne Schulungsunterlagen reichen dafür nicht aus, wenn sie nicht dokumentiert, strukturiert und überprüfbar sind. Externe Zertifizierungen erfüllen genau diese Funktion: Sie belegen nachvollziehbar, dass eine Person definierte Inhalte absolviert und verstanden hat.
Wer für sich oder seine Mitarbeitenden einen strukturierten Kompetenznachweis anstrebt, findet mit einem anerkannten KI-Zertifikat eine konkrete Möglichkeit, diese Anforderung zu erfüllen und gleichzeitig ein verwertbares Dokument in der Hand zu haben. Das wird besonders dann relevant, wenn Unternehmen bei Ausschreibungen oder in Audits nachweisen müssen, dass ihre Teams im Umgang mit KI geschult sind.
Der Markt für solche Nachweise entwickelt sich schnell. Wichtig bei der Auswahl: Das Programm sollte praxisnahe Inhalte abdecken, also nicht nur Begriffsdefinitionen, sondern auch Anwendungsfälle, ethische Fragen und regulatorische Grundlagen.
Hochrisiko-KI im Betrieb: Was Unternehmen konkret tun müssen
Wer ein Hochrisiko-KI-System betreibt, hat eine Reihe von Pflichten:
- Technische Dokumentation: Das System muss beschrieben und seine Funktionsweise nachvollziehbar sein.
- Risikomanagementsystem: Risiken müssen identifiziert, bewertet und minimiert werden, fortlaufend über den gesamten Lebenszyklus.
- Protokollierung: Automatische Logs sind Pflicht, damit Entscheidungen im Nachgang rekonstruiert werden können.
- Menschliche Aufsicht: Für bestimmte Entscheidungen muss ein Mensch eingreifen können, das System darf nicht vollständig autonom agieren.
- Konformitätsbewertung: Je nach Risikoklasse ist eine Selbstbewertung oder externe Prüfung erforderlich, bevor das System in Betrieb geht.
Ein Beispiel aus der Praxis: Ein Logistikunternehmen setzt ein KI-System zur Tourenplanung ein. Solange dieses System nur Vorschläge macht und kein Teil kritischer Infrastruktur ist, fällt es wahrscheinlich in die Niedrigrisikoklasse. Entscheidet dasselbe System aber automatisch über Lieferantenverträge oder hat Zugriff auf sicherheitsrelevante Netzwerke, sieht die Einstufung anders aus.
Praxischeck: Wie gut ist Ihr Unternehmen aufgestellt?
Viele mittelständische Unternehmen haben noch keinen vollständigen Überblick darüber, welche KI-Systeme sie eigentlich einsetzen. Das beginnt bei offensichtlichen Lösungen wie Chatbots oder Predictive-Analytics-Tools und endet bei KI-Funktionen, die tief in ERP- oder CRM-Systemen verankert sind und oft gar nicht als KI wahrgenommen werden.
Ein sinnvoller erster Schritt ist ein internes KI-Inventar: eine Liste aller eingesetzten Systeme mit Herkunft, Zweck, betroffenen Datenkategorien und einer ersten Risikoeinschätzung. Das klingt aufwändig, ist aber in vielen Fällen innerhalb weniger Wochen realisierbar, wenn die richtigen Personen aus IT, Recht und den jeweiligen Fachabteilungen zusammenarbeiten.
| Risikoklasse | Beispiele | Wichtigste Pflichten |
|---|---|---|
| Inakzeptables Risiko | Social Scoring, verbotene Biometrie | Vollständiges Verbot |
| Hochrisiko | KI in HR, Kredit, Medizin | Dokumentation, Aufsicht, Konformitätsprüfung |
| Begrenztes Risiko | Chatbots, Deepfakes | Transparenzpflichten gegenüber Nutzern |
| Minimales Risiko | Spamfilter, KI-Spielzeug | Keine spezifischen Pflichten |
Vertrauen als Wettbewerbsfaktor
Unternehmen, die den EU AI Act frühzeitig ernst nehmen, bauen einen Vorteil auf: Sie können gegenüber Kunden, Partnern und Behörden nachweisen, dass ihr KI-Einsatz regelkonform und verantwortungsvoll ist. Das wird in Ausschreibungen zunehmend zum Kriterium, insbesondere wenn öffentliche Auftraggeber beteiligt sind.
Die gute Nachricht ist, dass die meisten Anforderungen keine völlig neuen Prozesse erfordern. Wer bereits strukturiertes Risikomanagement, interne Schulungskonzepte und IT-Dokumentation betreibt, muss diese Strukturen auf KI-Systeme ausdehnen, nicht von null anfangen.
Der entscheidende Schritt ist, jetzt anzufangen: mit dem Inventar, mit dem ersten Schulungsformat für Mitarbeitende und mit einer klaren Zuständigkeit im Unternehmen. Wer bis 2026 wartet, bis alle Fristen greifen, verliert Zeit, die jetzt noch für geordnete Umsetzung genutzt werden kann.
