EU AI Act — was Unternehmen wissen müssen
Die KI-Verordnung gilt gestaffelt seit 2024. Für die meisten Mittelständler ist die Rolle als Betreiber entscheidend — nicht als Hersteller.
Der EU AI Act — offiziell Verordnung (EU) 2024/1689 — ist seit dem 1. August 2024 in Kraft und gilt gestaffelt über mehrere Jahre. Er regelt nicht die Technik, sondern den Einsatzzweck: Dasselbe Sprachmodell kann harmlos oder streng reguliert sein, je nachdem, wofür Sie es verwenden.
Für den Mittelstand ist die wichtigste Unterscheidung: Sie sind fast immer Betreiber (Deployer) und nicht Anbieter (Provider). Betreiberpflichten sind deutlich schlanker.
Die Fristen im Überblick
| Datum | Was gilt |
|---|---|
| 1. August 2024 | Verordnung tritt in Kraft |
| 2. Februar 2025 | Verbotene Praktiken (Art. 5) gelten · Pflicht zur KI-Kompetenz des Personals (Art. 4) |
| 2. August 2025 | Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck (GPAI) · Sanktionsregeln der Mitgliedstaaten |
| 2. August 2026 | Pflichten für Hochrisiko-Systeme nach Anhang III · Transparenzpflichten (Art. 50) |
| 2. August 2027 | Hochrisiko-Systeme, die als Sicherheitsbauteil in regulierten Produkten stecken (Anhang I) |
Praktisch heißt das: Die Pflichten, die Sie schon heute treffen, sind das Verbot bestimmter Praktiken und die KI-Kompetenz Ihrer Mitarbeiter. Beides gilt seit Februar 2025.
KI-Kompetenz nach Artikel 4 — die unterschätzte Pflicht
Artikel 4 verpflichtet Anbieter und Betreiber, dafür zu sorgen, dass ihr Personal über ein ausreichendes Maß an KI-Kompetenz verfügt — abgestuft nach Vorkenntnissen, Aufgabe und Einsatzkontext.
Das ist keine Zertifizierungspflicht und kein vorgeschriebener Lehrplan. Es bedeutet: Wer mit KI arbeitet, soll verstehen, was das System kann, wo es irrt und wann ein Mensch eingreifen muss. In der Praxis genügt für viele Betriebe eine dokumentierte interne Schulung plus eine schriftliche Nutzungsregel.
Sind Ihre KI-Anwendungen Hochrisiko?
Für typische Mittelstands-Anwendungen lautet die Antwort meist: nein. Angebote entwerfen, Belege erfassen, Bestände synchronisieren, Produkttexte schreiben — nichts davon fällt unter Anhang III.
Aufmerksamkeit verdienen dagegen diese Bereiche, die ab 2. August 2026 unter die Hochrisiko-Pflichten fallen können:
- Personalauswahl — KI zur Sichtung von Bewerbungen oder zur Vorauswahl von Kandidaten
- Beschäftigtenbezogene Entscheidungen — Beförderung, Aufgabenzuweisung, Leistungsbewertung
- Kreditwürdigkeit — Bonitätsbewertung natürlicher Personen
- Kritische Infrastruktur — Steuerung von Wasser, Strom, Verkehr
- Zugang zu wesentlichen Dienstleistungen — etwa Versicherungsrisikobewertung bei Leben und Kranken
Wer in diese Bereiche geht, braucht Risikomanagement, Datenqualitätssicherung, technische Dokumentation, Protokollierung und menschliche Aufsicht. Das ist machbar, muss aber eingeplant werden — nicht nachträglich.
Was ich in Projekten konkret mache
Ich bin kein Rechtsberater und trete auch nicht so auf. Was ich beitrage, ist die technische Seite der Nachweisbarkeit:
- Protokollierung — jeder Vorgang eines Agenten wird nachvollziehbar aufgezeichnet
- Menschliche Aufsicht — Freigabeschritte sind fest im Ablauf verankert, nicht optional
- Transparenz — wo KI mit Menschen interagiert, wird das kenntlich gemacht (Art. 50)
- Dokumentation — welches Modell, welche Daten, welcher Zweck; die Grundlage für Ihr Verarbeitungsverzeichnis
- Einordnung — ehrliche Einschätzung, ob ein Vorhaben in einen kritischen Bereich läuft; wenn ja, gehört ein Anwalt an den Tisch
Häufige Fragen
Betrifft der EU AI Act auch kleine Unternehmen?
Ja, aber abgestuft. Verbotene Praktiken und die KI-Kompetenzpflicht gelten unabhängig von der Größe. Die aufwendigen Hochrisiko-Pflichten treffen nur bestimmte Einsatzbereiche. Für kleinere Anbieter sieht die Verordnung außerdem Erleichterungen und niedrigere Bußgeldobergrenzen vor.
Sind wir Anbieter oder Betreiber?
Wenn Sie ein KI-System einkaufen oder einrichten lassen und im eigenen Namen einsetzen, sind Sie Betreiber. Anbieter werden Sie, wenn Sie ein System unter eigenem Namen in Verkehr bringen — oder wenn Sie ein fremdes Hochrisiko-System wesentlich verändern oder mit Ihrem Namen versehen.
Was bedeutet die KI-Kompetenzpflicht praktisch?
Dass die Menschen, die mit dem System arbeiten, verstehen, was es tut und wo seine Grenzen liegen. Für die meisten Betriebe reichen eine dokumentierte Einweisung und eine schriftliche Nutzungsregel. Zertifikate verlangt die Verordnung nicht.
Fällt ein Chatbot auf unserer Website unter den AI Act?
In der Regel nicht als Hochrisiko-System, aber unter die Transparenzpflichten nach Artikel 50: Nutzer müssen erkennen können, dass sie mit einer Maschine sprechen. Das ist mit einem Hinweissatz erledigt.
Gilt der AI Act auch für die Schweiz?
Die Schweiz ist nicht EU-Mitglied, die Verordnung gilt dort nicht unmittelbar. Sie kann aber greifen, wenn Ergebnisse eines KI-Systems in der EU verwendet werden. Schweizer Unternehmen mit EU-Geschäft sollten das prüfen lassen.
Verwandte Leistungen
Verbote & Bußgelder
Was untersagt ist und was es kostet
KI & Datenschutz
Künstliche Intelligenz DSGVO-konform einsetzen
Eigener KI-Server
DSGVO-konform auf Ihrer Infrastruktur
Verantwortungsvolle KI
Ihr eigenes, DSGVO-konformes LLM
30 Minuten, kostenfrei, ohne Verkaufsdruck
Wir schauen uns Ihren Prozess an und klären, ob sich KI dafür überhaupt lohnt. Wenn nicht, sage ich das.