Nach meinem Vortrag vor zwei Wochen beim DIN Institut zum Thema "Normen zur Umsetzung des EU AI Act" sprach mich eine Geschäftsführerin eines mittelständischen Unternehmens an.
(Das DIN Institut sind die, die auch das Papierformat wie DIN A4 entwickelt haben:)
Sie sagte: „Danke, dass Sie das mit dem EU AI Act endlich mal so erklärt haben, dass ich es verstehe.
Unser Anwalt sagt schon länger, wir sollten das unbedingt prüfen. Meine IT hingegen sagt, das betrifft uns nicht, wir entwickeln ja keine KI.
Jetzt weiß ich, dass unsere IT falsch liegt."
Falls auch Sie das Thema EU AI Act interessiert, dann sind hier die wichtigsten Fakten dazu.
Was der EU AI Act eigentlich ist
Der EU AI Act ist das erste umfassende KI-Gesetz weltweit. Er ist am 1. August 2024 in Kraft getreten und gilt schrittweise für alle Organisationen in der EU.
Der EU AI Act gilt nicht nur für Tech-Konzerne und für KI-Entwickler, sondern für alle, die KI-Systeme nutzen, einsetzen oder in ihre Prozesse integrieren.
Dabei ist es egal, welche Branche und welche Größe. Egal, ob Wirtschaft oder öffentliche Verwaltung.
Die Unterscheidung erfolgt im EU AI Act vielmehr nach folgenden vier Risikoklassen:
- Verbotene KI
- Hochrisiko-KI
- KI mit begrenztem Risiko
- KI mit minimalem Risiko
Je nach Klasse gelten unterschiedliche Pflichten: von „kurze Dokumentation reicht" bis „strukturierte Prüfung vor dem Einsatz, EU-Register, externe Kontrolle".
Und der Zeitplan läuft bereits:
- Februar 2025: Schulungspflicht gilt. Verbotene KI-Systeme sind untersagt.
- August 2025: Erste Governance-Pflichten für generative KI werden verbindlich.
- August 2026: Allgemeine Transparenzpflichten greifen (z.B. Kennzeichnungspflicht für Chatbots).
- Dezember 2026: Technische Kennzeichnungspflicht für KI-Inhalte („Watermarking“) wird aktiv.
- Dezember 2027: Vollanwendung für eigenständige Hochrisiko-KI (z.B. HR-Tools) – verschoben durch den „Digital Omnibus“.
- August 2028: Vollanwendung für Hochrisiko-KI als Sicherheitsbauteil in bereits regulierten Produkten.
Einige Pflichten gelten also schon, bei den "ganz dicken Brettern" hat die EU uns etwas mehr Zeit verschafft. Abwarten ist trotzdem keine Option, denn die Vorbereitung braucht Monate.
(Stand: Juni 2026. Die Verschiebungen durch den Digital Omnibus sind politisch vereinbart, aber noch nicht formal in Kraft.)
Was Führungskräfte jetzt wissen müssen
1. „Betrifft mich nicht" ist der teuerste Irrtum.
Die häufigste Reaktion, die ich höre: „Wir entwickeln ja keine KI."
Stimmt. Aber das Gesetz unterscheidet nicht zwischen Entwicklern und Nutzern. Wer KI einsetzt, ist sog. Betreiber und damit in der Pflicht. Das gilt für den selbst entwickelten Algorithmus genauso wie für das eingekaufte HR-Tool.
2. KI in Ihrer Software läuft schon, oft unbemerkt.
M365, SAP, Salesforce, HR-Software: Viele Standardtools haben KI-Funktionen, die automatisch aktiviert sind. Niemand hat sie bewusst eingeschaltet. Trotzdem gelten die entsprechenden Pflichten.
Das ist der blinde Fleck, den ich in fast allen Organisationen sehe. Nicht die große eigene KI-Initiative, aber viele kleine KI-Funktionen, die in den vorhandenen Tools genutzt werden.
3. Externe Tools entbinden nicht von der Verantwortung.
„Unser Anbieter ist compliant", auch das höre ich oft. Aber es reicht nicht.
Wer KI einkauft, trägt trotzdem die Verantwortung für Prüfung, Dokumentation und Schulung. Ein Verweis z.B. auf das Whitepaper des Herstellers ist kein Nachweis. Die Verantwortung bleibt in der Organisation.
4. Risikoklassen bestimmen, was Sie konkret tun müssen.
Nicht jede KI löst dieselben Pflichten aus. Deshalb ist der erste Schritt immer: Welche KI-Systeme nutzen wir und in welche Klasse fallen sie?
Ein solcher erster "KI-Radar" kann ganz einfach in einer Excel-Tabelle gemacht werden.
Für die meisten Organisationen im Mittelstand heißt das: Standardsoftware mit KI ist meist begrenztes Risiko. Es reicht eine kurze Dokumentation, Transparenzpflicht, Schulung. Alles überschaubar.
Kritisch wird es dort, wo KI z.B. in Personalentscheidungen, die Kreditvergabe oder die Risikobewertung bei Versicherungen eingreift. Das ist fast immer Hochrisiko-KI, da diese Tools den persönlichen Lebensbereich betreffen.
5. Transparenz heißt: zum richtigen Zeitpunkt.
Ein Hinweis im Impressum oder den AGB reicht nicht.
Wer einen KI-Chatbot betreibt, muss das sofort erkennbar machen. Wer Bewerbungen KI-gestützt vorbewertet, muss das vor der Entscheidung offenlegen und nicht erst, wenn jemand fragt.
6. Schulung muss nachweisbar sein.
Das Gesetz spricht nicht von Sensibilisierung. Es verlangt vielmehr eine dokumentierte Schulung für alle, die mit KI arbeiten.
Auf allen Hierarchieebenen, angefangen bei der Geschäftsführung bis hin zu den Fachbereichen. Wer KI nutzt, muss geschult werden.
Ein einzelnes Webinar mag als Einführung reichen, aber grundsätzlich gilt eine "angemessene Befähigung". Was genau das ist, richtet sich nach der konkreten Rolle und der eingesetzten KI.
All das ist zudem nachzuweisen: Wer wurde wann, wie und wozu geschult.
7. Was jetzt zu tun ist, auch ohne Rechtsabteilung.
Hier sind drei Schritte, die jede Organisation sofort angehen kann:
- Bestandsaufnahme: Welche KI läuft bei uns, sichtbar und eingebettet in Tools?
- Risikoklasse klären: Greift sie in Entscheidungen über Menschen ein? Dann vermutlich Hochrisiko und vertiefte Prüfung. Wenn nicht, dann eher begrenztes oder minimales Risiko.
- Zuständigkeit benennen: Wer verantwortet Prüfung, Dokumentation, Schulung und wer eskaliert, wenn etwas unklar ist?
All das ist natürlich nur eine sehr verkürzte Darstellung.
Wenn Sie genau wissen wollen, was gilt und was das konkret für Ihre Organisation bedeutet, dann schauen Sie in das unten verlinkte Dossier "EU AI Act - Die Grundlagen".
Die Geschäftsführerin nach dem Vortrag hat mich dann noch gefragt: „Und was sage ich jetzt meiner IT?"
Meine Antwort: „Dass sie nächste Woche eine Liste macht. Welche Tools laufen. Welche KI drin ist. Und wer das verantwortet."
Sie hat gelacht. Und gesagt: „Das klingt machbar."
P.S. Wenn Sie jemanden kennen, der noch denkt, das Gesetz betreffe nur KI-Entwickler: Leiten Sie das weiter.
P.P.S Alle bisherigen KI-Briefings finden Sie hier: https://ki-briefing.kit.com
|
|
Dossier "EU AI Act - Die Grundlagen"
Ein Leitfaden für alle, die eine vertieften Überblick über die Regelungen des EU AI Act haben wollen.
|
Und wenn Sie mehr als nur mitlesen wollen – so kann's weitergehen:
The AI Leader
Ein persönlicher Denk- und Entscheidungsraum, um Künstliche Intelligenz einzuordnen, Verantwortung zu klären und sicher zu entscheiden. Keine Schulung, keine Tools, keine Umsetzung, sondern Orientierung auf Entscheiderebene.
The AI Organization
Ein klarer Verantwortungsrahmen für den strategischen Umgang mit KI. Für Organisationen, in denen KI bereits Thema ist, aber ohne klare Linie.
Wenn Sie einen Themenwunsch für das KI-Briefing haben – schreiben Sie mir gern: ki-briefing@digital-leader.eu
Hinweis: Dieser Beitrag ist in enger Zusammenarbeit mit KI geschrieben worden und persönlich von Dr. Beate Freuding, Geschäftsführerin von The Digital Leader, kuratiert. Der Beitrag dient der allgemeinen Information und Orientierung. Er stellt keine Rechtsberatung dar und kann eine individuelle juristische Prüfung im Einzelfall nicht ersetzen. Für Entscheidungen, die auf Basis dieses Beitrags getroffen werden, übernimmt die Autorin keine Haftung.