KI-Verordnung der EU: was sie für Unternehmen bedeutet, die KI einsetzen

Die KI-Verordnung der Europäischen Union, auch AI Act genannt, regelt Entwicklung und Einsatz von KI-Systemen nach ihrem Risiko. Sie gilt nicht nur für Anbieter, sondern auch für Unternehmen, die KI im eigenen Betrieb einsetzen. Welche Pflichten entstehen, hängt vor allem vom Zweck ab: Ein Entwurfsassistent für E-Mails wird anders behandelt als ein System zur Bewerberauswahl.

Die KI-Verordnung im Überblick

Die Verordnung (EU) 2024/1689 ist im August 2024 in Kraft getreten und gilt unmittelbar in allen Mitgliedstaaten. Ihre Pflichten greifen gestaffelt. Seit Februar 2025 gelten die Verbote bestimmter Praktiken und die Pflicht, für ausreichende KI-Kompetenz der Beschäftigten zu sorgen. Seit August 2025 gelten Regeln für Modelle mit allgemeinem Verwendungszweck. Weitere Pflichten, insbesondere für Hochrisiko-Systeme, folgen in späteren Stufen; über Anpassungen einzelner Fristen wurde auf EU-Ebene beraten, maßgeblich ist der jeweils im Amtsblatt veröffentlichte Stand.

Die Überwachung liegt bei nationalen Behörden. Für Unternehmen bedeutet das: Die Regeln sind europaweit einheitlich, Ansprechpartner und Aufsicht aber national organisiert.

Anbieter und Betreiber: welche Rolle ein Unternehmen hat

Die Verordnung unterscheidet mehrere Rollen. Anbieter entwickeln ein KI-System oder lassen es entwickeln und bringen es unter eigenem Namen in Verkehr. Betreiber setzen ein KI-System in eigener Verantwortung ein, etwa im Kundenservice oder in der Buchhaltung. Die meisten mittelständischen Unternehmen sind Betreiber.

Die Grenze kann sich verschieben. Wer ein System unter eigenem Namen an Kunden weitergibt oder es wesentlich verändert, kann selbst in die Rolle des Anbieters rücken. Das ist bei eigenen Anwendungen mit eingebautem Sprachmodell eine Frage, die man vor der Veröffentlichung klärt, nicht danach.

Praktisch hilft ein kurzes Verzeichnis: Welche KI-Systeme sind im Einsatz, von welchem Anbieter, wofür, mit welchen Daten und wer ist zuständig? Ein solches Verzeichnis ist keine ausdrückliche Formvorschrift für jeden Betreiber, aber es ist die Grundlage, um die eigene Rolle und die Risikostufe jedes Einsatzes überhaupt beurteilen zu können.

Vier Stufen nach Risiko

• Verbotene Praktiken. Dazu gehören unter anderem Social Scoring und die Erkennung von Emotionen am Arbeitsplatz, von eng gefassten Ausnahmen abgesehen.
• Hohes Risiko. Systeme in sensiblen Bereichen, zum Beispiel bei der Auswahl und Bewertung von Beschäftigten, beim Zugang zu Bildung oder bei der Kreditwürdigkeitsprüfung. Hier gelten umfangreiche Anforderungen an Daten, Dokumentation, Aufsicht und Protokollierung.
• Transparenzpflichten. Wer mit einem System spricht, soll erkennen, dass es kein Mensch ist, und künstlich erzeugte Inhalte wie Deepfakes sind zu kennzeichnen.
• Geringes Risiko. Der große Rest, etwa Rechtschreibhilfen, Sortierung von Dokumenten oder Entwürfe, die ein Mensch prüft. Hier bestehen keine besonderen Pflichten aus diesen Stufen, die allgemeinen Pflichten wie die KI-Kompetenz gelten dennoch.

Was die KI-Verordnung von Betreibern verlangt

Für Betreiber lassen sich die wichtigsten Punkte so zusammenfassen:

1. KI-Kompetenz sicherstellen. Beschäftigte, die mit KI-Systemen arbeiten, brauchen ein ihrem Einsatz angemessenes Verständnis, etwa durch Schulung und klare Regeln. Eine interne KI-Richtlinie ist dafür ein naheliegender Baustein.
2. Einsatzzweck prüfen. Vor der Einführung wird geklärt, ob ein Anwendungsfall in einen verbotenen oder hochriskanten Bereich fällt.
3. Transparenz herstellen. Kunden erfahren, wenn sie mit einem automatisierten System kommunizieren.
4. Bei Hochrisiko-Systemen kommen Pflichten zur menschlichen Aufsicht, zur Nutzung gemäß Anleitung, zur Überwachung und zur Aufbewahrung von Protokollen hinzu.

Die Verordnung steht neben der DSGVO, nicht an ihrer Stelle. Verarbeitet ein KI-System personenbezogene Daten, gelten beide, einschließlich eines Auftragsverarbeitungsvertrags mit Dienstleistern.

Missverständnisse

• »Betrifft nur große Tech-Konzerne.« Die Pflicht zur KI-Kompetenz gilt für jedes Unternehmen, das KI-Systeme einsetzt.
• »Jede KI ist Hochrisiko.« Die meisten Anwendungen im Büroalltag fallen in die Stufe mit geringem Risiko.
• »Ein Zertifikat löst das Problem.« Die Verordnung verlangt vor allem dokumentierte Entscheidungen im eigenen Unternehmen, nicht einen gekauften Nachweis.

Dieser Beitrag gibt einen Überblick und ersetzt keine Rechtsberatung. Für die Einordnung eines konkreten Systems sind Fachanwälte und die zuständige Aufsicht die richtigen Stellen.

Wie wir die Frage einordnen

Bei jedem Vorhaben halten wir früh fest, wofür ein System eingesetzt wird, wer die Ergebnisse prüft und welche Daten ein Sprachmodell zu sehen bekommt. Liegt ein Anwendungsfall in einem sensiblen Bereich, sagen wir das, bevor es um Technik geht, und empfehlen die rechtliche Prüfung. Mehr zur Auswahl geeigneter Vorhaben steht im Beitrag zur KI-Strategie und auf der Seite KI-Beratung.