Was das neue KI-Gesetz bedeutet und warum es jetzt relevant ist
Was ist der EU AI Act?
Der EU AI Act ist das weltweit erste umfassende Gesetz zur Regulierung künstlicher Intelligenz. Er trat im August 2024 in Kraft und wird schrittweise bis 2026 vollständig angewendet. Das Gesetz schafft einen rechtlichen Rahmen für den Einsatz von KI-Systemen in der Europäischen Union.
Das zentrale Ziel: KI soll sicher, transparent und verantwortungsvoll ohne Innovation zu bremsen eingesetzt werden. Der EU AI Act fokussiert sich auf den Schutz von Grundrechten und die Sicherheit von Menschen, die von KI-Systemen betroffen sind.
Wichtig zu verstehen: Der EU AI Act gilt für alle Organisationen unabhängig von ihrer Größe, die KI-Systeme entwickeln, betreiben oder einsetzen. Auch kleine und mittlere Unternehmen, öffentliche Verwaltungen und Bildungseinrichtungen sind betroffen, sobald sie KI-Anwendungen nutzen.
Kernpunkte im Überblick
- Gilt EU-weit ab 2024/2026
- Risikobasierter Ansatz
- Betrifft Entwickler und Betreiber
- Fokus auf Grundrechtsschutz
- Transparenz- und Dokumentationspflichten
Rollen im EU AI Act – Wer ist wer?
Der EU AI Act unterscheidet klar zwischen verschiedenen Rollen. Die richtige Einordnung ist entscheidend, um zu verstehen, welche Pflichten auf Ihre Organisation zukommen. In vielen Fällen sind Organisationen in mehreren Rollen gleichzeitig aktiv.
KI-System-Entwickler (Provider)
Organisationen, die KI-Systeme selbst entwickeln, programmieren oder unter eigenem Namen auf den Markt bringen. Dies umfasst auch das Training eigener KI-Modelle oder die wesentliche Anpassung bestehender Systeme.
Beispiel: Ein Softwareunternehmen, das eine KI-gestützte Analysesoftware entwickelt und verkauft.
KI-System-Betreiber (Deployer)
Organisationen, die KI-Systeme im eigenen Arbeitsalltag einsetzen, oft ohne sie selbst entwickelt zu haben. Dies ist die häufigste Rolle für KMUs, Verwaltungen und Bildungseinrichtungen.
Beispiel: Eine Stadtverwaltung, die einen KI-Chatbot für Bürgeranfragen einsetzt, oder ein Unternehmen, das KI-Tools zur Bewerbungsvorauswahl nutzt.
Nutzer:innen
Mitarbeitende oder andere Personen, die KI-Systeme im Arbeitsalltag konkret bedienen, mit ihnen interagieren oder deren Ergebnisse nutzen und weiterverarbeiten.
Beispiel: Sachbearbeiter:innen, die KI-generierte Textvorschläge verwenden oder KI-gestützte Analysen interpretieren.
Betroffene Personen
Menschen, über die mithilfe von KI Entscheidungen vorbereitet, getroffen oder beeinflusst werden, oft ohne direkte Interaktion mit dem System.
Beispiel: Bewerber:innen, deren Bewerbungen durch KI vorselektiert werden, oder Bürger:innen, deren Anträge KI-gestützt bearbeitet werden.
Der risikobasierte Ansatz des EU AI Act
Der EU AI Act folgt einem pragmatischen Prinzip: Je höher das Risiko eines KI-Systems für Menschen und ihre Grundrechte, desto strenger die Anforderungen. Nicht jede KI-Anwendung wird gleich behandelt – das Gesetz differenziert nach vier Risikostufen.
Diese Einstufung hilft Organisationen, ihre Pflichten realistisch einzuschätzen. Ein einfaches KI-Tool zur Rechtschreibprüfung unterliegt anderen Anforderungen als ein System, das über Jobbewerbungen entscheidet. Entscheidend ist immer: Welche Auswirkungen hat das System auf Menschen?
Im Folgenden werden die vier Risikoklassen im Detail erklärt – mit konkreten Beispielen aus dem Arbeitsalltag von Organisationen.
Unzulässiges Risiko
Was bedeutet das?
KI-Systeme mit unzulässigem Risiko verletzen Grundrechte so massiv, dass sie vollständig verboten sind. Der EU AI Act duldet hier keine Ausnahmen – weder in der Entwicklung noch im Einsatz.
Diese Kategorie umfasst Systeme, die Menschen manipulieren, diskriminieren oder ihre Würde verletzen. Typische Verbote betreffen Social Scoring (Bewertung von Menschen aufgrund ihres Verhaltens), biometrische Massenüberwachung im öffentlichen Raum oder gezielte Manipulation von Vulnerablen Gruppen wie Kindern.
Beispiele aus der Praxis
- Automatisierte Bewertung von Bürger:innen oder Mitarbeitenden nach sozialem Verhalten („Social Scoring")
- Emotionserkennung am Arbeitsplatz zur Leistungskontrolle
- KI-gestützte Manipulation vulnerabler Personengruppen
Hohes Risiko
KI-Systeme mit hohem Risiko haben erhebliche Auswirkungen auf das Leben von Menschen – etwa bei Entscheidungen über Beschäftigung, Bildung, Zugang zu Leistungen oder Strafverfolgung. Diese Systeme sind nicht verboten, unterliegen aber strengen Anforderungen.
Typische Anwendungsfälle
- KI-gestützte Vorauswahl von Bewerbungen
- Automatisierte Leistungsbewertungen von Mitarbeitenden
- KI-Systeme zur Kreditwürdigkeitsprüfung
- Beurteilungssysteme in Bildungseinrichtungen
- Risikobewertung im Sozialwesen
Pflichten für Betreiber
- Umfassende Dokumentation des Systems und seiner Nutzung
- Transparenz gegenüber Betroffenen
- Menschliche Aufsicht sicherstellen
- Regelmäßige Überprüfung auf Diskriminierung und Fehler
- Logging und Nachvollziehbarkeit von Entscheidungen
Verantwortung
Betreiber tragen die Hauptverantwortung für den korrekten und rechtskonformen Einsatz. Sie müssen sicherstellen, dass das System wie vorgesehen funktioniert und keine unzulässigen Auswirkungen hat.
Wichtig: Auch bei extern bezogener Software bleibt die Verantwortung beim Betreiber.
Begrenztes Risiko
KI-Systeme mit begrenztem Risiko erfordern vor allem Transparenz: Menschen müssen wissen, dass sie mit KI interagieren. Diese Kategorie umfasst viele alltägliche KI-Anwendungen, die keine weitreichenden Entscheidungen treffen, aber dennoch mit Menschen kommunizieren oder Inhalte erzeugen.
Die zentrale Pflicht hier ist die Kennzeichnung: Nutzer:innen und Betroffene müssen klar erkennen können, dass sie es mit einem KI-System zu tun haben. Dies gilt besonders für Chatbots, KI-generierte Inhalte oder Deepfakes.
Typische Beispiele
- Chatbots im Bürgerservice oder Kundenservice
- KI-Assistenten für Texterstellung und Recherche
- KI-generierte Bilder, Videos oder Audioinhalte
- Automatisierte Übersetzungssysteme
Was müssen Organisationen tun?
Kennzeichnungspflichten erfüllen
Klar kommunizieren, dass KI im Einsatz ist
Mitarbeitende sensibilisieren
Schulung zur korrekten Nutzung und Kennzeichnung
Interne Leitlinien entwickeln
Standards für den Umgang mit KI-Tools festlegen
Minimales Risiko
Beispiele aus dem Arbeitsalltag
Rechtschreibprüfung
KI-gestützte Korrektur von Texten
Bildoptimierung
Automatische Verbesserung von Fotos
Spam-Filter
Automatische E-Mail-Sortierung
Empfehlungssysteme
Produktvorschläge ohne Diskriminierungspotenzial
KI in Spielen
Unterhaltungssoftware ohne reale Auswirkungen
Einfache Datenanalysen
Statistische Auswertungen ohne Personenbezug
Artikel 4 – KI-Kompetenz (AI Literacy)
Einer der wichtigsten und oft übersehenen Teile des EU AI Act ist Artikel 4. Er verpflichtet Organisationen, für ausreichende KI-Kompetenz zu sorgen und zwar nicht nur bei IT-Expert:innen, sondern bei allen, die mit KI arbeiten oder von ihr betroffen sind.
Was bedeutet „ausreichende KI-Kompetenz"?
KI-Kompetenz heißt nicht, dass alle Mitarbeitenden zu KI-Entwickler:innen werden müssen. Vielmehr geht es darum, ein grundlegendes Verständnis zu schaffen:
- Wie funktionieren KI-Systeme grundsätzlich?
- Welche Chancen und Grenzen hat KI?
- Welche Risiken können entstehen (z. B. Bias, Fehler, Datenschutz)?
- Wie nutze und überprüfe ich KI-Ergebnisse kritisch?
- Wann ist menschliche Kontrolle erforderlich?
Für wen gilt Artikel 4?
Die Pflicht zur Förderung von KI-Kompetenz richtet sich an verschiedene Gruppen:
Organisationen als Betreiber von KI-Systemen: Sie tragen die Hauptverantwortung, ihre Mitarbeitenden zu befähigen.
Mitarbeitende: Alle, die KI-Systeme nutzen, müssen in die Lage versetzt werden, diese kompetent einzusetzen.
Führungskräfte: Sie müssen KI strategisch einordnen und Entscheidungen über den KI-Einsatz verantworten können.
Wichtige Klarstellung
Artikel 4 verpflichtet Organisationen dazu, Menschen zu befähigen und nicht dazu, alle zu KI-Expert:innen auszubilden. Es geht um praxisnahes Verständnis, kritisches Denken und verantwortungsvollen Umgang mit KI-Werkzeugen im Arbeitsalltag.
Die Tiefe der Kompetenz variiert je nach Rolle: Führungskräfte brauchen strategisches Verständnis, Anwender:innen praktische Handlungskompetenz, und IT-Verantwortliche technisches Know-how.
Was bedeutet das konkret für Organisationen?
Artikel 4 macht deutlich: Verantwortung entsteht bereits durch die Nutzung von KI, nicht erst durch deren Entwicklung. Sobald Ihre Organisation KI-Systeme einsetzt, müssen Sie sicherstellen, dass die beteiligten Personen diese Systeme verstehen, kritisch einordnen und verantwortungsvoll nutzen können.
Die zentrale Pflicht
Betreiber von KI-Systemen müssen gewährleisten, dass alle relevanten Mitarbeitenden über ausreichende KI-Kompetenz verfügen. Das bedeutet konkret:
- Grundverständnis für KI-Funktionsweisen schaffen
- Sensibilität für Risiken wie Bias und Fehler entwickeln
- Befähigung zur kritischen Bewertung von KI-Ergebnissen
- Wissen über Transparenz- und Dokumentationspflichten vermitteln
- Klare Handlungsrichtlinien für den KI-Einsatz bereitstellen
Diese Kompetenz muss kontinuierlich aufgebaut und aktualisiert werden, denn KI entwickelt sich ständig weiter.
Geeignete Maßnahmen
Schulungen & Workshops
Praxisorientierte Trainings für verschiedene Zielgruppen
Leitlinien & Richtlinien
Schriftliche Standards für den KI-Einsatz
Sensibilisierung im Alltag
Regelmäßige Information und Austauschformate
Verantwortliche benennen
Klare Zuständigkeiten für KI-Governance
Häufige Missverständnisse
Rund um den EU AI Act kursieren viele Mythen und Fehleinschätzungen. Hier räumen wir mit den häufigsten Missverständnissen auf – damit Sie klar einschätzen können, was wirklich auf Sie zukommt.
❌ Missverständnis 1
„Wir entwickeln keine KI, also betrifft uns das nicht"
✓ Richtigstellung: Falsch! Der EU AI Act gilt für Betreiber von KI-Systemen – also auch für Organisationen, die externe KI-Tools einkaufen und einsetzen. Sobald Sie KI nutzen, haben Sie Pflichten – unabhängig davon, ob Sie die Software selbst entwickelt haben.
Beispiel: Ein Unternehmen, das eine Standard-HR-Software mit KI-Funktionen einsetzt, ist Betreiber und trägt Verantwortung für deren rechtskonformen Einsatz.
❌ Missverständnis 2
„KI-Kompetenz ist nur ein IT-Thema"
✓ Richtigstellung: Nein! KI-Kompetenz betrifft die gesamte Organisation. Natürlich braucht die IT technisches Verständnis – aber auch Führungskräfte, HR, Fachabteilungen und alle, die KI-Tools nutzen, müssen verstehen, wie KI funktioniert und welche Verantwortung damit einhergeht.
Artikel 4 fordert explizit, dass alle relevanten Personen befähigt werden – nicht nur die IT-Abteilung. KI-Kompetenz ist eine Querschnittsaufgabe.
❌ Missverständnis 3
„Das Gesetz verbietet KI-Nutzung"
✓ Richtigstellung: Absolut nicht! Der EU AI Act verbietet nur sehr wenige, extrem riskante KI-Anwendungen (z. B. Social Scoring). Die allermeisten KI-Systeme dürfen weiterhin eingesetzt werden – allerdings mit klaren Anforderungen an Transparenz, Dokumentation und Verantwortung.
Das Ziel des Gesetzes ist nicht, Innovation zu verhindern, sondern sicherzustellen, dass KI verantwortungsvoll und im Einklang mit Grundrechten eingesetzt wird.
Erste Schritte zur Orientierung
Der EU AI Act kann auf den ersten Blick überwältigend wirken. Doch mit einem strukturierten Vorgehen können Sie sich Schritt für Schritt Klarheit verschaffen und die richtigen Maßnahmen ergreifen. Hier sind die wichtigsten Fragen, die Sie sich stellen sollten.
Wo setzen wir KI ein?
Erstellen Sie eine Übersicht aller KI-Systeme, die in Ihrer Organisation genutzt werden – auch eingekaufte Software. Erfassen Sie dabei:
- Welche KI-Tools werden eingesetzt? (z. B. Chatbots, HR-Software, Analyse-Tools)
- In welchen Abteilungen und Prozessen kommen sie zum Einsatz?
- Welche Daten verarbeiten sie?
- Welche Entscheidungen werden durch KI unterstützt oder getroffen?
Tipp: Starten Sie mit einer einfachen Bestandsaufnahme – ein Excel-Sheet reicht für den Anfang.
In welcher Rolle sind wir unterwegs?
Klären Sie für jedes identifizierte System, in welcher Rolle Ihre Organisation agiert:
- Betreiber (Deployer)? → Sie nutzen das System im Arbeitsalltag
- Entwickler (Provider)? → Sie entwickeln oder passen das System wesentlich an
- Nutzer:in? → Mitarbeitende bedienen das System
Die meisten Organisationen sind primär Betreiber – und tragen damit die Verantwortung für den rechtskonformen Einsatz.
Welche Mitarbeitenden sollten geschult werden?
Identifizieren Sie, wer in Ihrer Organisation KI-Kompetenz benötigt:
- Führungskräfte: Strategisches Verständnis, Risikobewertung, Entscheidungskompetenz
- Direkte Nutzer:innen: Praktische Anwendung, kritische Bewertung, Umgang mit Fehlern
- IT & Datenschutz: Technisches Verständnis, Compliance, Dokumentation
- HR & Compliance: Rechtliche Anforderungen, Umsetzung von Richtlinien
Entwickeln Sie zielgruppenspezifische Schulungskonzepte – nicht alle brauchen dasselbe Wissen.
KI-Systeme bewerten und einordnen
Nach der ersten Bestandsaufnahme folgt die Bewertung: Welche Ihrer KI-Systeme fallen in welche Risikokategorie? Diese Einordnung bestimmt, welche Pflichten auf Sie zukommen. Nutzen Sie diese praktische Orientierung als Startpunkt.
Bewertungskriterien
Stellen Sie sich für jedes KI-System folgende Fragen:
- Welche Entscheidungen werden durch das System getroffen oder vorbereitet? 1.
- Betrifft es Grundrechte von Menschen? (z. B. Beschäftigung, Bildung, Zugang zu Leistungen) 2.
- Können Fehler des Systems negative Auswirkungen auf Personen haben? 3.
- Ist für Nutzer:innen erkennbar, dass KI im Einsatz ist? 4.
Zuordnung zu Risikoklassen
- Hohes Risiko: Entscheidungen über Beschäftigung, Bildung, Sozialleistungen → strenge Anforderungen
- Begrenztes Risiko: Chatbots, KI-Assistenten → Transparenzpflichten
- Minimales Risiko: Rechtschreibprüfung, Spam-Filter → keine zusätzlichen Pflichten
Dokumentation anlegen
Halten Sie Ihre Bewertung schriftlich fest:
- Name und Beschreibung des Systems
- Einsatzbereich und Zweck
- Risikoeinstufung mit Begründung
- Identifizierte Pflichten
- Geplante Maßnahmen
Diese Dokumentation ist sowohl für Compliance als auch für interne Transparenz wichtig.
Konkrete Maßnahmen für verschiedene Risikoklassen
Abhängig von der Risikoeinstufung Ihrer KI-Systeme ergeben sich unterschiedliche Handlungsbedarfe. Diese Übersicht zeigt, welche Maßnahmen für welche Kategorie relevant sind.
Hohes Risiko
Dokumentation & Transparenz
Vollständige Dokumentation von System, Zweck, Datenverarbeitung und Entscheidungslogik
Menschliche Aufsicht
Sicherstellen, dass Menschen KI-Entscheidungen überprüfen und korrigieren können
Regelmäßige Tests
Überprüfung auf Diskriminierung, Fehler und unerwünschte Auswirkungen
Betroffenenrechte
Information der Betroffenen und Möglichkeit zum Widerspruch
Begrenztes Risiko
Kennzeichnung
Klar kommunizieren, dass KI im Einsatz ist
Nutzer-Schulung
Mitarbeitende über KI-Nutzung informieren und sensibilisieren
Interne Richtlinien
Standards für den Umgang mit KI-Tools festlegen
Minimales Risiko
Dokumentation (empfohlen)
Übersicht für interne Transparenz führen
Achtsamkeit bewahren
Wachsam bleiben für unerwartete Auswirkungen
KI-Governance in der Organisation aufbauen
Compliance mit dem EU AI Act erfordert mehr als einzelne Maßnahmen – es braucht eine strukturierte Verankerung von Verantwortlichkeiten und Prozessen in Ihrer Organisation. Eine klare Governance-Struktur schafft Sicherheit und Handlungsfähigkeit.
Verantwortlichkeiten klären
Benennen Sie konkrete Personen oder Rollen, die für KI-Compliance zuständig sind. Dazu gehören:
- Strategische Verantwortung auf Führungsebene
- Operative Umsetzung (z. B. Datenschutz, IT, HR)
- Fachliche Ansprechpersonen in Abteilungen
Prozesse etablieren
Definieren Sie klare Abläufe für:
- Bewertung neuer KI-Systeme vor Einführung
- Regelmäßige Überprüfung bestehender Systeme
- Meldung von Problemen oder Vorfällen
- Aktualisierung von Dokumentationen
Schulungskonzepte entwickeln
Bauen Sie ein systematisches Schulungsprogramm auf:
- Einführungsschulungen für neue Mitarbeitende
- Vertiefungsschulungen für spezifische Rollen
- Regelmäßige Updates zu neuen Entwicklungen
- Praxisnahe Fallbeispiele und Übungen
Richtlinien & Standards
Erstellen Sie schriftliche Leitlinien für den KI-Einsatz:
- Grundsätze für verantwortungsvollen KI-Einsatz
- Konkrete Handlungsanweisungen für Mitarbeitende
- Checklisten für die Systemeinführung
- Dokumentationsvorlagen
Zeitschiene und Umsetzungsphasen
Der EU AI Act wird schrittweise eingeführt. Bestimmte Bestimmungen gelten bereits, andere werden in den kommenden Monaten relevant. Diese Zeitschiene hilft Ihnen, die Prioritäten richtig zu setzen und rechtzeitig aktiv zu werden.
August 2024
Inkrafttreten des EU AI Act
Das Gesetz ist in Kraft getreten. Verbote für unzulässige KI-Systeme gelten ab sofort. Organisationen sollten mit der Bestandsaufnahme beginnen.
Februar 2025
Verbot unzulässiger Systeme
Verbote für hochriskante KI-Systeme (z. B. Social Scoring) sind vollständig durchsetzbar. Prüfen Sie, ob Ihre Systeme betroffen sind.
August 2025
Pflichten für KI-Modelle
Anforderungen an große KI-Modelle (General Purpose AI) werden anwendbar. Relevant vor allem für Entwickler und Anbieter solcher Modelle.
August 2026
Hohes Risiko: Neue Systeme
Volle Anforderungen für neu in Verkehr gebrachte Hochrisiko-Systeme. Betreiber müssen Compliance sicherstellen.
August 2027
Hohes Risiko: Bestehende Systeme
Auch bereits eingesetzte Hochrisiko-Systeme müssen vollständig compliant sein. Nutzen Sie die Zeit für Anpassungen und Schulungen.
Konsequenzen bei Nichteinhaltung
Der EU AI Act ist kein Papiertiger – Verstöße können zu erheblichen Bußgeldern führen. Die Höhe der Strafen orientiert sich an der Schwere des Verstoßes und am Umsatz der Organisation. Ein Überblick über mögliche Konsequenzen.
Verbotene Systeme
Oder 7% des weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ist. Gilt für den Einsatz verbotener KI-Anwendungen.
Pflichtverletzungen
Oder 3% des weltweiten Jahresumsatzes bei Verstößen gegen zentrale Pflichten (z. B. fehlende Dokumentation, mangelnde Transparenz bei Hochrisiko-Systemen).
Falsche Angaben
Oder 1,5% des weltweiten Jahresumsatzes bei falschen, unvollständigen oder irreführenden Informationen gegenüber Behörden.
Weitere Risiken
- Haftungsrisiken: Bei Schäden durch fehlerhafte KI-Systeme können zivilrechtliche Ansprüche geltend gemacht werden.
- Reputationsschäden: Öffentlich bekannt gewordene Verstöße können das Vertrauen von Kund:innen, Mitarbeitenden und Partner:innen nachhaltig beschädigen.
- Betriebsunterbrechungen: Behörden können die Nutzung nicht-konformer Systeme untersagen – mit erheblichen Folgen für Arbeitsprozesse.
- Wettbewerbsnachteile: Organisationen, die Compliance vernachlässigen, geraten gegenüber verantwortungsbewussten Konkurrenten ins Hintertreffen.
Fazit: EU AI Act als Leitplanke, nicht als Bremse
Der EU AI Act ist kein Hindernis für Innovation – er ist eine Einladung, KI verantwortungsvoll, sicher und im Einklang mit unseren Werten zu gestalten.
Artikel 4 als pragmatischer Einstiegspunkt
Die Förderung von KI-Kompetenz ist eine zentrale und zugleich gut umsetzbare Anforderung. Sie bildet die Grundlage für alles Weitere: Wer versteht, wie KI funktioniert und welche Verantwortung damit einhergeht, kann sie sicher und gewinnbringend einsetzen.
Frühe Auseinandersetzung zahlt sich aus
Organisationen, die jetzt beginnen, sich mit dem EU AI Act auseinanderzusetzen, schaffen Sicherheit, vermeiden Risiken und bauen Vertrauen auf. Sie sind bereit für die Zukunft – in der KI eine immer größere Rolle spielen wird.
Sie sind nicht allein
Es gibt zahlreiche Unterstützungsangebote, Netzwerke und Ressourcen, die Ihnen helfen, den EU AI Act zu verstehen und umzusetzen. Nutzen Sie sie – und bleiben Sie im Austausch mit anderen Organisationen.
Der EU AI Act ist keine Hürde, sondern eine Chance: Eine Chance, KI bewusst, transparent und menschenzentriert zu gestalten. Eine Chance, Vertrauen zu schaffen und Innovation mit Verantwortung zu verbinden. Nutzen Sie diese Chance – für Ihre Organisation, Ihre Mitarbeitenden und die Menschen, die von Ihren Entscheidungen betroffen sind.
EU AI Act – Orientierung für den praktischen KI-Einsatz