Gilt der EU AI Act für Ihr Unternehmen? Pflichten einfach erklärt

Die meisten Leitfäden zum EU AI Act richten sich an Unternehmen, die KI entwickeln. Dieser ist auch für alle anderen gedacht: für den Onlineshop mit Chatbot, die Agentur, die Texte mit ChatGPT erstellt, das Softwareunternehmen, das eine KI-Funktion ergänzt, oder das Nicht-EU-Unternehmen mit europäischen Kunden. Der zentrale Geltungstermin der Verordnung ist inzwischen erreicht, und nach einer späten Änderung ist die Lage geklärt. Hier erfahren Sie, was der Rechtsakt über künstliche Intelligenz von einem gewöhnlichen Unternehmen tatsächlich verlangt.

Was der Rechtsakt über künstliche Intelligenz ist und warum er wichtig ist

Der AI Act, formal Verordnung (EU) 2024/1689, ist das weltweit erste umfassende KI-Gesetz (der aktuelle konsolidierte Text ist auf EUR-Lex verfügbar). Als EU-Verordnung gilt er unmittelbar in allen Mitgliedstaaten, ohne nationale Umsetzung. Die KI-Verordnung folgt einem risikobasierten Ansatz: Je größer die möglichen Auswirkungen eines KI-Systems auf die Sicherheit oder Grundrechte von Menschen sind, desto strenger sind die Pflichten für diejenigen, die es entwickeln und einsetzen.

Der Digital Omnibus zur KI (Verordnung (EU) 2026/1744) änderte den Rechtsakt kurz vor seinem zentralen Geltungstermin. Er verschob die Fristen für Hochrisiko-KI, fügte zwei neue verbotene Praktiken hinzu, engte einen Teil der Hochrisikodefinition ein und reduzierte den Verwaltungsaufwand für kleinere Unternehmen. Die Struktur mit vier Risikostufen und rollenbezogenen Pflichten bleibt unverändert.

Für wen gilt der EU AI Act? Prüfung in vier Fragen

1. Ist das Tool ein „KI-System“? Ein regelbasierter Algorithmus mit festen, von Menschen definierten Schritten ist es nicht. Entscheidend ist die Inferenz: Das System erzeugt aus Daten Vorhersagen, Empfehlungen, Entscheidungen oder Inhalte auf eine Weise, die nicht ausdrücklich programmiert wurde. Chatbots, generative Tools sowie Bewertungs- und Empfehlungssysteme fallen darunter; eine Tabellenformel nicht.

2. Wird es beruflich genutzt? Private, nicht berufliche Nutzung fällt nicht in den Anwendungsbereich. Sobald ein Mitarbeitender ein Tool im Namen eines Unternehmens nutzt, fällt das Unternehmen in den Anwendungsbereich.

3. Besteht ein Bezug zur EU? Der Rechtsakt gilt, wenn das KI-System auf dem EU-Markt bereitgestellt, in der EU genutzt oder seine Ergebnisse in der EU verwendet werden. Auch ein Unternehmen außerhalb der Union, das EU-Kunden bedient, ist erfasst. Es gibt keine Ausnahme für kleine Unternehmen oder Start-ups; die Pflichten nach dem AI Act richten sich nach dem Risiko, nicht nach der Mitarbeiterzahl.

4. Haben Sie das System entwickelt oder nutzen Sie es? Das bestimmt Ihre Rolle – und Ihre Rolle bestimmt Ihre Pflichten.

Die meisten Unternehmen sind nach dem AI Act Betreiber. Die Nutzung von ChatGPT, Copilot oder eines Anbieter-Chatbots macht Sie nicht zum Anbieter, aber zum Betreiber – mit den nachfolgend beschriebenen Pflichten. Sie können unbeabsichtigt zum Anbieter werden: wenn Sie ein System wesentlich verändern, in Ihr eigenes Produkt integrieren oder unter Ihrer eigenen Marke vermarkten.

Eine weitere Regel für Unternehmen außerhalb der EU: Ein Nicht-EU-Anbieter muss einen in der Union niedergelassenen Bevollmächtigten bestellen, bevor er dort ein Hochrisiko-KI-System oder ein KI-Modell mit allgemeinem Verwendungszweck bereitstellt (Open-Source-Modelle ohne systemisches Risiko sind ausgenommen).

Risikokategorien des AI Act: die vier Stufen

Die Europäische Kommission schätzte bei Ausarbeitung des Gesetzes, dass etwa 85 % der KI-Systeme in die Kategorie des minimalen Risikos fallen. Für die meisten Dienstleistungs-, Software- und E-Commerce-Unternehmen sind in der Praxis nur die erste und dritte Zeile relevant.

Zeitplan des EU AI Act: Was jetzt gilt und was verschoben wurde

Anforderungen des EU AI Act, denen die meisten Unternehmen heute begegnen

1. Keine verbotenen KI-Praktiken nutzen

Prüfen Sie, dass kein Tool in Ihrem Unternehmen in eine verbotene Kategorie fällt. Die realistischste Falle für ein gewöhnliches Unternehmen ist die Emotionserkennung von Mitarbeitenden oder Kunden oder eine biometrische Kategorisierung, die sensible Merkmale wie ethnische Herkunft oder politische Ansichten ableitet. Die Kommission hat für Grenzfälle Leitlinien zu verbotenen Praktiken veröffentlicht.

2. KI-Kompetenz fördern – und ja, eine KI-Richtlinie verfassen

Anbieter und Betreiber müssen Maßnahmen treffen, die die KI-Kompetenz der Personen fördern, welche KI in ihrem Auftrag betreiben oder nutzen. Der Omnibus schwächte die Formulierung ab: Sie müssen nicht mehr für jede Person ein bestimmtes Kompetenzniveau garantieren, müssen aber weiterhin handeln. Der Rechtsakt schreibt nicht wörtlich vor, „eine KI-Richtlinie zu erlassen“; eine kurze interne Richtlinie zur KI-Nutzung, dokumentierte Schulungen und ein Nachweis der Teilnehmenden sind jedoch der einfachste Weg, Compliance zu belegen. Da die Pflicht auch für die interne Nutzung gilt, betrifft sie selbst Unternehmen, deren KI nie mit Kunden in Kontakt kommt.

3. Offenlegung bei Chatbots: Sagen Sie Menschen, wenn sie mit einer Maschine sprechen

Nach den Transparenzpflichten muss ein KI-System, das direkt mit Menschen interagiert, etwa ein Chatbot oder Sprachassistent, deutlich machen, dass der Nutzer mit KI kommuniziert, sofern dies nicht aus dem Kontext offensichtlich ist. Die Pflicht trifft den Anbieter, der das System entwickelt hat. Wenn Sie auf Ihrer Website einen Chatbot eines Anbieters nutzen, muss dieser die Offenlegung integrieren; Sie stehen jedoch Ihren Kunden gegenüber: Stellen Sie vor oder bei der ersten Interaktion sicher, dass der Hinweis sichtbar ist. Ein Satz wie „Sie chatten mit unserem KI-Assistenten“ genügt.

Müssen Sie KI-generierte Inhalte kennzeichnen?

Dies ist die Frage zur Offenlegung von KI-Inhalten, die Unternehmen am häufigsten stellen – und am häufigsten falsch beantwortet wird. Die Regeln unterscheiden zwischen einer unsichtbaren, maschinenlesbaren Kennzeichnung, die der Anbieter eines generativen Tools einbetten muss, und einer sichtbaren Offenlegung, die der Betreiber, also das Unternehmen, das den Inhalt veröffentlicht, nur in bestimmten Fällen hinzufügen muss.

Zwei Punkte sollten Sie beachten. Erstens ist die Absicht unerheblich: Ein realistisches Bild muss gekennzeichnet werden, selbst wenn niemand täuschen wollte. Zweitens erfüllt das vom KI-Tool eingebettete Wasserzeichen Ihre eigene Kennzeichnungspflicht nicht; die Offenlegung muss ohne technische Hilfsmittel für einen Menschen wahrnehmbar sein.

AI-Act-Compliance in der Praxis: fünf typische Szenarien

Hochrisiko-KI-Systeme: verschoben, nicht abgeschafft

Wenn Ihr Unternehmen KI in einem Bereich des Anhangs III anbietet oder betreibt, gilt ab den verschobenen Terminen ein wesentlich strengeres Paket an Anforderungen für Hochrisiko-KI. Anbieter müssen ein Risikomanagementsystem betreiben, technische Dokumentation und Protokolle führen, für menschliche Aufsicht auslegen und vor dem Inverkehrbringen eine Konformitätsbewertung bestehen. Betreiber müssen das System nach den Anweisungen nutzen, geschulte Personen für die Aufsicht benennen und Protokolle aufbewahren.

Kleinere Unternehmen werden tatsächlich entlastet: vereinfachte technische Dokumentation für KMU, Start-ups und die neue Kategorie der „kleinen Mid-Caps“; vereinfachtes Qualitätsmanagement für alle KMU; sowie Bußgeldobergrenzen in Höhe des niedrigeren Betrags aus Festbetrag oder Umsatzprozentsatz. Außerdem gibt es eine Ausnahme: Ein System in einem Bereich des Anhangs III ist nicht hochriskant, wenn es nur eine eng begrenzte verfahrensbezogene oder vorbereitende Aufgabe erfüllt und Entscheidungen nicht wesentlich beeinflusst. Zwei Einschränkungen gelten jedoch. Jedes System zur Erstellung von Profilen natürlicher Personen ist immer hochriskant, und ein Anbieter, der sich auf die Ausnahme beruft, muss seine Bewertung dokumentieren und das System dennoch in der EU-Datenbank registrieren.

Sanktionen, Durchsetzung und Überschneidungen mit der GDPR

Die Durchsetzung ist aufgeteilt. Das Europäische Amt für künstliche Intelligenz beaufsichtigt Anbieter von KI-Modellen mit allgemeinem Verwendungszweck; jeder Mitgliedstaat benennt eine Marktüberwachungsbehörde für KI-Systeme; Datenschutzbehörden beaufsichtigen weiterhin die von KI genutzten personenbezogenen Daten. Der AI Act Service Desk der Kommission beantwortet Unternehmensfragen auf Englisch.

Die Sanktionen bei Verstößen sind gestaffelt: bis zu €35 Millionen oder 7 % des weltweiten Jahresumsatzes für verbotene Praktiken; bis zu €15 Millionen oder 3 % für die meisten anderen Pflichten einschließlich Transparenz; und bis zu €7.5 Millionen oder 1 % für die Übermittlung falscher Angaben an Behörden. Für große Unternehmen ist der höhere der beiden Beträge die Obergrenze, für KMU und Start-ups der niedrigere.

Der AI Act gilt neben der GDPR, nicht an ihrer Stelle. Der AI Act regelt das System und dessen Nutzung; die GDPR regelt die darin fließenden personenbezogenen Daten. Ein Tool kann mit dem einen Regelwerk vollständig konform sein und dennoch gegen das andere verstoßen. Soweit der AI Act eine Folgenabschätzung zu Grundrechten verlangt, kann diese auf einer bestehenden Datenschutz-Folgenabschätzung aufbauen, statt sie zu duplizieren.

Praktische KI-Compliance-Checkliste für Unternehmen

Gute KI-Governance erfordert keine Rechtsabteilung. Für die meisten Unternehmen decken diese neun Schritte die aktuellen Anforderungen des AI Act ab und bereiten auf die späteren Hochrisiko-Regeln vor:

• Bestandsaufnahme: Listen Sie alle eingesetzten KI-Tools auf, einschließlich Funktionen in SaaS-Produkten und von Mitarbeitenden genutzter Modelle mit allgemeinem Verwendungszweck.
• Rolle: Bestimmen Sie für jedes Tool, ob Sie Anbieter, Betreiber oder beides sind.
• Klassifizierung: Prüfen Sie jedes Tool anhand der Verbotsliste und der Bereiche des Anhangs III; halten Sie das Ergebnis fest.
• Chatbots: Stellen Sie sicher, dass jeder kundenorientierte KI-Assistent sich identifiziert.
• Inhalte: Wenden Sie auf Ihre Veröffentlichungen die obige Kennzeichnungstabelle an.
• Kompetenz: Führen Sie eine Richtlinie zur KI-Nutzung ein und bewahren Sie Schulungsnachweise auf.
• Datenschutz: Stimmen Sie die KI-Nutzung mit Ihrer bestehenden GDPR-Dokumentation ab.
• EU-Präsenz: Wenn Sie außerhalb der EU ansässig sind und ein Hochrisiko-System oder ein Modell mit allgemeinem Verwendungszweck anbieten, bestellen Sie einen Bevollmächtigten.
• Fahrplan: Wenn etwas hochriskant ist, planen Sie für die verschobenen Termine, statt auf sie zu warten.

AI-Act-Compliance und EU-Unternehmensgründung mit Eesti Firma

Der Rechtsakt über künstliche Intelligenz belohnt Unternehmen, die Compliance von Anfang an einbauen, und für Unternehmen außerhalb der Union macht er eine EU-Präsenz zur praktischen Notwendigkeit. Eesti Firma unterstützt KI-getriebene Unternehmen an beiden Enden: bei der Gründung einer EU-Gesellschaft durch die vollständig digitale Unternehmensgründung in Estland, einschließlich der Gründung über e-Residency für Gründer, die Estland nie besuchen müssen, sowie bei der Erfüllung ihrer Pflichten nach Aufnahme der Tätigkeit auf dem EU-Markt.

Unsere Anwälte erstellen Rechtsgutachten dazu, ob ein bestimmtes KI-System in den Anwendungsbereich fällt und welche Rolle und Risikostufe es auslöst. Unser Team für Rechtsdienstleistungen erstellt die Richtlinien zur KI-Nutzung und Offenlegungen, die ein Unternehmen zum Nachweis der KI-Kompetenz, Transparenz und Datenschutz-Compliance benötigt.

Rechtsgutachten zu Ihrem KI-System anfordern

Häufig gestellte Fragen