- EU AI Act: Die EU-Verordnung klassifiziert KI-Systeme nach Risiko und legt verbindliche Pflichten für Anbieter und Betreiber fest.
- Der EU AI Act (Verordnung EU 2024/1689) ist die erste rechtsverbindliche KI-Verordnung weltweit.
- Sie trat im August 2024 in Kraft und gilt stufenweise: Verbote für inakzeptables Risiko ab Februar 2025, Transparenzpflichten seit August 2026, Hochrisiko-Pflichten ab Dezember 2027 (Anhang III) bzw. August 2028 (Anhang I). Der Ansatz ist risikobasiert — je höher das Gefährdungspotenzial, desto strenger die Anforderungen.
- Verstöße können mit Bußgeldern geahndet werden: bis zu 35 Mio. Euro oder 7 % des weltweiten Jahresumsatzes bei verbotenen Praktiken, bis zu 15 Mio. Euro oder 3 % bei Verstößen gegen Hochrisiko-Pflichten.
/01Was ist der EU AI Act?
Der EU AI Act (Verordnung EU 2024/1689) ist die erste rechtsverbindliche KI-Verordnung weltweit. Sie trat im August 2024 in Kraft und gilt stufenweise: Verbote für inakzeptables Risiko ab Februar 2025, Transparenzpflichten seit August 2026, Hochrisiko-Pflichten ab Dezember 2027 (Anhang III) bzw. August 2028 (Anhang I). Der Ansatz ist risikobasiert — je höher das Gefährdungspotenzial, desto strenger die Anforderungen.
Die Verordnung unterscheidet vier Risikoklassen: unannehmbares Risiko (verboten, z. B. Social Scoring), hohes Risiko (umfangreiche Pflichten, z. B. KI in Recruiting oder Kreditvergabe), begrenztes Risiko (Transparenzpflichten, z. B. Chatbots) sowie minimales Risiko (keine speziellen Vorgaben). Für Allzweck-KI-Modelle wie große Sprachmodelle gelten zusätzliche Anforderungen ab einer bestimmten Rechenleistungsschwelle.
/02Pflichten für Anbieter und Betreiber
Unternehmen, die Hochrisiko-KI in der EU anbieten oder einsetzen, müssen konkrete Anforderungen erfüllen:
- Risikomanagementsystem einrichten und dokumentieren
- Qualität der Trainingsdaten sicherstellen und nachweisen
- Technische Dokumentation und Konformitätsbewertung durchführen
- Menschliche Aufsicht (Human Oversight) gewährleisten
- Registrierung in der EU-Datenbank für Hochrisiko-Systeme
Praxisbeispiel
Ein Softwarehaus, das ein KI-gestütztes Bewerberscreening-Tool vertreibt, gilt als Anbieter eines Hochrisiko-Systems und muss vor Markteintritt eine vollständige Konformitätsbewertung sowie CE-Kennzeichnung vorweisen.
/03Relevanz für den Mittelstand
Viele mittelständische Unternehmen sind betroffen, auch wenn sie KI nur als Betreiber einsetzen. Wer Hochrisiko-KI eines Drittanbieters im eigenen Betrieb nutzt, übernimmt Pflichten wie die Sicherstellung menschlicher Aufsicht und die Führung von Nutzungsprotokollen. Empfehlenswert ist eine frühzeitige Bestandsaufnahme der eingesetzten KI-Systeme, Klassifizierung nach Risikoklasse und Einbindung der Rechts- und Compliance-Abteilung. Verstöße gegen verbotene Praktiken können mit Bußgeldern bis zu 35 Mio. Euro oder 7 % des weltweiten Jahresumsatzes geahndet werden, bei Verstößen gegen Hochrisiko-Pflichten sind es bis zu 15 Mio. Euro oder 3 %.