EU AI Act: Was kleine und mittlere Unternehmen jetzt wissen müssen

Mit dem AI Act hat die Europäische Union das erste umfassende Gesetz für Künstliche Intelligenz geschaffen. Viele Unternehmen gehen davon aus, dass es nur Entwickler von KI-Systemen betrifft. Das stimmt nicht: Auch Unternehmen, die KI-Werkzeuge im Alltag einsetzen, gelten als sogenannte Betreiber und haben Pflichten. Für die meisten kleinen und mittleren Unternehmen sind diese gut zu bewältigen.

Der Grundgedanke: Regeln nach Risiko

Der AI Act teilt KI-Anwendungen nach ihrem Risiko ein. Einige Praktiken sind verboten, etwa bestimmte Formen der Manipulation oder das Bewerten von Menschen nach ihrem sozialen Verhalten. Für Hochrisiko-Systeme, zum Beispiel KI bei der Auswahl von Bewerbern oder bei Kreditentscheidungen, gelten strenge Anforderungen. Die meisten Büroanwendungen wie Texterstellung, Zusammenfassungen oder Übersetzungen fallen dagegen in die Kategorie mit geringem Risiko.

Was bereits gilt

Seit dem 2. Februar 2025 sind die verbotenen Praktiken untersagt, und Unternehmen müssen für ausreichende KI-Kompetenz ihrer Mitarbeitenden sorgen (Artikel 4). Das heißt: Wer im Unternehmen mit KI arbeitet, soll verstehen, wie die Werkzeuge funktionieren, wo ihre Grenzen liegen und welche Risiken bestehen. Eine bestimmte Form der Schulung schreibt das Gesetz nicht vor, sie sollte aber zum Einsatz passen und nachvollziehbar sein.

Was als Nächstes kommt

Weitere Pflichten treten gestaffelt in Kraft, unter anderem Transparenzpflichten: Wenn Menschen mit einem KI-Chat sprechen, müssen sie das erkennen können, und bestimmte KI-erzeugte Inhalte sind zu kennzeichnen. Für Hochrisiko-Systeme gelten umfangreiche Vorgaben zu Dokumentation, menschlicher Aufsicht und Qualität. Da die EU Anpassungen am Zeitplan diskutiert hat, lohnt vor Entscheidungen ein Blick auf den aktuellen Stand.

Pragmatische Vorbereitung in fünf Schritten

• Bestandsaufnahme: Welche KI-Werkzeuge werden wofür genutzt, auch inoffiziell?
• Einordnung: Gibt es Anwendungen in sensiblen Bereichen wie Personal oder Kredit?
• Schulung: Grundlagen, Grenzen und Datenschutz für alle, die KI nutzen.
• Richtlinie: erlaubte Werkzeuge, Umgang mit Daten, Verantwortlichkeiten.
• Transparenz: KI-Chats und KI-Inhalte nach außen kennzeichnen.

Datenschutz bleibt eigenständig wichtig

Der AI Act ersetzt die DSGVO nicht. Sobald personenbezogene Daten verarbeitet werden, gelten weiterhin die bekannten Regeln: Rechtsgrundlage, Auftragsverarbeitung, Transparenz gegenüber Betroffenen. In der Praxis lassen sich beide Themen gut gemeinsam angehen.

Ein typisches Szenario

Ein häufiges Beispiel: Ein Unternehmen nutzt einen KI-Chat für Texte, Copilot in Microsoft 365 und ein KI-Werkzeug zur Vorauswahl von Bewerbungen. Für die ersten beiden genügen in der Regel Schulung, interne Regeln und Transparenz, wenn KI-generierte Inhalte veröffentlicht werden. Das Bewerbungswerkzeug fällt dagegen in den Hochrisiko-Bereich, weil es Entscheidungen über Menschen beeinflusst. Hier gelten deutlich strengere Pflichten, etwa menschliche Aufsicht und sorgfältige Dokumentation.

So gehen Sie Schritt für Schritt vor

• Alle eingesetzten KI-Werkzeuge in einer Liste erfassen.
• Jedes Werkzeug einer Risikostufe zuordnen.
• Verbotene Anwendungen ausschließen.
• Schulungen für Mitarbeitende durchführen und dokumentieren.
• Interne Richtlinie für den KI-Einsatz festlegen.
• Bei Hochrisiko-Systemen die Pflichten mit dem Anbieter klären.

Aufwand realistisch einschätzen

Für die meisten kleinen und mittleren Unternehmen ist der Aufwand überschaubar, weil sie KI als Anwender mit geringem Risiko nutzen. Eine Bestandsaufnahme, eine kurze Richtlinie und eine Schulung sind oft in wenigen Tagen erledigt. Aufwendiger wird es bei Hochrisiko-Anwendungen. Da die Pflichten gestaffelt in Kraft treten und einzelne Fristen politisch noch diskutiert werden, lohnt es sich, den aktuellen Zeitplan regelmäßig zu prüfen. Bei rechtlichen Detailfragen sollte zusätzlich juristischer Rat eingeholt werden.

Was eine KI-Richtlinie enthalten sollte

Eine interne Richtlinie muss nicht lang sein. Sie legt fest, welche KI-Werkzeuge freigegeben sind, welche Daten dort eingegeben werden dürfen, wer Ergebnisse prüft und an wen sich Mitarbeitende mit Fragen wenden. Ergänzt um eine kurze Schulung erfüllt sie bereits einen großen Teil dessen, was der EU AI Act von Anwendern verlangt.

Kurz zusammengefasst

• Der EU AI Act gilt auch für Unternehmen, die KI nur nutzen.
• KI-Kompetenz der Mitarbeitenden ist bereits Pflicht.
• Die Pflichten richten sich nach dem Risiko der Anwendung.
• Eine Bestandsaufnahme ist der wichtigste erste Schritt.

Fazit

Für die meisten Unternehmen bedeutet der AI Act vor allem: Mitarbeitende schulen, klare Regeln aufschreiben und bei sensiblen Anwendungen genauer hinsehen. Wer das jetzt angeht, ist gut vorbereitet. Dieser Artikel gibt einen Überblick und ersetzt keine Rechtsberatung.