EU AI Act Pflichten für Unternehmen?

Der Rechtsrahmen teilt Systeme in verbotene Systeme, Hochrisiko-Systeme, Systeme mit spezifischem Transparenzrisiko sowie Anwendungen mit minimalem Risiko ein. Verboten sind unter anderem automatisierte Verhaltensbewertungen von Mitarbeitern oder biometrische Fernidentifikationen in Echtzeit.

Die meisten betrieblichen Anwendungen fallen in den Bereich des minimalen Risikos oder unterliegen einfachen Transparenzregeln. Kritisch wird es dort, wo Systeme tiefgreifende Entscheidungen über Menschen treffen, beispielsweise bei der automatisierten Vorauswahl von Bewerbern im Einstellungsverfahren.

Eine genaue Abgrenzung ist für die Geschäftsleitung entscheidend, da Hochrisiko-Anwendungen umfassende Prüfungen und Konformitätsbewertungen verlangen, bevor sie im Betrieb produktiv gehen dürfen.

Das Gesetz unterscheidet strikt zwischen Anbietern, die ein System entwickeln oder unter eigenem Namen in den Verkehr bringen, und Betreibern, die ein bestehendes System im Betrieb einsetzen. Für Betreiber sind die Hürden deutlich niedriger, da die primäre Konformitätsprüfung beim Hersteller liegt.

Mittelständische Unternehmen agieren in fast allen Fällen als Betreiber, solange sie bestehende Basismodelle nutzen und diese nicht grundlegend für Hochrisiko-Zwecke umbauen. Sobald jedoch wesentliche Änderungen am Verwendungszweck vorgenommen werden, kann das Unternehmen rechtlich in die Anbieterrolle rutschen.

Wer einen <a href="/ki-mitarbeiter">KI-Mitarbeiter</a> für das Dokumentenmanagement oder das Mahnwesen einführt, nutzt standardisierte technische Schnittstellen und bleibt Betreiber mit überschaubaren Sorgfaltspflichten.

Nutzt ein Betrieb automatisierte Systeme in der direkten Interaktion mit Kunden oder Lieferanten, müssen diese darüber informiert werden. Eine Person muss erkennen können, dass sie mit einem künstlichen System und nicht mit einem Menschen kommuniziert, es sei denn, dies ergibt sich zweifelsfrei aus dem Kontext.

Gleiches gilt für künstlich erzeugte Inhalte wie Audio-, Bild- oder Textdateien, sofern diese zur Information der Öffentlichkeit bestimmt sind. Auch intern müssen Mitarbeiter informiert werden, wenn automatisierte Arbeitsabläufe ihre Aufgaben erfassen oder vorbereiten.

Diese Hinweispflicht lässt sich im Alltag pragmatisch umsetzen, etwa durch einen klaren Hinweis in der E-Mail-Signatur oder ein kurzes Vorwort bei softwaregestützten Auswertungen.

Das Personalwesen zählt unter dem EU AI Act zu den besonders regulierten Bereichen. Systeme, die Bewerbungen filtern, Kandidaten bewerten oder Beförderungsentscheidungen vorbereiten, gelten grundsätzlich als Hochrisiko-Anwendungen.

Für Betreiber bedeutet dies, dass solche Systeme nicht autonom entscheiden dürfen. Es muss zwingend eine menschliche Aufsichtsperson geben, die die Vorschläge fachlich prüft, die Funktionsweise versteht und die endgültige Entscheidung trifft.

Unternehmen müssen zudem sicherstellen, dass die verwendeten Eingabedaten repräsentativ und frei von systematischen Benachteiligungen sind. Eine lückenlose Dokumentation der Entscheidungsgrundlagen ist in diesem Einsatzfeld gesetzlich vorgeschrieben.

Die Verordnung trat im Sommer 2024 in Kraft und wird stufenweise über einen Zeitraum von bis zu 36 Monaten wirksam. Die ersten Verbote unzulässiger Praktiken greifen bereits sechs Monate nach Inkrafttreten und verlangen sofortiges Handeln bei verbotenen Anwendungen.

Die Vorgaben für Allzweck-KI-Modelle werden nach zwölf Monaten verbindlich, während der Hauptteil der Verpflichtungen für Hochrisiko-Systeme nach 24 Monaten anzuwenden ist. Betriebe haben damit ausreichend Vorlauf, müssen bestehende Werkzeuge jedoch frühzeitig inventarisieren.

Wer jetzt automatisierte Abläufe plant, sollte von Beginn an auf die Einhaltung der geltenden regulatorischen Vorgaben achten, um spätere Umbauten an den Systemen zu vermeiden.

Der erste Schritt für Geschäftsführer besteht in einem internen Bestandsverzeichnis aller eingesetzten Systeme. Hierbei wird erfasst, welche Softwareteile auf Algorithmen basieren, welche Daten verarbeitet werden und welcher Einsatzzweck vorliegt.

Anschließend werden die Systeme den vier Risikoklassen zugeordnet und die jeweiligen Betreiberpflichten festgelegt. Für einfache Prozessautomatisierungen genügt meist eine interne Arbeitsanweisung zur Kennzeichnung und menschlichen Endkontrolle.

Zudem sollten Vereinbarungen mit Softwarelieferanten daraufhin überprüft werden, ob diese die gesetzlichen Pflichten als Anbieter erfüllen. Eine rechtlich verbindliche Einordnung im Einzelfall sollte stets durch einen fachkundigen Rechtsbeistand erfolgen.