EU AI Act Pflichten Mittelstand?

Die Verordnung unterscheidet grundlegend zwischen Anbietern, die KI-Modelle entwickeln oder unter eigenem Namen in Verkehr bringen, und Betreibern, die bestehende Systeme im geschäftlichen Alltag anwenden. Mittelständische Unternehmen fallen in der Praxis typischerweise in die Kategorie der Betreiber, sofern sie nicht selbst KI-Software an Dritte vertreiben.

Diese Unterscheidung reduziert den bürokratischen Aufwand erheblich, da die umfangreichen Konformitätsbewertungen und technischen Prüfungen primär beim Hersteller liegen. Dennoch tragen Betreiber die Verantwortung dafür, dass die Systeme bestimmungsgemäß eingesetzt, von fachkundigen Personen überwacht und unter Beachtung der geltenden Datenschutzvorschriften betrieben werden.

Der EU AI Act basiert auf einem risikobasierten Ansatz, der den regulatorischen Aufwand an das Schadenspotenzial koppelt. Anwendungen mit unannehmbarem Risiko sind vollständig untersagt, betreffen den klassischen Mittelstand nach allgemeiner Einschätzung aber in der Regel nicht.

Hochrisiko-KI umfasst Systeme, die über Beschäftigungschancen, Kreditwürdigkeit oder kritische Infrastrukturen entscheiden. Wer automatisierte Vorauswahlen bei Stellenbewerbungen oder biometrische Erkennung nutzt, unterliegt strengen Überwachungs- und Protokollierungspflichten. Der typische Einsatz im Innendienst, etwa zur E-Mail-Sortierung oder Angebotsvorbereitung, fällt dagegen nach gängiger Lesart unter minimale bis spezifische Transparenzrisiken.

Sobald ein Unternehmen KI-Systeme einsetzt, die direkt mit Menschen interagieren, greift grundsätzlich eine Informationspflicht. Kunden, Lieferanten oder Bewerber müssen zeitnah und verständlich darüber aufgeklärt werden, dass sie mit einer Maschine kommunizieren, es sei denn, dies ergibt sich nach rechtlicher Wertung zweifelsfrei aus den Umständen.

Auch künstlich erzeugte oder bearbeitete Bild-, Ton- und Textinhalte, die der Öffentlichkeit zur Information dienen, müssen maschinenlesbar und für den Nutzer sichtbar gekennzeichnet werden. Im internen Betrieb bedeutet dies, dass Angestellte informiert sein sollten, an welchen Stellen Daten durch Algorithmen verarbeitet werden.

Eine der früh greifenden Vorgaben ist die gesetzliche Verpflichtung zur Förderung der KI-Kompetenz im Betrieb. Arbeitgeber müssen sicherstellen, dass Personal, das mit dem Betrieb und der Überwachung von KI-Systemen betraut ist, über ein angemessenes Maß an technischem Verständnis verfügt.

Diese Anforderung verlangt keine akademische Ausbildung, sondern praxisnahes Wissen über Funktionsweise, Grenzen und Risiken der eingesetzten Software. Ein KI-Mitarbeiter im Vertrieb oder Rechnungswesen darf nicht als unfehlbare Blackbox betrachtet werden, sondern erfordert Mitarbeiter, die Ergebnisse fachlich validieren können.

Die Verordnung trat im Sommer 2024 in Kraft, entfaltet ihre Rechtswirkung jedoch schrittweise über mehrere Jahre. Diese Übergangsfristen ermöglichen es Betrieben, bestehende Prozesse strukturiert zu prüfen und anzupassen, ohne überstürzte Maßnahmen ergreifen zu müssen.

Sechs Monate nach Inkrafttreten greifen die Verbote unzulässiger Praktiken sowie die Pflicht zur KI-Kompetenz. Die Regeln für Allzweck-KI gelten nach zwölf Monaten, während die vollumfänglichen Pflichten für Hochrisikosysteme nach 24 bis 36 Monaten verbindlich werden.

Um regulatorische Risiken im Betriebsalltag strukturiert zu verringern, sollten mittelständische Unternehmen zunächst eine Bestandsaufnahme aller genutzten Werkzeuge durchführen. Dazu gehört auch die Erfassung von Schatten-IT, wenn Beschäftigte eigenmächtig frei zugängliche Sprachmodelle für Geschäftskorrespondenz nutzen.

Im nächsten Schritt empfiehlt sich die Einführung einer verbindlichen internen Richtlinie. Diese legt fest, welche Daten verarbeitet werden dürfen, wer Ausgaben vor dem Versand prüfen muss und wie Kunden informiert werden. Eine Übersicht über den Unterschied zwischen simplen Chat-Werkzeugen und fest eingebundenen Systemen bietet die Einordnung unter /ki-mitarbeiter. Rechtliche Einzelfragen sind dabei mit einem Anwalt abzustimmen.