Was muss ich als Geschäftsführer wegen dem EU AI Act jetzt konkret tun?

Das KI-Gesetz der EU soll Vertrauen und Sicherheit schaffen, nicht Innovation behindern. Es zielt darauf ab, einen einheitlichen Rechtsrahmen für die Entwicklung und Anwendung von Künstlicher Intelligenz im europäischen Binnenmarkt zu etablieren. Der Schutz von Grundrechten, Demokratie und Rechtsstaatlichkeit steht dabei im Vordergrund.

Der zentrale Mechanismus ist ein risikobasierter Ansatz. Das bedeutet: Je höher das potenzielle Risiko einer KI-Anwendung für Menschen ist, desto strenger sind die regulatorischen Anforderungen. Viele alltägliche KI-Anwendungen bleiben davon weitgehend unberührt.

Der AI Act teilt KI-Systeme in vier Risikoklassen ein. Für Sie als Unternehmer ist es entscheidend zu wissen, in welche Klasse Ihre Anwendungen fallen.

Die meisten KI-Werkzeuge, die im Mittelstand zum Einsatz kommen, gehören zur Kategorie des minimalen oder begrenzten Risikos. Dazu zählen beispielsweise KI-gestützte Spamfilter, die Optimierung von Lagerbeständen oder die Nutzung von generativer KI zur Erstellung von Marketingtexten. Hier sind die Auflagen gering und beschränken sich meist auf Transparenzpflichten.

Das Gesetz unterscheidet klar zwischen den Rollen der Marktteilnehmer, was direkte Auswirkungen auf deren Pflichten hat. Die meisten mittelständischen Unternehmen sind Anwender.

Als Anwender („Deployer“) setzen Sie ein KI-System im eigenen Betrieb ein. Die Pflichten des Anwenders umfassen nach dem AI Act in der Regel, das System gemäß der Anleitung des Anbieters zu nutzen, die Funktionsweise zu überwachen und die menschliche Aufsicht sicherzustellen. Ebenso kann die Pflicht bestehen, die Protokolle des Systems für eine gesetzlich vorgegebene Zeit aufzubewahren.

Der Anbieter („Provider“) ist derjenige, der das KI-System entwickelt und in Verkehr bringt. Er trägt die Hauptlast der Konformitätspflichten, insbesondere bei Hochrisiko-Systemen. Wenn Sie Software von Drittanbietern nutzen, liegt die Verantwortung für die technische Konformität also primär dort.

Die wichtigste und dringlichste Aufgabe für jeden Geschäftsführer ist es, einen Überblick zu gewinnen. Sie können Risiken nur steuern, wenn Sie wissen, wo sie liegen. Oft nutzen Mitarbeiter bereits KI-Werkzeuge, ohne dass dies zentral bekannt ist („Schatten-KI“).

Ein KI-Inventar ist eine einfache Liste, die alle im Unternehmen eingesetzten KI-Systeme erfasst. Diese Übersicht ist die Grundlage für alle weiteren Schritte und Entscheidungen. Sie schafft Transparenz und ermöglicht eine erste Risikoeinschätzung.

Individuell für Ihr Unternehmen entwickelte KI-Lösungen, wie zum Beispiel ein KI-Mitarbeiter zur Automatisierung von Prozessen, fallen ebenfalls unter den AI Act. Die Risikoeinstufung hängt hier ausschließlich von der konkreten Aufgabe ab, die der KI-Mitarbeiter übernimmt.

Ein KI-Mitarbeiter, der eingehende Rechnungen prüft und der Buchhaltung zuordnet, stellt ein minimales Risiko dar. Übernimmt er jedoch die Vorauswahl von Bewerbungsunterlagen im Personalwesen, kann das System als hochriskant eingestuft werden. In diesem Fall gelten für den Entwickler und für Sie als Anwender die entsprechenden, im Gesetz festgelegten Pflichten.

Bei der Einführung eines KI-Mitarbeiters ist die Verantwortung geteilt. Der Anbieter ist für die technische Konformität und Dokumentation der Software zuständig. Sie als anwendendes Unternehmen sind für den bestimmungsgemäßen Einsatz, die Überwachung der Ergebnisse und die Einbindung in Ihre Betriebsabläufe verantwortlich.

Der EU AI Act tritt nicht von einem Tag auf den anderen vollständig in Kraft. Die Umsetzung erfolgt schrittweise über mehrere Jahre, um Unternehmen ausreichend Zeit zur Anpassung zu geben. Es besteht also kein Grund zur Panik, aber Anlass zur Vorbereitung.

Die ersten Regeln, insbesondere die Verbote für KI-Systeme mit unannehmbarem Risiko, werden bereits etwa sechs Monate nach dem offiziellen Inkrafttreten wirksam. Die umfangreichen Pflichten für Hochrisiko-Systeme folgen deutlich später, in der Regel nach 24 bis 36 Monaten. Sie haben also Zeit, Ihre Prozesse und Ihr KI-Inventar in Ruhe aufzubauen.