Was der AI Act ist und für wen er gilt
Der AI Act ist die europäische KI-Verordnung, seit August 2024 in Kraft, mit Pflichten, die stufenweise greifen. Als Verordnung gilt er unmittelbar in jedem EU-Land, es braucht kein deutsches Gesetz dazu. Er unterscheidet zwischen Anbietern, die KI-Systeme entwickeln und auf den Markt bringen, und Betreibern, die KI-Systeme in ihrem Betrieb nutzen.
Die meisten Mittelständler sind Betreiber: Sie nutzen ChatGPT, Copilot, KI-Funktionen in ihrer Software oder einen KI-Agenten, den jemand für sie gebaut hat. Für Betreiber sind die Pflichten deutlich geringer als für Anbieter, aber sie sind nicht null. Und wer KI-Funktionen in eigene Produkte einbaut und verkauft, rutscht schnell in die Anbieterrolle.
Die vier Risikoklassen in einer Minute
Der AI Act sortiert KI-Systeme nach Risiko. Von der Klasse hängt ab, was du tun musst.
1. Verboten
Social Scoring, manipulative Systeme, Emotionserkennung am Arbeitsplatz, bestimmte biometrische Überwachung. Seit Februar 2025 untersagt. Für normale Betriebe kein Thema, es sei denn, jemand kommt auf die Idee, Bewerber per KI-Gesichtsanalyse zu bewerten.
2. Hochrisiko
KI in Bewerbungsauswahl, Personalentscheidungen, Kreditvergabe, kritischer Infrastruktur, Medizinprodukten. Hier gelten ab August 2026 umfangreiche Pflichten: Risikomanagement, Dokumentation, menschliche Aufsicht, Protokollierung. Wer ein KI-Tool zur Vorauswahl von Bewerbern nutzt, ist Betreiber eines Hochrisiko-Systems, auch wenn er es nur gekauft hat.
3. Begrenztes Risiko
Chatbots, KI-generierte Inhalte, Deepfakes. Pflicht: Transparenz. Menschen müssen wissen, dass sie mit einer KI reden oder dass ein Inhalt KI-generiert ist.
4. Minimales Risiko
Spamfilter, Rechtschreibkorrektur, die meisten Büroanwendungen. Keine besonderen Pflichten, abgesehen von der allgemeinen KI-Kompetenz.
Was seit 2025 für jeden Betrieb gilt
Artikel 4 des AI Act verlangt seit Februar 2025 von allen Anbietern und Betreibern, dass ihre Mitarbeitenden über ausreichende KI-Kompetenz verfügen. Das klingt weich, ist aber die Pflicht, die jeden Betrieb trifft, in dem jemand KI nutzt, also praktisch jeden.
KI-Kompetenz heißt nicht, dass alle programmieren können. Es heißt: Die Leute wissen, was das Tool kann und was nicht, welche Daten sie eingeben dürfen, wie sie Ergebnisse prüfen, und wann sie einen Menschen fragen. In der Praxis ist das eine Schulung von 60 bis 90 Minuten, einmal im Jahr, mit Teilnahmenachweis. Ohne Nachweis gilt die Pflicht als nicht erfüllt, egal wie klug die Mitarbeitenden sind.
Dazu kommt die Transparenzpflicht für Chatbots und KI-Inhalte, die ab August 2026 scharf gestellt wird: Wer auf seiner Website einen KI-Chat anbietet, muss das kenntlich machen. Wer KI-generierte Texte oder Bilder veröffentlicht, in bestimmten Fällen auch.
Was Bußgelder und Haftung angeht
Die Bußgeldrahmen im AI Act sind hoch, bis zu 35 Millionen Euro oder 7 Prozent des Jahresumsatzes für verbotene Praktiken, deutlich weniger für Verstöße gegen andere Pflichten. Für kleine und mittlere Unternehmen gelten die jeweils niedrigeren Werte. Realistisch ist für einen Mittelständler, der ChatGPT ohne Richtlinie nutzt, kein Millionenbußgeld.
Das eigentliche Risiko liegt woanders. Erstens bei den Daten: Wer Kundendaten in ein KI-Tool kopiert, hat ein Datenschutzproblem nach DSGVO, und das wird heute schon geahndet. Zweitens bei Fehlern: Wenn eine KI eine falsche Entscheidung vorbereitet, ein falsches Angebot verschickt, eine Bewerbung aussortiert, haftet das Unternehmen, und die Frage ist, ob es Regeln und Kontrollen gab. Drittens bei Kunden: Immer mehr Lieferantenfragebögen fragen nach KI-Governance. Wer nichts vorweisen kann, verliert Aufträge, nicht wegen eines Bußgelds, sondern wegen eines leeren Feldes im Fragebogen.
Was du konkret tun solltest
Für die meisten Mittelständler reichen drei Dinge, um die Pflichten zu erfüllen und im Fall der Fälle zeigen zu können, dass sie sich gekümmert haben.
1. KI-Inventar
Eine Liste aller KI-Tools und KI-Funktionen im Betrieb: Was wird genutzt, wofür, mit welchen Daten, von wem, in welcher Risikoklasse. Die meisten Betriebe sind überrascht, wie lang die Liste ist, weil KI inzwischen in Buchhaltungssoftware, CRM und E-Mail-Programmen steckt.
2. KI-Richtlinie
Zwei Seiten mit klaren Regeln: Welche Tools sind erlaubt, was darf eingegeben werden und was nicht, wer gibt KI-Ergebnisse frei, wie wird gekennzeichnet. Kein Roman, sondern etwas, das jeder liest und versteht.
3. Schulung mit Nachweis
Einmal im Jahr, für alle, die KI nutzen. Praxisnah an den eigenen Tools. Teilnahmebestätigung ablegen.
Wer KI-Agenten einsetzt, die selbstständig handeln, sollte zusätzlich festlegen, wo ein Mensch freigibt, bevor etwas rausgeht. Wer Hochrisiko-Systeme betreibt, braucht mehr. Und wer das Thema systematisch angehen will, landet bei der ISO 42001, dem Managementsystem für KI, das genau diese Punkte in einen prüfbaren Rahmen bringt.
Das Thema klingt größer, als es für die meisten Betriebe ist. Inventar, Richtlinie und Schulung sind in zwei bis drei Wochen erledigt. Als externer KI-Beauftragter übernehmen wir genau das, wenn du es nicht selbst machen willst.