Regulierung von KI

Was ist der EU AI Act?

KI-Verordnung der EU

Der EU AI Act ist die KI-Verordnung der Europäischen Union. Sie ordnet KI-Systeme nach ihrem Risiko in Stufen ein und knüpft daran abgestufte Pflichten für alle, die solche Systeme anbieten oder im eigenen Betrieb einsetzen.

Wer KI nur einkauft und einsetzt, hat andere Pflichten als wer sie anbietet, und genau diese Rolle entscheidet, wie viel Aufwand auf dich zukommt.

KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt

Gilt für: Anbieter und Betreiber von KI-Systemen
Ordnet nach: Risiko, von verboten bis minimal
Anwendung: Stufenweise, die Verbote gelten seit Februar 2025
Verwechselt mit: DSGVO

Vier Stufen, sehr unterschiedliche Folgen

Ganz oben stehen verbotene Praktiken. Dazu zählt das Bewerten von Menschen nach ihrem Sozialverhalten, wenn daraus Benachteiligungen folgen, und zwar durch öffentliche wie durch private Stellen. Verboten sind ebenso das wahllose Abgreifen von Gesichtsbildern zum Aufbau von Datenbanken und die Erkennung von Emotionen am Arbeitsplatz und in Bildungseinrichtungen, mit eng begrenzten Ausnahmen.

Die zweite Stufe, Hochrisiko, betrifft KI als Sicherheitsbauteil regulierter Produkte sowie Anwendungen in aufgeführten Bereichen, etwa bei der Auswahl von Bewerbern, bei Beförderung und Kündigung, bei Kreditwürdigkeit, im Bildungswesen, in kritischer Infrastruktur und bei Strafverfolgung. Hier greift der volle Pflichtenkatalog: Risikomanagement, Anforderungen an die Datenqualität, technische Dokumentation, Protokollierung, menschliche Aufsicht, Genauigkeit und Robustheit sowie ein Konformitätsverfahren vor dem Inverkehrbringen.

Die dritte Stufe kennt nur Transparenzpflichten. Wer mit einer Maschine spricht, muss das erkennen können, und künstlich erzeugte oder manipulierte Inhalte werden gekennzeichnet. Alles Übrige, vom Spamfilter bis zur Nachfrageprognose, bleibt weitgehend frei. Für KI-Modelle mit allgemeinem Verwendungszweck gelten zusätzlich eigene Regeln, die vor allem die Anbieter dieser Modelle treffen.

Anbieter oder Betreiber, das entscheidet fast alles

Die Verordnung unterscheidet vor allem zwei Rollen. Anbieter entwickeln ein System oder bringen es unter eigenem Namen auf den Markt und tragen den Hauptteil der Pflichten. Betreiber setzen ein System unter eigener Verantwortung ein und haben deutlich weniger Pflichten, aber eben doch welche: Einsatz gemäß Anleitung, Sicherstellen der menschlichen Aufsicht, Beobachtung des Betriebs, Aufbewahren von Protokollen und die Information von Beschäftigten, wenn ein Hochrisiko-System sie betrifft.

Die Rolle kann kippen. Wer ein zugekauftes System unter eigenem Namen weitergibt, es wesentlich verändert oder für einen anderen Zweck einsetzt als vorgesehen, gilt als Anbieter und übernimmt damit dessen Pflichten. Das ist der Punkt, an dem viele Eigenentwicklungen auf Basis fremder Modelle einsortiert werden müssen.

Unabhängig von der Rolle gilt eine Pflicht für alle, die KI einsetzen: Beschäftigte, die mit diesen Systemen arbeiten, müssen ausreichend geschult sein, um Möglichkeiten und Risiken einschätzen zu können.

Was im Betrieb ansteht

Der erste Schritt ist eine Bestandsaufnahme: Welche KI-Systeme sind im Haus, wozu werden sie benutzt, wer hat sie eingeführt? Dazu gehört auch, was ohne Beschluss der IT im Einsatz ist, weil Fachabteilungen sich selbst versorgt haben. Danach folgt die Einstufung, und zwar je Anwendungsfall, nicht je Werkzeug.

Anschließend geht es um Zuständigkeiten, Dokumentation des Verwendungszwecks, die Frage, wie die menschliche Aufsicht konkret aussieht, und um Verträge mit Anbietern, die Nachweise liefern müssen. Sinnvoll ist es, das an vorhandene Verfahren aus Datenschutz und Informationssicherheit anzuhängen, statt eine zweite Struktur aufzubauen.

Die Anforderungen greifen gestaffelt, die Verbote zuerst, die Vorgaben für Hochrisiko-Systeme später. Dieser Überblick ersetzt keine rechtliche Prüfung des Einzelfalls.

KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt

Nicht verwechseln

EU AI Act und was oft damit gleichgesetzt wird

EU AI Act gegen DSGVO

Die Datenschutz-Grundverordnung regelt den Umgang mit personenbezogenen Daten und gilt unverändert weiter. Der AI Act setzt daneben an: Er regelt das System und seine Risiken, unabhängig davon, ob personenbezogene Daten verarbeitet werden.

EU AI Act gegen Cyber Resilience Act

Dort geht es um die Sicherheit von Produkten mit digitalen Elementen, also um Schwachstellen und Updates. Beide Verordnungen können auf dasselbe Produkt zutreffen und verlangen dann jeweils eigene Nachweise.

KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt

In der Praxis

Erst die Rolle klären, dann die Pflichten

Die meisten Betriebe kaufen KI ein und sind damit Betreiber. Wer aber ein System unter eigenem Namen weitergibt, es wesentlich verändert oder für einen anderen Zweck anbietet als vorgesehen, rutscht in die Rolle des Anbieters, und daran hängt deutlich mehr. Diese Frage steht am Anfang eines Projekts und nicht am Ende.

Unabhängig von der Rolle verlangt die Verordnung ausreichende KI-Kompetenz: Wer solche Systeme anbietet oder einsetzt, muss dafür sorgen, dass die Leute, die damit arbeiten, das System einschätzen können, also wissen, was es leistet, wo seine Grenzen liegen und wann eine Ausgabe geprüft werden muss. Diese Pflicht gilt seit Februar 2025. Sie ist keine Formularübung, sondern eine Qualifizierungsaufgabe, und sie betrifft die Fachabteilungen genauso wie die IT.

Der erste greifbare Schritt ist eine Bestandsliste. Welche KI-Funktionen laufen bereits im Haus, oft eingebaut in Software, die aus ganz anderen Gründen beschafft wurde? Wer nutzt sie wofür, und welche davon berühren Bewerbungen, die Bewertung von Beschäftigten oder Entscheidungen über Kundinnen und Kunden? Ohne diese Liste lässt sich gar nichts einstufen.

EU AI Act lernen

Wie ihr eure KI-Systeme erfasst, einstuft und die nötigen Nachweise organisiert, behandeln die Kurse zu Regulierung und Compliance rund um KI entlang konkreter Anwendungsfälle.

Wissen prüfen

Sitzt EU AI Act schon?

Lesen fühlt sich schnell nach Können an. Ein kurzer Test zeigt dir, was davon schon sitzt und wo sich ein Kurs lohnt. Kostenlos, ohne Anmeldung, mit einer Erklärung zu jeder Antwort.

Wissenstest KI-Verordnung und KI-Governance QuizTeste dein Wissen zu Risikoklassen, Rollen, Transparenzpflichten und der Umsetzung im Betrieb. Quiz starten Wissenstest KI Grundlagen QuizTeste dein Verständnis für Sprachmodelle, Kontextfenster, Halluzinationen und den sicheren Umgang mit KI im Job. Quiz starten

Kurse, die EU AI Act behandeln

Häufige Fragen

Gilt der EU AI Act auch, wenn wir KI nur einkaufen?

Ja, dann in der Rolle des Betreibers. Die Pflichten sind kleiner als beim Anbieter, umfassen aber den Einsatz gemäß Anleitung, die menschliche Aufsicht, die Beobachtung des Betriebs und die Schulung der Beschäftigten, die damit arbeiten.

Ist ein Chatassistent im Unternehmen ein Hochrisiko-System?

Das Werkzeug allein entscheidet das nicht, der Verwendungszweck entscheidet. Derselbe Assistent ist bei der Formulierung von Textentwürfen unkritisch und rückt in den Hochrisiko-Bereich, sobald er zur Vorauswahl von Bewerbungen eingesetzt wird.

Müssen Beschäftigte geschult werden?

Ja. Die Verordnung verlangt von Anbietern und Betreibern, dass Personen, die mit KI-Systemen umgehen, über ausreichende Kompetenz verfügen. Der Umfang richtet sich danach, wie und wofür die Systeme eingesetzt werden.

Quellen

Verordnung (EU) 2024/1689 über künstliche Intelligenz, EUR-Lex

Passt thematisch dazu

Welche Risikostufe für euer eigenes System gilt, klärt die Einordnung in zwei Schritten , beginnend bei der Frage, ob ihr Anbieter oder Betreiber seid.

Persönlich für dich da