Der EU Artificial Intelligence Act (AI Act) ist das weltweit erste umfassende Gesetz zur Regulierung Künstlicher Intelligenz. Nach jahrelangen Verhandlungen ist er am 1. August 2024 in Kraft getreten. Die Anwendung erfolgt jedoch in Stufen: Seit dem 2. August 2026 gelten die Transparenzpflichten nach Art. 50, etwa für Chatbots und KI-generierte Inhalte. Die Hochrisiko-Regeln für Systeme nach Anhang III greifen ab dem 2. Dezember 2027, für in regulierte Produkte eingebettete Systeme nach Anhang I ab dem 2. August 2028. Welche Pflichten für Ihr Unternehmen relevant sind, hängt daher vom konkreten Einsatzzweck ab – ein Anlass, sich frühzeitig mit der eigenen KI-Nutzung zu befassen.
📋 Die vier Risikostufen des EU AI Act
Der AI Act stuft KI-Anwendungen in vier Kategorien ein. Entscheidend für KMU: Welche Stufe trifft auf meine KI-Nutzung zu?
Verboten
Social Scoring, Echtzeit-Gesichtserkennung im öffentlichen Raum, manipulative KI. Solche Praktiken sind unabhängig von der Unternehmensgröße untersagt.
Hochrisiko
KI in kritischer Infrastruktur, HR, Kreditvergabe, Gesundheitswesen. Hier gelten strenge Pflichten.
Transparenzpflicht
Chatbots, KI-generierte Inhalte, Emotionserkennung. Nutzer müssen wissen, dass sie mit KI interagieren.
Minimales Risiko
KI-Spamfilter, KI-Videospiele. Hier gelten keine besonderen Auflagen. Ob Ihre Anwendung darunterfällt, lässt sich nur anhand des konkreten Einsatzzwecks beurteilen.
⏰ Der Zeitplan: Was gilt ab wann?
-
12. Februar 2025: Verbotene KI-Praktiken werden untersagt.
-
22. August 2025: Regeln für GPAI-Modelle (General Purpose AI) gelten. Das betrifft in erster Linie die Anbieter solcher Modelle.
-
32. August 2026: 🔥 JETZT Die Transparenzpflichten nach Art. 50 gelten – etwa für Chatbots und KI-generierte Inhalte.
-
42. Dezember 2027: Die Hochrisiko-Regeln für Systeme nach Anhang III gelten.
-
52. August 2028: Die Hochrisiko-Regeln für Systeme nach Anhang I gelten – für KI, die in regulierte Produkte eingebettet ist.
🏢 Was bedeutet das konkret für KMU?
Ob und welche Pflichten Sie treffen, lässt sich nicht pauschal beantworten. Entscheidend ist zum einen der konkrete Einsatzzweck des KI-Systems, zum anderen Ihre Rolle – etwa als Betreiber oder als Anbieter einer KI-Anwendung. Je nach Fall können unterschiedliche Pflichten aus dem AI Act gelten, und auch die bereits geltenden Transparenzpflichten sind nicht automatisch für jede Nutzung relevant.
Wichtig ist außerdem, DSGVO und AI Act getrennt zu prüfen. Beide Regelwerke verfolgen unterschiedliche Ziele und bestehen nebeneinander: Ein datenschutzrechtlicher Auftragsverarbeitungsvertrag regelt die Verarbeitung personenbezogener Daten, erfüllt aber für sich genommen keine Pflichten aus dem AI Act. Umgekehrt ersetzt der AI Act keine datenschutzrechtliche Prüfung. Eine saubere Bewertung Ihres Einsatzes sollte daher beide Perspektiven berücksichtigen.
Das sollten Sie prüfen:
- Einsatzzweck: Klären Sie, wofür das KI-System konkret eingesetzt wird – daraus ergibt sich, welche Regeln des AI Act überhaupt anwendbar sind.
- Ihre Rolle: Machen Sie sich bewusst, ob Sie ein KI-System einsetzen, anpassen oder selbst anbieten – und welche Pflichten damit verbunden sein können.
- Transparenz gegenüber Kunden: Wo eine KI-Interaktion für Nutzer nicht offensichtlich ist, kann eine Kennzeichnung erforderlich sein. Prüfen Sie den Einzelfall.
- Dokumentation: Eine interne Übersicht des KI-Einsatzes hilft, den Überblick zu behalten – ob und in welchem Umfang sie erforderlich ist, hängt vom Einzelfall ab.
- Datenschutz separat: Prüfen Sie die DSGVO-Anforderungen unabhängig vom AI Act und passen Sie die vertraglichen Grundlagen entsprechend an.
Die vollständigen und verbindlichen Informationen zur Anwendung und Durchsetzung des AI Act finden Sie bei der Europäischen Kommission: Europäische Kommission – Enforcement of the AI Act.
Sie möchten die technische Umsetzung besprechen?
Wir unterstützen Sie gern bei der technischen Umsetzung von KI-Anwendungen – etwa bei Transparenzhinweisen, der Anbindung an Ihre Systeme und der Dokumentation Ihres KI-Einsatzes. Eine rechtliche Bewertung des AI Act oder eine Rechtsberatung ist damit nicht verbunden; diese sollte im Zweifel von einer fachkundigen Stelle erfolgen.
Technische Umsetzung besprechen