Kaum ein Regelwerk hat im Mittelstand für so viel Unsicherheit gesorgt wie der EU AI Act. Die gute Nachricht vorweg: Für die überwiegende Mehrheit der betrieblichen Anwendungsfälle – Textentwürfe, Dokumentenextraktion, interne Assistenten – gelten keine Hochrisiko-Pflichten. Die schlechte: Ganz ohne Dokumentation kommt niemand davon. Dieser Artikel ordnet die Lage aus Sicht eines anwendenden Unternehmens ein und ersetzt keine Rechtsberatung.
01Der risikobasierte Ansatz
| Risikoklasse | Beispiele | Konsequenz |
|---|---|---|
| Verboten | Social Scoring, manipulative Systeme, ungezielte Gesichtsdatenbanken | Einsatz unzulässig |
| Hochrisiko | Bewerberauswahl, Kreditwürdigkeit, kritische Infrastruktur | Umfangreiche Konformitäts- und Dokumentationspflichten |
| Transparenzpflichtig | Chatbots, generierte Inhalte, Deepfakes | Kennzeichnung und Aufklärung |
| Minimales Risiko | Textvorschläge, Klassifikation interner Dokumente | Keine spezifischen Pflichten, interne Governance empfohlen |
02Pflichten für Betreiber
- Bestimmungsgemäße Verwendung: Das System nur so einsetzen, wie es vom Anbieter vorgesehen ist.
- Menschliche Aufsicht: Benannte Personen, die Ergebnisse prüfen und eingreifen können.
- Transparenz gegenüber Betroffenen: Kennzeichnung, wenn Menschen mit einem KI-System interagieren oder Inhalte KI-generiert sind.
- KI-Kompetenz: Nachweisbare Befähigung der Beschäftigten im Umgang mit den eingesetzten Systemen.
- Protokollierung: Aufbewahrung der automatisch erzeugten Logs, soweit sie in Ihrem Einflussbereich liegen.
03Das interne KI-Verzeichnis
Das wirksamste Instrument ist unspektakulär: eine gepflegte Übersicht aller im Unternehmen eingesetzten KI-Systeme. Sie beantwortet in einer Prüfung binnen Minuten Fragen, die sonst Wochen kosten – und deckt nebenbei die Schatten-IT auf, die sich fast überall gebildet hat.
| Feld | Inhalt |
|---|---|
| System und Anbieter | Bezeichnung, Version, Vertragsgrundlage |
| Zweck | Konkreter Anwendungsfall, keine Allgemeinformulierung |
| Risikoeinstufung | Klasse und Begründung |
| Datenkategorien | Verarbeitete Daten, insbesondere personenbezogene |
| Verantwortlich | Fachbereich und benannte Person |
| Aufsicht | Wie und durch wen Ergebnisse geprüft werden |
| Stand | Datum der letzten Überprüfung |
04Schnittstelle zur DSGVO
Der AI Act ersetzt die DSGVO nicht, er ergänzt sie. Sobald personenbezogene Daten verarbeitet werden, gelten weiterhin Rechtsgrundlage, Zweckbindung, Datenminimierung, Auftragsverarbeitungsvertrag und Löschkonzept. Bei umfangreicher oder systematischer Verarbeitung kommt eine Datenschutz-Folgenabschätzung hinzu.
05Pragmatisches Vorgehen
- Bestandsaufnahme: Welche KI-Werkzeuge werden heute tatsächlich genutzt – auch inoffiziell?
- Einstufung: Risikoklasse je Anwendungsfall bestimmen und begründen.
- Richtlinie: Eine verständliche Seite, was erlaubt ist, was nicht und wer zuständig ist.
- Schulung: Kurz, praxisnah, dokumentiert – kein juristisches Seminar.
- Überprüfung: Feste jährliche Aktualisierung des Verzeichnisses.
Häufige Fragen
- Gilt der AI Act auch, wenn wir nur fremde KI-Dienste nutzen?
- Ja. Auch als Betreiber eines KI-Systems bestehen Pflichten, insbesondere zu Transparenz, Aufsicht durch Menschen und KI-Kompetenz der Beschäftigten. Sie sind allerdings deutlich geringer als die Pflichten eines Anbieters.
- Was bedeutet die Pflicht zur KI-Kompetenz konkret?
- Beschäftigte, die KI-Systeme einsetzen, müssen deren Funktionsweise, Grenzen und Risiken einschätzen können. In der Praxis heißt das: dokumentierte Schulungen, klare interne Nutzungsrichtlinien und benannte Ansprechpartner.
- Ist ein Chatbot auf unserer Website hochriskant?
- In aller Regel nicht. Ein Informations-Chatbot fällt üblicherweise unter Transparenzpflichten: Nutzer müssen erkennen können, dass sie mit einem KI-System sprechen. Hochrisiko beginnt typischerweise dort, wo über Zugang zu Bildung, Beschäftigung, Kredit oder wesentliche Dienste entschieden wird.
Aus dem Ratgeber in Ihren Betrieb
Wir prüfen Ihre Prozesse, schätzen Aufwand und Wirkung realistisch ein und bauen den ersten Anwendungsfall bis zur Produktionsreife.