EU AI Act (Verordnung über KI)
EU-Verordnung zur Regulierung von KI-Anwendungen, seit 2024 in Kraft, gestaffelte Umsetzung bis 2027. Klassifiziert KI-Systeme in vier Risiko-Klassen mit unterschiedlichen Pflichten pro Klasse.
Der EU AI Act ist die weltweit erste umfassende KI-Regulierung. Er gilt seit 2024, mit gestaffelter Umsetzung der einzelnen Bestimmungen bis 2027. Die zentrale Logik: KI-Systeme werden nach ihrem Risiko-Potenzial in vier Klassen eingeteilt — minimales Risiko, limitiertes Risiko, hohes Risiko, verboten. Je höher das Risiko, desto strenger die Pflichten.
In KMU-Praxis fallen die meisten Anwendungen in „minimales Risiko" oder „limitiertes Risiko". Mail-Triage, Datenextraktion aus PDFs, FAQ-Chatbots, automatische Klienten-Reports — alles minimal, kaum zusätzliche Pflichten gegenüber DSGVO. Bei limitiertem Risiko (z.B. Kunden-Chatbots) kommt eine Transparenz-Pflicht hinzu: der Nutzer muss wissen, dass er mit einer KI interagiert.
Hochrisiko-Klassifikation greift bei Anwendungen mit rechtlicher oder sicherheitsrelevanter Wirkung: Personalauswahl per KI (CV-Screening), Kreditvergabe-Entscheidungen, Versicherungspolizzen-Bewertung, medizinische Diagnostik. Hier kommen umfangreiche Pflichten zur Dokumentation, Risikobewertung, Daten-Qualitätssicherung und menschlichen Aufsicht hinzu. Ein normaler KMU-KI-Workflow ist davon meist nicht betroffen — aber wenn Sie z.B. ein Lead-Scoring entwickeln, das automatisch über Kundenpotenzial entscheidet, sollten Sie prüfen, ob es zur Hochrisiko-Klasse gehört.
Verbotene Anwendungen sind z.B. Social Scoring nach chinesischem Vorbild, biometrische Echtzeit-Überwachung im öffentlichen Raum, manipulative Verhaltens-Beeinflussung. Für KMU-Anwendungen praktisch irrelevant.
Wichtig: Der AI Act gilt parallel zur DSGVO, nicht statt ihr. Wer KI-Anwendungen mit personenbezogenen Daten baut, muss beide Verordnungen erfüllen.
Auf einen Blick
- In Kraft
- Seit 2024, gestaffelte Umsetzung bis 2027
- Vier Risiko-Klassen
- Minimal, limitiert, hoch, verboten
- KMU-Standard-Anwendungen
- Meist „minimales Risiko" — kaum zusätzliche Pflichten
- Parallel zu DSGVO
- Beide Verordnungen gelten gleichzeitig, ergänzen sich
Eine Hausverwaltung führt eine KI-Mail-Triage ein: eingehende Mieter-Mails werden klassifiziert, an zuständigen Verwalter weitergeleitet, Auto-Empfangsbestätigung verschickt. Klassifikation nach AI Act: minimales Risiko. Pflichten: keine über DSGVO hinaus. Anders wäre es, wenn die KI automatisch über Mietverhältnis-Verlängerungen entscheiden würde — das wäre Hochrisiko und mit umfangreichen Pflichten verbunden.
Wann einsetzen — und wann nicht
Sinnvoll bei
- Vor jeder neuen KI-Anwendung kurze Risikoklasse-Einschätzung machen
- Bei automatischen Entscheidungen mit rechtlicher Wirkung sehr genau prüfen
- Bei Kundenkontakt-KI (Chatbots, Voice-Bots) Transparenz-Pflicht erfüllen
- Bei Hochrisiko-Anwendungen Dokumentation und menschliche Aufsicht von Anfang an einplanen
Eher nicht bei
- Den AI Act als Grund nehmen, KI gar nicht einzuführen — KMU-Standard-Anwendungen sind kaum betroffen
- Annehmen, dass DSGVO und AI Act dasselbe regeln — sie ergänzen sich
Häufige Fehler
- Eine Anwendung als „minimales Risiko" einschätzen, ohne den konkreten Use-Case zu prüfen — bei Entscheidungs-KI sollte ein Jurist drüberschauen
- Transparenz-Pflicht bei Chatbots vergessen („Sie sprechen mit einer KI") — kleine Aufschrift reicht
- Erst nach Live-Schaltung Compliance prüfen — sollte vor Projektbeginn klar sein
Häufige Fragen
Gilt der EU AI Act schon für mich?
Was muss ich konkret tun, um Compliant zu sein?
Welche KMU-Anwendungen sind Hochrisiko?
Gilt der AI Act auch für selbst gehostete Open-Source-Modelle?
Wer prüft die Einhaltung?
Konkrete Frage zu diesem Thema?
Im Kennenlerngespräch übersetzen wir den richtigen Begriff in einen umsetzbaren Workflow für Ihr Unternehmen.
Kennenlerngespräch vereinbaren →