Was der EU AI Act regelt — und wen er betrifft

Kein Verbotsgesetz, sondern ein Rahmenwerk

Der EU AI Act (Verordnung 2024/1689) ist das weltweit erste umfassende Gesetz zur Regulierung von Künstlicher Intelligenz. Die europäische Grundlogik ist nicht, KI zu verbieten. Sie ist, KI in einem risikobasierten Rahmen zu regeln — so dass Innovation möglich bleibt, aber Grundrechte, Gesundheit und Sicherheit geschützt werden.

In dieser Lektion lernen Sie, was der EU AI Act überhaupt ist, wer von ihm betroffen ist und in welchem Zeitraum die Pflichten greifen.

Der Zeitplan in Kürze

Der EU AI Act ist am 1. August 2024 in Kraft getreten. Die Pflichten greifen gestuft:

• 2. Februar 2025: Verbote bestimmter KI-Praktiken, Definitionen und Artikel 4 zur KI-Kompetenz wurden anwendbar.
• 2. August 2025: Governance-Regeln und Pflichten für Anbieter von Modellen mit allgemeinem Verwendungszweck wurden anwendbar.
• 2. August 2026: Nach Angaben der EU-Kommission werden weitere allgemeine Regeln, Aufsicht und Transparenzpflichten anwendbar.
• 2. Dezember 2027: Der angenommene Änderungstext nennt diesen Termin für bestimmte eigenständige Hochrisiko-Systeme.
• 2. August 2028: Der angenommene Änderungstext nennt diesen Termin für Hochrisiko-Systeme, die in regulierte Produkte eingebettet sind.

Die geänderten Fristen beruhen zum genannten Stand auf dem von Parlament und Rat angenommenen Änderungstext. Sie gelten erst mit dessen Inkrafttreten. Prüfen Sie vor einer Entscheidung die aktuelle Rechtslage und die Hinweise der EU-Kommission.

Wer betroffen ist

Der Act kennt vier zentrale Rollen. Ein Unternehmen kann gleichzeitig mehrere dieser Rollen innehaben.

Anbieter (Provider). Entwickelt ein KI-System oder lässt es unter eigenem Namen in Verkehr bringen. Beispiel: Ein Softwarehersteller, der ein KI-gestütztes Vertragsanalyse-Tool vermarktet.

Betreiber (Deployer). Setzt ein KI-System im eigenen beruflichen oder hoheitlichen Kontext ein. Beispiel: Ein Mittelständler, der ChatGPT Enterprise oder ein RAG-System im Kundenservice verwendet.

Importeur. Bringt ein KI-System eines außereuropäischen Anbieters auf den EU-Markt.

Händler. Vertreibt ein KI-System, ohne selbst Anbieter oder Importeur zu sein.

Für viele mittelständische Unternehmen kann die Betreiber-Rolle relevant sein. Welche Rolle vorliegt, muss anhand des konkreten Einsatzes geprüft werden.

Was als "KI-System" gilt

Der Act definiert ein KI-System sehr weit: ein maschinenbasiertes System, das mit unterschiedlichem Grad an Autonomie arbeitet und aus empfangenen Eingaben Outputs generiert, die physische oder virtuelle Umgebungen beeinflussen.

Das umfasst unter anderem:

• Sprachmodelle wie Claude, GPT, Gemini
• Bilderkennungssysteme
• Entscheidungsunterstützung durch Machine Learning
• Chatbots und Assistenzsysteme
• Automatisierte Bewerberauswahl oder Kreditentscheidungen

Ob eine Software unter die Definition fällt, sollte nicht allein aus den Bezeichnungen „regelbasiert", „Statistik" oder „Automatisierung" abgeleitet werden. Maßgeblich sind Artikel 3 der Verordnung und die jeweils aktuellen Auslegungshinweise.

Der risikobasierte Ansatz als Lernmodell

Für einen ersten Überblick werden häufig vier Gruppen verwendet. Diese Darstellung ist ein didaktisches Lernmodell; die rechtliche Einordnung folgt den konkreten Artikeln und Anhängen der Verordnung.

1. Verbotene KI-Praktiken (Art. 5). Anwendungen, die in der EU grundsätzlich untersagt sind — etwa Social Scoring durch Behörden, bestimmte biometrische Fernidentifizierung, manipulative Systeme, die vulnerable Gruppen ausnutzen.

2. Hochrisiko-KI-Systeme (Art. 6 ff.). Systeme in sensiblen Bereichen wie Personalauswahl, Bildungsbewertung, Kreditvergabe, Strafverfolgung oder kritische Infrastruktur. Hier greifen umfangreiche Pflichten.

3. Anwendungen mit Transparenzpflichten. Artikel 50 erfasst bestimmte Fälle, darunter direkte Interaktion mit einem KI-System und bestimmte künstlich erzeugte Inhalte. Die Pflichten werden nach der aktuellen Übersicht der EU-Kommission ab dem 2. August 2026 anwendbar.

4. Andere Anwendungen. Auch wenn ein System weder verboten noch hochriskant ist und keine spezielle Transparenzpflicht greift, können andere Vorschriften und vertragliche Pflichten relevant bleiben.

In Lektion 2 schauen wir uns diese Gruppen genauer an und klären, wie Sie die eigenen Anwendungen vorläufig einordnen.

Was für den Mittelstand am relevantesten ist

Für eine erste Prüfung im Mittelstand sind insbesondere folgende Punkte relevant:

• Artikel 4 (KI-Kompetenz): Die geltende Fassung verlangt Maßnahmen, um nach besten Kräften ein ausreichendes Kompetenzniveau sicherzustellen. Der angenommene Änderungstext stellt nach seinem Inkrafttreten auf Maßnahmen zur Unterstützung der Kompetenzentwicklung ab. Die Fragen und Antworten der EU-Kommission erläutern die aktuelle Auslegung.
• Transparenzpflichten: Wer ein KI-System zur direkten Interaktion mit Personen einsetzt, sollte Artikel 50 und den Anwendungszeitpunkt projektspezifisch prüfen.
• Einordnung eigener Anwendungen: Auch wenn Sie selbst keine Hochrisiko-Anwendung entwickeln, kann eine systematische Erfassung sinnvoll sein. Dokumentieren Sie Rolle, Zweck, betroffene Artikel und Anhänge, Begründung und offenen Prüfbedarf.

Bei einem Hochrisiko-System sind Rolle und konkrete Pflichten gesondert zu prüfen. Anbieter- und Betreiberpflichten sind nicht identisch; auch die Anwendungsfristen müssen berücksichtigt werden.

Sanktionen

Artikel 99 nennt je nach Verstoß unterschiedliche Höchstgrenzen. Bei bestimmten verbotenen Praktiken können bis zu 35 Millionen Euro oder, bei Unternehmen, bis zu 7 Prozent des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres vorgesehen sein. Welche Grenze gilt und wie sie angewendet wird, hängt vom konkreten Verstoß und der zuständigen Behörde ab. Prüfen Sie dazu den Verordnungstext.

Was Sie aus dieser Lektion mitnehmen

Der EU AI Act ist ein gestufter Rahmen. Für die betriebliche Einordnung sind Rolle, Zweck, Risikoeinstufung und Anwendungszeitpunkt entscheidend. Artikel 4 gilt seit Februar 2025; weitere Regeln werden gestuft anwendbar. Im nächsten Kapitel vertiefen wir die Risikoeinordnung.