# Der EU AI Act in der Praxis: Ein Leitfaden für Unternehmen

Dieser Kurs bietet einen praxisnahen Überblick über den EU AI Act und zeigt Unternehmen, wie sie die gesetzlichen Anforderungen strukturiert umsetzen können. Sie lernen die Risikoklassen, Fristen und konkreten Pflichten kennen, um Ihr Unternehmen ohne Compliance-Panik rechtssicher aufzustellen.

## Was du lernen wirst

- Den risikobasierten Ansatz des EU AI Act verstehen und erklären können
- KI-Anwendungen den vier Risikoklassen korrekt zuordnen
- Die wichtigsten Fristen und Stichtage (insb. August 2026) benennen
- Die KI-Kompetenzpflicht nach Art. 4 rechtssicher umsetzen
- Einen konkreten 5-Schritte-Fahrplan im eigenen Unternehmen anwenden

## Das Grundprinzip des EU AI Act

Der EU AI Act (Verordnung (EU) 2024/1689) ist am 1. August 2024 in Kraft getreten. Als EU-Verordnung gilt er direkt in allen Mitgliedstaaten, ohne dass er erst in nationales Recht übersetzt werden muss. Das wichtigste Prinzip ist der **risikobasierte Ansatz**: Reguliert wird nicht die Technologie an sich, sondern ihr konkreter Einsatzzweck. Ein und dasselbe LLM kann harmlos sein (z. B. wenn es E-Mails formuliert) oder als Hochrisiko eingestuft werden (wenn es über die Kreditwürdigkeit eines Menschen entscheidet). Zudem unterscheidet das Gesetz zwischen **Anbietern** (entwickeln KI-Systeme) und **Betreibern** (setzen KI-Systeme beruflich ein). Der Geltungsbereich ist global: Auch US-Anbieter, deren Tools in der EU genutzt werden, fallen unter das Gesetz.

> **Schema — Risikobasierter Ansatz Logik:** Start -> Analyse des Einsatzzwecks -> Bewertung des Risikos für Grundrechte/Sicherheit -> Einordnung in eine von vier Risikoklassen -> Ableitung der gesetzlichen Pflichten.

**Das Wichtigste:** Der EU AI Act reguliert KI-Systeme basierend auf ihrem konkreten Einsatzzweck und dem damit verbundenen Risiko für Grundrechte.

## Die vier Risikoklassen

Der EU AI Act teilt KI-Systeme in vier Stufen ein:

1. **Unannehmbares Risiko**: Absolut verboten (seit 2. Februar 2025). Dazu gehören Social Scoring, Emotionserkennung am Arbeitsplatz oder biometrische Kategorisierung nach sensiblen Merkmalen.
2. **Hohes Risiko**: Streng reguliert (z. B. Bewerber-Screening, Kreditprüfung, kritische Infrastruktur). Erfordert Risikomanagement, hohe Datenqualität, menschliche Aufsicht und eine Konformitätsbewertung.
3. **Begrenztes Risiko**: Erfordert Transparenz (z. B. Chatbots, Deepfakes). Nutzer müssen wissen, dass sie mit einer KI interagieren.
4. **Minimales Risiko**: Keine Pflichten (z. B. Spamfilter, Videospiele). Die große Mehrheit heutiger KI-Anwendungen fällt hierunter.

> **Schema — Übersicht der Risikoklassen:** Tabelle mit Spalten: Risikoklasse | Regulierung | Beispiele. Zeile 1: Unannehmbar | Verboten | Social Scoring, Emotionserkennung am Arbeitsplatz. Zeile 2: Hoch | Streng reguliert | HR-Tools, Kreditprüfung, kritische Infrastruktur. Zeile 3: Begrenzt | Transparenzpflicht | Chatbots, KI-Bilder, Deepfakes. Zeile 4: Minimal | Keine Pflichten | Spamfilter, KI in Games.

**Das Wichtigste:** Die vier Risikoklassen reichen von 'verboten' über 'streng reguliert' und 'transparenzpflichtig' bis hin zu 'völlig unreguliert'.

## Der zeitliche Fahrplan

Die Pflichten des EU AI Act treten gestaffelt in Kraft. Die wichtigsten Meilensteine sind:

* **1. August 2024**: Inkrafttreten der Verordnung.
* **2. Februar 2025**: Verbote (unannehmbares Risiko) und die KI-Kompetenzpflicht (Art. 4) greifen bereits.
* **2. August 2025**: Regeln für GPAI-Modelle (General Purpose AI wie große Sprachmodelle) treten in Kraft.
* **2. August 2026**: Der Hauptteil der Pflichten wird wirksam (Hochrisiko-Systeme nach Anhang III und Transparenzpflichten). Dies ist der zentrale Stichtag für die meisten Unternehmen.
* **2. August 2027**: Verlängerte Frist für Hochrisiko-KI in bereits regulierten Produkten (Anhang I).

> **Schema — Zeitstrahl der Pflichten:** Horizontaler Zeitstrahl: Aug 2024 (Inkrafttreten) -> Feb 2025 (Verbote & KI-Kompetenz) -> Aug 2025 (GPAI-Regeln) -> Aug 2026 (Haupt-Stichtag: Transparenz & Hochrisiko) -> Aug 2027 (Sicherheitskomponenten).

**Das Wichtigste:** Der wichtigste Stichtag für die meisten Unternehmen ist der 2. August 2026, an dem die Transparenz- und Hochrisikopflichten greifen.

## Die KI-Kompetenzpflicht (Art. 4)

Seit dem 2. Februar 2025 fordert Art. 4, dass Anbieter und Betreiber für ein ausreichendes Maß an KI-Kompetenz bei ihren Mitarbeitern sorgen. Dies ist eine **Bemühenspflicht**, keine starre Schulungsvorschrift. Es gibt keine gesetzlich vorgeschriebene Stundenzahl oder offizielle Zertifikate. Unternehmen müssen nachweisbar sicherstellen, dass Mitarbeiter die Risiken, Grenzen und Funktionsweisen der genutzten KI-Systeme verstehen. Dies lässt sich pragmatisch durch interne Richtlinien, dokumentierte Kurzschulungen und Leitfäden umsetzen.

> **Schema — Maßnahmen zur KI-Kompetenz:** Liste von Maßnahmen: 1. Erstellung einer internen KI-Richtlinie. 2. Durchführung und Dokumentation von Kurzschulungen. 3. Bereitstellung von Leitfäden zu Datenschutz und Fehlerquellen. 4. Regelmäßige Sensibilisierung der Belegschaft.

**Das Wichtigste:** Die KI-Kompetenzpflicht ist eine flexible Bemühenspflicht, die durch dokumentierte Schulungen und Richtlinien nachgewiesen werden muss.

## Transparenzpflichten ab August 2026

Ab dem 2. August 2026 greifen die Transparenzregeln (Art. 50). Diese betreffen fast jedes Unternehmen mit Kundenkontakt:

* **Chatbots**: Nutzer müssen aktiv darauf hingewiesen werden, dass sie mit einer KI kommunizieren.
* **KI-Inhalte**: Synthetische Bilder, Audios und Videos müssen maschinenlesbar als solche gekennzeichnet werden.
* **Deepfakes**: Realistische, aber manipulierte Medien müssen eine gut sichtbare Kennzeichnung tragen.
* **Texte**: KI-generierte Texte, die die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informieren, müssen unter bestimmten Bedingungen deklariert werden.

> **Schema — Entscheidungsbaum Transparenz:** Start -> Interagiert der Nutzer direkt mit KI? -> Ja -> Hinweis einblenden ('Sie sprechen mit einer KI'). -> Nein -> Handelt es sich um synthetische Medien (Bilder/Video/Audio)? -> Ja -> Maschinenlesbare Kennzeichnung einfügen.

**Das Wichtigste:** Ab August 2026 müssen Chatbots und KI-generierte Medien für Nutzer klar als solche erkennbar sein.

## Hochrisiko-KI für Betreiber

Die meisten Unternehmen entwickeln keine Hochrisiko-KI selbst, nutzen aber solche Systeme (z. B. KI-gestützte HR-Software für Bewerbungen). Als **Betreiber** (Deployer) haben Sie strenge Pflichten: Sie müssen das System exakt nach der Betriebsanleitung nutzen, eine wirksame menschliche Aufsicht (Human Oversight) sicherstellen, die Eingabedaten auf Eignung prüfen, Logfiles des Betriebs aufbewahren und bei Fehlfunktionen oder Risiken sofort reagieren.

> **Schema — Pflichten für Betreiber von Hochrisiko-KI:** Liste der Betreiberpflichten: 1. Nutzung gemäß Betriebsanleitung. 2. Gewährleistung menschlicher Aufsicht. 3. Prüfung der Eingabedaten auf Relevanz und Qualität. 4. Automatische Protokollierung (Logging) sicherstellen. 5. Meldung von Vorfällen an den Anbieter/Behörden.

**Das Wichtigste:** Betreiber von Hochrisiko-KI müssen für die korrekte Nutzung, menschliche Aufsicht und lückenlose Protokollierung sorgen.

## Der 5-Schritte-Fahrplan

Um die Compliance ohne Panik anzugehen, empfiehlt sich ein strukturierter 5-Schritte-Fahrplan:

1. **Inventur**: Erfassen Sie alle im Unternehmen genutzten KI-Tools (auch inoffizielle, die Mitarbeiter nutzen).
2. **Einstufung**: Ordnen Sie die Tools den Risikoklassen zu.
3. **Rollen klären**: Bestimmen Sie, ob Sie Anbieter oder Betreiber sind.
4. **Kompetenz aufbauen**: Setzen Sie Art. 4 durch Richtlinien und Schulungen um.
5. **Transparenz umsetzen**: Bereiten Sie Kennzeichnungen für Chatbots und KI-Inhalte rechtzeitig vor dem Stichtag vor.

> **Schema — Der 5-Schritte-Fahrplan:** Schritt 1: Inventur (Tools erfassen) -> Schritt 2: Einstufung (Risikoklassen zuordnen) -> Schritt 3: Rollen klären (Anbieter vs. Betreiber) -> Schritt 4: Kompetenz aufbauen (Schulung & Richtlinie) -> Schritt 5: Transparenz umsetzen (Kennzeichnung vorbereiten).

**Das Wichtigste:** Ein pragmatischer 5-Schritte-Plan macht die Compliance-Anforderungen des EU AI Act für jedes Unternehmen handhabbar.

## Glossar

- **EU AI Act** — Verordnung (EU) 2024/1689 zur Regulierung von KI in der EU, in Kraft seit 1. August 2024.
- **Risikobasierter Ansatz** — Regulierungsprinzip, das KI nach dem Risiko ihres Einsatzzwecks einstuft, nicht nach der Technologie an sich.
- **Anbieter (Provider)** — Wer ein KI-System entwickelt und unter eigenem Namen auf den Markt bringt.
- **Betreiber (Deployer)** — Wer ein KI-System im Rahmen seiner beruflichen Tätigkeit einsetzt.
- **Hochrisiko-KI** — KI-System in einem sensiblen Bereich (z. B. Beschäftigung, Bildung, Kreditwürdigkeit) mit umfangreichen gesetzlichen Pflichten.
- **Transparenzpflicht** — Pflicht, den KI-Einsatz offenzulegen (Chatbot-Hinweis, Kennzeichnung KI-generierter Inhalte).
- **Art. 4 (KI-Kompetenz)** — Pflicht, für ausreichende KI-Kompetenz des Personals zu sorgen; eine Bemühenspflicht.
- **GPAI** — KI-Modell mit allgemeinem Verwendungszweck, etwa ein großes Sprachmodell; unterliegt eigenen Anbieterpflichten.
- **Deepfake** — Mit KI erzeugte oder manipulierte, realistisch wirkende Darstellung realer Personen; besonderer Kennzeichnungspflicht unterworfen.
- **AI Office** — Europäisches KI-Büro, das die Anwendung des EU AI Act koordiniert und für GPAI-Modelle zuständig ist.

## Praxis

1. **Erstellung eines KI-Inventars** — Erstellen Sie eine Tabelle aller in Ihrer Abteilung genutzten KI-Tools (z. B. ChatGPT, DeepL, HR-Screener) und ordnen Sie diese vorläufig einer Risikoklasse zu.
2. **Entwurf einer KI-Richtlinie** — Formulieren Sie eine kurze, zweiseitige interne Richtlinie für Ihre Mitarbeiter zur Nutzung von generativer KI am Arbeitsplatz (inkl. Do's and Don'ts bezüglich Datenschutz).
3. **Konzeption eines Chatbot-Hinweises** — Entwerfen Sie den genauen Wortlaut und das UI-Design für den Transparenzhinweis eines Kundenservice-Chatbots auf Ihrer Website.

## Teste dich selbst

1. Gilt der EU AI Act auch für ein US-amerikanisches Unternehmen, das seine KI-Dienste in der EU anbietet?
   - Nein, da der Hauptsitz außerhalb der EU liegt
   - Ja, der Geltungsbereich richtet sich nach dem Marktortprinzip in der EU ✅
   - Nur, wenn das US-Unternehmen eine physische Niederlassung in der EU hat
   - Nein, für US-Firmen gilt ausschließlich US-Recht
   > Der EU AI Act gilt für alle, die KI-Systeme in der EU auf den Markt bringen oder deren Nutzung in der EU stattfindet, unabhängig vom Sitz des Anbieters.

2. Welche der folgenden Praktiken ist unter dem EU AI Act absolut verboten?
   - KI-gestütztes Bewerber-Screening
   - Emotionserkennung am Arbeitsplatz ✅
   - Einsatz von Chatbots im Kundenservice
   - Automatische Übersetzung von Dokumenten
   > Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen gehört zu den verbotenen Praktiken (unannehmbares Risiko).

3. Was versteht man unter einer 'Bemühenspflicht' im Kontext von Art. 4 (KI-Kompetenz)?
   - Unternehmen müssen nachweisbar sinnvolle Maßnahmen ergreifen, ohne dass starre Vorgaben existieren ✅
   - Es müssen zwingend 100 Stunden Schulung pro Jahr nachgewiesen werden
   - Unternehmen müssen sich lediglich bemühen, die Verordnung zu lesen
   - Es gibt keinerlei Pflichten, solange man guten Willen zeigt
   > Eine Bemühenspflicht verlangt angemessene, dokumentierte Schritte zum Kompetenzaufbau, schreibt aber kein starres Curriculum vor.

4. Wann tritt der Großteil der Pflichten, insbesondere für Hochrisiko-Systeme und Transparenz, in Kraft?
   - Am 2. Februar 2025
   - Am 2. August 2025
   - Am 2. August 2026 ✅
   - Am 2. August 2027
   > Der 2. August 2026 ist der zentrale Stichtag, an dem die meisten Anforderungen für Hochrisiko-KI und Transparenz wirksam werden.

5. Wer ist primär für die Einhaltung der Betreiberpflichten bei einem Hochrisiko-KI-System verantwortlich?
   - Der Software-Entwickler (Anbieter)
   - Das europäische AI Office
   - Das Unternehmen, das die KI im beruflichen Kontext einsetzt (Betreiber) ✅
   - Der Endnutzer/Kunde
   > Der Betreiber (Deployer) trägt die Verantwortung für die ordnungsgemäße Anwendung, Überwachung und Protokollierung im Betrieb.