EU AI Act umsetzen,
ohne Rechtsabteilung.
Die KI-Verordnung trifft auch Unternehmen, die KI nur einsetzen statt entwickeln. Wir klären, was für Sie tatsächlich gilt, und setzen es in überschaubaren Schritten um.
EU AI Act Compliance bedeutet: KI-Systeme nach Risikoklassen einstufen, verbotene Praktiken ausschließen, Transparenz- und Dokumentationspflichten erfüllen, menschliche Aufsicht sicherstellen und Maßnahmen zur KI-Kompetenz der Mitarbeitenden belegen. Die Pflichten gelten gestaffelt seit Februar 2025 und treffen auch reine Anwenderunternehmen.
Der häufigste Irrtum in mittelständischen Unternehmen: „Wir entwickeln keine KI, also betrifft uns das nicht.“ Die Verordnung unterscheidet zwischen Anbietern und Betreibern und Betreiber ist bereits, wer ein KI-System betrieblich einsetzt. Wer ChatGPT, Microsoft Copilot oder eine KI-gestützte Bewerbervorauswahl nutzt, hat eigene Pflichten.
Besonders unterschätzt wird Art. 4: Die Pflicht, Maßnahmen für die KI-Kompetenz der Mitarbeitenden zu ergreifen, gilt seit Februar 2025 ohne Übergangsfrist und ohne Schwelle für die Unternehmensgröße. Sie ist zugleich die Pflicht, die sich am schnellsten erfüllen lässt, zumal seit dem 27. Juli 2026 ausdrücklich kein bestimmtes Kompetenzniveau garantiert werden muss.
Termin anfragenTypischer Leistungsumfang
- Inventarisierung aller eingesetzten KI-Systeme, inklusive der Werkzeuge, die niemand offiziell eingeführt hat
- Risikoklassifizierung nach den Kategorien der Verordnung
- Prüfung auf verbotene Praktiken nach Art. 5
- KI-Richtlinie und Governance-Struktur für Ihr Unternehmen
- KI-Kompetenz-Schulungen nach Art. 4, für Führungsebene und Anwender
- Transparenz- und Kennzeichnungspflichten in der Praxis umsetzen
- Prüfraster für die Bewertung neuer KI-Werkzeuge vor der Einführung
- Dokumentation, die einer Prüfung standhält
Das Wichtigste in Kürze
| Seit wann gilt was? | Februar 2025: verbotene Praktiken und KI-Kompetenz-Pflicht, seit 27. Juli 2026 in neuer Fassung. August 2025: Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck. August 2026: der Großteil der übrigen Pflichten. Dezember 2027: Hochrisiko-Systeme nach Anhang III. August 2028: Hochrisiko-Systeme nach Anhang I. |
|---|---|
| Anbieter oder Betreiber? | Anbieter entwickelt oder lässt entwickeln und bringt in Verkehr. Betreiber setzt ein KI-System unter eigener Verantwortung ein. Die meisten mittelständischen Unternehmen sind Betreiber, mit eigenen, aber deutlich geringeren Pflichten. |
| Risikoklassen | Verboten (z. B. Social Scoring, Emotionserkennung am Arbeitsplatz), hochriskant (u. a. Personalauswahl, Kreditwürdigkeit), begrenztes Risiko (Transparenzpflicht) und minimales Risiko (keine besonderen Pflichten). |
| Bußgeldrahmen | Bis zu 35 Mio. € oder 7 % des weltweiten Jahresumsatzes bei verbotenen Praktiken; bis 15 Mio. € oder 3 % bei sonstigen Pflichtverstößen, maßgeblich ist der höhere Betrag. |
| Typischer Einstieg | KI-Kompetenz-Schulung plus Systeminventar. Damit sind die sofort geltenden Pflichten abgedeckt und Sie wissen, welche weiteren Schritte für Sie überhaupt relevant sind. |
So läuft die Zusammenarbeit
01
Inventar
Welche KI-Systeme sind im Einsatz, offiziell eingeführt und inoffiziell genutzt.
02
Einstufung
Risikoklasse je System, Rolle des Unternehmens und daraus folgende Pflichten.
03
Schulung
KI-Kompetenz nach Art. 4 für Führungsebene und Anwender, mit Teilnahmenachweis.
04
Struktur
KI-Richtlinie, Prüfraster für neue Werkzeuge und prüfungsfeste Dokumentation.
Häufige Fragen
01Betrifft der EU AI Act auch kleine Unternehmen?
Ja. Die Verordnung kennt keine allgemeine Ausnahme für kleine Unternehmen. Entscheidend sind Rolle und Risikoklasse des eingesetzten Systems, nicht die Unternehmensgröße. Die Pflicht zur KI-Kompetenz nach Art. 4 gilt für alle Unternehmen, die KI einsetzen, vom Zwei-Personen-Betrieb an. Für Hochrisiko-Anwendungen gibt es Erleichterungen bei der Dokumentation, aber keine Befreiung.
02Was verlangt die KI-Kompetenz-Pflicht nach Art. 4 konkret?
Unternehmen müssen Maßnahmen ergreifen, um die Entwicklung der KI-Kompetenz der Personen zu unterstützen, die in ihrem Auftrag KI-Systeme betreiben oder nutzen. Ein bestimmtes Kompetenzniveau müssen sie seit dem 27. Juli 2026 ausdrücklich nicht garantieren. Inhaltlich gehören technisches Grundverständnis, Kenntnis der Grenzen und Risiken, insbesondere Halluzinationen und Verzerrungen, sowie das Wissen dazu, welche Daten eingegeben werden dürfen. Format und Dokumentation schreibt die Verordnung nicht vor. In der Praxis sind dokumentierte Schulungen mit Teilnahmenachweis der einfachste Beleg.
03Ist ChatGPT im Unternehmen ein Hochrisiko-System?
In der Regel nicht. Der allgemeine Einsatz für Textentwürfe, Zusammenfassungen oder Recherche fällt üblicherweise unter minimales oder begrenztes Risiko. Hochriskant wird es durch den Einsatzzweck: Wer KI zur Vorauswahl von Bewerbungen, zur Leistungsbewertung von Mitarbeitenden oder für Kreditentscheidungen einsetzt, landet in der Hochrisiko-Klasse, unabhängig davon, welches Werkzeug dafür genutzt wird.
04Wie hängen EU AI Act und DSGVO zusammen?
Sie gelten parallel und ergänzen sich. Der EU AI Act regelt die Sicherheit und Vertrauenswürdigkeit des KI-Systems, die DSGVO die Verarbeitung personenbezogener Daten darin. Fast jede betriebliche KI-Anwendung berührt beide Regelwerke. Deshalb empfehlen wir, die Bestandsaufnahme gemeinsam durchzuführen, sie ist inhaltlich zu großen Teilen identisch.
05Was ist Schatten-KI und warum ist sie ein Problem?
Schatten-KI bezeichnet KI-Werkzeuge, die Mitarbeitende ohne Freigabe der IT nutzen, meist private Konten bei Chatbots. Das Problem ist doppelt: Datenschutzrechtlich verlassen möglicherweise personenbezogene oder vertrauliche Daten unkontrolliert das Unternehmen, und nach dem EU AI Act können Sie Pflichten für Systeme nicht erfüllen, von deren Einsatz Sie nichts wissen. Der erste Schritt jeder Umsetzung ist deshalb eine ehrliche Bestandsaufnahme statt einer Verbotsanordnung.
Passt dazu
Compliance im Bündel
EU AI Act und Datenschutz gemeinsam, eine Bestandsaufnahme für beide Regelwerke.
Ansehen →Externer Datenschutzbeauftragter
Die DSGVO-Seite: Benennung, Verarbeitungsverzeichnis, Behördenkontakt.
Ansehen →KI-Beratung
Von der Pflichterfüllung zum Nutzen: KI produktiv und sicher einsetzen.
Ansehen →Erstgespräch
Wissen, was für Sie gilt.
Im kostenlosen Erstgespräch ordnen wir Ihre eingesetzten KI-Systeme ein und benennen die Pflichten, die tatsächlich auf Sie zutreffen, ohne Panikmache.
Unverbindliches Erstgespräch anfragen