ChatGPT schreibt E-Mails. Microsoft Copilot erstellt Präsentationen. Bewerbungen werden mit KI vorsortiert. Marketingabteilungen generieren Bilder und Texte auf Knopfdruck.
Die meisten Unternehmen nutzen inzwischen Künstliche Intelligenz – oft ohne klare Regeln, ohne Verantwortlichkeiten und ohne zu wissen, welche rechtlichen Anforderungen bereits gelten.
Genau hier setzt der EU AI Act an. Er richtet sich längst nicht mehr nur an Entwickler großer KI-Systeme. Er betrifft nahezu jedes Unternehmen, das Künstliche Intelligenz im Geschäftsalltag einsetzt – unabhängig von Branche oder Unternehmensgröße.
Die gute Nachricht: Sie müssen kein Jurist sein, um die richtigen Entscheidungen zu treffen. Stellen Sie sich stattdessen diese fünf Fragen.
Key Takeaways
- Fast jedes Unternehmen ist betroffen. Wer KI geschäftlich nutzt, trägt Verantwortung – unabhängig von der Unternehmensgröße.
- Die Uhr läuft bereits. Während einzelne Pflichten für Hochrisiko-KI verschoben wurden, gelten andere Anforderungen – insbesondere zur KI-Kompetenz – bereits heute.
- AI Governance wird zur Managementaufgabe. Viele Unternehmen benötigen künftig eine verantwortliche Person, um die Anforderungen an KI-Kompetenz (Art. 4 EU AI Act) organisatorisch umzusetzen.
- Nicht jede Pflicht gilt sofort – aber jedes Unternehmen sollte jetzt handeln. Wer erst kurz vor Ablauf der Übergangsfristen beginnt, wird kaum ausreichend Zeit für den Aufbau von Schulungen, Prozessen und Verantwortlichkeiten haben.
Die fünf Fragen, die sich jeder Geschäftsführer jetzt stellen sollte
1. Betrifft der EU AI Act mein Unternehmen überhaupt?
Die kurze Antwort lautet: Ja – höchstwahrscheinlich.
Viele Geschäftsführer glauben, der EU AI Act richte sich ausschließlich an Unternehmen, die eigene KI entwickeln. Tatsächlich reicht bereits die geschäftliche Nutzung bestehender KI-Anwendungen aus.
Dazu gehören beispielsweise:
- ChatGPT oder Microsoft Copilot
- KI-gestützte Recruiting-Software
- Übersetzungstools
- Kunden-Chatbots
- intelligente Analyse- und Assistenzsysteme
Entscheidend ist nicht, wer die KI entwickelt hat. Entscheidend ist, wie Sie sie im Unternehmen einsetzen.
2. In welche Risikoklasse fallen meine KI-Anwendungen?
Der EU AI Act verfolgt einen risikobasierten Ansatz und unterscheidet vier Kategorien.
Unannehmbares Risiko
KI-Systeme, die menschliches Verhalten manipulieren, biometrische Echtzeit-Erkennung im öffentlichen Raum oder sogenanntes Social Scoring (die Bewertung des Sozialverhaltens) durchführen, sind in der EU grundsätzlich verboten.
Hochrisiko-KI
Hierzu zählen Systeme, die erhebliche Auswirkungen auf die Sicherheit oder die Grundrechte von Menschen haben. Für sie gelten umfangreiche Anforderungen, etwa an Risikomanagement, Dokumentation, Protokollierung und menschliche Aufsicht.
Spezifisches Transparenzrisiko
Für bestimmte Anwendungen gelten Transparenzpflichten. Dazu gehören beispielsweise Chatbots oder KI-generierte Inhalte (Deepfakes), bei denen Nutzer erkennen können müssen, dass sie mit einer KI interagieren oder synthetische Inhalte konsumieren. Die Transparenzpflichten nach Art. 50 unterscheiden sich je nach Anwendungsfall.
Minimales Risiko
Die Mehrheit der im Mittelstand eingesetzten KI-Anwendungen fällt in diese Kategorie. Dazu zählen KI-gestützte Effizienztools, Spam-Filter oder interne Assistenzlösungen. Hier bestehen häufig keine oder nur geringe rechtliche Anforderungen.
3. Wann wird mein Unternehmen zum Hochrisiko-Fall?
Besonders Geschäftsführer sowie Verantwortliche im Personalbereich sollten diesen Punkt sorgfältig prüfen. Hochrisiko-KI kommt insbesondere dann in Betracht, wenn KI eingesetzt wird für:
- Bewerberauswahl
- Personalentscheidungen
- Leistungsbewertungen
- Kreditwürdigkeitsprüfungen
- Bildung
- kritische Infrastrukturen
- weitere in Anhang III des EU AI Acts definierte Anwendungsbereiche
Die gute Nachricht: Für zahlreiche Hochrisiko-Systeme wurden die regulatorischen Fristen inzwischen bis Ende 2027 verlängert.
Die weniger gute Nachricht: AI Governance entsteht nicht innerhalb weniger Wochen. Der Aufbau von Prozessen, Verantwortlichkeiten, Dokumentation, Schulungen und Risikomanagement benötigt in der Praxis häufig 12 bis 18 Monate.
Wer erst kurz vor Ablauf der Fristen beginnt, setzt sich unnötig unter Zeitdruck.
4. Was kostet es, wenn ich jetzt nichts mache?
Viele Unternehmen konzentrieren sich ausschließlich auf mögliche Bußgelder. Das eigentliche Risiko liegt jedoch häufig ganz woanders.
Fehlende AI Governance führt dazu, dass
- Mitarbeitende unkontrolliert KI einsetzen,
- sensible Unternehmensdaten in öffentliche Systeme gelangen,
- Verantwortlichkeiten unklar bleiben,
- Risiken nicht dokumentiert werden,
- Innovation aus Unsicherheit gebremst wird.
Hinzu kommen erhebliche Bußgelder bei Verstößen gegen den EU AI Act, die – je nach Art des Verstoßes – bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes betragen können.
Für viele Unternehmen ist jedoch der Reputationsschaden deutlich gravierender als die finanzielle Sanktion.
5. Braucht mein Unternehmen einen KI-Beauftragten?
Der EU AI Act schreibt keinen KI-Beauftragten ausdrücklich vor.
Er verpflichtet Unternehmen jedoch dazu, sicherzustellen, dass Personen, die mit KI-Systemen arbeiten, über eine angemessene KI-Kompetenz verfügen (Art. 4 EU AI Act).
Genau deshalb schaffen derzeit viele Unternehmen eine neue Rolle: den KI-Beauftragten.
Er oder sie übernimmt die Koordination der AI Governance und verbindet Geschäftsführung, Fachbereiche, IT, Datenschutz und Compliance.
Zu den Aufgaben gehören unter anderem:
- Aufbau von KI-Kompetenz
- Entwicklung einer KI-Richtlinie
- Unterstützung bei der Risikobewertung
- Einführung klarer Verantwortlichkeiten
- Begleitung einer sicheren und verantwortungsvollen KI-Nutzung
KI-Beauftragte sind deshalb weniger eine gesetzlich vorgeschriebene Berufsbezeichnung als vielmehr eine organisatorische Antwort auf die neuen Anforderungen der Unternehmenspraxis.
Executive Check
Beantworten Sie diese fünf Fragen mit Ja oder Nein.
✓ Nutzen Ihre Mitarbeitenden bereits KI-Anwendungen?
✓ Gibt es eine verbindliche KI-Richtlinie?
✓ Wissen Sie, welche KI-Systeme in Ihrem Unternehmen eingesetzt werden?
✓ Sind Ihre Mitarbeitenden ausreichend im Umgang mit KI geschult?
✓ Ist klar geregelt, wer intern die Verantwortung für AI Governance trägt?
Wenn Sie mehrere Fragen mit „Nein“ beantworten, besteht Handlungsbedarf.
Ihr Fahrplan
Der Einstieg muss nicht kompliziert sein. Bewährt haben sich diese fünf Schritte:
- Erfassen Sie sämtliche eingesetzten KI-Anwendungen.
- Bewerten Sie deren Risikoklasse.
- Entwickeln Sie eine unternehmensweite KI-Richtlinie.
- Bauen Sie die erforderliche KI-Kompetenz im Unternehmen auf.
- Benennen Sie eine verantwortliche Person für AI Governance.
Diese Maßnahmen schaffen nicht nur regulatorische Sicherheit, sondern bilden gleichzeitig die Grundlage für einen erfolgreichen und verantwortungsvollen Einsatz von Künstlicher Intelligenz.
Fazit
Der größte Irrtum besteht darin, den EU AI Act ausschließlich als Compliance-Projekt zu betrachten.
Tatsächlich verändert er die Art und Weise, wie Unternehmen Verantwortung für den Einsatz von Künstlicher Intelligenz organisieren.
Wer heute beginnt, KI-Kompetenz aufzubauen, Risiken systematisch zu bewerten und klare Verantwortlichkeiten zu schaffen, erfüllt nicht nur regulatorische Anforderungen. Er schafft Vertrauen bei Kunden, Partnern und Mitarbeitenden – und legt damit den Grundstein für einen sicheren, wirtschaftlich erfolgreichen und zukunftsfähigen Einsatz von KI.
Der KI-Beauftragte ist deshalb nicht das Ziel. Er ist der Beginn einer professionellen AI Governance.
