Was bedeutet der EU AI Act
für Ihr Unternehmen?

Ja. Es gibt keine Ausnahme für KMU. Der EU AI Act gilt für jedes Unternehmen, das KI-Systeme in der EU einsetzt, entwickelt oder in Verkehr bringt — unabhängig von Größe und Sitz. Allerdings hängt der tatsächliche Compliance-Aufwand von der Risikoklasse der eingesetzten Systeme ab: Wer nur Minimal-Risiko-KI nutzt, hat keine nennenswerten Pflichten.

Hochrisiko-KI sind Systeme, die in sensiblen Bereichen eingesetzt werden und potenziell erhebliche Auswirkungen auf Personen haben. Dazu zählen laut EU AI Act: KI in der Personalverwaltung (Bewerbungsscreening, Leistungsbewertung), in der Kreditvergabe, in der medizinischen Diagnostik, in kritischer Infrastruktur sowie in Bildung und Berufsausbildung. Für diese Systeme gelten ab August 2026 strenge Dokumentations-, Transparenz- und Aufsichtspflichten.

Nicht registrieren — aber regulieren. Wer ChatGPT, Copilot oder ähnliche Tools im Arbeitsalltag einsetzt, muss sicherstellen, dass keine vertraulichen Unternehmensdaten unkontrolliert in US-Cloud-Systeme fließen, KI-generierte Inhalte als solche kenntlich gemacht werden, und bei Kundenkontakt klar kommuniziert wird, dass eine KI antwortet. Sogenannte Schatten-KI — also nicht offiziell freigegebene Tools — ist das größte Compliance-Risiko für den Mittelstand.

Bußgelder von bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes — je nachdem, welcher Betrag höher ist. Dazu kommen Betriebsunterbrechungen, Reputationsschäden und persönliche Haftungsrisiken für die Geschäftsführung. Wichtig: Die Aufsichtsbehörden müssen nicht auf eine Beschwerde warten — sie können proaktiv prüfen.

Die Geschäftsführung. Der EU AI Act adressiert Betreiber und Anbieter von KI-Systemen als Unternehmen — die Verantwortung liegt auf Führungsebene, nicht in der IT-Abteilung. Die IT setzt um, aber die Governance-Verantwortung — also Entscheidungen über Einsatz, Kontrolle und Dokumentation von KI — trägt die Geschäftsführung.

Das hängt von Ihrer Risikoklasse ab. Für Minimal-Risiko-Systeme entstehen kaum Kosten. Für Hochrisiko-Systeme sind strukturierte Maßnahmen nötig: Dokumentation, Audit-Trail, Human-in-the-Loop. Ein erster strukturierter Check (KI-Governance Stresstest) kostet 2.900 € und liefert eine klare Einordnung — oft der wirtschaftlichste erste Schritt.

Für Hochrisiko-KI-Systeme läuft die Frist am 1. August 2026 ab. Das klingt weit, ist es aber nicht: Wer jetzt noch kein KI-Inventar hat, keine Risikoklassifizierung vorgenommen hat und keine Governance-Strukturen aufgebaut hat, braucht mindestens 6–9 Monate für eine ordentliche Umsetzung. Der sinnvolle Startpunkt ist jetzt.

Die DSGVO regelt den Schutz personenbezogener Daten — sie gilt beim Verarbeiten von Informationen über Personen. Der EU AI Act regelt den Einsatz von KI-Systemen — unabhängig davon, ob personenbezogene Daten verarbeitet werden. Beide Regelwerke können gleichzeitig gelten: Wer eine KI zur Personalentscheidung einsetzt, muss sowohl DSGVO als auch EU AI Act beachten.

Ja — als Betreiber tragen Sie Mitverantwortung. Der EU AI Act unterscheidet zwischen Anbietern (die ein KI-System entwickeln und in Verkehr bringen) und Betreibern (die es einsetzen). Microsoft ist Anbieter, Ihr Unternehmen ist Betreiber. Als Betreiber müssen Sie sicherstellen, dass der Einsatz den Anforderungen entspricht — auch wenn Sie das System nicht selbst entwickelt haben.

Der EU AI Act verlangt für Hochrisiko-Systeme, dass Menschen die Ausgaben der KI verstehen, überwachen und im Zweifelsfall übersteuern können. Das ist kein bürokratisches Konstrukt — es ist die Grundlage jeder rechtskonformen KI-Nutzung. In der Praxis bedeutet es: Keine KI trifft finale Entscheidungen über Personen ohne menschliche Prüfung. Human-in-the-Loop im Detail →

Der EU AI Act schreibt keinen KI-Beauftragten explizit vor — aber er verlangt klare interne Verantwortlichkeiten für Hochrisiko-Systeme. In der Praxis empfiehlt sich eine benannte Person oder Rolle, die KI-Governance koordiniert. Das muss keine Vollzeitstelle sein — aber die Verantwortung muss dokumentiert und zugewiesen sein.

Ein KI-Betriebsmodell strukturiert, wie KI im Unternehmen eingesetzt, kontrolliert und weiterentwickelt wird — mit klaren Prozessen, Audit-Trails und Human-in-the-Loop-Strukturen. Es ist die strukturelle Antwort auf die Anforderungen des EU AI Act: Wer ein KI-Betriebsmodell hat, ist nicht nur compliant — er hat einen nachhaltigen Wettbewerbsvorteil.