Der EU AI Act im Überblick: Risikostufen, Fristen und Umsetzung im Unternehmen

Der EU AI Act (Verordnung (EU) 2024/1689) ist das weltweit erste umfassende Gesetz für Künstliche Intelligenz. Als EU-Verordnung gilt er unmittelbar in allen Mitgliedstaaten — ein deutsches Umsetzungsgesetz ist dafür nicht nötig. Er betrifft nicht nur Hersteller von KI-Systemen, sondern ausdrücklich auch Unternehmen, die KI lediglich einsetzen.

Die zentrale Idee: Reguliert wird nicht die Technologie an sich, sondern der konkrete Einsatzzweck — abgestuft nach dem Risiko für Gesundheit, Sicherheit und Grundrechte. Je höher das Risiko, desto strenger die Pflichten. Daraus ergeben sich vier Stufen:

Seit dem 2. Februar 2025 sind bestimmte KI-Praktiken in der EU vollständig verboten, weil sie Grundrechte verletzen. Dazu zählen Social Scoring (die Bewertung von Menschen anhand ihres Sozialverhaltens mit nachteiligen Folgen), manipulative oder täuschende Techniken, die das Verhalten von Menschen wesentlich verzerren und ihnen erheblichen Schaden zufügen können, sowie das ungezielte Auslesen von Gesichtsbildern aus dem Internet für Erkennungsdatenbanken.

Besonders relevant für den Arbeitsalltag: KI-gestützte Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen ist verboten — etwa Software, die aus Stimme oder Mimik von Beschäftigten laufend auf deren Gefühlslage schließt. Ausgenommen sind nur medizinische Gründe und Sicherheitsgründe, zum Beispiel die Müdigkeitserkennung bei Berufskraftfahrern.

Diese Verbote gelten absolut: Es gibt keine Übergangsfrist mehr, und sie lassen sich auch nicht durch eine Einwilligung der Betroffenen aufheben. Prüfen Sie deshalb bei neuen Tools — gerade von Anbietern außerhalb der EU — immer, ob sie solche Funktionen enthalten, bevor Sie sie einsetzen.

Hochrisiko-Systeme sind erlaubt, unterliegen aber strengen Auflagen. Anhang III der Verordnung listet die Einsatzfelder auf — für den Mittelstand besonders relevant: KI in Personalentscheidungen (etwa das automatische Vorsortieren von Bewerbungen oder Software für Beförderungs- und Kündigungsentscheidungen) sowie die Bewertung der Kreditwürdigkeit natürlicher Personen. Die Hauptpflichten treffen die Anbieter solcher Systeme; aber auch Betreiber müssen sie gemäß der Gebrauchsanweisung verwenden, den Betrieb überwachen und eine wirksame menschliche Aufsicht durch geschulte Personen sicherstellen.

Beim begrenzten Risiko geht es um Transparenz: Wer mit einem Chatbot interagiert, muss erkennen können, dass er mit einer Maschine spricht. KI-erzeugte oder KI-manipulierte Inhalte — etwa Deepfakes — müssen als solche gekennzeichnet werden. Für ein Serviceteam heißt das konkret: Der Kunden-Chatbot auf der Website braucht einen klaren Hinweis, dass hier eine KI antwortet.

Die große Mehrheit der KI-Anwendungen fällt in die Kategorie minimales Risiko: Spamfilter, Rechtschreibkorrektur, die meisten internen Schreib- und Rechercheassistenten. Hier stellt der AI Act keine besonderen Anforderungen. Die Sorgfaltsregeln aus Lektion 4 — Ergebnisse prüfen, keine sensiblen Daten in offene Tools — gelten trotzdem, denn Datenschutz- und Haftungsrecht laufen unabhängig davon weiter.

Der AI Act gilt nicht auf einen Schlag, sondern stufenweise. Die wichtigsten Daten:

Die Bußgelder sind bewusst empfindlich angesetzt: Der Einsatz verbotener Praktiken kann bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes kosten — es gilt der jeweils höhere Betrag. Für die meisten anderen Verstöße (etwa gegen Betreiberpflichten oder Transparenzpflichten) drohen bis zu 15 Millionen Euro oder 3 Prozent, für falsche Angaben gegenüber Behörden bis zu 7,5 Millionen Euro oder 1 Prozent. Für kleine und mittlere Unternehmen gilt jeweils der niedrigere der beiden Beträge als Obergrenze.

Zur Einordnung: Für die Schulungspflicht aus Artikel 4 nennt der Bußgeldkatalog in Artikel 99 keinen eigenen Tatbestand. Fehlende KI-Kompetenz kann aber bei anderen Verstößen und im Schadensfall gegen Sie sprechen — dokumentierte Schulung ist deshalb Ihre beste Absicherung, wie in Lektion 1 beschrieben.

Für die meisten Mittelständler ist der AI Act kein Großprojekt, sondern geordnete Fleißarbeit. Vier Schritte bilden das Fundament:

Verankern Sie außerdem eine klare Zuständigkeit: eine Person oder ein kleines Team, das das Inventar aktuell hält, neue Tools vor dem Einsatz prüft und die Fristen im Blick behält. KI-Kompetenz ist kein einmaliges Projekt — Artikel 4 verlangt ein dauerhaft ausreichendes Niveau, und die Tool-Landschaft ändert sich schnell.

Damit schließt sich der Kreis dieses Kurses: Sie wissen, warum die Schulungspflicht besteht, wie die Werkzeuge funktionieren, wo sie Nutzen stiften und welche Risiken Sie im Griff behalten müssen — und jetzt auch, in welchem rechtlichen Rahmen sich all das bewegt. Wer die vier Schritte umsetzt, erfüllt nicht nur eine Pflicht, sondern schafft die Grundlage, KI im Unternehmen sicher und produktiv zu nutzen.