EU AI Act: Risikobasierte Regulierung von KI-Systemen

Der EU AI Act ist eine Verordnung der Europäischen Union zur Regulierung künstlicher Intelligenz. Sie verfolgt einen risikobasierten Ansatz: Nicht die Technik als solche wird reguliert, sondern der jeweilige Anwendungszweck und das damit verbundene Risiko. Die Anforderungen reichen von einem Verbot bestimmter Praktiken über umfangreiche Pflichten für Hochrisiko-Systeme bis zu reinen Transparenzanforderungen.

Der risikobasierte Ansatz

Die Verordnung unterscheidet mehrere Stufen. Bestimmte Praktiken sind untersagt, weil sie als mit den Grundrechten unvereinbar gelten; dazu zählen etwa Anwendungen zur manipulativen Beeinflussung oder zur sozialen Bewertung von Personen. Eine zweite Kategorie bilden Hochrisiko-Systeme, die in sensiblen Bereichen eingesetzt werden, beispielsweise im Zusammenhang mit Beschäftigung, Bildung, kritischer Infrastruktur oder als Sicherheitsbauteil in regulierten Produkten. Für sie gelten weitreichende Anforderungen an Risikomanagement, Datenqualität, Dokumentation, Protokollierung, menschliche Aufsicht und Robustheit.

Eine dritte Gruppe umfasst Systeme mit Transparenzpflichten. Hier geht es im Kern darum, dass Menschen erkennen können, wenn sie mit einem KI-System interagieren oder wenn Inhalte künstlich erzeugt oder verändert wurden. Systeme mit geringem Risiko unterliegen keinen besonderen Pflichten. Gesondert behandelt werden zudem KI-Modelle mit allgemeinem Verwendungszweck, für die eigene Vorgaben insbesondere zu Dokumentation und Informationsweitergabe an nachgelagerte Anbieter bestehen.

Welche Rolle Ihr Unternehmen einnimmt

Für die praktische Einordnung ist die Rollenfrage zentral. Die Verordnung unterscheidet insbesondere zwischen Anbietern, die ein KI-System entwickeln und in Verkehr bringen, und Betreibern, die ein System in eigener Verantwortung einsetzen. Die Pflichten unterscheiden sich erheblich.

• Die meisten mittelständischen Unternehmen sind zunächst Betreiber eingekaufter Systeme
• Wer ein System wesentlich verändert oder unter eigenem Namen anbietet, kann in die Anbieterrolle wechseln
• Die Einstufung hängt am konkreten Einsatzzweck, nicht am Produktnamen
• Ein und dasselbe Werkzeug kann je nach Verwendung unterschiedlich einzuordnen sein
• Auch bei geringem Risiko bestehen Anforderungen an ausreichende Kompetenz der einsetzenden Personen

Was sich sinnvoll vorbereiten lässt

Unabhängig von der genauen rechtlichen Einordnung ist eine Bestandsaufnahme der erste sinnvolle Schritt. Viele Unternehmen wissen nicht vollständig, wo im Betrieb bereits KI-Funktionen im Einsatz sind, weil sie häufig als Teilfunktion in Standardsoftware enthalten sind, etwa im Bewerbermanagement, in der Kundenkommunikation oder in Auswertungswerkzeugen.

Empfehlenswert ist ein einfaches Verzeichnis: welches System, welcher Zweck, welche Daten, welcher Anbieter, welche Rolle. Darauf aufbauend lassen sich Prioritäten setzen. Systeme mit Bezug zu Personalentscheidungen oder zu personenbezogenen Daten verdienen die erste Aufmerksamkeit. Parallel bleibt der Datenschutz eigenständig zu betrachten, da die Datenschutz-Grundverordnung unabhängig von der KI-Verordnung gilt und beide Regelwerke nebeneinander anzuwenden sind.

Zeitliche Einordnung und Grenzen dieser Darstellung

Die Verordnung wird nicht auf einen Schlag wirksam, sondern in gestaffelten Schritten. Verbotene Praktiken und bestimmte Grundpflichten greifen früher, die umfangreichen Anforderungen an Hochrisiko-Systeme später. Konkrete Stichtage, Übergangsregelungen und Sanktionshöhen werden durch Durchführungsrechtsakte, Leitlinien und nationale Umsetzung weiter ausgestaltet und sollten stets an der geltenden Fassung geprüft werden.

Dieser Beitrag bietet eine allgemeine fachliche Orientierung und stellt ausdrücklich keine Rechtsberatung dar. Ob und in welchem Umfang die Verordnung auf ein bestimmtes System in Ihrem Unternehmen anwendbar ist, hängt von Details des Einsatzzwecks ab und sollte im Einzelfall rechtlich geprüft werden.

Typische Fehler

• Die Annahme, die Verordnung betreffe nur Hersteller von KI-Software
• Keine Übersicht darüber, welche eingesetzte Software bereits KI-Funktionen enthält
• Einstufung nach Produktbezeichnung statt nach tatsächlichem Einsatzzweck
• Vermischung von Datenschutz- und KI-Anforderungen, sodass eines von beiden untergeht
• Verlassen auf pauschale Aussagen von Anbietern ohne vertragliche Absicherung
• Abwarten, obwohl die Bestandsaufnahme unabhängig von Fristen sinnvoll ist

• Der EU AI Act reguliert risikobasiert nach Einsatzzweck, nicht nach Technologie.
• Die Rolle als Anbieter oder Betreiber bestimmt maßgeblich den Pflichtenumfang.
• Ein Verzeichnis der eingesetzten KI-Systeme ist der praktikabelste erste Schritt.
• Die Anwendbarkeit ist zeitlich gestaffelt; maßgeblich ist stets die geltende Fassung.
• Die Einordnung im Einzelfall erfordert rechtliche Prüfung; dieser Beitrag ersetzt sie nicht.