KI-Verordnung (AI Act) in Kraft: Was KMU jetzt wissen müssen

Am 1. August 2024 ist die europäische KI-Verordnung (Verordnung (EU) 2024/1689, „AI Act“) in Kraft getreten. Sie ist das weltweit erste umfassende Gesetz zur Regulierung künstlicher Intelligenz. Ihre Pflichten gelten gestaffelt in den kommenden Jahren; für die meisten KMU sind sie zunächst überschaubar. Wer KI-Tools nutzt, vom Chatbot bis zur Bewerbervorauswahl, sollte sich jetzt einen Überblick verschaffen.

Der risikobasierte Ansatz

• Bestimmte KI-Anwendungen werden verboten, etwa Social Scoring durch Behörden, manipulative Techniken oder Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen (mit engen Ausnahmen).
• Hochrisiko-KI-Systeme in sensiblen Bereichen wie Beschäftigung (z. B. Auswahl von Bewerbern), Bildung, Kreditwürdigkeitsprüfung oder kritische Infrastruktur unterliegen strengen Anforderungen.
• Transparenzpflichten gelten etwa für Chatbots, die als KI erkennbar sein müssen, und für KI-generierte Inhalte wie Deepfakes.
• Die meisten KI-Anwendungen fallen in keine dieser Kategorien und unterliegen nur wenigen Pflichten.

Zusätzlich enthält die Verordnung eigene Regeln für KI-Modelle mit allgemeinem Verwendungszweck, also die großen Sprachmodelle hinter Diensten wie ChatGPT. Diese richten sich in erster Linie an deren Anbieter.

Die wichtigsten Fristen

• Ab 2. Februar 2025 gelten die Verbote bestimmter KI-Praktiken und die Pflicht zur Förderung von KI-Kompetenz (Art. 4).
• Ab 2. August 2025 gelten die Regeln für KI-Modelle mit allgemeinem Verwendungszweck und die Sanktionsvorschriften.
• Ab 2. August 2026 gilt der Großteil der übrigen Vorschriften, insbesondere für viele Hochrisiko-Systeme.
• Ab 2. August 2027 folgen weitere Vorschriften für bestimmte Hochrisiko-Systeme, die in regulierte Produkte eingebettet sind.

Anbieter oder Betreiber?

Die meisten KMU entwickeln keine KI, sondern setzen KI-Systeme anderer ein. Sie sind dann „Betreiber“ im Sinne der Verordnung. Betreiber von Hochrisiko-Systemen müssen unter anderem die Systeme gemäß Gebrauchsanweisung verwenden, eine menschliche Aufsicht durch kompetentes Personal sicherstellen, Eingabedaten auf Relevanz prüfen, Protokolle aufbewahren und im Beschäftigungskontext Beschäftigte und deren Vertretungen vorab informieren. Schon ab Februar 2025 müssen Unternehmen zudem dafür sorgen, dass ihr Personal, das mit KI-Systemen arbeitet, über ausreichende KI-Kompetenz verfügt.

Verhältnis zur DSGVO

Der AI Act lässt die DSGVO unberührt. Sobald ein KI-System personenbezogene Daten verarbeitet, gelten beide Regelwerke nebeneinander: Rechtsgrundlage, Transparenz, Betroffenenrechte, gegebenenfalls Datenschutz-Folgenabschätzung. Hinzu kommt Art. 22 DSGVO zu automatisierten Einzelentscheidungen, den der EuGH im SCHUFA-Urteil weit ausgelegt hat. Praktische Hinweise zum datenschutzkonformen Einsatz von KI-Chatbots finden Sie in unserer ChatGPT-Checkliste.

Erste Schritte

1. Inventar aller im Unternehmen genutzten KI-Systeme erstellen.
2. Jedes System einer Risikokategorie zuordnen.
3. Schulungskonzept für KI-Kompetenz bis Februar 2025 aufsetzen.
4. KI-Richtlinie mit Datenschutz- und Vertraulichkeitsregeln einführen.
5. Bei HR-Tools zur Bewerberauswahl besonders genau prüfen, ob ein Hochrisiko-System vorliegt.

Wer Hochrisiko-Anwendungen nutzt, sollte die Zeit bis August 2026 für eine strukturierte Vorbereitung nutzen; die DSGVO gilt ohnehin schon heute für jede KI, die personenbezogene Daten verarbeitet. Welche Pflichten der AI Act für Ihr Unternehmen konkret mit sich bringt, klären wir gern mit Ihnen. Kontaktieren Sie uns oder buchen Sie einen Termin.