Die Verordnung ordnet nach Risiko, nicht nach Technik
Der AI Act fragt nicht, welches Modell im Hintergrund arbeitet, sondern wofür ein KI-System eingesetzt wird. Daraus ergeben sich vier Stufen: verbotene Praktiken, Hochrisiko-Anwendungen, Anwendungen mit Transparenzpflichten und Anwendungen mit minimalem Risiko.
Für Betriebe mit 10 bis 50 Mitarbeitenden ist die Einordnung meist unspektakulär: Rechnungen vorsortieren, Angebote vorbereiten, E-Mails zusammenfassen oder Termine strukturieren zählt in der Regel zur untersten Stufe. Sensibel wird es dort, wo automatisiert über Menschen entschieden wird – etwa bei Bewerbungsauswahl, Leistungsbewertung von Beschäftigten oder Kreditwürdigkeit.
- Verboten: unter anderem Sozial-Scoring und manipulative Systeme
- Hochrisiko: unter anderem Personalauswahl, Zugang zu Bildung, Kreditwürdigkeit, kritische Infrastruktur
- Transparenzpflicht: Chatbots, generierte Inhalte, Emotionserkennung
- Minimales Risiko: interne Assistenz- und Sortieraufgaben ohne Personenbewertung
Fristen im Überblick
Die Verordnung ist am 1. August 2024 in Kraft getreten und wird stufenweise anwendbar. Seit dem 2. Februar 2025 gelten die Verbote unzulässiger Praktiken und die Pflicht zur KI-Kompetenz. Seit dem 2. August 2025 greifen die Regeln für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck sowie die Governance-Strukturen der Mitgliedstaaten.
Der breite Pflichtenteil – insbesondere Transparenz- und Hochrisiko-Anforderungen – wird ab dem 2. August 2026 anwendbar; für Hochrisiko-KI in regulierten Produkten läuft die Frist bis zum 2. August 2027. Zu einzelnen Fristen liegen auf EU-Ebene Anpassungsvorschläge vor; verbindlich ist jeweils der veröffentlichte Rechtsstand.
- 01.08.2024: Verordnung in Kraft
- 02.02.2025: Verbote und Pflicht zur KI-Kompetenz
- 02.08.2025: Pflichten für Anbieter von Basismodellen, nationale Aufsicht
- 02.08.2026: allgemeine Anwendbarkeit inklusive Transparenzpflichten
- 02.08.2027: verlängerte Frist für Hochrisiko-KI in regulierten Produkten
Betreiberpflichten: was im Betrieb konkret zu tun ist
Wer KI-Systeme nur einsetzt, ist im Sinne der Verordnung Betreiber und nicht Anbieter. Die Pflichten sind dadurch überschaubar, aber nicht null: Das System muss gemäß Anleitung genutzt werden, die zuständigen Personen müssen ausreichend geschult sein, und wo KI mit Menschen interagiert oder Inhalte erzeugt, muss das erkennbar sein.
Praktisch heißt das: eine Übersicht der eingesetzten Systeme, eine kurze Einordnung je Anwendungsfall, benannte Verantwortliche und eine dokumentierte Freigabe an den Stellen, an denen Entscheidungen Wirkung nach außen haben.
- Verzeichnis der eingesetzten KI-Systeme mit Zweck und Datenquellen
- Risikoklasse je Anwendungsfall knapp begründet festhalten
- KI-Kompetenz: Einweisung der beteiligten Personen dokumentieren
- Transparenz: Kennzeichnung von Chatbots und generierten Inhalten
- Menschliche Freigabe vor wirksamen Entscheidungen, protokolliert
- Datenschutz getrennt betrachten: DSGVO gilt zusätzlich, nicht ersatzweise
Wie wir Automatisierung so bauen, dass sie prüfbar bleibt
Unsere Abläufe sind bewusst so aufgebaut, dass ein Mensch an den entscheidenden Stellen bestätigt. Damit bleibt der Einsatz in der niedrigen Risikoklasse, und es entsteht gleichzeitig die Dokumentation, die Aufsicht, Steuerberatung oder Prüfung sehen wollen.
Jeder Schritt wird protokolliert: welche Regel angewendet wurde, welches Ergebnis vorlag, wer freigegeben hat und wann. So ist ein Vorgang auch Monate später nachvollziehbar, ohne dass jemand Screenshots sammeln muss.
- Regeln vor Modellen: entscheidende Prüfungen laufen deterministisch
- Kontrollpunkt Mensch bei Geld, Fristen und Außenwirkung
- Vollständiges Protokoll je Vorgang statt Blackbox
- Klare Grenzen: keine Bewertung von Beschäftigten oder Bewerbenden
- Datenhaltung und Verarbeitungsorte werden vorab festgelegt
Ein pragmatischer Einstieg in vier Schritten
Die Verordnung wirkt groß, der erste Schritt ist klein. Es genügt, die tatsächlich genutzten Werkzeuge zu erfassen und pro Anwendungsfall zu klären, ob Menschen beurteilt werden. Ist die Antwort nein, bleibt es bei Transparenz, Einweisung und Dokumentation.
Dieser Beitrag gibt den öffentlich bekannten Rechtsstand wieder und ist keine Rechtsberatung. Für die verbindliche Bewertung Ihres Einzelfalls ziehen Sie Ihre Rechts- oder Steuerberatung hinzu.
- 1. Bestandsaufnahme: welche Systeme laufen wo und mit welchen Daten
- 2. Einordnung: pro Anwendungsfall Risikoklasse begründen
- 3. Einweisung: beteiligte Personen schulen und das festhalten
- 4. Nachweis: Protokolle und Freigaben aus dem laufenden Betrieb erzeugen
Häufige Fragen
- Betrifft der AI Act auch kleine Betriebe?
- Ja, allerdings abgestuft. Die Verordnung gilt unabhängig von der Unternehmensgröße, knüpft die Pflichten aber an das Risiko der Anwendung. Wer KI nur zur internen Vorbereitung von Aufgaben nutzt, hat vor allem Transparenz-, Kompetenz- und Dokumentationspflichten.
- Was bedeutet die Pflicht zur KI-Kompetenz?
- Beschäftigte, die mit KI-Systemen arbeiten, müssen deren Funktionsweise, Grenzen und Risiken einschätzen können. Für KMU reicht in der Regel eine dokumentierte Einweisung je Anwendungsfall inklusive der Frage, wann ein Mensch prüfen muss.
- Müssen wir kennzeichnen, dass KI im Einsatz ist?
- Wenn Personen direkt mit einem KI-System interagieren oder Inhalte maschinell erzeugt oder verändert werden, muss das erkennbar sein. Interne Sortier- und Prüfschritte, deren Ergebnis ein Mensch freigibt, verlangen keine Kennzeichnung nach außen.
- Werden Ihre Automatisierungen zu Hochrisiko-KI?
- Nicht bei den Anwendungsfällen, die wir umsetzen. Wir automatisieren Rechnungs-, Anfrage- und Dokumentenabläufe und verzichten bewusst auf Bewertungen von Beschäftigten oder Bewerbenden. Entscheidungen mit Außenwirkung bestätigt eine benannte Person.
- Ersetzt der AI Act die DSGVO?
- Nein. Beide Regelwerke gelten parallel. Der AI Act regelt den Einsatz des Systems, die DSGVO die Verarbeitung personenbezogener Daten. In der Praxis werden beide Punkte im gleichen Konzept dokumentiert.
Hinweis: Dieser Beitrag gibt den allgemeinen Stand wieder und ersetzt keine Steuer- oder Rechtsberatung. Verbindliche Auskünfte zu Ihrem Fall erteilt Ihre steuerliche Beratung.