Hinweis: Dieser Beitrag bietet eine allgemeine Einordnung zum EU AI Act und dient der ersten Orientierung. Er stellt keine Rechtsberatung dar und ersetzt keine Prüfung des konkreten Einzelfalls. Welche Anforderungen gelten, hängt unter anderem vom Zweck des KI-Systems, seinem Einsatzkontext, der Rolle des Unternehmens und weiteren Vorschriften ab.
Viele mittelständische Unternehmen nutzen künstliche Intelligenz bereits für Texte, Recherche, Kundenkommunikation, Protokolle oder Auswertungen. Häufig geschieht das pragmatisch und dezentral. Der EU AI Act verlangt nicht, dass jede Nutzung sofort einen eigenen Compliance-Bereich benötigt. Unternehmen sollten jedoch nachvollziehen können, welche KI sie einsetzen, zu welchem Zweck und mit welchen möglichen Folgen.
Die Verordnung unterscheidet nach dem Risiko des konkreten Einsatzes. Besonders sorgfältig sollten Unternehmen Anwendungen prüfen, die Entscheidungen über Personen wesentlich vorbereiten oder beeinflussen, in sicherheitsrelevante Produkte oder Prozesse eingebunden sind oder personenbezogene beziehungsweise vertrauliche Daten verarbeiten. Die Anforderungen des EU AI Act, Datenschutzfragen und Vertraulichkeitsanforderungen sind dabei getrennt zu bewerten. Um einen sinnvollen Einstieg zu finden, sollte mit einer einfachen Bestandsaufnahme der vorhandenen KI-Anwendungen begonnen werden.
Der EU AI Act betrifft auch Unternehmen, die externe KI-Tools einsetzen
Viele verbinden den EU AI Act vor allem mit großen Technologieanbietern oder Entwicklern eigener KI-Modelle. Für sie gelten tatsächlich weitreichende Anforderungen, etwa an Risikomanagement, technische Dokumentation und Konformitätsbewertung.
Im Mittelstand ist häufig die Rolle des Betreibers relevant. Betreiber ist im Sinne des EU AI Act grundsätzlich eine Organisation, die ein KI-System im beruflichen Kontext unter eigener Verantwortung verwendet. Das kann ein interner Textassistent, ein Chatbot im Kundenservice oder eine Software zur Unterstützung von Personalprozessen sein.
Ein Unternehmen kann je nach Anwendungsfall mehrere Rollen einnehmen. Wer ein bestehendes KI-System wesentlich verändert, unter eigener Marke anbietet oder für einen neuen, rechtlich relevanten Zweck einsetzt, sollte zusätzlich prüfen, ob dadurch Anbieterpflichten entstehen können.
Welche Rolle spielt dabei die deutsche Gesetzgebung für Unternehmen?
Der EU AI Act gilt als Verordnung unmittelbar in Deutschland und muss nicht erst in nationales Recht übertragen werden. Das deutsche KI-Marktüberwachungs- und Innovationsförderungsgesetz, kurz KI-MIG, trat am 29. Juli 2026 in Kraft. Es regelt vor allem Zuständigkeiten, die Zusammenarbeit der Behörden, Marktüberwachung, nationale Sanktionen und Maßnahmen zur Innovationsförderung.
Die Bundesnetzagentur übernimmt dabei eine zentrale Koordinierungsrolle. Mit dem Koordinierungs- und Kompetenzzentrum für die KI-Verordnung, kurz KoKIVO, bündelt sie Expertise, unterstützt weitere Behörden und stellt Informationen für Unternehmen bereit. In regulierten Bereichen können Fachbehörden zuständig sein, etwa im Finanzsektor oder bei der Medienaufsicht.
Für die meisten Unternehmen ist entscheidend: Die inhaltlichen Anforderungen an KI-Systeme ergeben sich weiterhin aus dem EU AI Act. Welche zusätzlichen Anforderungen aus anderem Recht folgen, etwa aus Datenschutz-, Arbeits- oder Produktsicherheitsrecht, hängt vom konkreten Einsatz ab und sollte im Einzelfall geprüft werden.
Überblick über wichtige Anwendungsfristen des EU AI Act.
Ab wann wird von einem "Hochrisiko-KI-System" gesprochen?
Ein leistungsfähiges KI-Tool ist nicht automatisch ein Hochrisiko-KI-System. Entscheidend sind sein vorgesehener Einsatz und die mögliche Auswirkung auf Menschen, Sicherheit oder Grundrechte. Für eine erste Priorisierung sollten Unternehmen zwei Fragenbereiche unterscheiden.
Bereich 1: Fragen zur Hochrisiko-Prüfung
- Beeinflusst das System Entscheidungen über Personen in einem Bereich, etwa Anstellung oder z.B. den Zugang zu bestimmten Leistungen z.B. Sozialleistungen oder Kreditvergabe?
- Wird das System in einem stark regulierten oder sicherheitsrelevantem Bereich oder Produkt eingesetzt?
- Können fehlerhafte Ergebnisse erhebliche Auswirkungen auf Sicherheit, Grundrechte oder den Zugang zu bestimmten Leistungen haben?
Bereich 2: Frage zu Transparenzpflichten
Die Risikoklasse ergibt sich aus dem konkreten Einsatzzweck, nicht allein aus dem verwendeten Tool.
Besonders sensibel sind Anwendungen etwa in Personalprozessen, bei Kreditentscheidungen, Versicherungen, Bildung oder dem Zugang zu wichtigen Leistungen. Eine KI, die Bewerbungen priorisiert, kann berufliche Chancen von Personen beeinflussen. Eine interne Formulierungshilfe für E-Mails stellt dagegen in der Regel kein Risiko dar.
Beispiel: Ein Vertriebsteam nutzt KI, um Gesprächsnotizen in einen Angebotsentwurf zu überführen. Ein Vertriebsmitarbeiter prüft den Entwurf und gibt das Angebot selbst frei. Das unterscheidet sich deutlich von einem System, das Kunden automatisch Vertragskonditionen zuordnet oder verbindliche Zusagen verschickt.
KI-Systeme für die Einstellung, Auswahl oder Bewertung von Bewerbern und Beschäftigten können nach Anhang III des EU AI Act als Hochrisiko-KI-System relevant sein. Ob das auf einen konkreten Fall zutrifft, sollte fachlich und gegebenenfalls rechtlich geprüft werden.
Für Hochrisiko-KI-Systeme nach Anhang III gelten die Regeln seit dem AI Omnibus ab dem 2. Dezember 2027. Für KI-Systeme als Sicherheitskomponente bestimmter regulierter Produkte gilt der 2. August 2028. Der AI Omnibus trat am 27. Juli 2026 in Kraft und hat diese Fristen angepasst. Die Europäische Kommission erläutert die neuen Anwendungsfristen.
Wo KI-Risiken im Arbeitsalltag wirklich entstehen
In der Praxis entstehen viele Risiken nicht durch das KI-Modell selbst, sondern durch unklare Nutzung. Mitarbeitende wissen dann oft nicht, welche Daten sie in ein Tool eingeben dürfen und wann KI-Ergebnisse überprüft werden müssen. Häufig ist auch unklar, welche Aufgaben ein Tool nicht übernehmen soll, wer bei Unsicherheiten entscheidet und wie Fehler oder auffällige Ergebnisse gemeldet werden.
Ein Beispiel aus dem Vertriebsalltag: Ein Team nutzt einen KI-Assistenten für Gesprächszusammenfassungen und Angebotsentwürfe. Das kann Zeit sparen und die Dokumentation verbessern. Werden jedoch vertrauliche Unternehmensinformationen oder personenbezogene Informationen in eine nicht freigegebenen KI-Anwendung eingegeben, können Datenschutz- und Vertraulichkeitsfragen entstehen. Werden KI-Vorschläge ungeprüft an Kunden versendet, entsteht zusätzlich ein fachliches und möglicherweise vertragliches Risiko. Die abschließende Prüfung durch einen Menschen ("human-in-the-loop") bleibt hier unerlässlich.
Der EU AI Act steht dabei nicht isoliert. Je nach Einsatz können auch Datenschutzrecht, Arbeitsrecht, Vertragsrecht, Produktsicherheitsrecht oder branchenspezifische Vorgaben relevant sein. KI-Regeln sollten deshalb zu vorhandenen Prozessen für Datenschutz, Informationssicherheit und Freigaben passen.
Was "ausreichende KI-Kompetenz" nach Art.4 EU AI Act konkret für Unternehmen bedeutet
Artikel 4 des EU AI Act betrifft die KI-Kompetenz. Unternehmen sollen angemessene Maßnahmen treffen, damit Personen, die KI-Systeme betreiben oder nutzen, über ausreichende Kenntnisse verfügen. Was ausreichend ist, hängt vom Tool, der Aufgabe, den betroffenen Personen und den möglichen Folgen einer Fehlanwendung ab.
Für ein Team, das KI als Textassistenz nutzt, kann eine kurze, dokumentierte Einführung angemessen sein. Sie sollte erklären, welche Aufgaben das Tool unterstützt, welche typischen Fehler auftreten können und welche Informationen nicht eingegeben werden dürfen. Ebenso wichtig ist, warum Ergebnisse geprüft werden müssen und an wen sich Mitarbeitende bei Fragen wenden können.
Bei KI in Personalentscheidungen, Qualitätsprüfung, Kundenklassifizierung oder Produktionsabläufen reichen allgemeine Hinweise meist nicht aus. Hier sollten Verantwortlichkeiten, Kontrollschritte und Eskalationswege klarer geregelt sein.
Setzt ein Unternehmen einen KI-Chatbot im Kundenservice ein, sollte es prüfen, ob Nutzer über die Interaktion mit einem KI-System informiert werden müssen. Die Transparenzpflichten aus Artikel 50 gelten seit dem 2. August 2026. Im Einzelfall können Ausnahmen gelten, etwa wenn die KI-Interaktion aus den Umständen offensichtlich ist. Für bestimmte KI-generierte oder manipulierte Bild-, Audio- und Videoinhalte können ebenfalls Kennzeichnungsanforderungen gelten.
KI-Governance in fünf pragmatischen Schritten aufbauen
KI-Governance umfasst interne Regeln, Zuständigkeiten und Kontrollprozesse für den Einsatz künstlicher Intelligenz. Im Mittelstand muss daraus kein umfangreiches Regelwerk entstehen. Wichtig ist, dass die Regeln verständlich, im Alltag nutzbar und überprüfbar sind.
- KI-Anwendungen erfassen. Erstellt eine Übersicht: Welche KI-Tools werden genutzt, von welchen Bereichen, für welche Aufgaben und mit welchen Daten? Haltet auch fest, ob die KI Ergebnisse lediglich vorbereitet oder Entscheidungen tatsächlich beeinflusst. Inoffiziell verwendete Tools gehören dazu.
- Anwendungen nach Risiko priorisieren. Beginnt mit Anwendungen, die personenbezogene Daten, Kundenkommunikation, Bewerbungen, Finanzen oder sicherheitsrelevante Prozesse betreffen. Prüft dort zunächst Datenflüsse, menschliche Kontrolle und mögliche Folgen fehlerhafter Ergebnisse.
- Verantwortlichkeiten klar zuordnen. Jede relevante KI-Anwendung braucht eine fachlich verantwortliche Person. Sie sollte erklären können, wofür das System eingesetzt wird, welche Ergebnisse akzeptabel sind, welche Daten verwendet werden dürfen und wann menschliche Prüfung erforderlich ist.
- Mit einem abgegrenzten Quick Win starten. Ein sinnvoller Start kann ein häufig genutztes Tool mit überschaubarem Risiko sein, etwa ein interner Textassistent. Definiert erlaubte Datenarten, fachliche Prüfung, Freigabeprozess, Ansprechperson und eine kurze Schulung. Prüft nach einigen Wochen, ob die Regeln im Alltag funktionieren.
- Entscheidungen nachvollziehbar dokumentieren. Für viele Anwendungen genügt zunächst eine übersichtliche Ablage mit Tool, Zweck, verantwortlichem Bereich, Datenarten, erster Risikoeinschätzung, Kontrollmaßnahmen und offenen Fragen. Sie ersetzt keine verbindliche Konformitätsbewertung, zeigt aber, wo diese erforderlich sein kann.
Wann eine rechtliche Prüfung zum EU AI Act sinnvoll ist
Eine interne Bestandsaufnahme und eine technische Risikoeinschätzung schaffen Transparenz. Sie ersetzen keine rechtliche Bewertung im Einzelfall.
Eine qualifizierte Rechtsberatung sollte insbesondere einbezogen werden, wenn ein KI-System Bewerber oder Beschäftigte bewertet, priorisiert oder überwacht, Entscheidungen über Kunden oder andere Personen wesentlich beeinflusst, besondere Kategorien personenbezogener Daten verarbeitet, Teil eines regulierten Produkts oder sicherheitsrelevanten Prozesses ist oder durch das Unternehmen selbst entwickelt, wesentlich verändert oder unter eigener Marke angeboten wird. Das Gleiche gilt bei kunden- oder öffentlichkeitsgerichteten Anwendungen, die Transparenz- oder Kennzeichnungspflichten auslösen könnten.
Fellowork unterstützt bei der Erfassung von KI-Anwendungen, bei technischen und organisatorischen Maßnahmen sowie bei der Umsetzung nachvollziehbarer Prozesse. Die verbindliche rechtliche Einordnung einzelner Anwendungsfälle sollte durch qualifizierte Rechtsberater erfolgen. Auf dieser Grundlage lassen sich technische und organisatorische Maßnahmen gezielt umsetzen.
Der EU AI Act ist kein Grund, sinnvolle KI-Projekte aufzuschieben
Der EU AI Act verlangt einen bewussten Umgang mit künstlicher Intelligenz. Er bedeutet nicht, dass jedes mittelständische Unternehmen sofort ein eigenes Compliance-Team aufbauen muss.
Wer seine KI-Anwendungen kennt, Risiken realistisch priorisiert und Verantwortlichkeiten klärt, schafft eine belastbare Grundlage für den weiteren Einsatz. Gerade kleine, klar abgegrenzte Anwendungen bieten die Möglichkeit, Regeln zu erproben und Akzeptanz im Team aufzubauen.
Aus Sicht von fellowork ist der sinnvollste nächste Schritt eine Bestandsaufnahme: Welche KI-Tools werden bereits eingesetzt, welche Aufgaben übernehmen sie und bei welchen Anwendungen besteht erhöhter Klärungsbedarf? Daraus lassen sich technische, organisatorische und gegebenenfalls rechtliche Schritte gezielt priorisieren.
FAQ zum EU AI Act im Mittelstand
Gilt der EU AI Act auch für Standardtools wie ChatGPT?
Ja, der EU AI Act kann auch bei Standardtools relevant sein. Für viele interne Anwendungen gelten jedoch nicht automatisch die besonderen Vorgaben für Hochrisiko-KI. Entscheidend sind der konkrete Einsatzzweck, die verarbeiteten Daten, die Rolle des Unternehmens und mögliche Auswirkungen auf betroffene Personen.
Muss jedes Unternehmen einen KI-Beauftragten benennen?
Nein, der EU AI Act schreibt nicht pauschal eine Rolle als KI-Beauftragter vor. Praktisch sollte es aber klar benannte Ansprechpartner für relevante KI-Anwendungen geben. Diese Verantwortung kann je nach Unternehmensstruktur bei IT, Datenschutz, einem Fachbereich oder einer bereichsübergreifenden Arbeitsgruppe liegen.
Wann ist KI im Personalbereich besonders sensibel?
KI im Personalbereich ist besonders sensibel, wenn sie Bewerber oder Beschäftigte bewertet, priorisiert, überwacht oder Entscheidungen wesentlich vorbereitet. Dann sollten Unternehmen den Einsatz sorgfältig prüfen und gegebenenfalls rechtliche Expertise einbinden. Eine Textassistenz für Stellenausschreibungen ist davon grundsätzlich zu unterscheiden.
Reicht eine KI-Richtlinie aus?
Eine KI-Richtlinie ist ein sinnvoller Anfang, ersetzt aber keine Prüfung aller Anwendungsfälle. Sie sollte durch eine Übersicht der eingesetzten Tools, klare Verantwortlichkeiten, angemessene Schulungen und risikobasierte Kontrollen ergänzt werden. Wie umfangreich diese Maßnahmen sein müssen, hängt vom jeweiligen Einsatz ab.
Ändert das deutsche Durchführungsgesetz meine Pflichten als Unternehmen?
Die zentralen inhaltlichen Anforderungen an KI-Systeme ergeben sich weiterhin aus dem EU AI Act. Das deutsche Durchführungsgesetz regelt vor allem Zuständigkeiten, Zusammenarbeit der Behörden, Marktüberwachung, nationale Sanktionen und Maßnahmen zur Innovationsförderung. Für Unternehmen kann es dadurch klarer werden, welche Stelle bei Fragen, Aufsicht oder besonderen Vorfällen zuständig ist.
Quellen
- Europäische Union, Verordnung (EU) 2024/1689 zur Festlegung harmonisierter Vorschriften für künstliche Intelligenz, 13. Juni 2024, konsolidierte Fassung vom 27. Juli 2026. https://eur-lex.europa.eu/eli/reg/2024/1689/oj. Belegt: risikobasierter Ansatz, Rollen in der KI-Wertschöpfung, KI-Kompetenz, Klassifizierung von Hochrisiko-KI und Transparenzpflichten.
- Europäische Kommission, AI Omnibus enters into force, 27. Juli 2026. https://digital-strategy.ec.europa.eu/en/news/ai-omnibus-enters-force. Belegt: angepasste Anwendungsfristen für Hochrisiko-KI nach Anhang III ab 2. Dezember 2027 sowie für KI als Sicherheitskomponente regulierter Produkte ab 2. August 2028; Vereinfachung der Anforderungen an KI-Kompetenz.
- Bundesministerium für Digitales und Staatsmodernisierung, Gesetz zur Durchführung der KI-Verordnung, Stand: 18. August 2026. https://bmds.bund.de/service/gesetzgebungsverfahren/gesetz-zur-durchfuehrung-der-ki-verordnung. Belegt: Inkrafttreten des KI-MIG am 29. Juli 2026, Zuständigkeiten, KoKIVO, hybrider Aufsichtsansatz, Bußgeldverfahren und KI-Reallabor.
- Bundesregierung, Innovationen durch KI fördern, 30. Juli 2026. https://www.bundesregierung.de/breg-de/aktuelles/umsetzung-ki-verordnung-2406638. Belegt: zentrale Rolle der Bundesnetzagentur, Koordinierungs- und Kompetenzzentrum sowie Unterstützung und Orientierung für Unternehmen.
