EU AI Act — Alle Anforderungen für Unternehmen auf einen Blick

Der EU AI Act (offiziell: Verordnung (EU) 2024/1689 zur Festlegung harmonisierter Vorschriften für Künstliche Intelligenz) ist das weltweit erste umfassende Gesetz zur Regulierung von Künstlicher Intelligenz. Er wurde am 13. Juni 2024 vom Europäischen Parlament verabschiedet und trat am 1. August 2024 in Kraft.

Ziel des Gesetzes: Einen einheitlichen Rechtsrahmen für den sicheren und vertrauenswürdigen Einsatz von KI in der EU schaffen — ohne Innovation zu behindern.

Wen betrifft es? Jedes Unternehmen das KI-Systeme entwickelt, vertreibt oder einsetzt — innerhalb oder außerhalb der EU, sofern die KI auf dem EU-Markt eingesetzt wird oder EU-Bürger betrifft. Das schließt auch die Nutzung von ChatGPT, Microsoft Copilot, Google Gemini und anderen KI-Tools im Arbeitsalltag ein.

Der AI Act gilt in allen 27 EU-Mitgliedsstaaten direkt und bedarf keiner nationalen Umsetzung. Die Anforderungen werden schrittweise eingeführt, mit unterschiedlichen Fristen je nach Regelungsbereich.

Die wichtigste und sofort wirksame Anforderung ist Artikel 4 — KI-Kompetenz. Seit dem 2. Februar 2025 gilt:

Anbieter und Betreiber von KI-Systemen ergreifen Maßnahmen, um nach besten Kräften sicherzustellen, dass ihr Personal und andere Personen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind, über ein ausreichendes Maß an KI-Kompetenz verfügen.

Was das konkret bedeutet:

• Jeder Mitarbeiter der KI-Tools nutzt muss geschult werden
• Die Schulung muss die technischen Kenntnisse, den Einsatzbereich und die Erfahrung der Personen berücksichtigen
• Die Schulung muss dokumentiert werden (Nachweis!)
• Die Maßnahmen müssen dem Stand der Technik entsprechen und regelmäßig aktualisiert werden

Der EU AI Act schreibt keine bestimmte Schulungsform oder Zertifizierungsstelle vor. Unternehmen können die Schulung intern durchführen, externe Anbieter nutzen oder Online-Zertifizierungen einsetzen. Entscheidend ist, dass die Inhalte die relevanten Kompetenzbereiche abdecken und die Teilnahme dokumentiert wird.

Der EU AI Act teilt KI-Systeme in vier Risikoklassen ein, die unterschiedliche Anforderungen nach sich ziehen:

🔴 Verbotene KI-Praktiken (gilt seit Februar 2025):

• Social Scoring durch Behörden
• Biometrische Echtzeit-Massenüberwachung im öffentlichen Raum
• Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen
• Manipulation durch unterschwellige Techniken

🟠 Hochrisiko-KI (gilt ab August 2026):

• KI in Bewerbungsverfahren und Personalauswahl
• KI für Kreditwürdigkeitsprüfungen
• KI in Bildung und Berufsausbildung
• KI in kritischer Infrastruktur

🟡 KI mit begrenztem Risiko:

• Chatbots müssen als KI gekennzeichnet werden
• KI-generierte Inhalte müssen transparent gemacht werden

🟢 KI mit minimalem Risiko:

• Spam-Filter, Empfehlungssysteme, Textkorrektur
• Die meisten Büro-Anwendungen (ChatGPT für Texte, Copilot für E-Mails)
• Keine besonderen Auflagen — nur die allgemeine Kompetenzpflicht nach Artikel 4

Der EU AI Act wird schrittweise eingeführt. Die wichtigsten Fristen:

• 1. August 2024: AI Act tritt in Kraft
• 2. Februar 2025: Verbotene KI-Praktiken gelten. KI-Kompetenzpflicht (Art. 4) gilt.
• 2. August 2025: Regeln für General-Purpose AI Modelle (GPT, Gemini, Claude). Nationale Aufsichtsbehörden müssen benannt sein. Zivilrechtliche Haftung beginnt.
• 2. August 2026: Vollständige Durchsetzung. Aufsichtsbehörden können prüfen und Bußgelder verhängen.
• 2. August 2027: Alle Übergangsfristen für Hochrisiko-KI laufen aus.

Bußgeldhöhen bei Verstößen:

• Verbotene Praktiken: bis zu 35 Mio. € oder 7% des weltweiten Jahresumsatzes
• Verstöße gegen Hochrisiko-Anforderungen: bis zu 15 Mio. € oder 3% des Umsatzes
• Falsche Angaben gegenüber Behörden: bis zu 7,5 Mio. € oder 1,5% des Umsatzes
• Für KMU und Startups gelten reduzierte Sätze

Unabhängig von Bußgeldern besteht seit August 2025 eine zivilrechtliche Haftung. Wenn ein Schaden durch ungeschulte KI-Nutzung entsteht — beispielsweise ein DSGVO-Verstoß weil ein Mitarbeiter Kundendaten in ChatGPT Free eingegeben hat — haftet das Unternehmen.