Der EU AI Act (Verordnung (EU) 2024/1689) ist das weltweit erste umfassende Gesetz zur Regulierung von Künstlicher Intelligenz. Er wurde im August 2024 in Kraft gesetzt und legt verbindliche Anforderungen für die Entwicklung, Markteinführung und den Betrieb von KI-Systemen in der Europäischen Union fest. Das Gesetz verfolgt einen risikobasierten Ansatz: Je höher das Risikopotenzial eines KI-Systems, desto strenger die Anforderungen – von völligen Verboten für bestimmte Systeme bis hin zu freiwilligen Verhaltenskodizes für KI mit minimalem Risiko.
Der EU AI Act gilt für alle Unternehmen, die KI-Systeme in der EU einsetzen, anbieten oder deren Outputs in der EU genutzt werden – unabhängig davon, wo das Unternehmen seinen Sitz hat. Für Automatisierungsdienstleister und ihre Kunden ist besonders relevant: Viele Prozessautomatisierungen enthalten KI-Komponenten, die unter den Act fallen können – vom Dokumentenverarbeitungsmodell bis zur automatisierten Kreditentscheidung.
Zeitplan: Wann wird was Pflicht?
Aug 2024 Inkrafttreten: Der EU AI Act tritt offiziell in Kraft. 24-monatige Übergangsphase beginnt.
Feb 2025 Verbotene Systeme: Verbot inakzeptabler KI-Systeme (Social Scoring, manipulative KI, biometrische Echtzeitüberwachung) gilt ab sofort.
Aug 2025 Allgemeine KI-Modelle: Anforderungen für Allzweck-KI-Modelle (GPT-ähnliche Systeme) gelten – Transparenzpflichten, Urheberrecht, technische Dokumentation.
Aug 2026 Hochrisiko-Systeme: Alle Pflichten für Hochrisiko-KI-Systeme gelten vollständig – Konformitätsbewertung, Dokumentation, Audit, menschliche Aufsicht.
Aug 2027 Bestehende Systeme: Auch KI-Systeme, die vor dem Act in Betrieb genommen wurden, müssen bis dahin konform sein.
Was Unternehmen jetzt tun sollten
- KI-Inventar erstellen: Alle eingesetzten KI-Systeme – selbst entwickelt, eingekauft oder als API genutzt – vollständig erfassen
- Risikoklassifizierung: Jedes System nach den EU-AI-Act-Kategorien (inakzeptabel, hoch, begrenzt, minimal) einstufen
- Hochrisiko-Systeme priorisieren: Für Hochrisiko-Systeme Compliance-Maßnahmen bis August 2026 umsetzen – Dokumentation, XAI, Fairness-Monitoring, menschliche Aufsicht
- Verträge prüfen: Verträge mit KI-Dienstleistern auf Compliance-Verantwortlichkeiten prüfen – wer ist Anbieter, wer Deployer?
- Governance aufbauen: KI-Governance-Framework etablieren, Rollen (KI-Risiko-Owner) definieren, Prozesse für laufendes Compliance-Monitoring einrichten
Der EU AI Act unterscheidet zwischen Anbietern (die KI-Systeme entwickeln und auf den Markt bringen) und Deployern (die KI-Systeme in eigenen Prozessen einsetzen). Beide tragen Verantwortung – auch wer ein fertiges KI-System eines Drittanbieters nutzt, ist als Deployer für den konformen Einsatz verantwortlich. „Das hat mein Anbieter gebaut“ ist keine Entlastung.
Praxisbeispiel
Ein mittelständischer Finanzdienstleister analysiert seinen EU-AI-Act-Handlungsbedarf. KI-Inventar: 11 KI-Systeme identifiziert. Davon Hochrisiko (Handlungsbedarf bis Aug 2026): Kreditscoring-Modell, Betrugserkennung, automatisierte Bonitätsbewertung (alle betreffen individuelle Kreditentscheidungen). Begrenztes Risiko (nur Transparenzpflichten): KI-Chatbot für Kundenservice. Minimales Risiko (kein Handlungsbedarf): Spam-Filter, Nachfrageprognose, Workflow-Routing. Maßnahmenplan Hochrisiko-Systeme: XAI-Implementierung (SHAP), technische Dokumentation, vierteljährliche Fairness-Audits, DPIA, menschliche Übersteuerung als Prozessschritt definiert. Gesamtaufwand initial geschätzt: 6 Monate, 2 Mitarbeiter. Risiko ohne Compliance: Bußgelder bis 6 Prozent des Jahresumsatzes.
