EU-AI-Act-Readiness-Check
Welche Pflichten gelten für Ihre KI?
20 Fragen, 5 Kategorien, 3 Minuten. Finden Sie heraus, ob Sie Anbieter oder Betreiber sind, welche Risikoklasse greift und was ab August 2026 zu tun ist.
Welche AI-Act-Pflichten treffen Sie wirklich?
Der EU AI Act (Verordnung (EU) 2024/1689) ist das weltweit erste umfassende KI-Gesetz. Er trat am 1. August 2024 in Kraft und wird gestaffelt anwendbar. Entscheidend für Ihre Pflichten sind zwei Fragen: In welcher Rolle sind Sie – und in welche Risikoklasse fällt Ihr KI-System? Genau das ordnet der Check oben ein.
Ihre Rolle bestimmt Ihre Pflichten
Die meisten Unternehmen unterschätzen diesen Punkt. Der AI Act unterscheidet vor allem:
- Anbieter (Provider) – Sie entwickeln ein KI-System oder lassen es entwickeln und bringen es unter Ihrem Namen auf den Markt. Hier liegt die Hauptlast der Pflichten.
- Betreiber (Deployer) – Sie setzen ein KI-System unter eigener Verantwortung ein. Deutlich weniger Pflichten, aber keineswegs keine.
- Einführer und Händler – Sie bringen KI aus einem Drittland in die EU oder vertreiben sie.
Achtung, Rollenwechsel: Wer ein zugekauftes KI-System wesentlich verändert, es unter eigenem Namen anbietet oder seine Zweckbestimmung ändert, kann vom Betreiber zum Anbieter werden – mit allen Pflichten. Das passiert schneller als gedacht, etwa beim Feintuning eines Modells für ein eigenes Produkt.
Die vier Risikoklassen
| Klasse | Beispiele | Folge |
|---|---|---|
| Unannehmbar | Social Scoring, manipulative Systeme, Emotionserkennung am Arbeitsplatz | verboten |
| Hochrisiko | KI in Personalauswahl, Kreditwürdigkeit, kritischer Infrastruktur, Bildung; KI als Sicherheitsbauteil in Produkten | umfangreiche Pflichten |
| Begrenztes Risiko | Chatbots, KI-generierte Inhalte, Deepfakes | Transparenzpflichten |
| Minimales Risiko | Spamfilter, KI in Standardsoftware | keine besonderen Pflichten |
Für Hochrisiko-Systeme verlangt der AI Act unter anderem ein Risikomanagementsystem, Daten-Governance, technische Dokumentation, Protokollierung, menschliche Aufsicht, Genauigkeit und Cybersicherheit – plus Konformitätsbewertung und Registrierung.
Der Zeitplan
- Seit 2. Februar 2025 – Verbotene Praktiken gelten; zusätzlich die Pflicht zur KI-Kompetenz (AI Literacy) für alle, die KI einsetzen.
- Seit 2. August 2025 – Pflichten für KI-Modelle mit allgemeinem Verwendungszweck (GPAI), Governance-Strukturen und Sanktionsregime.
- Ab 2. August 2026 – Der Großteil, insbesondere Hochrisiko-Systeme nach Anhang III und die Transparenzpflichten.
- Ab 2. August 2027 – Hochrisiko-KI als Sicherheitsbauteil regulierter Produkte.
Die AI-Literacy-Pflicht gilt bereits jetzt und wird häufig übersehen: Sie müssen sicherstellen, dass Ihr Personal über ausreichende KI-Kompetenz verfügt – unabhängig von der Risikoklasse.
Wie Sie Ihr Check-Ergebnis lesen
- Verbotene Praxis – Sofortiger Handlungsbedarf; der Einsatz ist zu beenden.
- Hochrisiko – Planen Sie ernsthaft. Bis 2026 ist ein vollständiges Managementsystem inklusive Konformitätsbewertung aufzubauen.
- Transparenzpflichten – Überschaubar: Kennzeichnen Sie KI-Interaktion und KI-generierte Inhalte.
- Minimales Risiko – Kaum Pflichten, aber die AI-Literacy-Pflicht gilt trotzdem.
Der Check ist eine Ersteinordnung und ersetzt keine Rechtsberatung. Die Einstufung im Einzelfall hängt von der konkreten Zweckbestimmung ab.
Der pragmatische Weg
Der AI Act verlangt kein zertifiziertes Managementsystem – aber genau so lässt er sich am saubersten erfüllen. Die ISO 42001 ist die passende Norm für ein KI-Managementsystem und deckt viele Anforderungen strukturiert ab. Wer bereits ISO 27001 betreibt, kann darauf aufsetzen: Risikomanagement, Dokumentenlenkung und Schulungen sind bereits vorhanden.
Häufige Fragen zum EU AI Act
Gilt der AI Act auch für uns, wenn wir KI nur einkaufen?
Ja, dann sind Sie Betreiber. Ihre Pflichten sind geringer als die des Anbieters, umfassen aber je nach Risikoklasse etwa menschliche Aufsicht, bestimmungsgemäße Verwendung, Transparenz gegenüber Betroffenen – und in jedem Fall die KI-Kompetenz Ihres Personals.
Was bedeutet die AI-Literacy-Pflicht konkret?
Sie müssen dafür sorgen, dass Personen, die in Ihrem Auftrag KI betreiben oder nutzen, über ausreichende KI-Kompetenz verfügen – angemessen zu ihrer Rolle, Vorbildung und zum Einsatzkontext. In der Praxis heißt das: Schulungen durchführen und dokumentieren.
Ist ChatGPT im Unternehmen ein Hochrisiko-System?
In der Regel nicht. Ein allgemeiner Assistent für Textarbeit fällt meist unter minimales oder begrenztes Risiko. Entscheidend ist der Verwendungszweck: Setzen Sie dasselbe Werkzeug zur Vorauswahl von Bewerbern ein, kann daraus ein Hochrisiko-Anwendungsfall werden.
Wie hoch sind die Bußgelder?
Gestaffelt nach Verstoß: bis zu 35 Mio. € oder 7 % des weltweiten Jahresumsatzes bei verbotenen Praktiken, bis zu 15 Mio. € oder 3 % bei den meisten anderen Pflichtverstößen und bis zu 7,5 Mio. € oder 1 % bei falschen Angaben gegenüber Behörden.
Brauchen wir ein KI-Register?
Vorgeschrieben ist eine EU-Datenbank-Registrierung für Hochrisiko-Systeme. Unabhängig davon ist ein internes Inventar aller eingesetzten KI-Systeme praktisch unverzichtbar – ohne Überblick können Sie weder Risikoklassen bestimmen noch Pflichten erfüllen.
Was ist der Unterschied zur ISO 42001?
Der AI Act ist verbindliches Recht mit Bußgeldern. Die ISO 42001 ist eine freiwillige, zertifizierbare Norm für ein KI-Managementsystem. Sie erfüllt den AI Act nicht automatisch, ist aber ein sehr guter Rahmen, um seine Anforderungen nachweisbar umzusetzen.