Viele Unternehmen setzen KI längst selbstverständlich ein – doch was, wenn genau diese Nutzung schon bald rechtlich problematisch wird? Der EU AI Act macht aus einem Innovationsthema plötzlich eine Compliance-Frage mit echter Tragweite für HR, IT und Management. Welche Anwendungen sind noch unkritisch, und wo beginnt bereits das Haftungs- und Reputationsrisiko? 

 

KI EU AI Act: Warum die Verordnung für Unternehmen jetzt relevant ist

Mit dem Europäischen AI Act (EU-Verordnung 2024/1689) etabliert die EU erstmals ein umfassendes, risikobasiertes Regelwerk für Künstliche Intelligenz. Ziel ist, Innovation zu ermöglichen und zugleich Risiken für Sicherheit, Gesundheit und Grundrechte zu begrenzen. Für Unternehmen in D-A-CH ist das keine abstrakte Regulierung: Sobald KI-Systeme entwickelt, eingekauft, integriert oder im Arbeitsalltag genutzt werden, entstehen konkrete Pflichten – abhängig davon, ob Ihr Unternehmen Anbieter (Provider), Betreiber/Anwender (Deployer) oder Importeur/Distributor ist und wie der KI-Use-Case eingestuft wird. Einen kompakten Überblick zur EU-Position und zum Regulierungsrahmen stellt die EU-Kommission bereit.

Die Praxis zeigt: KI wird heute in nahezu allen Unternehmensbereichen eingesetzt – von HR-Tools (Screening, Talent Analytics) über Kundenservice-Chatbots, Marketing-Automation und Betrugserkennung bis zu Security-Analytik. Genau diese Breite macht den AI-Act relevant, weil er nicht nur „High-End-KI“ adressiert, sondern auch alltägliche Systeme, sofern sie in den Geltungsbereich fallen. Entscheidend ist daher, KI-Compliance nicht als einmalige Rechtsprüfung zu behandeln, sondern als Management- und Governance-Thema, ähnlich wie Datenschutz oder Informationssicherheit.

Ein zusätzlicher Treiber ist die zeitliche Staffelung: Der AI-Act gilt nicht „auf einen Schlag“, sondern tritt in Phasen in Kraft. Die EU-Kommission fasst zentrale Meilensteine zusammen, u. a., dass Verbote (Artikel 5) seit Februar 2025 anwendbar sind und weitere Pflichten stufenweise folgen. Für Organisationen bedeutet das: Wer KI produktiv nutzt, muss jetzt belastbar wissen, welche Use-Cases zulässig sind, welche Transparenzpflichten greifen und welche Governance aufgebaut werden muss.

Risikobasierter Ansatz: Von Verboten bis High-Risk-Compliance

Der AI-Act setzt nicht auf „one size fits all“, sondern auf eine Risikologik. Vereinfacht lassen sich KI-Anwendungen in vier Gruppen denken: verbotene Praktiken, hochrisikobehaftete Systeme, KI mit Transparenzpflichten sowie geringes Risiko (mit vor allem freiwilligen Maßnahmen/Best Practices). Das ist für Unternehmen hilfreich, weil daraus ein klarer Umsetzungsmodus entsteht: Zuerst verbotene Use-Cases ausschließen, dann High-Risk identifizieren und absichern, dann Transparenzpflichten operationalisieren.

Wie Unternehmen KI-Use-Cases sauber klassifizieren

In der Praxis scheitert Compliance häufig nicht an fehlendem Willen, sondern am Scope: „Ist das überhaupt ein KI-System im Sinne des Gesetzes?“ Genau dafür hat die EU-Kommission Anfang 2025 Leitlinien zur Definition eines KI-Systems veröffentlicht. Das ist relevant, weil viele Produkte „KI“ vermarkten, während andere KI-Komponenten in Software „versteckt“ sind (z. B. Empfehlungssysteme, Ranking, Klassifikation).

Eine robuste Klassifikation in Unternehmen startet typischerweise mit einem KI-Inventar:

  • Welche Tools/Modelle werden intern entwickelt, feinjustiert oder betrieben?
  • Welche KI-Funktionen kommen über SaaS/Plattformen hinein (z. B. Copilots, CRM-Automation, Helpdesk-Bots)?
  • Welche KI-gestützten Entscheidungen betreffen Menschen (z. B. HR, Kredit, Versicherung, Zugangskontrolle)?
  • Welche Daten fließen in Training/Prompting/Monitoring (inkl. personenbezogener Daten)?

Für diese Inventarisierung kann die EU inzwischen auch praktische Hilfsmittel bereitstellen: Der AI Act Service Desk bietet u. a. einen „AI Act Explorer“ sowie einen „Compliance Checker“, die Unternehmen beim Navigieren durch Kapitel/Anforderungen unterstützen.

Welche Pflichten sich je Risikostufe ableiten

1) Verbotene Praktiken (Artikel 5): Diese sind nicht „mit Auflagen“ zulässig, sondern grundsätzlich untersagt. Um die Anwendung zu vereinheitlichen, hat die EU-Kommission Leitlinien zu verbotenen KI-Praktiken veröffentlicht. Auch deutsche Behörden verweisen auf diese Leitlinien und betonen die notwendige Einzelfallprüfung.

2) High-Risk-KI: Für bestimmte Anwendungsfälle (und teils als Sicherheitskomponente regulierter Produkte) gelten umfangreiche Anforderungen – u. a. Risikomanagement, Daten-Governance, technische Dokumentation, Logging, Transparenz, Human Oversight, Genauigkeit/Robustheit/Cybersecurity. Der AI-Act enthält dazu Klassifikationslogik.

3) Transparenzpflichten: Auch außerhalb von High-Risk kann Transparenz greifen (z. B. wenn Menschen mit KI interagieren oder Inhalte synthetisch erzeugt werden). Unternehmen sollten deshalb standardisieren, wann sie Kennzeichnung, Hinweise oder Nutzungsinformationen ausspielen müssen. Die EU-Service-Desk-Timeline nennt Transparenzregeln als Teil der ab August 2026 breit anwendbaren Pflichten.

4) Geringes Risiko: Viele interne Assistenzsysteme werden in diese Kategorie fallen – trotzdem bleibt Compliance nicht optional, denn andere Rechtsbereiche (DSGVO, Urheberrecht, IT-Sicherheitsrecht, Arbeitsrecht) wirken parallel. Zusätzlich steigt das Risiko, wenn Systeme später in sensiblere Kontexte „hineinwachsen“.


Aktuelle Entwicklungen 2024–2026: Was Leitlinien, Debatten und Tools verändern

Zwischen 2024 und 2026 hat sich rund um den AI-Act ein Muster herausgebildet: Regeln sind beschlossen, aber die Umsetzungsrealität hängt stark von Leitlinien, Codes of Practice und Behördenpraxis ab. Genau deshalb sind die von Ihnen ausgewählten fünf Entwicklungen für Unternehmen so wichtig.

1) Leitlinien zu verbotenen Praktiken (04.02.2025):
Die Kommission hat Leitlinien veröffentlicht, um Auslegung und Beispiele zu verbotenen KI-Praktiken zu konkretisieren. Für Unternehmen ist das besonders relevant, weil „verboten“ in der Praxis nicht nur ein Produktfeature betrifft, sondern auch Einsatzkontext und Zweck (z. B. Profiling, Manipulation, bestimmte Formen biometrischer Identifikation je nach Ausgestaltung). Der Hebel liegt hier im Use-Case-Review vor Rollout.

2) Leitlinien zur Definition „KI-System“ (06.02.2025):
Diese Leitlinien adressieren die Kernfrage, ob ein System überhaupt unter den AI-Act fällt – und reduzieren damit Rechtsunsicherheit bei hybriden Softwareprodukten, Statistik/Analytics, regelbasierten Systemen und modernen ML-Ansätzen. In der Umsetzung heißt das: Das KI-Inventar sollte nicht nur „Tools“ listen, sondern Funktionen (Ranking, Scoring, Klassifikation, Generierung), um später sauber zu klassifizieren.

3) Debatte um „Pause“/„Stop the clock“ (Reuters, 25.06.2025):
Industrieverbände und einzelne politische Akteure forderten, die Umsetzung zu verzögern. Reuters berichtet etwa über den Vorstoß eines Tech-Lobbyverbandes, der auf fehlende Umsetzungselemente und Unsicherheit verwies. Die praktische Lehre für Unternehmen: Aufschub ist kein Plan. Selbst wenn einzelne Dokumente verspätet kommen, bleiben Verbote und anlaufende Pflichten ein Governance-Risiko – insbesondere für international tätige Organisationen, die ohnehin Standardisierung brauchen.

4) AI Act Service Desk & Compliance-Tools (laufend):
Die EU baut eine Compliance-Infrastruktur auf: Explorer, Compliance Checker, FAQ und ein Service Desk für Anfragen an das AI Office. Für Unternehmen sind diese Tools weniger „nice to have“ als vielmehr ein Mittel, interne Policy-Interpretation abzusichern und Nachweisfähigkeit zu erhöhen („Warum haben wir so klassifiziert?“).

5) EDPB/EDPS Joint Opinion zum „Digital Omnibus“ (10.02.2026):
Auch wenn dieses Dokument nicht „nur“ KI adressiert, zeigt es, wie stark sich der Regulierungsrahmen im Digitalbereich weiterentwickelt und wie eng Themen wie Datenschutz, Data Governance und digitale Compliance verzahnt sind. Für Unternehmen ist das ein Signal: KI-Compliance sollte anschlussfähig an bestehende Systeme sein (DSGVO, ISMS, Supplier-Management) – sonst entstehen Parallelstrukturen, die auditseitig schwer zu beherrschen sind.

Zusammengefasst: Die letzten Monate haben weniger neue „Paragraphen“ gebracht, aber mehr Praxisinstrumente und Interpretationshilfen. Wer diese nutzt, kann Compliance von Beginn an nachvollziehbar aufsetzen – und reduziert spätere Rework-Kosten.


AI Act Unternehmen Pflichten: Governance, Prozesse, Nachweise

Wenn der AI-Act in Unternehmen scheitert, dann meist an drei Lücken: fehlender Überblick (Inventar), fehlende Entscheidungsgremien (Governance) und fehlende Nachweise (Dokumentation/Training). Daraus lässt sich ein praxistaugliches Pflichtenpaket ableiten, das für IT-Leitung, Compliance und HR anschlussfähig ist.

1) KI-Governance etablieren (Rollen, Verantwortlichkeiten, Eskalation):

  • KI-Verantwortliche benennen (z. B. AI Compliance Owner / AI Risk Officer) und Schnittstellen zu Datenschutz, Informationssicherheit, HR und Einkauf definieren.
  • Use-Case-Freigabeprozess aufsetzen: „No-Go“-Screening (verbotene Praktiken), Risiko-Klassifikation, Datenschutz-/Security-Check, Vertrag/Supplier-Check.
  • Policy-Set erstellen: erlaubte Tools, Datenkategorien, Logging/Monitoring, Prompting-Regeln, Human Oversight.

2) Lieferanten- und Vertragsmanagement („AI in der Supply Chain“):
Viele Organisationen beziehen KI als SaaS. Damit verlagert sich ein Teil der Pflichten auf Provider – aber Unternehmen bleiben verantwortlich für Auswahl, Zweck, Datenflüsse und Governance. Praktisch bedeutet das:

  • AI-Addenda in Verträgen (Transparenz, Support, Audit-Infos, Security, Update-Policy, Incident Handling)
  • Klare Regelung zu Trainingsdaten, Prompts, Output-Nutzung und IP/Urheberrecht
  • Nachweise zur Klassifikation und ggf. zu Konformitätsmaßnahmen

Für einen strukturierten Einstieg in rechtliche und vertragliche Leitplanken lässt sich intern ergänzend aufbauen, was Trainings vermitteln: z. B. über „KI & Rechtliche Grundlagen“, sowie „KI & Verträge“ – jeweils als Baustein, um Legal/Compliance-Standards konsistent im Unternehmen auszurollen.

3) Security-by-Design für KI (auch jenseits des AI-Act):
KI-Systeme erhöhen die Angriffsfläche: Prompt Injection, Datenexfiltration, Modellmissbrauch, Manipulation von Trainings-/Feedbackdaten. Der AI-Act verankert Robustheit und Cybersecurity als relevante Qualitätsdimensionen insbesondere bei anspruchsvolleren Kategorien; parallel wirken klassische Security-Frameworks (z. B. ISMS). Für Security-Teams kann ein fokussierter Lernpfad sinnvoll sein, etwa über Vertiefungen zu „KI & Cyber Security“, um Bedrohungsmodelle und Kontrollen in die bestehenden Security-Prozesse zu integrieren.

4) Awareness und Nachweisfähigkeit:
Neben Technik und Recht ist der Faktor Mensch entscheidend: Mitarbeitende nutzen KI-Tools im Alltag, oft ohne klare Leitplanken. Genau hier entsteht ein Compliance-Risiko (z. B. falsche Toolwahl, unzulässige Daten, intransparente Nutzung). Ein skalierbarer Ansatz ist ein kurzes, unternehmensweit ausrollbares Awareness-Format, das den AI-Act einordnet und Handlungsregeln vermittelt.

Inhaltlich lässt sich das als Micro-Learning abbilden: „KI & der europäische AI-Act“ ist als 10-minütiges Basis-Training für alle Mitarbeitenden beschrieben, mit Fokus auf Einordnung der Verordnung, risikobasierter Logik und kompaktem Überblick. Zusätzlich werden Rollout-Features wie Interaktivität/Quiz, Teilnahmezertifikat (für Nachweise), sowie LMS-Integration (SCORM 1.2 | xAPI | HTML5) bzw. alternative Bereitstellung über eine Academy hervorgehoben.

Umsetzungsfahrplan: In 90 Tagen zu auditfähiger KI-Compliance

Ein realistischer Implementierungsansatz ist, AI-Act-Compliance in Wellen aufzubauen: sofortige „Stop“-Kontrollen für Verbote, parallel Governance und Inventar, danach Prozesshärtung und Nachweise. Ein 90-Tage-Plan ist in vielen Organisationen praktikabel, weil er schnell messbare Ergebnisse liefert und gleichzeitig Raum für Reifegradentwicklung lässt.

Phase 1 (Tag 1–30): Klarheit schaffen und Risiken stoppen

  1. KI-Inventar starten (Top-20 Tools/Use-Cases, inkl. Shadow AI)
  2. No-Go-Screening gegen verbotene Praktiken + dokumentierte Entscheidung
  3. Definition/Scope anhand der Kommissions-Leitlinien „KI-System“ operationalisieren
  4. Interims-Regeln: erlaubte Tools, Datenkategorien, Prompting-Grundsätze, Freigabeprozess „light“

Phase 2 (Tag 31–60): Governance und Prozesse verstetigen

  • KI-Governance-Board (IT, Compliance, Datenschutz, HR, Einkauf, Security)
  • Risikoklassifikation als Standardprozess (inkl. Kriterienkatalog, Dokumentation, Owner)
  • Supplier/Contract Checks (AI-Addenda, Security, Datenflüsse, Support, Update/Change)
  • Technische Mindestkontrollen (Logging, Zugriffskontrolle, Datenminimierung, Monitoring)

Phase 3 (Tag 61–90): Nachweise, Training, Skalierung

  • Nachweisstruktur definieren: Inventar, Entscheidungen, Risikoanalysen, Kontrollen, Trainingsnachweise
  • Awareness-Rollout an breite Belegschaft, ergänzt um Rollen-Trainings (Legal/IT/Security)
  • Tooling nutzen: EU AI Act Explorer/Compliance Checker für Dokumentationskonsistenz
  • Roadmap auf die nächsten Meilensteine ausrichten (z. B. weitere Pflichten, Transparenzregeln, High-Risk-Anforderungen ab breiter Anwendung)

Wichtig ist dabei die strategische Einordnung: Die öffentliche Debatte um eine Verzögerung hat gezeigt, dass Unsicherheit nicht bedeutet, dass Risiken verschwinden. Reuters berichtete 2025 sowohl über Forderungen nach einem „Pause“-Ansatz als auch über die politische Diskussion um die praktische Umsetzbarkeit. Für Unternehmen ist der robusteste Weg daher, Compliance-fähige Grundstrukturen aufzubauen, die sich mit Leitlinien und Behördenpraxis weiter verfeinern lassen.


Fazit

KI-Compliance als Managementsystem statt Einzelprojekt

Der KI EU AI Act zwingt Unternehmen nicht dazu, KI zu vermeiden – aber er zwingt sie, KI systematisch zu steuern. Wer früh ein KI-Inventar, klare Governance, risikobasierte Klassifikation, Supplier-Kontrollen und nachweisfähige Awareness etabliert, reduziert Rechts- und Reputationsrisiken und schafft gleichzeitig eine stabile Basis für skalierbare KI-Nutzung. Die aktuellen Leitlinien der EU-Kommission (Definition „KI-System“, verbotene Praktiken) und die entstehenden Compliance-Tools zeigen, dass sich die Praxis konkretisiert – und dass Unternehmen am meisten profitieren, wenn sie KI-Compliance an bestehende Strukturen wie Datenschutz und Informationssicherheit ankoppeln.


Hinweis: Dieser Blog wurde in der Recherche mit KI unterstützt.