Der bereits verstrichene Frist für das KI-Gesetz und was man dagegen tun kann
Der Hauptkompetenzzeitpunkt für die EU-KI-Gesetzgebung war der 2. August 2026. Ein praktischer Leitfaden, der die Verpflichtungen aufzeigt, die ein mittelgroßes Unternehmen erfüllen muss, und welche nicht.
Der EU KI-Gesetz: Ein Überblick über die Einhaltungspflichten
Das EU KI-Gesetz (KI-Act) trat im August 2024 in Kraft, mit einem gestaffelten Zeitplan, und seine umfassendste Einhaltestermin – der 2. August 2026 – ist letzten Monat verstrichen. Wenn niemand in Ihrem Unternehmen darauf hingewiesen hat, sind Sie nicht ungewöhnlich. Sie sind auch nicht notwendigerweise gefährdet. Der größte Teil der Regulierung gilt für die meisten Unternehmen nicht, und der schnellste Weg, dies unter Kontrolle zu bekommen, besteht darin, herauszufinden, welcher kleine Teil für Sie relevant ist.
Anbieter oder Betreiber
Das Gesetz teilt die Aufgaben zwischen der Organisation auf, die eine KI entwickelt und auf den Markt bringt (der Anbieter) und der Organisation, die eine KI unter ihrer eigenen Autorität nutzt (der Betreiber). Fast alle Pflichten, vor denen Menschen Angst haben – Konformitätsbewertung, technische Dokumentation, CE-Kennzeichnung, Qualitätsmanagementsysteme – liegen beim Anbieter. Wenn Sie Ihre KI bei Lieferanten kaufen, sind Sie ein Betreiber und Ihre Pflichten sind weniger umfangreich und größtenteils organisatorischer Natur.
Zwei Dinge binden Sie unabhängig davon: Die Verbote unakzeptabler Risikopraktiken gelten seit Februar 2025. Artikel 4, der vorschreibt, dass Sie sicherstellen müssen, dass unter den Mitarbeitern, die KI im Namen Ihres Unternehmens betreiben, ein ausreichendes Maß an KI-Kompetenz herrscht, gilt ebenfalls seit diesem Zeitpunkt. Er hat keine Schwelle und keine Ausnahmeregelung für kleine Unternehmen. Schulungsunterlagen sind der Beweis.
Die Termine in der Reihenfolge
Im Februar 2025 wurden die Verbote und die Pflicht zur KI-Kompetenz eingeführt. Im August 2025 traten Verpflichtungen für allgemeine KI-Modellanbieter in Kraft und das Sanktionsregime wurde aktiviert. Im August 2026 traten die Regeln für hochrisikoreiche Anwendungsfälle nach Anhang III und die Transparenzvorschriften gemäß Artikel 50 in Kraft. Im August 2027 gelten KI-Systeme, die als Sicherheitsbaustein in bereits regulierten Produkten eingebettet sind, sowie ältere allgemeine KI-Modelle.
Eine Einschränkung: Die Kommission hat vorgeschlagen, einige Fristen für hochrisikoreiche Anwendungsfälle zu verschieben, abhängig von der Fertigstellung harmonisierter Standards. Beobachten Sie dies, planen Sie aber nicht darauf. Verbote, die Pflicht zur KI-Kompetenz und Transparenzvorschriften sind nicht Teil dieser Diskussion und sind wahrscheinlich diejenigen, mit denen ein mittelgroßes Unternehmen heute am häufigsten gegen verstößt.
Erstellen Sie eine Liste, keine Politik
Der erste Schritt ist die Erstellung eines Inventars, nicht das Entwickeln eines Rahmens. Listen Sie alle KI-Systeme auf, die in Gebrauch sind, einschließlich derjenigen, die Sie nicht absichtlich gekauft haben: Die Bewertung von Lebenslauf innerhalb Ihres Bewerberverfolgungssystems, die Punktzahl in Ihren Kredit- oder Betrugsbewertungswerkzeugen, das Assistentenwerkzeug, das Ihre Finanzabteilung im letzten Quartal aktiviert hat, der Chatbot auf Ihrer Website. Schatten-KI in gekauften SaaS-Lösungen ist der Ort, an dem sich das tatsächliche Klassifizierungsrisiko verbirgt. Weisen Sie jeder Einträge einen Geschäftsbereichsverantwortlichen zu, nicht einem IT-Mitarbeiter.
Ordnen Sie dann jedes System ein. Verbote unakzeptabler Praktiken sind selten, aber nicht exotisch – die emotionale Inferenz am Arbeitsplatz ist ausdrücklich verboten, und mehrere HR- und Wohlbefindenswerkzeuge verkaufen genau das. Hochrisikoreiche Anwendungsfälle nach Anhang III umfassen Rekrutierung und Arbeitnehmerverwaltung, Kreditwürdigkeitsprüfung für Einzelpersonen, Bildung und Zugang zu grundlegenden Dienstleistungen. Transparenzvorschriften gelten für Chatbots, synthetische Medien und KI-generierten Text, der zur Information der Öffentlichkeit veröffentlicht wird. Alles andere ist minimal riskig und unterliegt keinen Verpflichtungen. In einem typischen mittelgroßen Unternehmen macht dies den Großteil der Liste aus.
Wenn etwas in die Hochrisikokategorie fällt
Als Betreiber müssen Sie:
- Das System gemäß den Anweisungen des Anbieters verwenden und diese aufbewahren.
- Menschliche Aufsicht durch Personen mit Kompetenz, Schulung und Autorität zur Überprüfung des Systems einsetzen.
- Stellen Sie sicher, dass die Eingabedaten für den beabsichtigten Zweck relevant und repräsentativ sind.
- Automatisch generierte Protokolle für mindestens sechs Monate aufbewahren.
- Arbeitnehmer und ihre Vertreter vor der Inbetriebnahme des Systems informieren.
- Betroffene Personen über Entscheidungen, die durch das System getroffen werden, unterrichten und bei Anfrage erklären.
Das ist eine Managementaufgabe, kein Ingenieurprogramm.
Die Linie, die Sie ohne zu bemerken überschreiten können
Artikel 25 macht einen Betreiber zu einem Anbieter – mit der vollen Einhaltungsbelastung – wenn Sie Ihr eigenes Name oder Markenzeichen auf ein System setzen, es erheblich modifizieren oder eine allgemeine KI-Lösung für eine hochrisikoreiche Anwendung umfunktionieren. Feinabstimmung eines Modells auf Ihre Einstellungen zur Kandidatenauswahl und Weiternutzung als Bewerberprüfung bringt Sie über diese Linie. Überprüfen Sie jede interne Entwicklung gegen diese Kriterien, bevor sie versandt wird, und lassen Sie Beschaffung die Erklärung der Konformität, die Anweisungen zur Verwendung und die Protokollierungsfähigkeit einfordern, die Sie gemäß den Anforderungen aufbewahren müssen.
Die Wette und der nächste Schritt
Verbote unakzeptabler Praktiken ziehen Geldstrafen von bis zu 35 Millionen Euro oder 7 % des globalen Umsatzes nach sich; die meisten anderen Verstöße ziehen bis zu 15 Millionen Euro oder 3 %, für KMU wird zwischen diesen beiden Beträgen der niedrigere gewählt. Das realistische Risiko für ein mittelgroßes Unternehmen ist nicht eine Schlagzeilenstrafe, sondern eine Durchsetzungsfrage, mit der Sie sich einem Regulierer, Prüfer oder Kunden stellen müssen.
Geben Sie diesem einen Vierteljahr Zeit. Erstellen Sie ein Inventar, klassifizieren Sie, schließen Sie Transparenzlücken, protokollieren Sie Ihre Schulungen. Wo die Klassifizierung wirklich unklar ist, ist das Gewicht, das Sie jemandem geben sollten, der dies häufiger macht – dem Teil, den wir übernehmen, wenn Kunden danach fragen.