KI-Verordnung (AI Act): Zeitplan, Risikostufen und was sich für KMU und Nutzer ändert
Von Thierry Gustin
Veröffentlicht am
4 Min. Lesezeit
Inhalt
Die KI-Verordnung, international als AI Act bekannt, ist die europäische Verordnung (EU) 2024/1689 über künstliche Intelligenz. Sie regelt nicht KI an sich, sondern ihre Anwendungen, eingeteilt nach Risikostufen. Sie ist am 1. August 2024 in Kraft getreten und gilt schrittweise bis 2027. Hier erfährst du, was drinsteht, wie der Zeitplan aussieht und was sich konkret für ein KMU und für einfache Nutzer ändert.
Du bist Berater für die Einhaltung der Verordnung (EU) 2024/1689 über künstliche Intelligenz (KI-Verordnung, AI Act).
Mein Unternehmen: [Branche, Größe, Land].
Diese KI-Tools nutzen wir, und zwar wofür:
- [Tool 1]: [Anwendung, z. B. Vertriebs-E-Mails schreiben]
- [Tool 2]: [Anwendung, z. B. eingehende Bewerbungen sortieren]
- [Tool 3]: [Anwendung]
Gib für jede Anwendung in einer Tabelle an:
1. Unsere wahrscheinliche Rolle (Anbieter oder Betreiber).
2. Die wahrscheinliche Risikokategorie, mit Angabe des betreffenden Artikels oder Anhangs der Verordnung.
3. Die Pflichten, die sich daraus ergeben, und ab wann sie gelten.
4. Die Fragen, die ich einem Juristen stellen sollte.
Wenn du dir bei einer Einstufung nicht sicher bist, schreib „zu prüfen“, statt dich festzulegen.Was steht in der KI-Verordnung der EU?
Die Verordnung gilt für Anbieter, die ein KI-System entwickeln oder in Verkehr bringen, und für Betreiber, die es im beruflichen Rahmen verwenden. Ein Unternehmen, das seinen Teams einen Chatbot zur Verfügung stellt, ist also Betreiber. Die Pflichten hängen von der Anwendung ab: Dieselbe Technologie wird anders behandelt, je nachdem, ob sie eine E-Mail schreibt oder bei der Auswahl von Bewerbern hilft. Für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck, also den Modellen hinter den großen Assistenten, sieht der Text eigene Regeln vor.
Vier Risikostufen, vier Regelwerke
Die Europäische Kommission fasst den Ansatz der Verordnung in vier Stufen zusammen.
- Unannehmbares Risiko: Praktiken, die Artikel 5 verbietet, etwa Social Scoring, Manipulation, die die Schutzbedürftigkeit von Menschen ausnutzt, oder Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen, außer aus medizinischen oder Sicherheitsgründen.
- Hohes Risiko: Systeme in sensiblen Bereichen nach Anhang III, darunter Beschäftigung und Personalmanagement, Bildung, der Zugang zu bestimmten grundlegenden Diensten wie Krediten sowie die Rechtspflege. Für sie gelten strenge Anforderungen.
- Transparenzrisiko: Chatbots, erzeugte Inhalte und Deepfakes, für die Informationspflichten gelten (Artikel 50).
- Minimales Risiko: die große Mehrheit der alltäglichen Anwendungen, ohne besondere Pflichten aus der Verordnung.
Der Zeitplan der KI-Verordnung
| Datum | Was gilt |
|---|---|
| 1. August 2024 | Inkrafttreten der Verordnung |
| 2. Februar 2025 | Allgemeine Bestimmungen, darunter die KI-Kompetenz (Artikel 4), und Verbote (Artikel 5) |
| 2. August 2025 | Regeln für KI-Modelle mit allgemeinem Verwendungszweck, Governance und Sanktionen |
| 2. August 2026 | Allgemeine Geltung, darunter die Transparenzpflichten und die meisten Regeln für hohes Risiko |
| 2. August 2027 | Hochrisiko-Systeme in Produkten, die unter die Rechtsvorschriften nach Anhang I fallen (Artikel 6 Absatz 1) |
Was ändert sich für ein KMU?
Teams schulen: die KI-Kompetenz
Seit dem 2. Februar 2025 verlangt Artikel 4 von Anbietern und Betreibern, Maßnahmen zu ergreifen, um nach besten Kräften sicherzustellen, dass ihr Personal und andere Personen, die in ihrem Auftrag mit KI-Systemen umgehen, über ausreichende KI-Kompetenz verfügen. Der Text berücksichtigt Kenntnisse, Erfahrung und den Einsatzkontext: Ein bestimmtes Schulungsformat schreibt er nicht vor. In der Praxis lohnt es sich für ein KMU, seine Anwendungen zu erfassen, die Teams zu schulen und diese Maßnahmen zu dokumentieren.
Informieren und sensible Anwendungen regeln
Ab dem 2. August 2026 muss eine Person erfahren, dass sie mit einem KI-System interagiert, es sei denn, das ist offensichtlich. Ein Betreiber, der einen Deepfake veröffentlicht, muss offenlegen, dass der Inhalt künstlich erzeugt oder manipuliert wurde. Darauf gehen wir auch in unserem Ratgeber zu Prompts für KI-Bilder ein. Nutzt du ein Hochrisiko-System, etwa für die Personalauswahl, kommen weitere Pflichten hinzu: Gebrauchsanweisung einhalten, menschliche Aufsicht durch kompetente Personen, Information der Arbeitnehmervertretung.
Bei den Sanktionen sieht Artikel 99 für verbotene Praktiken Geldbußen von bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes vor. Für KMU einschließlich Start-ups gilt der niedrigere der beiden Beträge als Obergrenze. Die DSGVO gilt parallel weiter: Lies dazu unsere Tipps zu persönlichen Daten und KI.
Erstelle einen Plan zur KI-Sensibilisierung für [Anzahl] Beschäftigte aus [Branche] im Sinne von Artikel 4 der Verordnung (EU) 2024/1689.
Ausgangslage: [z. B. die Hälfte nutzt nie KI, einige nutzen sie täglich].
Schlag 3 kurze Module vor: Funktionsweise und Grenzen generativer KI, interne Regeln und Vertraulichkeit, Prüfung der Inhalte.
Für jedes Modul: Lernziele, Dauer, praktische Übung und eine Möglichkeit, die Schulung zu dokumentieren.Und für dich als Nutzer: Was ändert die KI-Verordnung?
Wenn du KI im Rahmen einer ausschließlich persönlichen und nicht beruflichen Tätigkeit nutzt, betreffen dich die Pflichten der Betreiber nicht (Artikel 2). Die Verordnung schützt dich vor allem: Bestimmte Praktiken sind verboten, du sollst wissen, wann du mit einer KI sprichst, und KI-generierte Inhalte müssen als solche erkennbar sein. Im Job dagegen betreffen dich die Regeln deines Arbeitgebers und die Schulung, die er organisieren muss.
Nimm dir diese Woche zehn Minuten Zeit, um die KI-Tools in deinem Umfeld aufzulisten, und starte dann den Prompt des Tages. So erfährst du, welche Anwendungen unter minimales Risiko fallen und welche du genauer prüfen solltest.
Häufige Fragen
Verbietet die KI-Verordnung ChatGPT oder andere Chatbots?
Nein. Dialogassistenten gehören nicht zu den verbotenen Praktiken. Ihre Anbieter unterliegen den Regeln für KI-Modelle mit allgemeinem Verwendungszweck und den Transparenzpflichten. Erst die konkrete Anwendung kann in bestimmten Fällen unter hohes Risiko fallen.
Mein Unternehmen schreibt E-Mails mit KI: Was muss ich tun?
Diese Anwendung fällt grundsätzlich unter minimales Risiko. Die Pflicht zur KI-Kompetenz aus Artikel 4 gilt aber seit dem 2. Februar 2025 für jeden Betreiber. Die betroffenen Personen zu schulen und interne Regeln festzulegen, ist deshalb der erste Schritt.
Darf ich Lebensläufe mit KI sortieren?
Ja, aber Systeme für die Einstellung und Auswahl von Bewerbern gehören zu den Hochrisiko-Bereichen nach Anhang III. Dann gelten verschärfte Pflichten für Anbieter und Betreiber. Hol dir Unterstützung, bevor du ein solches Tool einführst.
Wo finde ich den amtlichen Text der Verordnung?
Die Verordnung (EU) 2024/1689 ist im Amtsblatt der Europäischen Union veröffentlicht und kostenlos auf EUR-Lex abrufbar, auch auf Deutsch. Die Europäische Kommission veröffentlicht außerdem Erläuterungen und Leitlinien. Nur auf diese Quellen solltest du dich bei aktuellen Fristen verlassen.
Auch lesenswert
KI und Arbeitsmarkt: Verschwindet dein Beruf oder verändert er sich? Was ILO und OECD sagen
KI und Arbeitsmarkt: Warum du in Aufgaben statt in Berufen denken solltest, was ILO und OECD analysieren und wie du deine Stelle einschätzt und entwickelst.
Urheberrecht und KI: Wem gehören generierte Texte und Bilder eigentlich?
Urheberrecht und KI einfach erklärt: persönliche Schöpfung, Rolle des Menschen, Nutzungsbedingungen, Modelltraining und Transparenzpflichten der EU.
Deepfake-Betrug und geklonte Stimmen: 10 Regeln, mit denen du nicht hereinfällst
Falscher Angehöriger in Not, geklonte Stimme, gefälschtes Video: Deepfake-Betrug erklärt, 10 einfache Regeln und was du tun musst, wenn es dich trifft.