Der EU AI ActGlossarDer EU AI Act ist die europäische KI-Verordnung, die seit August 2024 schrittweise in Kraft tritt. Sie klassifiziert KI-Systeme nach Risikostufen und definiert Pflichten für Anbieter und Betreiber. Für die meisten mittelständischen KI-Nutzer gilt die Hochrisiko-Deadline im August 2026. (Verordnung (EU) 2024/1689) ist das erste umfassende KI-Gesetz der Europäischen Union. Er regelt, welche KI-Systeme erlaubt, eingeschränkt oder verboten sind, und welche Pflichten Anbieter und Betreiber treffen. Für den deutschen Mittelstand ist er relevant, sobald Teams Microsoft Copilot, ChatGPT oder andere KI-Tools beruflich nutzen, nicht erst beim Bau eigener Modelle.
Risikoklassen statt pauschaler Verbote
Der Act teilt KI-Systeme in vier Stufen ein:
- Unannehmbares Risiko: verbotene Praktiken (z. B. Social Scoring durch Behörden, bestimmte biometrische Echtzeitüberwachung)
- Hochrisiko: strenge Pflichten zu Risikomanagement, Datenqualität, Dokumentation, menschlicher Aufsicht und Transparenz (z. B. KI in Personalauswahl, Kreditwürdigkeit, kritischer Infrastruktur)
- Begrenztes Risiko: vor allem Transparenzpflichten (Nutzer müssen wissen, dass sie mit KI interagieren)
- Minimales Risiko: der Großteil alltäglicher Tools; keine speziellen Act-Pflichten jenseits bestehender Gesetze
Microsoft 365 Copilot in der Standardkonfiguration gilt in der Regel nicht als Hochrisiko-System nach Anhang III. Sobald KI in HR, Kreditentscheidungen oder sicherheitskritischen Prozessen steuert, ändert sich die Einordnung.
Fristen, die KMU kennen müssen
- 2. August 2024: Inkrafttreten
- 2. Februar 2025: Verbote und die KI-Kompetenz-Pflicht (Art. 4)
- 2. August 2026: zentrale Betreiber- und Hochrisiko-Pflichten (bzw. der dann geltende Zeitplan)
- Spätere Stufen: zusätzliche GPAI- und Governance-Anforderungen
Der Zeitplan kann politisch nachjustiert werden. Die Art.-4-Pflicht gilt unabhängig davon bereits.
Was Betreiber im Mittelstand konkret tun
Die meisten KMU sind Betreiber (Deployer), nicht Anbieter. Typische Aufgaben:
- Inventar: Welche KI-Tools laufen im Unternehmen (Copilot, ChatGPT, Branchen-Tools, Eigenentwicklungen)?
- Risikoeinschätzung: Hochrisiko oder nicht?
- KI-Kompetenz der Nutzenden sicherstellen und dokumentieren
- Transparenz gegenüber Betroffenen, wo vorgeschrieben
- Schnittstelle zum Datenschutz: DSGVO und KI bleiben parallel anwendbar
Abgrenzung
Der EU AI Act ersetzt weder die DSGVO noch Branchengesetze. Er ergänzt sie um produktsicherheits- und risikobasierte KI-Regeln. Halluzinationen und unklare Datenflüsse sind oft das praktische Einstiegsrisiko, noch bevor formale Hochrisiko-Pflichten greifen.
