Vorbereitung auf die EU-KI-Verordnung

Was bedeutet Vorbereitung auf die EU-KI-Verordnung?

Wir prüfen, welche KI Ihr Unternehmen nutzt, welche Rolle Sie dabei haben und welche Vorschriften und Termine gelten. Wer ein bereitgestelltes Werkzeug nutzt, kann eine andere Rolle haben als jemand, der ein System unter eigenem Namen auf den Markt bringt. Maßgeblich ist die tatsächliche Nutzung. Der Produktname allein bestimmt keine Einstufung Ihres Unternehmens.

Diese Prüfung ist weder ein Zertifikat noch ein Rechtsgutachten. Ist eine Konformitätsbewertung erforderlich, stellen wir das einschlägige Verfahren und die derzeit zuständigen Stellen fest. Eine Norm, ein Zertifikat für ein Managementsystem und die Konformitätsbewertung eines Systems sind unterschiedliche Nachweise.

Was gilt ab wann?

• Seit dem 2. Februar 2025 gelten die ursprünglichen Verbote nach Artikel 5 mit ihren gesetzlichen Voraussetzungen und Ausnahmen. Neu bestimmte Verbote aus der Änderungsverordnung gelten ab dem 2. Dezember 2026. Jede Anwendung ist anhand der einschlägigen Vorschrift zu prüfen.
• Artikel 4 zur KI-Kompetenz gilt seit dem 2. Februar 2025. Die geänderte Fassung verpflichtet Anbieter und Betreiber zu Maßnahmen, die die KI-Kompetenz ihrer Beschäftigten unterstützen. Erfahrung, Nutzungskontext und betroffene Personen sind dabei zu berücksichtigen. Die Pflicht entfällt nicht.
• Die Transparenzpflichten nach Artikel 50 gelten grundsätzlich seit dem 2. August 2026. Hinweise auf eine Interaktion, technische Kennzeichnung und Offenlegung bei einer Veröffentlichung sind mit den jeweiligen Rollen und Ausnahmen getrennt zu prüfen. Für Anbieter synthetische Inhalte erzeugender Systeme, die schon vor diesem Datum auf dem Markt waren, gilt für die Kennzeichnung nach Artikel 50(2) eine besondere Übergangsfrist bis zum 2. Dezember 2026.
• Der geänderte Zeitplan für Hochrisikosysteme sieht den 2. Dezember 2027 für Systeme nach Artikel 6(2)/Anhang III und den 2. August 2028 für Systeme nach Artikel 6(1)/Anhang I vor. Er betrifft bestimmte Abschnitte mit ausdrücklichen Ausnahmen und Übergangsregeln. Er verschiebt nicht die gesamte Verordnung.

Zu jedem Datum in Ihrer Übersicht gehören die Quelle und die Begründung, warum es für die erfasste Anwendung gilt.

Für wen ist das gedacht?

• Ihr Team nutzt ChatGPT, Copilot oder KI-Funktionen in vorhandenen Werkzeugen. Niemand hat festgehalten, wo und mit welchen Daten.
• Auf Ihrer Website gibt es einen Chatbot oder mit KI erstellte Texte und Bilder.
• Ein Kunde oder Partner hat Ihnen einen Fragebogen zum AI Act geschickt und wartet auf eine Antwort.
• Sie nutzen KI, um Personen auszuwählen, Kunden zu beurteilen oder Entscheidungen zu treffen, die jemanden betreffen.
• Ihnen wird ein AI-Act-Zertifikat angeboten und Sie möchten wissen, was Sie damit tatsächlich kaufen würden.

Was prüfen wir?

Zum Umfang gehören alle KI-Werkzeuge Ihres Teams und jede Stelle, an der ein Kunde mit KI in Berührung kommt.

• Die Werkzeuge: kostenpflichtige und kostenlose, einschließlich der KI-Funktionen in bereits vorhandener Software.
• Die Website und das Postfach: Chatbots, automatische Antworten und mit KI erstellte Inhalte.
• Die Entscheidungen: Wo KI eine Entscheidung über eine Person, einen Kunden oder einen Beschäftigten beeinflusst.
• Die Anbieter: Wer hinter jedem Werkzeug steht und was die Bedingungen zum Umgang mit Ihren Daten vorsehen.

Für jedes Werkzeug werden die Einstufung und die geltenden Pflichten geprüft und festgehalten. Dazu gehören etwa Verbotsprüfungen, Hochrisikoanforderungen und Transparenz. Diese Kategorien schließen sich nicht zwingend aus. Das Verzeichnis nennt die Grundlage der Einschätzung.

Wie läuft die Arbeit ab?

1. 01
   Gespräch.Etwa eine Stunde mit der Person, die die Werkzeuge des Teams kennt. Ausgangspunkt ist Ihre Liste, auch wenn sie noch unvollständig ist.
2. 02
   Verzeichnis.Wir erfassen jedes KI-Werkzeug: seine Aufgabe, die Nutzer, die verwendeten Daten und seine Herkunft.
3. 03
   Einstufung.Jeder Eintrag enthält eine Einstufung nach der Verordnung, Ihre Rolle als Betreiber oder Anbieter und den zugrunde liegenden Artikel.
4. 04
   Übersicht.Was gilt jetzt, welche späteren Fristen sind relevant und was betrifft Ihre Anwendungen nicht? Wir gehen die Übersicht in einem Gespräch mit Ihnen durch.

Was erhalten Sie?

Ein KI-Nutzungsverzeichnis und eine Pflichtenübersicht.

Das Verzeichnis ist eine Tabelle aller KI-Werkzeuge, die Ihr Unternehmen nutzt. Es bleibt bei Ihnen und lässt sich bei jedem neuen Werkzeug aktualisieren. Die Übersicht ordnet die Pflichten nach Datum: mit Artikel, Frist, erforderlicher Handlung und der zuständigen Person in Ihrem Unternehmen. Jedes Datum hat eine Quellenangabe.

Wie lange dauert es?

Verzeichnis und Übersicht erhalten Sie innerhalb von zehn Arbeitstagen nach dem Gespräch und dem Eingang der Werkzeugliste.

Was kommt danach?

Die Übersicht benennt die Schritte für Ihren konkreten Fall. Sie unterstellt weder, dass jede Transparenzfrage mit einem Hinweis erledigt ist, noch, dass für alle Hochrisikopflichten dieselbe Frist gilt. Rechtsfragen werden kenntlich gemacht. Zeigt sich, dass KI weitere Aufgaben übernehmen könnte, folgt als nächster Schritt die KI-Potenzialkarte.

Artikel

• Welche Bußgelder drohen bei Verstößen gegen den AI Act?Artikel 99 unterscheidet Höchstbeträge nach Verstoß sowie unterschiedliche Bedingungen für KMU und kleine Unternehmen mittlerer Kapitalisierung (SMC). Ein Höchstbetrag ist kein konkret verhängtes Bußgeld. Geringe Größe bedeutet keine pauschale Ausnahme.
• Was unterscheidet den AI Act von der DSGVO?Die DSGVO betrifft die Verarbeitung personenbezogener Daten. Der AI Act betrifft KI-Systeme und deren Nutzung, auch ohne personenbezogene Daten. Pflichten und Termine beider Regelwerke sind getrennt zu prüfen.
• Müssen mit KI erstellte Inhalte gekennzeichnet werden?Zu unterscheiden sind die Ausgabekennzeichnung durch Anbieter, die Offenlegung bei Veröffentlichungen durch Betreiber und Hinweise auf eine Interaktion mit KI. Artikel 50 enthält rollenspezifische Voraussetzungen und Ausnahmen. Daraus folgt weder eine allgemeine Beschriftungspflicht noch eine allgemeine Befreiung von Pflichten.
• Was verlangt Artikel 4 des AI Act zur KI-Kompetenz?Artikel 4 verlangt Maßnahmen zur Unterstützung der KI-Kompetenz der Beschäftigten. Welche Maßnahmen angemessen sind, hängt von Kenntnissen, Erfahrung, Nutzungskontext und betroffenen Personen ab. Die Änderung passt den Wortlaut an, hebt die Pflicht aber nicht auf.
• Was ist der Digital Omnibus und warum wurde damit eine AI-Act-Frist verschoben?Die Verordnung (EU) 2026/1744 ändert bestimmte Hochrisikofristen und weitere Regeln. Sie setzt nicht den gesamten AI Act aus. Transparenz, Verbote und einzelne Übergangsregeln müssen getrennt geprüft werden.
• Welche KI-Hochrisikosysteme stehen in Anhang III?Zu prüfen sind die in Anhang III aufgeführten Verwendungszwecke sowie die Einstufungsregeln und Ausnahmen nach Artikel 6. Der Name eines Werkzeugs allein begründet keine Hochrisikoeinstufung.
• Gilt der AI Act auch für ein KI-Werkzeug eines Unternehmens außerhalb der EU?Prüfen Sie den räumlichen Anwendungsbereich nach Artikel 2, Ihre Rolle und den Ort, an dem das System oder seine Ausgaben genutzt werden. Ein Anbieter außerhalb der EU beseitigt für sich genommen keine Pflichten eines EU-Unternehmens.
• Was unterscheidet Anbieter und Betreiber nach dem AI Act?Ein Anbieter entwickelt ein System oder lässt es entwickeln und bringt es unter eigenem Namen auf den Markt oder nimmt es so in Betrieb. Ein Betreiber nutzt es in eigener Verantwortung. Ihre Rolle ergibt sich aus der tatsächlichen Konstellation, nicht allein aus der Softwarebezeichnung.
• Gibt es Ausnahmen für kleine Unternehmen im AI Act?Die Unternehmensgröße allein begründet keine pauschale Ausnahme. Unterstützung und Vereinfachungen für KMU haben Voraussetzungen. Bei Bußgelderleichterungen unterscheiden sich KMU und SMC. Prüfen Sie die jeweilige Maßnahme zusammen mit der Pflicht, die sie erleichtert.

Fragen