Glossar · einfach erklärt

EU AI Act

Der EU AI Act reguliert KI nach Risiko: von verbotenen Praktiken über Hochrisiko-Pflichten bis zu Transparenzregeln.

Der EU AI Act ist das weltweit erste umfassende KI-Gesetz: Er reguliert Künstliche Intelligenz nach einem Risikoansatz — verbotene Praktiken, Hochrisiko-Systeme mit strengen Pflichten, Transparenzanforderungen für bestimmte Anwendungen und eigene Regeln für Allzweck-KI-Modelle (GPAI).

Betroffen sind nicht nur KI-Hersteller: Auch Unternehmen, die KI-Systeme einsetzen, tragen als Betreiber Pflichten — von der Transparenz gegenüber Nutzern bis zur menschlichen Aufsicht bei Hochrisiko-Anwendungen. Die Pflichten greifen gestaffelt seit 2025.

Die Risikoklassen im Überblick

Verboten sind Praktiken wie Social Scoring oder manipulative Systeme mit erheblichem Schadenspotenzial. Hochrisiko sind KI-Systeme in sensiblen Feldern — etwa Personalauswahl, Kreditvergabe, kritische Infrastruktur, Strafverfolgung: Für sie gelten Anforderungen an Risikomanagement, Datenqualität, Dokumentation, menschliche Aufsicht, Robustheit und Cybersicherheit.

Begrenztes Risiko löst Transparenzpflichten aus — Nutzer müssen etwa erfahren, dass sie mit KI interagieren, und KI-generierte Inhalte sind als solche kenntlich zu machen. Für GPAI-Modelle gelten eigene Pflichten der Anbieter, verschärft bei Modellen mit systemischem Risiko. Minimalrisiko-Anwendungen bleiben frei.

Was Unternehmen jetzt tun sollten

KI-Inventar aufbauen: Welche Systeme sind im Einsatz — auch in eingekaufter Software?
Risikoklassen zuordnen und Betreiberpflichten je System klären.
KI-Kompetenz sicherstellen: Der AI Act verlangt geschultes Personal im Umgang mit KI.
Shadow AI einfangen: Ungesteuerte KI-Nutzung untergräbt jede Compliance.

Häufige Fragen zu EU AI Act

Wen betrifft der EU AI Act?

Anbieter, Importeure und Betreiber von KI-Systemen mit Bezug zum EU-Markt — unabhängig vom Firmensitz. Auch reine Anwender tragen Betreiberpflichten, etwa Transparenz und Aufsicht; der Schwerpunkt der Pflichten liegt aber bei Anbietern von Hochrisiko-Systemen und großen Modellen.

Ab wann gelten welche Pflichten?

Gestaffelt: Die Verbote greifen seit Anfang 2025, die GPAI-Regeln seit Mitte 2025, die umfassenden Hochrisiko-Pflichten folgen bis 2026/2027. Wer KI einsetzt oder anbietet, sollte Inventar und Einstufung nicht auf die letzte Stufe verschieben.

Was zählt als Hochrisiko-KI?

Systeme in den Anhang-Bereichen des Gesetzes — unter anderem Beschäftigung und Personalauswahl, Kreditwürdigkeit, kritische Infrastruktur, Bildung, Strafverfolgung und Migration. Maßgeblich ist der Einsatzzweck; dieselbe Technik kann je nach Verwendung anders eingestuft sein.

Welche Pflichten haben reine KI-Anwender?

Betreiberpflichten: das System bestimmungsgemäß und mit menschlicher Aufsicht nutzen, Eingabedaten angemessen steuern, Vorfälle melden, Transparenz gegenüber Betroffenen wahren — und Personal mit ausreichender KI-Kompetenz einsetzen. Bei Hochrisiko-Systemen kommen dokumentierte Prozesse dazu.

Wie hängen AI Act und DSGVO zusammen?

Sie gelten parallel: Verarbeitet ein KI-System personenbezogene Daten, bleiben alle DSGVO-Pflichten bestehen — Rechtsgrundlage, Betroffenenrechte, TOMs. Der AI Act ergänzt produkt- und einsatzbezogene Anforderungen. In der Praxis heißt das: beide Prüfungen, ein gemeinsames Inventar.