Der AI Act einfach erklärt: Was dich betrifft

Die Inhaberin eines Baumarkts nutzt einen Chatbot für ihre Produktbeschreibungen, einen weiteren auf ihrer Website für Kundenfragen, und gerade hat sie ein Tool getestet, das eingehende Lebensläufe vorsortiert. Sie hat gehört, „Europa hat ein Gesetz zur KI beschlossen“, und fragt sich, ob sie sich etwas zuschulden kommen lässt. Wahrscheinlich nicht, aber eine dieser drei Anwendungen verdient mehr Aufmerksamkeit als die beiden anderen.

Dieser Artikel gibt den allgemeinen Rahmen der europäischen KI-Verordnung, meist AI Act genannt. Er ersetzt weder den Gesetzestext noch eine Rechtsberatung. Ein Teil des Zeitplans wurde durch neuere Rechtsakte geändert: Prüfe die Fristen deshalb immer auf den offiziellen Seiten, bevor du eine Entscheidung triffst.

Was das ist, in drei Zeilen

Die Verordnung (EU) 2024/1689 ist ein europäisches Gesetz, das das Inverkehrbringen und die Nutzung von KI-Systemen regelt. Ihr Prinzip ist einfach: Je riskanter eine Anwendung für Menschen ist, desto strenger sind die Pflichten. Sie will nicht die innere Funktionsweise jedes einzelnen Modells regeln, sondern das, was man damit macht.

Sie unterscheidet zwei Rollen, die für dich wichtig sind:

Der Anbieter entwickelt ein KI-System oder bringt es unter eigenem Namen auf den Markt: ein Unternehmen, das einen Chatbot baut, oder ein Softwarehersteller, der ein Tool zur Lebenslauf-Vorauswahl verkauft.
Der Betreiber setzt ein KI-System im beruflichen Rahmen ein. Die Baumarkt-Inhaberin, die einen Chatbot in ihre Website einbindet, ist Betreiberin.

Eine rein private, nicht berufliche Nutzung fällt nicht unter das Gesetz. Wenn du einen Chatbot nutzt, um einen Brief an deinen Vermieter zu formulieren, musst du nichts unternehmen.

Vier Risikostufen

Stufe	Was sie bedeutet	Beispiele
Verbotene Praktiken	Als unannehmbar eingestufte Anwendungen, verboten	Social Scoring von Bürgern, Manipulation, die Schwächen ausnutzt, Emotionserkennung am Arbeitsplatz und in der Schule (außer aus medizinischen oder Sicherheitsgründen)
Hohes Risiko	Erlaubt, mit umfangreichen Pflichten	KI für Personalauswahl und Mitarbeiterführung, für den Zugang zu Bildung, für die Kreditvergabe, für bestimmte regulierte Produkte
Transparenz	Erlaubt, mit Informationspflicht	Chatbots, die mit Menschen sprechen, manipulierte Audio- oder Videoinhalte, bestimmte generierte Texte
Minimales Risiko	Keine besonderen Pflichten	Rechtschreibprüfung, Spamfilter, die meisten Schreibanwendungen

Die meisten Anwendungen, die wir in unserem Blog beschreiben, gehören in die letzte Zeile oder in die Zeile „Transparenz“. Die Verbote gelten seit Februar 2025. Für den Rest sind die Anwendungstermine gestaffelt und wurden durch spätere Rechtsakte noch angepasst, vor allem bei Hochrisiko-Systemen: Den aktuellen Zeitplan findest du auf der Website der Europäischen Kommission oder der französischen Datenschutzbehörde CNIL.

Was dich als Profi betrifft

Wissen, was du mit KI machst

Die Verordnung verlangt von Unternehmen, die KI einsetzen, Maßnahmen zu ergreifen, damit ihre Teams sie je nach Rolle ausreichend verstehen. Der genaue Wortlaut dieser Pflicht hat sich geändert, das Prinzip bleibt aber: Wer mit KI arbeitet, soll geschult werden. Konkret kann eine kleine Organisation mit einer internen Seite anfangen: Welche Tools sind erlaubt, welche Daten gehören nie hinein (hier steht, was du besser nie einfügst), wer prüft die Ergebnisse. Die typischen Anfängerfehler liefern eine gute Gesprächsgrundlage.

Informieren, wenn es nötig ist

Wenn deine Website einen Chatbot anbietet, müssen die Nutzer wissen, dass sie mit einer KI sprechen, es sei denn, das ist offensichtlich. Inhalte, die echte Personen oder Ereignisse nachahmen (Bild, Video, Audio), müssen als generiert oder verändert gekennzeichnet werden. Ausnahmen gibt es zum Beispiel für künstlerische oder satirische Werke, bei denen der Hinweis dezent ausfallen darf. Auch ein Text von öffentlichem Interesse, der veröffentlicht wird, um zu informieren, kann betroffen sein. Für Bilder lies außerdem die kommerzielle Nutzung von KI-Bildern.

Bei Hochrisiko-Anwendungen aufpassen

Lebensläufe vorsortieren, Bewerber bewerten, Mitarbeiter beurteilen, über den Zugang zu einem Kredit oder einer Weiterbildung entscheiden: Diese Anwendungen fallen in die Kategorie hohes Risiko. Als Betreiber musst du unter anderem die Anweisungen des Anbieters befolgen, eine echte menschliche Aufsicht sicherstellen und die betroffenen Personen informieren. Wenn du so ein Tool in Betracht ziehst, fordere von deinem Anbieter ein, was er dir liefern muss, und lass die Anwendung von einem Juristen oder Datenschutzbeauftragten prüfen. Zusätzlich gilt die DSGVO. Unser Artikel über Verzerrungen der KI zeigt, warum dieser Bereich heikel ist.

Eine Bestandsaufnahme deiner Anwendungen

Der erste praktische Schritt ist zu wissen, was ihr mit KI macht. Hier ist ein Prompt, mit dem du diese Liste gemeinsam mit den Teammitgliedern erstellst. Sie dient als Grundlage für ein Gespräch mit einem Juristen. Die KI ist kein Rechtsberater: Was sie einordnet, ist eine Hypothese, die du prüfen musst.

Prompt

Ich leite einen Baumarkt mit 12 Beschäftigten. Hier ist die Liste der KI-Anwendungen in unserem Unternehmen:

1. [ANWENDUNG 1, Z. B.: PRODUKTBESCHREIBUNGEN MIT EINEM ALLGEMEINEN CHATBOT SCHREIBEN]
2. [ANWENDUNG 2, Z. B.: CHATBOT FÜR KUNDENANTWORTEN AUF DER WEBSITE]
3. [ANWENDUNG 3, Z. B.: TOOL ZUR VORSORTIERUNG EINGEGANGENER LEBENSLÄUFE]

Erstelle für jede Anwendung eine Tabelle mit: Anwendung, meine Rolle (Anbieter oder Betreiber), wahrscheinliche Risikostufe nach der europäischen KI-Verordnung (verboten, hohes Risiko, Transparenz, minimal), mögliche Pflicht, Frage an einen Juristen.
Nenne keine einzelnen Artikel und keine genauen Daten: Schreibe bei diesen Punkten „im aktuellen Text zu prüfen“. Wenn eine Anwendung zu vage ist, um sie einzuordnen, stelle mir eine Rückfrage, statt zu raten.

Behalte die letzte Anweisung bei: Der Zeitplan hat sich mehrfach geändert, und die KI nennt gern selbstsicher veraltete Daten. Prüfe jede Antwort im offiziellen Text oder bei einer Fachperson.

Was du nicht tun musst

Du musst nicht das Modell hinter ChatGPT, Claude oder Mistral prüfen: Die Pflichten für Entwickler allgemeiner Modelle liegen bei diesen Entwicklern, nicht bei den Nutzern. Du musst auch nicht alles stoppen: Die große Mehrheit der Anwendungen zum Schreiben, Zusammenfassen oder Ideensammeln fällt unter minimales Risiko.

Du musst dagegen wissen, was du einsetzt, die Menschen schulen, die es nutzen, und keine Entscheidung, die das berufliche oder finanzielle Leben einer Person betrifft, ohne menschliche Kontrolle einer KI überlassen.

Für diese Woche

Erstelle eine Liste aller KI-Tools, die dein Team nutzt, auch derjenigen, die Mitarbeitende auf eigene Faust geöffnet haben: Frag sie direkt. Gib die Liste in den obigen Prompt ein und leg dann die als „hohes Risiko“ oder „Transparenz“ eingestuften Anwendungen deinem Juristen oder Datenschutzbeauftragten vor, mit dem heutigen Datum auf deiner Liste.