EU AI Act: Entscheidende Schritte für sichere KI-Compliance

Der EU AI Act ist endgültig im Unternehmensalltag angekommen. Künstliche Intelligenz unterstützt inzwischen bei der Texterstellung, Datenanalyse, Softwareentwicklung, Kundenkommunikation und Personalarbeit. Damit steigen nicht nur die Nutzungsmöglichkeiten, sondern auch die Anforderungen an Kontrolle, Transparenz und Kompetenz.

Seit dem 2. August 2026 gelten große Teile der europäischen KI-Verordnung. Zugleich hat die Durchsetzung der bereits anwendbaren Vorgaben begonnen. Unternehmen sollten deshalb nicht nur prüfen, welche KI-Systeme sie offiziell eingeführt haben. Auch frei verfügbare Chatbots, KI-Funktionen in Standardsoftware und eigenständig genutzte Werkzeuge müssen berücksichtigt werden.

Besonders wichtig ist Artikel 4 des EU AI Act. Er verpflichtet Anbieter und Betreiber von KI-Systemen dazu, Maßnahmen zur Förderung der KI-Kompetenz ihrer Beschäftigten und weiterer in ihrem Auftrag handelnder Personen zu ergreifen. Ein gesetzlich vorgeschriebenes Zertifikat gibt es zwar nicht. Dennoch sollten Unternehmen ihre Schulungsmaßnahmen nachvollziehbar dokumentieren.

Was regelt der EU AI Act?

Der EU AI Act ist die Verordnung (EU) 2024/1689 zur Festlegung harmonisierter Vorschriften für Künstliche Intelligenz. Er schafft einen einheitlichen Rechtsrahmen für die Entwicklung, Bereitstellung und Verwendung von KI-Systemen innerhalb der Europäischen Union. Ziel ist es, Innovation zu ermöglichen und gleichzeitig Gesundheit, Sicherheit und Grundrechte zu schützen.

Die Verordnung verfolgt einen risikobasierten Ansatz. Entscheidend ist daher nicht allein, welche technische Lösung verwendet wird. Maßgeblich sind der vorgesehene Zweck, der betroffene Geschäftsprozess und die möglichen Folgen für Menschen.

Ein KI-System, das unverbindliche Formulierungsvorschläge für interne E-Mails erstellt, besitzt ein anderes Risikoprofil als eine Anwendung, die Bewerbungen bewertet, Kreditentscheidungen vorbereitet oder den Zugang zu Bildungsangeboten beeinflusst. Je höher das Risiko, desto umfangreicher sind die rechtlichen und organisatorischen Anforderungen.

Für welche Unternehmen gilt der EU AI Act?

Der EU AI Act betrifft nicht nur Unternehmen, die eigene KI-Modelle entwickeln. Auch Organisationen, die externe KI-Systeme unter eigener Verantwortung einsetzen, können als Betreiber gelten.

Damit ist die Verordnung grundsätzlich für Unternehmen jeder Größe relevant. Wer Chatbots, Übersetzungsdienste, Analysewerkzeuge oder generative KI im Arbeitsalltag verwendet, sollte prüfen, welche Rolle das eigene Unternehmen einnimmt und welche Vorgaben daraus entstehen. Die Europäische Kommission stellt ausdrücklich klar, dass Artikel 4 auch dann relevant sein kann, wenn Beschäftigte ChatGPT oder vergleichbare Anwendungen für Übersetzungen oder Werbetexte nutzen. Sie müssen unter anderem verstehen, dass KI-Systeme sachlich falsche oder erfundene Inhalte erzeugen können.

Auch externe Dienstleister und Auftragnehmer können einzubeziehen sein, wenn sie im Auftrag eines Unternehmens mit dessen KI-Systemen arbeiten. Entscheidend ist nicht allein das Beschäftigungsverhältnis, sondern die tatsächliche Nutzung der Systeme.

Welche Risikobereiche unterscheidet der EU AI Act?

Der EU AI Act unterscheidet vier verschiedene Risikobereiche. Diese Einteilung bestimmt, ob eine Anwendung verboten ist, umfangreiche Anforderungen erfüllen muss oder vor allem Transparenzpflichten unterliegt.

Verbotene KI-Praktiken

Bestimmte Anwendungen sind aufgrund ihres Gefährdungspotenzials grundsätzlich untersagt. Dazu gehören unter definierten Voraussetzungen manipulative Systeme, bestimmte Formen des Social Scoring, das ungezielte Auslesen von Gesichtsbildern zum Aufbau biometrischer Datenbanken und bestimmte Anwendungen zur Emotionserkennung am Arbeitsplatz oder in Bildungseinrichtungen.

Unternehmen sollten solche Praktiken nicht nur bei offiziell eingeführten Lösungen ausschließen. Auch Pilotprojekte und nicht freigegebene KI-Dienste können rechtliche Risiken verursachen.

Hochrisiko-KI-Systeme

Als Hochrisiko-KI können insbesondere Systeme gelten, die in sensiblen Bereichen eingesetzt werden und erhebliche Auswirkungen auf Sicherheit oder Grundrechte haben. Dazu zählen unter bestimmten Voraussetzungen Anwendungen in Beschäftigung, Bildung, kritischen Infrastrukturen, Strafverfolgung, Migration und beim Zugang zu wesentlichen Dienstleistungen.

Für solche Systeme sieht der EU AI Act unter anderem Anforderungen an Risikomanagement, Datenqualität, Dokumentation, Protokollierung, menschliche Aufsicht, Genauigkeit, Robustheit und Cybersicherheit vor.

Nach dem derzeitigen Umsetzungszeitplan gelten die Vorschriften für die in Anhang III aufgeführten Hochrisiko-KI-Systeme ab dem 2. Dezember 2027. Für Hochrisiko-KI, die Bestandteil regulierter Produkte nach Anhang I ist, ist der 2. August 2028 maßgeblich.

Transparenzpflichten und KI mit geringerem Risiko

Für bestimmte KI-Anwendungen bestehen Transparenzpflichten, auch wenn sie nicht als Hochrisiko-KI eingestuft werden. Personen müssen beispielsweise erkennen können, wenn sie direkt mit einem KI-System interagieren, sofern dies nicht bereits offensichtlich ist.

Weitere Anforderungen betreffen künstlich erzeugte oder manipulierte Inhalte. Dazu können Deepfakes sowie bestimmte KI-generierte Texte von öffentlichem Interesse gehören. Die Transparenzvorgaben nach Artikel 50 gelten seit dem 2. August 2026.

Viele alltägliche KI-Werkzeuge fallen nicht in die Kategorie der Hochrisiko-KI. Das bedeutet jedoch nicht, dass ihre Nutzung ohne Regeln möglich ist. Datenschutz, Informationssicherheit, Urheberrecht, Geschäftsgeheimnisse und interne Vorgaben bleiben weiterhin relevant.

Welche Fristen gelten beim EU AI Act?

Der EU AI Act trat am 1. August 2024 in Kraft. Seit dem 2. Februar 2025 gelten die allgemeinen Bestimmungen zur Definition von KI-Systemen, die ersten Verbote sowie die Vorgaben zur KI-Kompetenz. Seit dem 2. August 2025 gelten unter anderem die Regelungen für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck.

Am 2. August 2026 wurde der überwiegende Teil der weiteren Vorschriften anwendbar. Gleichzeitig begann die Durchsetzung der bereits geltenden Anforderungen durch das europäische KI-Büro und die zuständigen nationalen Behörden. Dazu gehören insbesondere die Vorgaben zu Transparenz, verbotenen Praktiken und KI-Kompetenz.

Die späteren Fristen für Hochrisiko-KI sollten Unternehmen nicht zum Abwarten verleiten. Die Erfassung von KI-Systemen, die Prüfung von Datenflüssen und der Aufbau tragfähiger Governance-Strukturen benötigen häufig deutlich mehr Zeit als erwartet.

Maßnahmen zur Umsetzung des EU AI Act

Eine wirksame Umsetzung beginnt mit einer Bestandsaufnahme und umfasst anschließend die Rollenklärung, Risikoklassifizierung, KI-Governance, Informationssicherheit, menschliche Aufsicht und den systematischen Aufbau von KI-Kompetenz.

KI-Systeme vollständig erfassen

Unternehmen benötigen einen Überblick über alle KI-Systeme, die entwickelt, beschafft oder verwendet werden. Neben offiziell freigegebenen Unternehmenslösungen sollten auch Browser-Erweiterungen, integrierte Assistenzfunktionen und frei verfügbare Chatbots betrachtet werden.

Ein KI-Inventar sollte festhalten, welches System verwendet wird, wer dafür verantwortlich ist, welche Daten verarbeitet werden und welchem Zweck die Anwendung dient. Ebenso relevant sind der Anbieter, die betroffenen Abteilungen und der aktuelle Freigabestatus.

Diese Bestandsaufnahme schafft die Grundlage für alle weiteren Entscheidungen. Ohne Kenntnis der eingesetzten Systeme lassen sich weder Risiken noch Schulungsbedarf zuverlässig bewerten.

Rollen und Risiken bestimmen

Unternehmen müssen klären, ob sie Anbieter, Betreiber, Einführer oder Händler eines KI-Systems sind. Wer lediglich eine externe Lösung unter eigener Verantwortung einsetzt, ist in der Regel Betreiber. Umfangreiche Anpassungen oder ein veränderter Einsatzzweck können jedoch dazu führen, dass zusätzliche Pflichten entstehen.

Anschließend ist das konkrete Risiko zu bewerten. Entscheidend ist nicht allein die technische Funktionsweise, sondern der tatsächliche Verwendungskontext. Ein Sprachmodell zur Ideenfindung ist anders zu behandeln als eine Anwendung, deren Ergebnis Personalentscheidungen beeinflusst.

Die Risikoprüfung sollte vor der Einführung stattfinden und bei relevanten Änderungen wiederholt werden. Ein neues Modell, zusätzliche Datenquellen oder ein erweiterter Nutzerkreis können eine Neubewertung erforderlich machen.

KI-Governance und interne Regeln etablieren

Eine unternehmensweite KI-Richtlinie sollte verständlich festlegen, welche Anwendungen verwendet werden dürfen und für welche Zwecke eine Freigabe erforderlich ist. Beschäftigte müssen wissen, welche Daten sie eingeben dürfen, wie Ergebnisse zu kontrollieren sind und an wen sie sich bei Problemen wenden können.

Dabei geht es nicht darum, jede KI-Nutzung zu verhindern. Klare Regeln ermöglichen vielmehr eine kontrollierte und produktive Verwendung. Standardisierte Freigabeprozesse helfen, risikoarme Anwendungsfälle schnell zu ermöglichen und sensible Vorhaben genauer zu prüfen.

Ein eigener KI-Beauftragter ist durch Artikel 4 nicht zwingend vorgeschrieben. Dennoch sollten Verantwortlichkeiten eindeutig festgelegt sein. Je nach Organisation können IT, Informationssicherheit, Datenschutz, Compliance, Einkauf und Fachabteilungen gemeinsam beteiligt sein.

Datenschutz und Informationssicherheit berücksichtigen

Der EU AI Act ersetzt weder die Datenschutz-Grundverordnung noch bestehende Anforderungen an die Informationssicherheit. Unternehmen müssen weiterhin prüfen, ob personenbezogene Daten rechtmäßig verarbeitet werden und ob vertrauliche Informationen ausreichend geschützt sind.

Vor der Freigabe eines KI-Dienstes sollte geklärt werden, ob Eingaben gespeichert, zu Trainingszwecken genutzt oder an weitere Empfänger übermittelt werden. Auch Zugriffsrechte, Protokollierung und vertragliche Regelungen mit dem Anbieter sind zu berücksichtigen.

Hinzu kommen technische Gefahren wie Prompt Injection, manipulierte Inhalte, unsichere Erweiterungen und fehlerhafter Programmcode. KI-Systeme sollten deshalb in bestehende Prozesse des Risikomanagements, Lieferantenmanagements und Incident Managements eingebunden werden.

Menschliche Aufsicht sicherstellen

Menschliche Kontrolle darf nicht nur auf dem Papier existieren. Verantwortliche Personen müssen in der Lage sein, Ergebnisse kritisch einzuordnen, Fehler zu erkennen und bei Bedarf einzugreifen.

Besondere Aufmerksamkeit verdient der sogenannte Automation Bias. Professionell formulierte KI-Ausgaben können den Eindruck erwecken, zuverlässig und objektiv zu sein. Beschäftigte dürfen deshalb nicht davon ausgehen, dass ein Ergebnis allein deshalb korrekt ist, weil es von einem leistungsfähigen System erzeugt wurde.

Bei Hochrisiko-KI bleibt die Verpflichtung bestehen, Mitarbeitende so zu schulen, dass sie eine wirksame menschliche Aufsicht gewährleisten können. Eine allgemeine Einführung in Künstliche Intelligenz reicht hierfür regelmäßig nicht aus. Erforderlich sind Kenntnisse über das konkrete System und seine Auswirkungen.

KI-Kompetenz nach Artikel 4 des EU AI Act

KI-Kompetenz umfasst Fähigkeiten, Kenntnisse und Verständnis, die einen sachkundigen Einsatz von KI ermöglichen. Dazu gehört auch das Bewusstsein für Chancen, Risiken und mögliche Schäden.

Artikel 4 gilt seit dem 2. Februar 2025. Durch den Digitalen KI-Omnibus wurde die Vorschrift im Juli 2026 angepasst. Anbieter und Betreiber bleiben verpflichtet, Maßnahmen zur Förderung der KI-Kompetenz zu ergreifen. Sie müssen jedoch kein bestimmtes oder einheitliches Kompetenzniveau für jede einzelne Person garantieren.

Welche Maßnahmen angemessen sind, hängt von den Vorkenntnissen der Beschäftigten, dem verwendeten KI-System, dem Einsatzbereich und dem jeweiligen Risiko ab. Eine Marketingabteilung benötigt andere Kenntnisse als die Softwareentwicklung, Personalabteilung oder Informationssicherheit.

Eine Grundlagenschulung sollte erklären, wie KI-Systeme funktionieren, welche Grenzen sie besitzen und wie Ausgaben geprüft werden. Hinzu kommen Themen wie Datenschutz, Informationssicherheit, Urheberrecht, Diskriminierungsrisiken und interne Nutzungsregeln.

Gibt es eine Kompetenznachweispflicht?

Der Begriff Kompetenznachweispflicht wird häufig verwendet, ist rechtlich jedoch erklärungsbedürftig. Der EU AI Act schreibt kein bestimmtes Zertifikat, keinen einheitlichen KI-Führerschein und keine standardisierte Prüfung für alle Beschäftigten vor.

Die Europäische Kommission erklärt ausdrücklich, dass für Artikel 4 kein Zertifikat erforderlich ist. Unternehmen können interne Aufzeichnungen über Schulungen und weitere Maßnahmen führen. Ebenso besteht keine allgemeine Pflicht, das Wissen jedes einzelnen Beschäftigten formal zu messen.

Trotzdem ist eine nachvollziehbare Dokumentation dringend sinnvoll. Unternehmen sollten festhalten, welche Personen geschult wurden, welche Inhalte vermittelt wurden und zu welchem Zeitpunkt die Maßnahme stattfand. Ebenso sollte erkennbar sein, weshalb die Schulung zum jeweiligen Einsatzkontext und Risikoprofil passt.

Eine Teilnahmebestätigung, ein dokumentierter Abschluss oder eine Lernkontrolle kann deshalb ein wichtiger Nachweis sein. Sie belegt, dass das Unternehmen den Kompetenzaufbau nicht nur geplant, sondern tatsächlich umgesetzt hat. Allein genügt ein solcher Nachweis jedoch nicht in jedem Fall. Bei sensiblen oder hochriskanten Anwendungen können zusätzliche, rollenbezogene Schulungen und konkrete Einweisungen erforderlich sein.

Mit dem KI-Führerschein KI-Kompetenz dokumentieren

Der E-Learning KI-Führerschein von PSW TRAINING bietet Unternehmen eine strukturierte Möglichkeit, grundlegende KI-Kompetenz aufzubauen. Die Qualifizierung vermittelt technische Grundlagen und behandelt zugleich Datenschutz, Informationssicherheit, Urheberrecht, verantwortungsvolle Nutzung sowie die Anforderungen des EU AI Act. Das digitale Format ermöglicht eine orts- und zeitunabhängige Bearbeitung.

Im Zusammenhang mit Artikel 4 kann der KI-Führerschein als konkrete Maßnahme zur Förderung der KI-Kompetenz eingesetzt werden. Die dokumentierte Teilnahme unterstützt Unternehmen dabei, nachzuweisen, dass Beschäftigte systematisch für den sicheren und verantwortungsvollen Einsatz Künstlicher Intelligenz qualifiziert wurden.

Dabei sollte nicht behauptet werden, dass ein einzelner Kurs automatisch sämtliche Anforderungen des EU AI Act erfüllt. Entscheidend bleibt, dass Umfang und Inhalte zur Zielgruppe, zum Einsatzkontext und zu den vorhandenen Risiken passen. Für einen unternehmensweiten Basiskompetenzaufbau kann das E-Learning jedoch einen tragfähigen und gut dokumentierbaren Ausgangspunkt bilden.

Der EU AI Act verlangt Wissen und klare Strukturen

Der EU AI Act macht den verantwortungsvollen Umgang mit Künstlicher Intelligenz zu einer organisatorischen Aufgabe. Unternehmen benötigen einen Überblick über ihre KI-Systeme, klare Verantwortlichkeiten, angemessene Sicherheitsmaßnahmen und Beschäftigte, die Ergebnisse kritisch bewerten können.

Artikel 4 verlangt kein bestimmtes Zertifikat und keine pauschale Prüfungspflicht. Unternehmen müssen den Aufbau von KI-Kompetenz jedoch aktiv unterstützen und sollten ihre Maßnahmen nachvollziehbar dokumentieren.

Der KI-Führerschein von PSW TRAINING kann dafür eine fundierte Grundlage schaffen. In Verbindung mit internen Richtlinien, einem KI-Inventar und rollenbezogenen Vertiefungen entsteht ein belastbarer Ansatz, um KI sicher, kompetent und im Einklang mit dem EU AI Act einzusetzen.