KI-Verordnung: Welche Anforderungen und Pflichten gelten für Unternehmen?

Kurzantwort zur KI-Verordnung

Die KI-Verordnung (EU AI Act) ist eine europaweite Regulierung für den Einsatz von Künstlicher Intelligenz. Sie verfolgt einen risikobasierten Ansatz und verpflichtet Unternehmen – sowohl Anbieter als auch Betreiber von KI-Systemen – zu Maßnahmen wie Dokumentation, Transparenz, Risikobewertung und Governance.

Besonders betroffen sind Unternehmen, die KI in sensiblen Bereichen wie Personalentscheidungen, Kundenanalyse, automatisierten Bewertungen oder sicherheitsrelevanten Prozessen einsetzen. Welche Pflichten konkret gelten, hängt von der Rolle des Unternehmens und der Risikoklasse des eingesetzten KI-Systems ab.

Warum die KI-Verordnung fast jedes Unternehmen betrifft

Künstliche Intelligenz ist längst Teil des Unternehmensalltags: Chatbots im Kundenservice, automatisierte Bewerbervorauswahl, Prognosemodelle im Vertrieb oder generative KI für Texte und Bilder. Mit der KI-Verordnung schafft die EU erstmals einen verbindlichen Rechtsrahmen für diese Anwendungen.

Wichtig für die Praxis: Auch Unternehmen, die keine eigene KI entwickeln, sondern lediglich KI-Tools einkaufen oder nutzen, können unter die KI-Verordnung fallen. Entscheidend ist nicht, ob KI entwickelt wird, sondern wie und wofür sie eingesetzt wird.

Anbieter oder Betreiber – Kurzdefinition für die Praxis

Eine der zentralen Fragen für die Umsetzung lautet: Welche Rolle hat Ihr Unternehmen?

• Anbieter von KI-Systemen entwickeln KI oder bringen sie unter eigenem Namen in Verkehr (z. B. Verkauf, Bereitstellung, White-Label-Lösungen).
• Betreiber setzen KI-Systeme ein, um eigene Geschäftsprozesse zu unterstützen (z. B. HR-Tools, Marketing-Analysen, Chatbots).

Viele Unternehmen sind Betreiber – unterliegen aber dennoch klaren Pflichten nach der KI-Verordnung. Schon kleinere Anpassungen oder Zweckänderungen können dazu führen, dass ein Unternehmen teilweise wie ein Anbieter behandelt wird. Eine saubere Rollenklärung sollte daher immer dokumentiert werden.

Risikoklassen der KI-Verordnung auf einen Blick

Die Einteilung in Risikoklassen ist der Schlüssel zum Verständnis der KI-Verordnung:

• Verbotene KI-Praktiken: grundsätzlich unzulässig (z. B. manipulative Systeme).
• Hochrisiko-KI: strenge organisatorische und technische Anforderungen.
• KI mit begrenztem Risiko: vor allem Transparenzpflichten.
• KI mit minimalem Risiko: kaum zusätzliche Anforderungen.

Hochrisiko-KI liegt insbesondere vor bei Anwendungen in sensiblen Bereichen, etwa:

• Bewerbervorauswahl und Personalentscheidungen
• Kreditwürdigkeitsprüfungen
• biometrische Identifikation
• sicherheitsrelevante Steuerungs- oder Bewertungssysteme

Für diese Systeme gelten umfassende Pflichten, die jedoch strukturiert und pragmatisch umgesetzt werden können. Hier erfahren Sie mehr zur Risikoklassifizierung im Detail.

Welche Anforderungen stellt die KI-Verordnung an Unternehmen?

Die gute Nachricht: Nicht jedes Unternehmen muss alles umsetzen. Die Pflichten ergeben sich aus Rolle und Risikoklasse. Dennoch gibt es grundlegende Anforderungen, die für fast alle Unternehmen relevant sind.

Grundanforderungen für viele Unternehmen

• KI-Inventar erstellen: Welche KI-Systeme nutzen wir? Für welchen Zweck? Mit welchen Daten?
• Lieferanten prüfen: Welche Informationen und Dokumentationen stellt der Anbieter bereit?
• KI-Kompetenz aufbauen: Mitarbeitende müssen Risiken erkennen und Systeme angemessen nutzen können.
• Transparenz sicherstellen: Nutzer müssen erkennen können, wenn sie mit KI interagieren oder KI-generierte Inhalte erhalten.

Zusätzliche Pflichten bei Hochrisiko-KI

Bei Hochrisiko-KI steigen die Anforderungen deutlich:

• Risikomanagement über den gesamten Lebenszyklus
• Daten-Governance und Datenqualität
• Technische Dokumentation
• Protokollierung und Nachvollziehbarkeit
• Human Oversight (menschliche Aufsicht)
• Robustheit, Genauigkeit und Sicherheit

Diese Pflichten lassen sich in bestehende Compliance-, Datenschutz- und Managementsysteme integrieren.

KI-Verordnung und DSGVO – wie beides zusammenspielt

Sobald KI personenbezogene Daten verarbeitet, bleibt die DSGVO vollständig anwendbar. Die KI-Verordnung ersetzt den Datenschutz nicht, sondern ergänzt ihn. Typische Schnittstellen sind:

• Transparenz gegenüber Betroffenen
• Risiko- und Folgenabschätzungen
• Dokumentationspflichten

Unternehmen können hier Synergien nutzen, indem bestehende Datenschutzprozesse mit KI-Risikobewertungen verzahnt werden. Mehr zu der Verzahnung zwischen DSGVO und KI-VO erhalten Sie in diesem Beitrag.

Was müssen Unternehmen jetzt konkret tun?

Unternehmen sollten jetzt:

• ihre eingesetzten KI-Systeme vollständig inventarisieren,
• ihre Rolle (Anbieter / Betreiber) klar einordnen,
• eine erste Risikoklassifizierung vornehmen,
• relevante Dokumentations- und Transparenzpflichten vorbereiten,
• KI-Kompetenzen im Unternehmen aufbauen und schulen.

Ein schrittweises, strukturiertes Vorgehen ist ausreichend – entscheidend ist, jetzt zu starten.

Praxis-Checkliste zur Umsetzung der KI-Verordnung

1. KI-Inventar aufbauen
2. Rolle des Unternehmens klären
3. Risikoklasse einordnen
4. Pflichten ableiten und Maßnahmen definieren
5. KI-Managementsystem etablieren
6. Schulungen durchführen und regelmäßig überprüfen

Häufige Fragen zur KI-Verordnung

Gilt die KI-Verordnung auch, wenn wir keine KI entwickeln?
Ja. Auch Betreiber von KI-Systemen unterliegen Pflichten.

Muss jedes KI-System geprüft werden?
Ja. Ohne Einordnung der Risikoklasse ist keine rechtskonforme Nutzung möglich.

Ab wann müssen Unternehmen handeln?
Sobald KI eingesetzt wird und ein regulatorisches Risiko besteht.

Drohen Sanktionen bei Verstößen?
Ja. Es drohen erhebliche Bußgelder sowie Reputationsrisiken.