Häufige Fragen zum AI Act

Der AI Act (Verordnung (EU) 2024/1689) ist die europäische Verordnung zur Regulierung von künstlicher Intelligenz. Er legt fest, welche KI-Systeme erlaubt sind, welche Auflagen sie erfüllen müssen und welche Pflichten Unternehmen als Nutzer oder Anbieter haben. Er gilt unmittelbar in allen EU-Mitgliedstaaten, also auch in Deutschland.

Der AI Act trat im August 2024 in Kraft. Die Pflichten werden stufenweise wirksam: Seit Februar 2025 gelten die Verbote bestimmter KI-Praktiken und die KI-Kompetenzpflicht. Seit August 2025 gelten Pflichten für allgemeine KI-Modelle (GPAI). Seit August 2026 gelten die meisten Pflichten für hochriskante KI-Systeme, also die Regelungen, die den Mittelstand am stärksten betreffen.

Ja, höchstwahrscheinlich. Der AI Act unterscheidet nicht nach Unternehmensgröße, sondern nach der Art des KI-Systems und seinem Einsatzzweck. Wenn Sie KI nutzen, etwa einen Chatbot im Kundenservice, ChatGPT für Textgenerierung oder KI in der Bewerberauswahl, gelten Pflichten für Sie. Es gibt zwar Erleichterungen für KMU bei bestimmten Dokumentationspflichten, aber grundsätzlich gilt: Wer KI nutzt, hat Pflichten.

Der AI Act ordnet KI-Systeme in vier Stufen ein: Verboten sind KI-Praktiken wie Social Scoring oder unterschwellige Manipulation. Hochriskante Systeme (z.B. KI in der Bewerberauswahl oder Kreditvergabe) unterliegen strengen Auflagen. Begrenzt riskante Systeme (z.B. Chatbots) müssen vor allem Transparenzpflichten erfüllen. Gering riskante Systeme (z.B. Spam-Filter) haben minimale Pflichten. Für die meisten mittelständischen Anwendungen gelten vor allem Transparenzpflichten und die KI-Kompetenzpflicht.

ChatGPT selbst ist ein allgemeines KI-Modell (General Purpose AI). Die Risikoklasse hängt davon ab, wofür Sie es einsetzen. Nutzen Sie es für Textideen oder interne Recherche, ist das geringes Risiko. Nutzen Sie es, um automatisiert über Bewerbungen zu entscheiden, wird es hochriskant. Entscheidend ist nicht das Tool, sondern der Einsatzzweck in Ihrem Betrieb.

Art. 4 des AI Act verlangt, dass alle Personen, die mit KI-Systemen arbeiten, über ein ausreichendes Maß an KI-Kompetenz verfügen. Das gilt seit Februar 2025. In der Praxis bedeutet das: Ihre Mitarbeitenden müssen die grundlegenden Funktionsweisen und Grenzen der KI-Systeme verstehen, die sie nutzen. Eine strukturierte Schulung ist der einfachste Weg, diese Pflicht zu erfüllen.

Ein formales KI-Inventar ist nicht ausdrücklich vorgeschrieben, aber in der Praxis unerlässlich. Ohne einen vollständigen Überblick über alle eingesetzten KI-Systeme können Sie weder die Risikoklassen bestimmen noch die Pflichten ableiten. Behörden erwarten, dass Sie Ihre KI-Systeme kennen. Ein KI-Inventar ist daher der erste und wichtigste Schritt.

Ja. Bei Systemen, die direkt mit Menschen interagieren (z.B. Chatbots), schreibt der AI Act eine Kennzeichnungspflicht vor. Menschen müssen wissen, dass sie mit einem KI-System und nicht mit einer realen Person kommunizieren. Auch KI-generierte Inhalte (Texte, Bilder, Audio, Video) müssen als solche gekennzeichnet werden, wenn sie veröffentlicht werden.

Der AI Act sieht erhebliche Bußgelder vor. Für Verstöße gegen die Verbote: bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes. Für Verstöße gegen andere Pflichten: bis zu 15 Millionen Euro oder 3 Prozent des Umsatzes. Für KMU und Startups können die Bußgelder verhältnismäßig geringer ausfallen, aber sie können trotzdem existenzbedrohend sein. Hinzu kommen Reputationsschäden und mögliche zivilrechtliche Haftungsrisiken.

Jeder EU-Mitgliedstaat muss eine nationale Marktüberwachungsbehörde benennen. In Deutschland ist die Bundesnetzagentur als zuständige Marktüberwachungsbehörde bestätigt (KI-Marktaufsichts-Implementierungsgesetz, 29. Juli 2026). Diese Behörde kann Unternehmen überprüfen, Nachweise verlangen und bei Verstößen Bußgelder verhängen. Die Erfahrung mit der DSGVO zeigt: Behörden setzen Recht durch, sobald die Strukturen stehen.

Der AI Act schreibt keinen KI-Beauftragten im juristischen Sinne vor, anders als den Datenschutzbeauftragten. Trotzdem braucht jedes Unternehmen jemanden, der sich um die KI-Compliance kümmert. Das kann eine interne Person sein oder ein externer Dienstleister. In der Praxis bewährt sich das Modell des externen AI-Officers, analog zum externen Datenschutzbeauftragten: Eine erfahrene Person, die sich fortlaufend um alle KI-bezogenen Pflichten kümmert.

Das hängt stark von der Ausgangslage und der Anzahl der KI-Systeme ab. Ein erster Compliance Check liegt bei 1.200 bis 1.800 Euro. Ein umfassendes KI-Readiness-Audit bei 1.500 bis 2.500 Euro. Die laufende Betreuung als externer AI-Officer beginnt bei 990 Euro im Monat.

Der einfachste erste Schritt: Machen Sie den kostenlosen Quickcheck auf dieser Website. In 2 Minuten wissen Sie, wie gut Ihr Betrieb aufgestellt ist. Für eine fundierte Analyse empfehle ich das KI-Readiness-Audit. Und wenn Sie einfach nur reden möchten: Buchen Sie ein kostenloses Erstgespräch. 30 Minuten, kein Verkaufsgespräch, nur ehrliche Einschätzung.

Grundsätzlich ja. Der AI Act unterscheidet nicht zwischen internem und externem Einsatz. Wenn Sie intern ein KI-System nutzen, das in die Kategorie hochriskant fällt (z.B. KI-gestützte Personalentscheidungen), gelten die gleichen Pflichten. Bei rein internen Anwendungen mit geringem Risiko (z.B. KI für Terminplanung oder interne Textvorschläge) sind die Pflichten allerdings minimal. Entscheidend bleibt der Einsatzzweck, nicht ob das System interne oder externe Nutzer hat.