Wie viel wird das EU-KI-Gesetz tatsächlich Ihre Geschäfte beeinträchtigen?

Wenn neue Bestimmungen in Kraft treten, erfahren Sie, was Unternehmen wirklich über die Einhaltung wissen müssen

Der 2. Februar 2025 markierte den ersten großen Meilenstein bei der Einführung des KI-Gesetzes der Europäischen Union, mit Bestimmungen, die verbotene KI-Praktiken verbieten und Organisationen verpflichten, sicherzustellen, dass ihre Mitarbeiter über ausreichendes Wissen, Fähigkeiten und Verständnis über die Funktionsweise von KI, ihre Risiken und Vorteile (KI-Literacy) verfügen. Jetzt, am 2. August 2025, wurde ein weiterer kritischer Wendepunkt erreicht, da die Verpflichtungen für allgemein zugängliche KI-Modelle in Kraft getreten sind.

Das KI-Gesetz gilt für diejenigen, die KI-Systeme oder allgemein zugängliche KI-Modelle in der EU verkaufen, importieren oder zugänglich machen, unabhängig davon, ob sie in der EU ansässig sind oder nicht. Es gilt auch für Unternehmen mit Sitz in der EU, die KI-Systeme oder -Modelle verwenden.

Während Unternehmen echte Bedenken hinsichtlich der KI-Konformität haben, wird die Realität für die meisten Unternehmen weniger dramatisch sein als die Bestimmungen auf den ersten Blick erscheinen.

Als jemand, der ein globales Unternehmen leitet, das KI umfassend in unserer Dokumentenmanagement-Plattform verwendet, musste ich mich mit dieser Regelung auseinandersetzen. Die Wahrheit ist, dass das KI-Gesetz für die meisten Unternehmen viel handhabbarer ist, als es auf den ersten Blick erscheint – ähnlich wie die DSGVO aus amerikanischer Sicht überwältigend schien, sich aber als handhabbar erwies, sobald man die Grundsätze verstand.

Im Gegensatz zum einzigen Umsetzungsdatum der DSGVO wird das KI-Gesetz jedoch in Phasen umgesetzt. Mit Bußgeldern von bis zu 35 Millionen Euro oder 7 % des globalen Umsatzes und einer kritischen Durchsetzungswelle, die gerade vorbei ist, und einem weiteren großen Stichtag vor uns, ist es wichtig, die Konformitätsstrategie richtig zu setzen.

Wo stehen wir im Zeitplan

Ab August 2025 gelten die Verpflichtungen für allgemein zugängliche KI-Modelle (GPAI) – und das betrifft viel mehr Unternehmen, als viele realisieren. Wenn Sie Foundation-Modelle wie GPT-5, Claude oder Llama in Ihren Produkten verwenden, können Sie Konformitätspflichten übernehmen, auch wenn Sie sich nur als “Nutzer” des Modells betrachten.

Die Verpflichtungen umfassen den Nachweis der Einhaltung des Urheberrechts in Trainingsdaten, die Durchführung von adversarialer Tests auf Sicherheitslücken, die Umsetzung robuster Sicherheitsmaßnahmen und die Bereitstellung detaillierter technischer Dokumentation über die Fähigkeiten und Einschränkungen des Modells.

Viele SaaS-Unternehmen gehen davon aus, dass sie ausgenommen sind, weil sie Modelle nicht von Grund auf entwickeln. Aber wenn Sie Modelle feinjustieren oder anderweitig modifizieren, können Sie sich den GPAI-Verpflichtungen ausgesetzt sehen. Die Grenze zwischen “Verwenden” und “Bereitstellen” von KI-Systemen ist in der Regelung bewusst breit gefasst.

Der 2. August 2026 ist der große Stichtag, auf den wir achten müssen. Bis zu diesem Datum müssen KI-Systeme, die als “hochrisikoreich” eingestuft werden, umfassende Konformitätsanforderungen erfüllen. Der Umfang ist breiter als viele Unternehmen erwarten, und die Verpflichtungen sind erheblich.

Hochrisikoreiche Kategorien umfassen Systeme, die für die Rekrutierung und Einstellung, Kreditbewertung und finanzielle Entscheidungen, Bildungsbeurteilung, medizinische Diagnose, sicherheitskritische Infrastruktur und Anwendungen der Strafverfolgung verwendet werden. Wenn Ihr KI-Tool dazu beiträgt, zu bestimmen, wer eingestellt, für Kredite genehmigt, in Programme aufgenommen oder mit Erkrankungen diagnostiziert wird, sind Sie wahrscheinlich in diesem Umfang.

Damit verbunden ist eine Belastung. Sie benötigen umfassende Risikomanagementsysteme mit laufender Überwachung, technische Dokumentation, die die Sicherheit und Zuverlässigkeit Ihres Systems nachweist, Datenqualitätsstandards mit auditablem Nachweis der Integrität der Trainingsdaten, automatische Protokollierung aller Systementscheidungen und -operationen, sinnvolle menschliche Aufsicht mit der Fähigkeit, in Echtzeit einzugreifen, und CE-Kennzeichnung mit Konformitätsbewertung durch Dritte.

Dies ist nicht nur darum, eine Haftungsausschlussklausel auf Ihrer Website hinzuzufügen. Hochrisikoreiche Systeme erfordern die Art von Qualitätsmanagementsystemen, wie sie typischerweise in der Herstellung von Medizinprodukten oder Sicherheitssystemen im Automobilbereich verwendet werden.

Verständnis der Risikokategorien

Das KI-Gesetz basiert auf einem vierstufigen, risikobasierten Ansatz, der nuancierter ist, als viele realisieren.

• Inakzeptables Risiko (Verboten): Diese KI-Anwendungen sind vollständig verboten – soziale Bewertungssysteme, manipulative KI, die auf verletzliche Gruppen abzielt, Echtzeit-Biometrie-Identifizierung in öffentlichen Räumen (mit begrenzten Ausnahmen für Strafverfolgung) und Emotionserkennung in Arbeitsplätzen oder Schulen.
• Hochrisikoreich (stark reguliert, aber erlaubt): Dies ist der Bereich, in dem viele Unternehmen überrascht werden. Wie bereits erwähnt, umfassen hochrisikoreiche Anwendungen Resume-Screening- und Einstellungstools, Kreditbewertung und Kreditvergabe-Systeme, medizinische Diagnosegeräte, Sicherheitssysteme im Verkehr (autonome Fahrzeuge, Verkehrsmanagement), Bildungsbeurteilungstools, Anwendungen der Strafverfolgung und kritische Infrastrukturmanagement.
• Begrenztes Risiko (Transparenz erforderlich): Diese Systeme umfassen in erster Linie KI, die direkt mit Menschen interagiert oder Inhalte generiert, die mit menschlich erstelltem Material verwechselt werden könnten. Dazu gehören Chatbots, virtuelle Assistenten und KI-Systeme, die synthetische Medien wie Deepfakes oder manipulierte Bilder und Videos erstellen. Für diese Anwendungen ist die Hauptregulierungsanforderung Transparenz – Benutzer müssen klar darüber informiert werden, wenn sie mit einem KI-System und nicht mit einem Menschen interagieren oder wenn Inhalte künstlich erstellt wurden.
• Minimales Risiko: Die Mehrheit der KI-Anwendungen fällt in die Kategorie des minimalen Risikos, die Systeme umfasst, die little Bedrohung für grundlegende Rechte oder Sicherheit darstellen. Dazu gehören gängige Geschäftstools wie Spam-Filter, Inventarverwaltungssysteme, grundlegende Analyseplattformen, Empfehlungsmotoren für Inhalte oder Produkte und automatisierte Kundenroutingsysteme. Für Systeme mit minimalem Risiko gibt es im Wesentlichen keine spezifischen Regulierungsanforderungen im Rahmen des KI-Gesetzes, außer allgemeinen Anforderungen wie KI-Literacy für Mitarbeiter.

Wenn Sie in die Kategorien “Inakzeptables oder Hochrisikoreiches Risiko” fallen, reicht Transparenz allein nicht aus. Wenn Sie in eine andere Kategorie fallen, sind die Konformitätsanforderungen handhabbar.

Die Ripple-Effekt der Foundation-Modelle

Die GPAI-Frist vom August 2025, die gerade verstrichen ist, verdient besondere Aufmerksamkeit, da sie einen Ripple-Effekt im gesamten KI-Ökosystem auslöst. Foundation-Model-Anbieter wie OpenAI, Anthropic und Meta mussten neue Konformitätsmaßnahmen umsetzen, und diese Anforderungen fließen nach unten zu ihren Unternehmenskunden.

Wenn Sie auf diesen Modellen aufbauen, müssen Sie die Konformitätsstrategie Ihres Anbieters verstehen und wie sie Ihre eigenen Verpflichtungen beeinflusst. Einige Model-Anbieter können bestimmte Anwendungsfälle einschränken, andere können Konformitätskosten in Form höherer Preise oder neuer Service-Tarife weitergeben.

Unternehmen sollten ihre KI-Lieferkette jetzt überprüfen, wenn sie dies noch nicht getan haben. Dokumentieren Sie, welche Modelle Sie verwenden, wie Sie sie anpassen und welche Daten durch sie fließen. Diese Inventarisierung wird entscheidend sein, um Ihre aktuellen GPAI-Verpflichtungen zu verstehen und sich auf die Anforderungen für hochrisikoreiche Systeme im Jahr 2026 vorzubereiten.

Vor dem Trend bleiben

Das KI-Gesetz stellt die weltweit erste umfassende KI-Regulierung dar, und wir befinden uns nun in der Mitte seiner schrittweisen Einführung. Mit den GPAI-Verpflichtungen, die nun in Kraft sind, und dem großen Stichtag für hochrisikoreiche Systeme, der im August 2026 ansteht, werden Unternehmen, die die DSGVO als Belastung betrachteten, die Gelegenheit verpasst, Datenschutz zu einem Differenzierungsmerkmal zu machen. Machen Sie nicht den gleichen Fehler bei der KI-Governance.

Die Unternehmen, die am meisten zu kämpfen haben werden, sind diejenigen, die unvorbereitet sind, wenn die Durchsetzung intensiviert wird. Diejenigen, die heute verantwortungsvoll handeln, werden feststellen, dass die Konformität ihre KI-Strategie eher fördert als behindert. Es gibt noch Zeit, vor dem Trend zu bleiben – aber das Fenster schließt sich schnell.