1. Worum es für Unternehmen geht
Die EU-KI-Verordnung (AI Act) schafft einen einheitlichen Rechtsrahmen für Künstliche Intelligenz in der Europäischen Union. Für Unternehmen ist vor allem entscheidend, ob sie KI-Systeme oder KI-generierte Inhalte entwickeln, anbieten, einsetzen oder in eigene Prozesse integrieren. Die Pflichten richten sich nach Rolle, Risiko und Verwendungszweck. Neben den besonderen Vorgaben der Verordnung gelten insbesondere Datenschutzrecht, IT-Sicherheitsanforderungen und sonstige branchenspezifische Regeln weiter.
2. Kennzeichnung KI-generierter Inhalte
KI-generierte oder KI-manipulierte Inhalte müssen in bestimmten Fällen transparent gemacht werden. Das betrifft insbesondere Fotos, Videos und Audioinhalte, die wie echte Personen, Ereignisse oder Aussagen wirken können (sogenannte Deepfakes). Betroffene Inhalte sollen als künstlich erzeugt oder verändert erkennbar sein. Die Kennzeichnung muss klar, verständlich und möglichst unmittelbar beim Inhalt erfolgen.
Auch bei Texten bestehen Transparenzpflichten, wenn KI Inhalte erzeugt oder verändert und diese veröffentlicht werden. Besonders relevant ist dies bei Informationen von öffentlichem Interesse. Unternehmen sollten deshalb nachvollziehbar festlegen, wann ein Hinweis auf KI-Einsatz erforderlich ist, und hierfür einheitliche Freigabe- und Kennzeichnungsprozesse einführen.
Wichtige Ausnahmen: Eine Kennzeichnung ist nicht in jedem Fall nötig. Ausnahmen können insbesondere für gesetzlich zulässige Strafverfolgungszwecke sowie für KI-gestützte Bearbeitung gelten, die keine inhaltliche Veränderung erzeugt oder nur technische Hilfsfunktionen nutzt. Bei redaktionell verantworteten Inhalten kann die Pflicht eingeschränkt sein, wenn eine wirksame menschliche Kontrolle besteht und die verantwortliche Person oder Stelle erkennbar ist. Die Ausnahme sollte jedoch dokumentiert und nicht pauschal angenommen werden.
3. Anbieter und Betreiber unterscheiden
Anbieter entwickeln ein KI-System oder lassen es entwickeln und bringen es unter ihrem Namen in Verkehr oder nehmen es in Betrieb. Sie tragen typischerweise die umfangreichsten produktbezogenen Pflichten, etwa zu Konformität, technischer Dokumentation, Qualitätssicherung und – bei Hochrisiko-KI – zur Bewertung vor dem Inverkehrbringen.
Betreiber setzen ein KI-System im Unternehmen ein. Ihre Pflichten sind stärker auf den konkreten Einsatz ausgerichtet: Sie müssen das System gemäß den Anweisungen verwenden, die menschliche Aufsicht sicherstellen, Risiken im Betrieb beobachten und Vorgaben zu Transparenz, Protokollierung und Datenschutz beachten. Ein Unternehmen kann zugleich Anbieter und Betreiber sein, etwa wenn es ein eigenes KI-System entwickelt und konzernintern oder gegenüber Kunden nutzt.
4. Fortgeltende Unternehmenspflichten
Die KI-Verordnung ersetzt bestehende Pflichten nicht. Unternehmen sollten KI daher in ihre vorhandenen Governance- und Compliance-Strukturen einbinden. Besonders wichtig sind:
- KI-Kompetenz: Beschäftigte und weitere Personen, die KI einsetzen oder beaufsichtigen, brauchen angemessene Kenntnisse und klare Nutzungsregeln.
- Datenschutz: Personenbezogene Daten dürfen nur auf einer tragfähigen Rechtsgrundlage verarbeitet werden. Zweckbindung, Datenminimierung, Betroffenenrechte und gegebenenfalls Datenschutz-Folgenabschätzungen bleiben maßgeblich.
- Risikomanagement: Risiken für Betroffene, Geschäftsprozesse, Diskriminierung, Fehlentscheidungen und Reputationsschäden sollten vor dem Einsatz bewertet und regelmäßig überprüft werden.
- Dokumentation: Einsatzbereiche, verantwortliche Stellen, verwendete Daten, Freigaben, Risiken, Kontrollen und relevante Entscheidungen sollten nachvollziehbar festgehalten werden.
- Menschliche Aufsicht: KI-Ergebnisse dürfen nicht unkritisch übernommen werden, wenn sie erhebliche Auswirkungen haben können. Zuständigkeiten und Eskalationswege müssen klar sein.
- Cybersicherheit: Zugriffsrechte, Schutz von Trainings- und Eingabedaten, sichere Schnittstellen sowie Maßnahmen gegen Manipulation und Missbrauch sind erforderlich.
5. Fristen und Sanktionen
Die Regelungen gelten gestaffelt. Einzelne Verbote und Vorgaben, darunter Anforderungen an KI-Kompetenz, greifen früher; weitere Pflichten für KI-Modelle und Hochrisiko-Systeme folgen in späteren Stufen. Unternehmen sollten deshalb nicht auf den letzten Umsetzungszeitpunkt warten, sondern ihre KI-Anwendungen frühzeitig erfassen und priorisieren. Bei Verstößen drohen – abhängig von Pflichtverletzung und Unternehmensgröße – erhebliche Geldbußen. Maßgeblich sind stets der konkrete Anwendungsfall und die jeweils anwendbaren Vorschriften.
6. Praktische Handlungsempfehlung
Erstellen Sie kurzfristig ein zentrales KI-Inventar: Welche Systeme und generierten Inhalte werden wo eingesetzt, wer ist Anbieter oder Betreiber, welche Daten werden verarbeitet und welche Kennzeichnung ist erforderlich? Ordnen Sie jedem Einsatz eine verantwortliche Person zu, dokumentieren Sie die Risikoprüfung und schulen Sie die betroffenen Teams. So schaffen Sie eine belastbare Grundlage für einen rechtssicheren und verantwortungsvollen KI-Einsatz.