EU AI Act

Wie funktioniert der risikobasierte Ansatz?

Der AI Act teilt KI-Anwendungen in vier Stufen: Verbotene Praktiken wie Social Scoring sind seit Februar 2025 untersagt. Hochrisiko-Systeme - KI, die über Lebenswege mitentscheidet, etwa bei Bewerbungen oder Kreditvergabe - tragen die schweren Pflichten wie Konformitätsbewertung und Risikomanagement. Anwendungen mit begrenztem Risiko brauchen vor allem Transparenz (ein Chatbot muss sich als solcher zu erkennen geben). Die große Mehrheit mit minimalem Risiko, vom Spamfilter bis zur Rechtschreibkorrektur, bleibt unreguliert. Der typische Mittelständler bewegt sich fast immer in den beiden unteren Stufen.

Anbieter oder Betreiber - warum ist das entscheidend?

Anbieter ist, wer ein KI-System entwickelt oder unter eigenem Namen vermarktet - dort liegen die aufwendigen Pflichten. Betreiber („Deployer”) ist, wer ein fertiges fremdes System einsetzt: der Normalfall im Mittelstand, sobald ChatGPT zum Texten oder Copilot in Office läuft. Vorsicht beim Rollenwechsel: Wer ein System wesentlich umbaut oder für einen Hochrisiko-Zweck einspannt, kann selbst zum Anbieter werden.

Was sollten KMU jetzt tun?

Sechs Schritte reichen für den Pflichtteil: KI-Inventar erstellen (auch private Accounts - Stichwort Shadow AI), Rollen klären, KI-Kompetenz nachweisbar schulen, eine interne KI-Richtlinie aufsetzen, Chatbots und KI-Inhalte rechtzeitig kennzeichnen, Verantwortlichkeit benennen. Die viel diskutierte Fristverschiebung betrifft nur den Hochrisiko-Bereich - Details im Beitrag EU AI Act: Was KMU jetzt wirklich tun müssen.