EU AI Act praktisch umsetzen
KI-Einsatz inventarisieren, Rollen und Risiken strukturieren und wirksame Governance in den Betrieb überführen.
Der EU AI Act ordnet Pflichten nach Rolle, KI-System, Zweck und Risiko. Unternehmen sollten daher zuerst ihren KI-Einsatz erfassen, Provider- und Deployer-Rollen abgrenzen sowie verbotene, transparente und potenziell hochriskante Anwendungsfälle prüfen. Daraus folgen Governance, Dokumentation, menschliche Aufsicht sowie technische und organisatorische Maßnahmen. Ob ein konkretes System in den Anwendungsbereich fällt oder als hochriskant gilt, ist im Einzelfall zu bewerten.
Ausgangslage
KI wird oft dezentral eingeführt: durch Fachanwendungen, eingebettete Assistenten, eigene Entwicklungen oder externe Dienste. Ohne ein verlässliches Inventar bleiben Zweck, Datenverwendung, Verantwortliche und eingesetzte Modelle unklar. Das erschwert sowohl die Risikoentscheidung als auch den kontrollierten Betrieb.
Die wesentliche Aufgabe ist deshalb nicht, jedes KI-Werkzeug vorsorglich einer Kategorie zuzuordnen. Entscheidend ist ein wiederholbarer Prozess, der KI-Systeme vor Einsatz erfasst, die Rolle des Unternehmens und den Nutzungskontext dokumentiert, Risiken bewertet, Freigaben steuert und Änderungen im Betrieb nachverfolgt.
Fachliche Einordnung
Die Verordnung (EU) 2024/1689 (AI Act) verfolgt einen risikobasierten Ansatz. Sie enthält unter anderem Verbote bestimmter Praktiken, Anforderungen für Hochrisiko-KI, Transparenzpflichten für bestimmte Systeme und Regeln für Anbieter von General-Purpose-AI-Modellen (GPAI). Der konkrete Pflichtenumfang richtet sich nicht allein nach dem verwendeten Modellnamen, sondern unter anderem nach Rolle, Zweckbestimmung und Einsatzkontext.
Provider entwickeln ein KI-System oder lassen es entwickeln und bringen es unter eigenem Namen oder eigener Marke in Verkehr oder nehmen es in Betrieb. Deployer nutzen ein KI-System unter ihrer Aufsicht; bestimmte private, nichtberufliche Nutzungen sind ausgenommen. Rollen können entlang einer Lieferkette unterschiedlich sein und müssen pro System geprüft werden.
Für Hochrisiko-KI nennt der AI Act ein System aus Risikomanagement, Daten-Governance, technischer Dokumentation, Protokollierung, Transparenz und Informationen für Deployer, menschlicher Aufsicht, Genauigkeit, Robustheit und Cybersicherheit. Diese Anforderungen sind keine Checkliste für jedes KI-System; sie betreffen Hochrisiko-KI und sind in der konkreten Rollenverteilung auszulegen.
Der AI Act steht neben der DSGVO. Werden personenbezogene Daten verarbeitet, bleiben die Anforderungen der DSGVO eigenständig anwendbar. Die Seite DSGVO in IT und Cloud vertieft Rollen, Zugriffe, Schutz, Löschung und Nachweisfähigkeit.
Zeitlinie des AI Act
1. August 2024
Regelungsstand: Der AI Act tritt in Kraft.
2. Februar 2025
Regelungsstand: Verbote, Begriffsbestimmungen und Maßnahmen für ausreichende KI-Kompetenz gelten.
2. August 2025
Regelungsstand: Governance-Regeln und GPAI-Pflichten gelten.
2. August 2026
Regelungsstand: Viele weitere Vorschriften und die Transparenzpflichten nach Art. 50 gelten.
2. Dezember 2027
Regelungsstand: Regeln für Hochrisiko-KI nach Art. 6 Abs. 2 in Verbindung mit Anhang III gelten.
2. August 2028
Regelungsstand: Regeln für produktintegrierte Hochrisiko-KI nach Art. 6 Abs. 1 in Verbindung mit Anhang I gelten.
Die geltende Änderungsverordnung (EU) 2026/1744 bestimmt die genannten Anwendungstermine für Hochrisiko-KI. Bei konkreten Entscheidungen ist der jeweils aktuelle konsolidierte Rechtsstand zu prüfen.
Rollen- und Risiko-Triage
In welcher Rolle handelt die Organisation?
Erste Einordnung: Provider, Deployer, Importeur oder Händler sind anhand des konkreten Systems und der Lieferkette zu prüfen.
Welche Risikokategorie kommt in Betracht?
Erste Einordnung: Zuerst auf verbotene Praktiken, Transparenzpflichten, GPAI-Bezug und mögliche Hochrisiko-KI prüfen.
Was folgt aus der Triage?
Erste Einordnung: Risikoarme oder sonstige Fälle dokumentieren; relevante Fälle mit Rechts-, Compliance-, Datenschutz- und Fachfunktionen vertiefen.
Was Unternehmen konkret klären müssen
- Welche KI-Systeme, Modelle, Funktionen und automatisierten Entscheidungen im Unternehmen eingesetzt, entwickelt, beschafft oder wesentlich verändert werden.
- Welche Gesellschaft oder Einheit in welchem Fall Provider, Deployer, Importeur, Händler oder sonstiger Akteur sein könnte.
- Welcher Zweck, welche betroffenen Personen, welche Daten und welche potenziellen Auswirkungen mit dem Einsatz verbunden sind.
- Ob verbotene Praktiken, Transparenzpflichten, GPAI-Bezüge oder eine Prüfung auf Hochrisiko-KI in Betracht kommen.
- Wie Freigaben, menschliche Aufsicht, Änderungen, Sicherheitsvorfälle, Leistungsüberwachung und Abschaltung gesteuert werden.
- Welche Dokumente, Protokolle, Tests und Schulungsnachweise für den jeweiligen Einsatz nachvollziehbar vorliegen müssen.
Von der Anforderung zur Umsetzung
KI-Inventar und Rollen
Risiko: unbekannte Systeme und Verantwortlichkeiten
Organisatorische Maßnahme: Melde-, Bewertungs- und Freigabeprozess
Technische Umsetzung: zentraler Katalog, Eigentümer und Lebenszyklusstatus
Möglicher Nachweis: Inventar, Rollenentscheidung, Freigabe
Risikoprüfung
Risiko: ungeeigneter Einsatz oder Grundrechtsrisiken
Organisatorische Maßnahme: Use-Case-Bewertung und Eskalationsweg
Technische Umsetzung: dokumentierte Zweckbindung, Test- und Kontrollkriterien
Möglicher Nachweis: Bewertungsakte, Risiko- und Maßnahmenprotokoll
Menschliche Aufsicht
Risiko: unkontrollierte automatisierte Wirkung
Organisatorische Maßnahme: klare Eingriffs-, Prüf- und Abbruchrechte
Technische Umsetzung: Freigabepunkte, Eskalierung, Auditierbarkeit
Möglicher Nachweis: Rollenbeschreibung, Arbeitsanweisung, Testnachweise
Nachvollziehbarkeit
Risiko: Entscheidungen und Outputs nicht prüfbar
Organisatorische Maßnahme: Dokumentations- und Änderungsprozess
Technische Umsetzung: Protokollierung, Versions- und Zugriffsmanagement
Möglicher Nachweis: technische Dokumentation, Logs, Änderungsverlauf
Robustheit und Datenschutz
Risiko: Manipulation, Ausfall oder unzulässige Datenverarbeitung
Organisatorische Maßnahme: Security- und Datenschutzprüfung
Technische Umsetzung: Zugriffssteuerung, Datenminimierung, Monitoring
Möglicher Nachweis: Sicherheitsreviews, Konfigurationen, DSFA-/Datenschutzbezug
Grenzen und Abhängigkeiten
ADIUMENTO erbringt keine Rechtsberatung und trifft keine verbindliche Betroffenheits- oder Risikoklassenfeststellung. Diese hängt insbesondere vom konkreten System, seiner Zweckbestimmung, der Rolle in der Wertschöpfungskette und dem Nutzungskontext ab. Auch eine technische Umsetzung ersetzt weder die rechtliche Bewertung noch die Verantwortung der zuständigen Unternehmensfunktionen.
Die Rechtslage entwickelt sich durch Leitlinien, Standards, Durchsetzungspraxis und Änderungen weiter. Insbesondere die durch Verordnung (EU) 2026/1744 geänderten Anwendungszeitpunkte für Hochrisiko-KI müssen bei konkreten Entscheidungen gegen den jeweils aktuellen Rechtsstand geprüft werden.
Weiterführende offizielle Quellen
- Verordnung (EU) 2024/1689 (AI Act) – EUR-Lex
- Verordnung (EU) 2026/1744 (Digital Omnibus on AI) – EUR-Lex
- EU-Kommission: AI Act Framework – EU-Kommission
- EU-Kommission: Transparenzpflichten nach Art. 50 – EU-Kommission
Orientierung
Häufige Fragen
Müssen wir jedes KI-Werkzeug als Hochrisiko-KI behandeln?
Nein. Der AI Act unterscheidet nach System, Zweck und Risiko. Ein vollständiges Inventar und ein klarer Bewertungsprozess helfen, potenziell relevante Fälle zu erkennen, ohne vorweg eine rechtliche Klassifizierung zu behaupten.
Reicht eine KI-Richtlinie aus?
Nein. Eine Richtlinie schafft Orientierung, muss aber durch Verantwortlichkeiten, Freigaben, technische Zugriffskontrollen, Dokumentation, Schulung und einen überprüfbaren Betrieb ergänzt werden.
Verschiebt der Digital Omnibus alle AI-Act-Pflichten?
Nein. Zum Stichtag 31. Juli 2026 bleiben bereits geltende Regelungen, einschließlich der Verbote, KI-Kompetenz und GPAI-Pflichten, bestehen. Die Verordnung (EU) 2026/1744 änderte insbesondere die Zeitpunkte für Hochrisiko-KI nach Art. 6 und den Anhängen I und III.
Nächster sinnvoller Schritt
Beginnen Sie mit einer Governance- und Readiness-Vorbereitung für einen begrenzten Bereich: Systeme, Zwecke, Daten, Verantwortliche und vorhandene Kontrollen erfassen. Für den operativen Umgang mit Microsoft Copilot und Shadow AI lesen Sie Copilot Governance und Shadow AI.