Category: Datenschutz & EU AI Act

Der EU AI Act regelt die Verwendung von Künstlicher Intelligenz in der Europäischen Union erstmals verbindlich und wird ab 2025 schrittweise verpflichtend. Unternehmen im Mittelstand müssen verstehen, dass KI-Systeme künftig nach ihrem Risikopotenzial klassifiziert werden und entsprechende Compliance-Anforderungen erfüllen müssen. Parallel zur DSGVO entstehen damit neue Anforderungen an Datenschutz, Transparenz und Nachvollziehbarkeit von automatisierten Entscheidungen.

Der EU AI Act im Überblick: Was Geschäftsführer wissen müssen

Der EU AI Act ist ein Regelwerk, das die Risiken von KI-Systemen in vier Kategorien einteilt:

• Verbotene Systeme: KI-Anwendungen mit unannehmbarem Risiko (z. B. Social Scoring, Manipulation von Verhalten)
• Hochrisiko-Systeme: KI in Bereichen wie Einstellung, Kreditvergabe, Überwachung – erfordern Konformitätsprüfungen, Dokumentation und Tests
• Systeme mit speziellen Transparenzanforderungen: Chatbots, generative KI – Nutzer müssen wissen, dass sie mit KI interagieren
• Systeme mit minimalem Risiko: Viele Standard-Anwendungen ohne hohe regulatorische Anforderungen

Für den Mittelstand bedeutet dies: Sie müssen vor KI-Einführung klären, in welche Kategorie Ihre geplante Lösung fällt. Ein Chatbot zur Kundenkommunikation unterliegt anderen Regeln als ein KI-System zur automatisierten Bewerbungsauswahl.

DSGVO und EU AI Act: Wie beide Regelwerke zusammenhängen

Die DSGVO schützt personenbezogene Daten; der EU AI Act reguliert die Funktionsweise und das Verhalten von KI-Systemen. Sie ergänzen sich:

• Datenverarbeitung (DSGVO): Wer darf welche Daten für KI nutzen? Betroffene müssen informiert sein, haben Auskunfts- und Widerspruchsrechte.
• KI-Entscheidungen (EU AI Act): Wie funktioniert das System? Ist es nachvollziehbar, diskriminierungsfrei, sicher?

Praktisches Beispiel: Sie setzen ein KI-System zur Personalauswahl ein. Nach DSGVO müssen Sie dokumentieren, welche Bewerberdaten Sie speichern und verarbeiten – und den Kandidaten mitteilen, dass eine automatisierte Entscheidung stattfindet. Nach EU AI Act müssen Sie zusätzlich nachweisen, dass das System nicht diskriminiert, und Sie benötigen ein explizites Konformitätszertifikat, da Personalauswahl ein Hochrisiko-Use-Case ist.

Hochrisiko-KI-Systeme: Compliance-Anforderungen für den Mittelstand

Besondere Aufmerksamkeit ist geboten, wenn Sie KI in diesen Bereichen einsetzen:

• Mitarbeiterverwaltung und Einstellung
• Kreditvergabe und Bonitätsprüfung
• Automatisierte Entscheidungen mit erheblicher Auswirkung auf Betroffene
• Biometrische Systeme und Echtzeit-Gesichtserkennung

Für diese Systeme verlangt der EU AI Act:

• Risikobewertung: Vor Einsatz eine schriftliche Analyse durchführen und dokumentieren
• Qualitätssicherung: Trainings- und Testdaten müssen repräsentativ sein, regelmäßige Kontrollen auf Bias durchführen
• Transparenz: Betroffene müssen über automatisierte Entscheidungen aufgeklärt werden
• Menschliche Übersicht: Kritische Entscheidungen darf die KI nicht vollautomatisiert treffen
• Dokumentation: Alle Tests, Anpassungen und Entscheidungen müssen nachweisbar sein

Generative KI wie ChatGPT im Unternehmen: Was ist erlaubt?

Generative KI-Modelle (ChatGPT, Claude, Gemini) unterliegen nach dem EU AI Act speziellen Transparenzanforderungen. Das bedeutet:

• Offenlegungspflicht: Nutzer müssen wissen, dass sie mit KI kommunizieren
• Sicherheit gegen Missbrauch: Systeme müssen vor Jailbreaking und Manipulation geschützt sein
• Datenschutz: Eingaben dürfen nicht zum Trainieren neuer Modelle verwendet werden (DSGVO)
• Transparenz-Dokumentation: Sie müssen dokumentieren, welche Trainings- und Testdaten die KI hatte

Praktisch für Mittelständler: Wenn Sie ChatGPT für interne Dokumentation oder Kundenservice nutzen, müssen Sie Datenschutzerklärungen aktualisieren und sicherstellen, dass keine sensiblen Kundendaten in die KI eingegeben werden. Mit OpenAI Business oder ähnlichen Lösungen mit Daten-Opt-out können Sie das sicherer gestalten.

Praktische Schritte: Wie Sie KI rechtssicher implementieren

1. Bestandsaufnahme durchführen: Wo setzen Sie bereits KI ein? Was sind die nächsten geplanten Projekte? Welche Daten sind betroffen?

2. Risikoklassifizierung: Bewerten Sie mit Ihrer IT und Rechtsberatung, welche Kategorie Ihre KI-Systeme erfüllen.

3. Datenschutz-Impact-Assessment (DPIA): Speziell für Hochrisiko-Systeme ist eine DPIA nach DSGVO sinnvoll – dies schafft auch Klarheit für den EU AI Act.

4. Governance und Dokumentation: Etablieren Sie ein internes Verfahren: Wer genehmigt neue KI-Systeme? Wer trägt Verantwortung? Wie werden Tests dokumentiert?

5. Schulung des Teams: Ihre Mitarbeiter, insbesondere im HR, Einkauf und Management, müssen verstehen, wie die KI funktioniert und welche Entscheidungen sie treffen darf.

6. Regelmäßige Audits: KI-Systeme müssen überwacht werden – insbesondere auf Bias und Fehler. Ein jährliches Audit ist empfohlen.

Häufige Fragen

Wann tritt der EU AI Act in Kraft?

Der EU AI Act tritt stufenweise in Kraft: Verbotene KI-Praktiken sind bereits ab Dezember 2024 untersagt. Hochrisiko-Anforderungen gelten ab 2025/2026 je nach Kategorie. Ab 2027 müssen auch kleinere Unternehmen in Hochrisiko-Bereichen konform sein.

Muss ich meine gesamte KI-Nutzung neu bewerten?

Ja, eine Bestandsaufnahme ist sinnvoll. Allerdings: Systeme mit minimalem Risiko (z. B. einfache Prognosen) haben keine hohen Anforderungen. Hochrisiko-Systeme (Personalauswahl, Kreditvergabe) benötigen Investition in Compliance.

Ist die Nutzung von ChatGPT verboten?

Nein. Die Nutzung ist erlaubt, aber Sie müssen dokumentieren, dass Sie wissen, dass es sich um KI handelt, und Datenschutz einhalten. Mit Business-Versionen und Datenschutz-Add-ons ist es rechtssicher möglich.

Was passiert, wenn ich nicht konform bin?

Geldbußgelder zwischen 10–40 Millionen Euro oder bis 6 % des globalen Jahresumsatzes sind möglich. Daher ist Compliance kein optionales Thema, sondern ein Geschäftsrisiko.

Brauche ich einen externen Berater für EU AI Act Compliance?

Für Hochrisiko-Systeme oder größere KI-Projekte ist externe Unterstützung empfohlen. Ein Berater hilft, Risiken richtig zu klassifizieren, Tests zu dokumentieren und Rechtskonformität zu sichern – und spart langfristig Kosten durch fehlerfreie Implementierung.

Der EU AI Act ist kein Hindernis für KI-Innovation im Mittelstand – er ist eine Orientierung. Mit klaren Prozessen, guter Dokumentation und dem richtigen Verständnis für Risiken können Sie KI rechtssicher und wertschöpfend einsetzen. Die beste Zeit, damit zu beginnen, ist jetzt: Bewerten Sie Ihre aktuellen Systeme, klären Sie Hochrisiko-Use-Cases und bauen Sie eine nachhaltige KI-Governance auf. Wenn Sie Unterstützung benötigen, um KI-Compliance in Ihrem Unternehmen zu verankern, laden wir Sie zu einem kostenlosen Erstgespräch ein. Erfahren Sie mehr über rechtssichere KI-Implementierung auf KI-Implementierung.at.

Der EU AI Act schafft verbindliche Regeln für KI-Systeme in Europa – und verpflichtet Unternehmen, bereits bei der Implementierung Compliance-Anforderungen zu beachten. Zusammen mit der DSGVO entstehen damit zwei sich ergänzende Regelwerke, die entscheidend beeinflussen, wie Sie KI rechtssicher im Betrieb einsetzen. Dieser Leitfaden zeigt Ihnen die Kernpflichten und praktische Schritte für Ihren Mittelstand.

Was ist der EU AI Act und wen betrifft er?

Der EU AI Act ist ein Regulations-Vorschlag der Europäischen Kommission, der KI-Systeme in einer Risiko-orientierten Stufenlogik reguliert. Das Gesetz wurde im März 2024 formal verabschiedet und tritt schrittweise in Kraft – die meisten Anforderungen für Unternehmen werden ab 2026 verbindlich.

Betroffen sind Sie als Mittelständler, wenn Sie:

• KI-Systeme entwickeln oder bereitstellen (auch als Integrator von Fremdsystemen)
• KI-Anwendungen in kritischen Bereichen nutzen (Personalwesen, Kreditvergabe, biometrische Identifikation)
• Hochrisiko-KI-Systeme einsetzen oder diese Systeme weitergeben
• Mit EU-Kunden oder EU-Märkten geschäftlich tätig sind

Die gute Nachricht: Der EU AI Act betrifft nicht nur große Tech-Konzerne. Auch mittelständische Unternehmen müssen sich vorbereiten – insbesondere wenn Sie KI in sensiblen Bereichen wie Personalentscheidungen, Kreditwürdigkeitsprüfungen oder Kundenprofilierung nutzen.

Die vier Risikokategorien des EU AI Act

Das Gesetz sortiert KI-Systeme in vier Risikoebenen. Je höher das Risiko, desto strenger die Anforderungen:

• Minimales Risiko: Standard-Chatbots, einfache Filterung – kaum Auflagen
• Begrenztes Risiko: Transparenz-Anforderungen, z.B. Hinweis auf KI-Nutzung im Kundenkontakt
• Hohes Risiko: Umfangreiche Dokumentation, Testprotokolle, Audit-Anforderungen, z.B. bei Personalauswahl-KI
• Verbotenes Risiko: Biometrische Massenüberwachung, Manipulation, Diskriminierung – nicht erlaubt

Ihre erste Aufgabe ist daher eine Risiko-Klassifizierung: Welche KI-Systeme setzen Sie ein? Welches Risikoprofil haben diese? Diese Selbstbewertung ist die Grundlage aller weiteren Compliance-Maßnahmen.

EU AI Act und DSGVO: Das Zusammenspiel

Viele Mittelständler sehen DSGVO und EU AI Act als separate Themen. Das ist ein Fehler. Beide Gesetze greifen ineinander:

• DSGVO: Regelt, wie Sie personenbezogene Daten verarbeiten (Speicherung, Sicherheit, Einwilligung)
• EU AI Act: Regelt, wie KI-Systeme mit diesen Daten arbeiten und welche Risiken dabei entstehen

Ein praktisches Beispiel: Sie implementieren ein KI-Recruiting-Tool. Die DSGVO schreibt vor, dass Sie eine Rechtfertigungsgrundlage für die Datenverarbeitung benötigen und ein hohes Sicherheitsniveau gewährleisten müssen. Der EU AI Act fügt hinzu: Dieses Tool ist Hochrisiko-KI, Sie müssen daher Algorithmen-Tests, Dokumentation und Audit-Reports anfertigen – und die betroffenen Kandidaten haben ein Recht auf Erklärbarkeit, wenn ein Nein-Ergebnis zu Diskriminierung führen könnte.

Ohne saubere Datenverabeitung (DSGVO) können Sie den EU AI Act nicht erfüllen. Und ohne Risiko-Management nach EU AI Act wird Ihre DSGVO-Compliance unvollständig.

Praktische Schritte zur EU-AI-Act-Compliance im Mittelstand

Wie setzen Sie diese Anforderungen um? Hier ist ein bewährter Fahrplan:

1. KI-Audit: Systemisches Inventar

Erstellen Sie ein Verzeichnis aller KI-Systeme in Ihrem Unternehmen. Integrierte KI-Features zählen dazu – nicht nur dedizierte KI-Software. Dokumentieren Sie: Herkunft (selbst entwickelt oder gekauft?), Inputdaten (Personendaten?), Outputentscheidungen (beeinflussen Kundenbeziehungen?).

2. Risikobewertung pro System

Ordnen Sie jedes System einer Risikokategorie zu. Fragen Sie sich: Könnte dieses System Grundrechte verletzen? Könnte es zu unfairer Diskriminierung führen? Bei Ja: Das ist hochrisiko-KI und erfordert Hochleistungs-Compliance.

3. Dokumentation für Hochrisiko-Systeme

Für alle Systeme im Hochrisiko-Bereich (z.B. Personalauswahl, Kreditvergabe, Preisgestaltung) erstellen Sie:

• Trainingsdatensätze-Dokumentation (Qualität, Bias-Analyse)
• Algorithmen-Dokumentation (Welche Variablen bestimmen die Entscheidung?)
• Testprotokolle (Funktioniert das System korrekt? Diskriminiert es?)
• Überwachungspläne (Wie kontrollieren Sie laufende Leistung?)

4. Transparenz-Maßnahmen

Kommunizieren Sie offen, wenn Ihre Systeme KI nutzen:

• Kundenkommunikation: „Ihre Kreditentscheidung wurde teilweise automatisiert getroffen”
• Mitarbeiter-Info: „Wir nutzen KI-gestützte Textanalyse im Recruiting”
• Datenschutzerklärung: Erwähnung von KI-Systemen und Betroffenenrechten

5. Betroffenenrechte etablieren

Der EU AI Act garantiert Betroffenen (Kunden, Kandidaten) das Recht, eine automatisierte Entscheidung anfechten zu können und eine Erklärung zu erhalten. Schaffen Sie Prozesse, um solche Anfragen zu bearbeiten – beispielsweise ein Kontaktformular oder einen Ombudsmann-Prozess.

Häufige Fragen

Gilt der EU AI Act auch für kleine Unternehmen?

Ja. Das Gesetz unterscheidet nicht nach Unternehmensgröße. Allerdings haben kleinere Unternehmen proportional weniger Aufwand: Ein einfacher Chatbot ist niedrig-risiko und erfordert minimal Dokumentation. Hochrisiko-KI ist für alle bindend.

Wie unterscheidet sich der EU AI Act von der DSGVO?

Die DSGVO schützt Datenschutz und Privatsphäre. Der EU AI Act schützt vor Diskriminierung, mangelnder Transparenz und Verbraucherschäden durch KI. Ein System kann DSGVO-konform sein, aber den EU AI Act verletzen – oder umgekehrt. Beide Gesetze müssen erfüllt sein.

Wann wird der EU AI Act konkret Pflicht?

Die meisten Anforderungen werden ab Januar 2026 verbindlich. Hochrisiko-KI-Systeme müssen dann registriert, dokumentiert und getestet sein. Die Übergangszeit jetzt ist ideal für die Vorbereitung.

Was kostet die Compliance-Umsetzung?

Das hängt von Ihrem KI-Portfolio ab. Für ein Hochrisiko-System rechnen Sie mit einmalig 5.000–15.000 Euro für Audit, Dokumentation und Tests, plus regelmäßige Überwachung (500–1.500 Euro/Jahr). Externe Beratung kann diese Kosten senken und Rechtsrisiken minimieren.

Kann ich als Käufer einer KI-Lösung strafen werden?

Der EU AI Act unterscheidet zwischen Anbietern und Anwendern. Als Anwender haben Sie weniger Pflichten – aber Sie müssen sicherstellen, dass der Anbieter compliant ist, und Sie tragen Verantwortung bei Missbrauch. Fragen Sie Ihren KI-Softwareanbieter explizit nach EU-AI-Act-Compliance.

Fazit und nächste Schritte

Der EU AI Act ist kein Hindernis für KI-Innovation – sondern ein Rahmen, der Vertrauen schafft. Unternehmen, die jetzt proaktiv handeln, bauen Compliance-Prozesse auf, die ihre Systeme schlagkräftiger und kundennäher machen. Gleichzeitig vermeiden Sie kostspielige Bußgelder (bis 6 % des globalen Umsatzes) und Reputationsschäden.

Der erste Schritt ist konkret: Inventarisieren Sie Ihre KI-Systeme, klassifizieren Sie das Risiko, und priorisieren Sie die Hochrisiko-KI. Danach beginnt die Dokumentation und Umsetzung – ein Prozess, der oft schneller vorangeht als erwartet.

Sie möchten sichergehen, dass Ihre KI-Implementierung den Anforderungen entspricht? Lassen Sie sich von Experten beraten. Vereinbaren Sie ein kostenloses Erstgespräch, um Ihre Compliance-Lage zu klären. Weitere Informationen zur rechtssicheren KI-Implementierung finden Sie auf KI-Implementierung.at.