EU AI Act & DSGVO: KI rechtssicher im Unternehmen nutzen
Der EU AI Act schafft verbindliche Regeln für KI-Systeme in Europa – und verpflichtet Unternehmen, bereits bei der Implementierung Compliance-Anforderungen zu beachten. Zusammen mit der DSGVO entstehen damit zwei sich ergänzende Regelwerke, die entscheidend beeinflussen, wie Sie KI rechtssicher im Betrieb einsetzen. Dieser Leitfaden zeigt Ihnen die Kernpflichten und praktische Schritte für Ihren Mittelstand.
Was ist der EU AI Act und wen betrifft er?
Der EU AI Act ist ein Regulations-Vorschlag der Europäischen Kommission, der KI-Systeme in einer Risiko-orientierten Stufenlogik reguliert. Das Gesetz wurde im März 2024 formal verabschiedet und tritt schrittweise in Kraft – die meisten Anforderungen für Unternehmen werden ab 2026 verbindlich.
Betroffen sind Sie als Mittelständler, wenn Sie:
- KI-Systeme entwickeln oder bereitstellen (auch als Integrator von Fremdsystemen)
- KI-Anwendungen in kritischen Bereichen nutzen (Personalwesen, Kreditvergabe, biometrische Identifikation)
- Hochrisiko-KI-Systeme einsetzen oder diese Systeme weitergeben
- Mit EU-Kunden oder EU-Märkten geschäftlich tätig sind
Die gute Nachricht: Der EU AI Act betrifft nicht nur große Tech-Konzerne. Auch mittelständische Unternehmen müssen sich vorbereiten – insbesondere wenn Sie KI in sensiblen Bereichen wie Personalentscheidungen, Kreditwürdigkeitsprüfungen oder Kundenprofilierung nutzen.
Die vier Risikokategorien des EU AI Act
Das Gesetz sortiert KI-Systeme in vier Risikoebenen. Je höher das Risiko, desto strenger die Anforderungen:
- Minimales Risiko: Standard-Chatbots, einfache Filterung – kaum Auflagen
- Begrenztes Risiko: Transparenz-Anforderungen, z.B. Hinweis auf KI-Nutzung im Kundenkontakt
- Hohes Risiko: Umfangreiche Dokumentation, Testprotokolle, Audit-Anforderungen, z.B. bei Personalauswahl-KI
- Verbotenes Risiko: Biometrische Massenüberwachung, Manipulation, Diskriminierung – nicht erlaubt
Ihre erste Aufgabe ist daher eine Risiko-Klassifizierung: Welche KI-Systeme setzen Sie ein? Welches Risikoprofil haben diese? Diese Selbstbewertung ist die Grundlage aller weiteren Compliance-Maßnahmen.
EU AI Act und DSGVO: Das Zusammenspiel
Viele Mittelständler sehen DSGVO und EU AI Act als separate Themen. Das ist ein Fehler. Beide Gesetze greifen ineinander:
- DSGVO: Regelt, wie Sie personenbezogene Daten verarbeiten (Speicherung, Sicherheit, Einwilligung)
- EU AI Act: Regelt, wie KI-Systeme mit diesen Daten arbeiten und welche Risiken dabei entstehen
Ein praktisches Beispiel: Sie implementieren ein KI-Recruiting-Tool. Die DSGVO schreibt vor, dass Sie eine Rechtfertigungsgrundlage für die Datenverarbeitung benötigen und ein hohes Sicherheitsniveau gewährleisten müssen. Der EU AI Act fügt hinzu: Dieses Tool ist Hochrisiko-KI, Sie müssen daher Algorithmen-Tests, Dokumentation und Audit-Reports anfertigen – und die betroffenen Kandidaten haben ein Recht auf Erklärbarkeit, wenn ein Nein-Ergebnis zu Diskriminierung führen könnte.
Ohne saubere Datenverabeitung (DSGVO) können Sie den EU AI Act nicht erfüllen. Und ohne Risiko-Management nach EU AI Act wird Ihre DSGVO-Compliance unvollständig.
Praktische Schritte zur EU-AI-Act-Compliance im Mittelstand
Wie setzen Sie diese Anforderungen um? Hier ist ein bewährter Fahrplan:
1. KI-Audit: Systemisches Inventar
Erstellen Sie ein Verzeichnis aller KI-Systeme in Ihrem Unternehmen. Integrierte KI-Features zählen dazu – nicht nur dedizierte KI-Software. Dokumentieren Sie: Herkunft (selbst entwickelt oder gekauft?), Inputdaten (Personendaten?), Outputentscheidungen (beeinflussen Kundenbeziehungen?).
2. Risikobewertung pro System
Ordnen Sie jedes System einer Risikokategorie zu. Fragen Sie sich: Könnte dieses System Grundrechte verletzen? Könnte es zu unfairer Diskriminierung führen? Bei Ja: Das ist hochrisiko-KI und erfordert Hochleistungs-Compliance.
3. Dokumentation für Hochrisiko-Systeme
Für alle Systeme im Hochrisiko-Bereich (z.B. Personalauswahl, Kreditvergabe, Preisgestaltung) erstellen Sie:
- Trainingsdatensätze-Dokumentation (Qualität, Bias-Analyse)
- Algorithmen-Dokumentation (Welche Variablen bestimmen die Entscheidung?)
- Testprotokolle (Funktioniert das System korrekt? Diskriminiert es?)
- Überwachungspläne (Wie kontrollieren Sie laufende Leistung?)
4. Transparenz-Maßnahmen
Kommunizieren Sie offen, wenn Ihre Systeme KI nutzen:
- Kundenkommunikation: „Ihre Kreditentscheidung wurde teilweise automatisiert getroffen”
- Mitarbeiter-Info: „Wir nutzen KI-gestützte Textanalyse im Recruiting”
- Datenschutzerklärung: Erwähnung von KI-Systemen und Betroffenenrechten
5. Betroffenenrechte etablieren
Der EU AI Act garantiert Betroffenen (Kunden, Kandidaten) das Recht, eine automatisierte Entscheidung anfechten zu können und eine Erklärung zu erhalten. Schaffen Sie Prozesse, um solche Anfragen zu bearbeiten – beispielsweise ein Kontaktformular oder einen Ombudsmann-Prozess.
Häufige Fragen
Gilt der EU AI Act auch für kleine Unternehmen?
Ja. Das Gesetz unterscheidet nicht nach Unternehmensgröße. Allerdings haben kleinere Unternehmen proportional weniger Aufwand: Ein einfacher Chatbot ist niedrig-risiko und erfordert minimal Dokumentation. Hochrisiko-KI ist für alle bindend.
Wie unterscheidet sich der EU AI Act von der DSGVO?
Die DSGVO schützt Datenschutz und Privatsphäre. Der EU AI Act schützt vor Diskriminierung, mangelnder Transparenz und Verbraucherschäden durch KI. Ein System kann DSGVO-konform sein, aber den EU AI Act verletzen – oder umgekehrt. Beide Gesetze müssen erfüllt sein.
Wann wird der EU AI Act konkret Pflicht?
Die meisten Anforderungen werden ab Januar 2026 verbindlich. Hochrisiko-KI-Systeme müssen dann registriert, dokumentiert und getestet sein. Die Übergangszeit jetzt ist ideal für die Vorbereitung.
Was kostet die Compliance-Umsetzung?
Das hängt von Ihrem KI-Portfolio ab. Für ein Hochrisiko-System rechnen Sie mit einmalig 5.000–15.000 Euro für Audit, Dokumentation und Tests, plus regelmäßige Überwachung (500–1.500 Euro/Jahr). Externe Beratung kann diese Kosten senken und Rechtsrisiken minimieren.
Kann ich als Käufer einer KI-Lösung strafen werden?
Der EU AI Act unterscheidet zwischen Anbietern und Anwendern. Als Anwender haben Sie weniger Pflichten – aber Sie müssen sicherstellen, dass der Anbieter compliant ist, und Sie tragen Verantwortung bei Missbrauch. Fragen Sie Ihren KI-Softwareanbieter explizit nach EU-AI-Act-Compliance.
Fazit und nächste Schritte
Der EU AI Act ist kein Hindernis für KI-Innovation – sondern ein Rahmen, der Vertrauen schafft. Unternehmen, die jetzt proaktiv handeln, bauen Compliance-Prozesse auf, die ihre Systeme schlagkräftiger und kundennäher machen. Gleichzeitig vermeiden Sie kostspielige Bußgelder (bis 6 % des globalen Umsatzes) und Reputationsschäden.
Der erste Schritt ist konkret: Inventarisieren Sie Ihre KI-Systeme, klassifizieren Sie das Risiko, und priorisieren Sie die Hochrisiko-KI. Danach beginnt die Dokumentation und Umsetzung – ein Prozess, der oft schneller vorangeht als erwartet.
Sie möchten sichergehen, dass Ihre KI-Implementierung den Anforderungen entspricht? Lassen Sie sich von Experten beraten. Vereinbaren Sie ein kostenloses Erstgespräch, um Ihre Compliance-Lage zu klären. Weitere Informationen zur rechtssicheren KI-Implementierung finden Sie auf KI-Implementierung.at.