Der EU AI Act ist das weltweit erste umfassende Gesetz zur Regulierung künstlicher Intelligenz. Er verfolgt ein einfaches Prinzip: Nicht jede KI ist g

Der EU AI Act ist das weltweit erste umfassende Gesetz zur Regulierung künstlicher Intelligenz. Er verfolgt ein einfaches Prinzip: Nicht jede KI ist gleich riskant – und deshalb gelten auch nicht für jede KI dieselben Regeln. Das Gesetz gilt für Anbieter und Betreiber von KI-Systemen wenn diese auf dem EU-Markt bereitgestellt werden oder ihre Ergebnisse in der EU verwendet werden – unabhängig vom Unternehmenssitz. Wer KI-Produkte oder KI-Dienste an europäische Kunden richtet, fällt darunter. Ähnlich wie bei der DSGVO entscheidet nicht der Standort des Unternehmens, sondern der Bezug zum EU-Markt. Das Grundprinzip ist einfacher als die meisten Diskussionen darüber vermuten lassen. Der AI Act teilt KI-Systeme in vier Risikokategorien ein. Verboten sind bestimmte besonders eingriffsintensive KI-Anwendungen – darunter Systeme die Menschen unbewusst manipulieren, bestimmte Formen biometrischer Massenüberwachung sowie weitere Praktiken wie Emotionserkennung am Arbeitsplatz oder das massenhafte Scraping von Gesichtsbildern. Hochrisiko-KI unterliegt den strengsten Anforderungen. Dazu gehören unter anderem KI-Systeme in kritischer Infrastruktur, im Bildungsbereich, in der Personalauswahl, in der Kreditvergabe, in der medizinischen Diagnostik und im Strafverfolgungsbereich. Wer KI in diesen Bereichen einsetzt, muss Risikobewertungen durchführen, Datenqualität sicherstellen, menschliche Aufsicht gewährleisten und transparente Dokumentation vorhalten. Das sind Pflichten, keine Empfehlungen. Systeme mit begrenztem Risiko – etwa Chatbots oder KI-generierte Inhalte – unterliegen vor allem Transparenzpflichten. Nutzer müssen erkennen können dass sie mit einer KI interagieren oder dass Inhalte künstlich erzeugt wurden. Minimales Risiko – etwa Spam-Filter oder einfache Empfehlungssysteme – ist weitgehend unreguliert. Was das für Unternehmen konkret bedeutet: Der erste Schritt ist keine Compliance. Der erste Schritt ist eine ehrliche Bestandsaufnahme. Welche KI-Systeme setze ich ein oder plane ich einzusetzen? In welche Risikokategorie fallen sie? Wer in meinem Unternehmen ist dafür verantwortlich das zu wissen? Diese Fragen klingen einfach. Sie sind es meistens nicht – weil KI in vielen Unternehmen gerade unkontrolliert eingeführt wird, weil jemand ein Tool ausprobiert hat und es praktisch fand. Shadow AI ist real. Und der AI Act macht aus einem internen Kontrollproblem ein rechtliches. Bei verbotenen KI-Praktiken drohen Bußgelder von bis zu 35 Millionen Euro oder sieben Prozent des weltweiten Jahresumsatzes. Bei bestimmten anderen Verstößen bis zu 15 Millionen Euro oder drei Prozent. Das Gesetz ist komplex. Das Grundprinzip nicht: Je mehr Einfluss eine KI auf das Leben von Menschen hat, desto mehr Verantwortung trägt wer sie einsetzt.