"Wir nutzen doch nur ChatGPT. Das betrifft uns nicht."

"Wir nutzen doch nur ChatGPT. Das betrifft uns nicht." Dieser Satz fällt gerade in vielen KMU-Gesprächen wenn das Thema AI Act auf den Tisch kommt. Und er ist verständlich – wer kein KI-Unternehmen betreibt, keine KI-Produkte verkauft und sich nicht als Technologieunternehmen versteht, fühlt sich von einem KI-Gesetz zunächst nicht angesprochen. Aber der Satz hat einen Haken. Der AI Act unterscheidet zwischen zwei Rollen: Anbieter – wer KI-Systeme entwickelt und in Verkehr bringt – und Betreiber – wer KI-Systeme in seinen Geschäftsprozessen einsetzt. Wer ChatGPT, einen KI-Assistenten, ein automatisiertes Bewerbungsscreening oder ein KI-gestütztes Kreditbewertungstool nutzt, ist Betreiber. Und Betreiber haben Pflichten. Was das konkret bedeutet hängt davon ab wofür die KI eingesetzt wird. Wer ChatGPT nutzt um Texte zu schreiben, Zusammenfassungen zu erstellen oder Recherchen zu unterstützen, fällt meistens in die Kategorie minimales Risiko. Keine besonderen Pflichten, kein Handlungsbedarf. Wer KI nutzt um Bewerbungen vorzusortieren, Mitarbeiter zu bewerten oder Beförderungsentscheidungen zu unterstützen, fällt in die Hochrisiko-Kategorie. Mit konkreten Pflichten: Transparenz gegenüber Betroffenen, menschliche Aufsicht, Dokumentation, Risikobewertung. Wer KI-generierte Inhalte veröffentlicht – Texte, Bilder, Videos – muss diese als KI-generiert kennzeichnen. Das ist keine Empfehlung. Es ist eine Transparenzpflicht nach Art. 50 des AI Acts. Und wer KI-Tools im Unternehmen nutzt ohne zu wissen welche Mitarbeiter welche Tools für welche Zwecke einsetzen, hat ein Shadow-AI-Problem. Und Shadow AI ist nicht nur ein internes Kontrollproblem – es ist seit dem AI Act auch ein rechtliches. Der häufigste Fehler ist nicht dass Unternehmen KI bewusst falsch einsetzen. Der häufigste Fehler ist dass niemand einen Überblick hat was gerade wie eingesetzt wird. Jemand nutzt ein KI-Tool für die Personalauswahl weil es praktisch ist. Jemand anderes lässt KI automatisch Kundenanfragen beantworten. Jemand dritter generiert Marketingbilder ohne Kennzeichnung. Jeder für sich unproblematisch vielleicht – zusammen ein Bild das bei einer Prüfung Fragen aufwirft. "Wir nutzen doch nur ChatGPT" ist kein Freifahrtschein. Es ist der Anfang einer Frage die jedes Unternehmen beantworten sollte: Wer nutzt bei uns welche KI – und wofür?