Die KI-Verordnung der EU (Verordnung (EU) 2024/1689) gilt für jedes Unternehmen, das KI beruflich einsetzt. Hier finden Sie Pflichten, Fristen und Risikoklassen verständlich erklärt – mit einer Checkliste für den Mittelstand.
Checkliste für KMU
Kurz beantwortet
Der EU AI Act (Verordnung (EU) 2024/1689) ist das erste umfassende KI-Gesetz der Welt. Er ist am 1. August 2024 in Kraft getreten und wird stufenweise wirksam. Er teilt KI-Systeme nach ihrem Risiko in vier Klassen ein und legt fest, welche Pflichten Anbieter und Betreiber jeweils erfüllen müssen.
Für die meisten mittelständischen Unternehmen gilt: Sie sind Betreiber, weil ihre Mitarbeitenden KI-Werkzeuge wie ChatGPT, Copilot oder Gemini nutzen. Seit dem 2. Februar 2025 müssen sie für ausreichende KI-Kompetenz ihres Personals sorgen (Art. 4) und dürfen bestimmte Praktiken nicht einsetzen (Art. 5).
Je höher das Risiko eines KI-Systems für Gesundheit, Sicherheit und Grundrechte, desto strenger die Pflichten. Die Einordnung entscheidet über den Aufwand.
Zum Beispiel Social Scoring, manipulative Techniken oder Emotionserkennung am Arbeitsplatz. Diese Systeme sind seit dem 2. Februar 2025 verboten.
Art. 5
Zum Beispiel KI zur Bewerberauswahl, Leistungsbewertung oder Kreditwürdigkeitsprüfung. Hier gelten strenge Anforderungen an Risikomanagement, Daten, Aufsicht und Dokumentation.
Art. 6 und Anhang III
Zum Beispiel Chatbots oder KI-generierte Inhalte. Menschen müssen erkennen können, dass sie mit einer KI interagieren oder Inhalte künstlich erzeugt wurden.
Art. 50
Zum Beispiel Textentwürfe, Zusammenfassungen oder Spamfilter. Keine besonderen Pflichten aus dem AI Act – KI-Kompetenz und DSGVO gelten aber weiterhin.
Art. 4 (KI-Kompetenz)
Wer ein KI-System entwickelt oder unter eigenem Namen in Verkehr bringt. Anbieter tragen die meisten Pflichten, etwa die Konformitätsbewertung bei Hochrisiko-Systemen.
Wer ein KI-System in eigener Verantwortung beruflich nutzt – also fast jedes Unternehmen, dessen Team mit KI arbeitet. Betreiber müssen u. a. KI-Kompetenz sicherstellen und Systeme bestimmungsgemäß einsetzen.
Der EU AI Act wird stufenweise wirksam. Die wichtigsten Daten für Unternehmen im Überblick.
Die Verordnung (EU) 2024/1689 tritt in Kraft. Die Pflichten gelten zeitversetzt.
Verbotene Praktiken (Art. 5) sind untersagt. Unternehmen müssen für ausreichende KI-Kompetenz ihres Personals sorgen (Art. 4).
Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck greifen, ebenso Governance-Strukturen und Sanktionsregeln.
Laut Verordnung u. a. Transparenzpflichten (Art. 50) und Anforderungen an Hochrisiko-KI nach Anhang III. Für Hochrisiko-Pflichten wurde auf EU-Ebene eine Verschiebung vorgeschlagen – prüfen Sie den aktuellen Stand.
Pflichten für Hochrisiko-KI als Bestandteil regulierter Produkte (Anhang I), etwa in Maschinen oder Medizinprodukten.
Sanktionen
Die Bußgelder richten sich nach Art des Verstoßes (Art. 99). Es gilt jeweils der höhere Betrag – für kleine und mittlere Unternehmen der niedrigere.
Diese Reihenfolge hat sich im Mittelstand bewährt. Zu jedem Schritt sehen Sie, wie SolonOS Sie unterstützt.
Welche KI-Tools nutzt Ihr Team, für welche Aufgaben und mit welchen Daten? Ein vollständiges KI-Inventar ist die Grundlage für alles Weitere.
Sind Sie für den jeweiligen Fall Anbieter oder Betreiber? Die Rolle bestimmt, welche Pflichten gelten.
Ordnen Sie jeden Anwendungsfall einer Risikoklasse zu – und prüfen Sie, ob personenbezogene Daten im Spiel sind (DSGVO).
Schulen Sie Ihr Team passend zu Aufgaben und Risiken und dokumentieren Sie, wer welche Kompetenz erworben hat.
Eine KI-Richtlinie legt fest, was erlaubt ist, unter welchen Bedingungen und wer freigibt. So entscheiden Mitarbeitende nicht allein.
Halten Sie Entscheidungen, Nutzung und Änderungen nachvollziehbar fest und prüfen Sie Ihren KI-Einsatz regelmäßig.
Hinweis: Diese Seite fasst den EU AI Act verständlich zusammen und ersetzt keine Rechtsberatung im Einzelfall. Maßgeblich ist der Text der Verordnung (EU) 2024/1689.
Ja. Der EU AI Act gilt unabhängig von der Unternehmensgröße, sobald KI-Systeme entwickelt oder beruflich genutzt werden. Für kleine und mittlere Unternehmen gibt es Erleichterungen, etwa niedrigere Höchstbußgelder und Zugang zu KI-Reallaboren.
Artikel 4 verpflichtet Anbieter und Betreiber, Maßnahmen zu ergreifen, damit ihr Personal über ausreichende KI-Kompetenz verfügt – abgestimmt auf Vorwissen, Aufgaben und Einsatzkontext. Empfehlenswert sind Schulungen und eine Dokumentation, wer welche Kompetenz erworben hat.
Nicht automatisch. Maßgeblich ist der Einsatzzweck: Wer ChatGPT für Textentwürfe nutzt, bewegt sich meist im geringen Risiko. Wird KI etwa zur Auswahl von Bewerbern eingesetzt, kann der Anwendungsfall unter Anhang III fallen und als Hochrisiko gelten.
Je nach Verstoß bis zu 35 Mio. € oder 7 % des weltweiten Jahresumsatzes (verbotene Praktiken), bis zu 15 Mio. € oder 3 % (andere Pflichten) und bis zu 7,5 Mio. € oder 1 % (falsche Angaben). Für kleine und mittlere Unternehmen gilt jeweils der niedrigere Betrag.
SolonOS erfasst Ihre KI-Anwendungsfälle, ordnet sie per Ampel nach Risikoklassen ein, regelt Freigaben und dokumentiert alles im Audit-Trail. Der vollständige Gesetzestext ist als Wissensbasis hinterlegt, und Ihr Team nutzt KI über einen geschützten Zugang in der EU.
Zeigen Sie uns Ihre KI-Nutzung, wir zeigen Ihnen den schnellsten Weg zur Umsetzung.
