EU AI Act pragmatisch umsetzen: Pflichten, Fristen und Best Practices für Unternehmen in der DACH-Region

Der EU AI Act ist seit August 2024 in Kraft und schafft ein verbindliches, europaweit einheitliches Regelwerk für das Inverkehrbringen, die Entwicklung und die Nutzung von KI-Systemen. Das Gesetz gilt extraterritorial: Es betrifft nicht nur Unternehmen mit Sitz in der EU, sondern alle Anbieter, Betreiber, Einführer und Händler, die KI-Systeme in der EU anbieten, einsetzen oder vertreiben. Für mittelständische und große Unternehmen in der DACH-Region bedeutet das: KI-Strategien, Entwicklungs- und Beschaffungsprozesse sowie Governance-Strukturen müssen jetzt auf regulatorische Anforderungen ausgerichtet werden, um rechtzeitig rechts- und auditsicher zu sein.

Ziel des EU AI Act ist ein risikobasierter Schutz von Gesundheit, Sicherheit und Grundrechten, ohne Innovation zu behindern. Für die Praxis entscheidend sind die Risikoklassifizierung Ihrer KI-Anwendungen, die Rollen, die Sie in der Lieferkette einnehmen, die daraus folgenden Pflichten – und das rechtzeitige Umsetzen von Prozessen, Dokumentation und CE-Konformität, insbesondere bei Hochrisiko-KI.

Hinweis: Diese Darstellung dient der Orientierung und ersetzt keine Rechtsberatung.

Die Risikoklassen des EU AI Act und was sie bedeuten

Der EU AI Act unterscheidet vier Risikoklassen mit abgestuften Pflichten:

• Unzulässiges Risiko (verbotene KI): Bestimmte KI-Praktiken sind grundsätzlich untersagt, z. B. KI-gestützte soziale Bewertung durch Behörden, manipulative Techniken, die das Verhalten erheblich verzerren können, oder bestimmte biometrische Anwendungen. Verstöße ziehen besonders hohe Sanktionen nach sich.

• Hochrisiko-KI: Anwendungen mit erheblichen Auswirkungen auf Sicherheit oder Grundrechte. Dazu zählen u. a. KI als Sicherheitskomponente regulierter Produkte (z. B. Medizinprodukte, Maschinen) sowie Anwendungsfelder wie kritische Infrastrukturen, Bildung, Beschäftigung/HR, Zugang zu essenziellen Diensten, Strafverfolgung, Migration/Asyl und Justiz. Hier gelten umfangreiche Anforderungen an Qualitäts- und Risikomanagement, Daten, Dokumentation, Transparenz, menschliche Aufsicht, Robustheit und Cybersicherheit.

• Begrenztes Risiko (Transparenzpflichten): Systeme wie Chatbots oder generative KI, die klar kennzeichnen müssen, dass Nutzer mit einer KI interagieren bzw. KI-generierte Inhalte als solche erkennbar machen. Auch Deepfake-Kennzeichnung kann relevant sein.

• Minimales Risiko: Anwendungen mit geringem Risiko (z. B. viele interne Automatisierungen oder KI in Spielen). Hier bestehen keine spezifischen Pflichten des AI Acts, bewährte Verfahren und freiwillige Codes of Conduct bleiben jedoch empfehlenswert.

Wichtig: Zusätzlich gibt es Regeln für General-Purpose AI (GPAI) und Modelle mit systemischem Risiko, die je nach Rolle und Integrationsart weitere Pflichten auslösen können.

Rollen und Pflichten: Anbieter, Betreiber, Einführer, Händler

Ihre Pflichten hängen maßgeblich von Ihrer Rolle ab. Ein Unternehmen kann mehrere Rollen gleichzeitig einnehmen, je nach Tätigkeit.

• Anbieter (Provider) von KI-Systemen:

  • Etablieren eines Qualitäts- und Risikomanagementsystems für KI.
  • Sicherstellen der Erfüllung aller Hochrisiko-Anforderungen: Daten-Governance, technische Dokumentation, Logging, Transparenz, menschliche Aufsicht, Genauigkeit/Robustheit/Cybersicherheit.
  • Konformitätsbewertung durchführen, EU-Konformitätserklärung erstellen, CE-Kennzeichnung anbringen (bei Hochrisiko-KI).
  • Registrierung von Hochrisiko-Systemen in der EU-Datenbank.
  • Post-Market-Monitoring, Market-Surveillance-Kooperation, Meldung schwerwiegender Vorfälle ohne unangemessene Verzögerung.
  • Für Nicht-EU-Anbieter: Bevollmächtigten in der EU benennen.

• Betreiber/Deployers (Nutzer in Unternehmen):

  • KI-Systeme bestimmungsgemäß einsetzen und Anforderungen des Anbieters umsetzen (z. B. human-in-the-loop, Dateneingaben, Betriebsgrenzen).
  • Gegebenenfalls Grundrechts-Folgenabschätzungen (FRIA) für Hochrisiko-Verwendungen durchführen, insbesondere bei grundrechtsrelevanten oder öffentlich-sektorischen Einsatzszenarien.
  • Logdaten aufbewahren, Leistung überwachen, Vorfälle dokumentieren und an den Anbieter/Behörden melden.
  • Personal schulen, Verantwortlichkeiten definieren und angemessene Datenqualität sicherstellen.
  • Achtung: Bei wesentlichen Veränderungen am System können Betreiber rechtlich selbst zum Anbieter werden – mit entsprechenden Pflichten.

• Einführer (Importers):

  • Prüfen, ob das System die CE-Kennzeichnung trägt, eine Konformitätserklärung vorliegt und die Dokumentation (in der passenden Sprache) verfügbar ist.
  • Sicherstellen, dass der Anbieter außerhalb der EU einen Bevollmächtigten benannt hat.
  • Rückverfolgbarkeit, Beschwerden und Vorfallmeldungen verwalten.

• Händler (Distributors):

  • Sorgfaltspflichten in der Lieferkette: CE, Kennzeichnung, Anleitungen prüfen; Lagerung/Transport so gestalten, dass die Konformität erhalten bleibt.
  • Beschwerden und Vorfälle erfassen und weiterleiten; mit Behörden kooperieren.

Tipp: Definieren Sie unternehmensweit klare Rollen- und Verantwortlichkeitsmatrizen – auch für den Fall, dass ein Team die Rolle wechselt (z. B. vom Betreiber zum Anbieter durch Anpassungen am Modell).

Hochrisiko-KI im Fokus: Mindestanforderungen, CE-Kennzeichnung und Dokumentation

Für Hochrisiko-KI sind die Anforderungen besonders umfassend. Kernbausteine:

• Risikomanagement über den gesamten Lebenszyklus:

  • Systematische Identifikation, Bewertung und Minderung von Risiken, inkl. Testen unter repräsentativen Bedingungen.
  • Kontinuierliche Überwachung im Betrieb und Feedbackschleifen.

• Daten- und Daten-Governance:

  • Relevante, repräsentative, fehlerarme und bias-minimierte Datensätze.
  • Dokumentation der Datenherkunft, -aufbereitung und -qualität.

• Technische Dokumentation (technische Akte), u. a. mit:

  • Systembeschreibung, Zweckbestimmung, Architekturen, Versionen.
  • Trainings-/Validierungsdaten und Metriken.
  • Leistungskennzahlen (Genauigkeit, Robustheit), bekannte Einschränkungen.
  • Maßnahmen zur menschlichen Aufsicht, Sicherheit und Cybersecurity.
  • Testpläne, Ergebnisse, Validierungsnachweise.

• Logging und Rückverfolgbarkeit:

  • Ereignisprotokolle, die eine Nachvollziehbarkeit und Auditierbarkeit gewährleisten.

• Transparenz und menschliche Aufsicht:

  • Klare Informationen zur Nutzung, Grenzen und erforderlichen Eingriffsmöglichkeiten.

• CE-Kennzeichnung und Konformitätsbewertung:

  • Je nach Kategorie: interne Konformitätsbewertung auf Basis harmonisierter Normen oder Einbindung einer benannten Stelle (insb. wenn KI Sicherheitskomponente regulierter Produkte ist).
  • EU-Konformitätserklärung, CE-Kennzeichnung, eindeutige Identifikation und Registrierung in der EU-Datenbank für Hochrisiko-KI.

• Post-Market-Monitoring und Incident Response:

  • Strukturierte Verfahren zur Beobachtung im Feld, Abstellen von Mängeln, Updates, Meldung schwerwiegender Vorfälle.

Praxisempfehlung: Orientieren Sie Ihr Managementsystem an einschlägigen Normen wie ISO/IEC 42001 (KI-Managementsystem), ergänzt um ISO 9001 (Qualität) und ISO/IEC 27001 (Informationssicherheit), um die geforderten Prozesse effizient nachzuweisen.

Zeitlicher Rahmen: Übergangsfristen bis 2027

Der EU AI Act sieht gestaffelte Anwendungsfristen vor. Für die Planungssicherheit in Unternehmen sind insbesondere relevant:

• Ab August 2024: Verordnung in Kraft.
• Ab etwa Februar 2025 (6 Monate nach Inkrafttreten): Verbote unzulässiger KI-Praktiken gelten.
• Ab etwa August 2025 (12 Monate): Vorgaben für General-Purpose AI (GPAI) und zugehörige Codes of Practice greifen schrittweise.
• Bis 2026: Aufbau der Aufsichtsstrukturen, Benennung harmonisierter Normen und benannter Stellen; weitere organisatorische Bestimmungen werden wirksam.
• Spätestens bis August 2027 (36 Monate): Die umfassenden Pflichten für Hochrisiko-KI gelten vollumfänglich.

Hinweis: Für bestimmte Produktsektoren (z. B. Medizinprodukte, Maschinen) können Zeitpläne mit sektoralen Rechtsakten verzahnt sein. Prüfen Sie projektspezifisch, welche Übergangsfristen und Konformitätspfade für Ihre Produkte/Einsatzszenarien gelten.

Schritt-für-Schritt: So identifizieren und klassifizieren Sie Ihre KI-Systeme

Ein strukturierter, risikobasierter Ansatz erleichtert die Compliance und verkürzt Time-to-Value:

1. Definition und Scope klären

   • Was gilt bei Ihnen als KI-System im Sinne des EU AI Act? Berücksichtigen Sie auch zugekaufte und generative Komponenten, interne Tools und Piloten.
   • Erstellen Sie ein unternehmensweites KI-Inventar (Use Case, Zweck, Anwender, Datenquellen, Lieferanten, Modelltyp, Schnittstellen).

2. Risikoklassifizierung durchführen

   • Mappen Sie jeden Use Case auf die Risikoklassen und Annex-Kategorien (insb. Annex II/III).
   • Identifizieren Sie potenzielle Hochrisiko-Anwendungen frühzeitig; prüfen Sie, ob Transparenzpflichten greifen (Chatbots, Generierung, Deepfakes).

3. Rolle bestimmen

   • Sind Sie Anbieter, Betreiber, Einführer oder Händler – oder mehrere in verschiedenen Projekten?
   • Prüfen Sie, ob Anpassungen am System eine Anbieterrolle auslösen könnten.

4. Gap-Analyse und Maßnahmenplan

   • Vergleichen Sie den Ist-Zustand mit den Anforderungen (Datenqualität, Tests, Human Oversight, Logging, Security, Dokumentation).
   • Priorisieren Sie Lücken nach Risiko und Fristen; legen Sie Verantwortlichkeiten, Budgets und Meilensteine fest.

5. Daten- und MLOps-Kontrollen etablieren

   • Versionierung von Daten/Modellen, reproduzierbare Trainingspipelines, Qualitäts-Gates.
   • Bias- und Robustheitstests; Security-by-Design inklusive Lieferkettensicherheit.

6. Beschaffung und Verträge anpassen

   • Aufnahme von AI-Act-Anforderungen in Ausschreibungen und Lieferantenverträge (z. B. Dokumentationszugang, Vorfallmeldungen, Leistungskennzahlen).
   • Vendor-Risk-Management für KI-Lieferanten.

7. Konformitätsbewertung und CE vorbereiten (bei Hochrisiko)

   • Technische Akte aufbauen, interne Audits/Readiness-Assessments durchführen, ggf. benannte Stelle einbinden.
   • Registrierung in der EU-Datenbank, EU-Konformitätserklärung, Kennzeichnung.

8. Monitoring, Vorfälle, kontinuierliche Verbesserung

   • Post-Market-Monitoring-Prozesse, Service-Level, Patch- und Update-Management.
   • Lessons Learned in das Risikomanagement zurückspielen.

9. Dokumentation und Nachweisführung

   • Führen Sie zentral ein Audit-Repository: Policies, Verfahren, Schulungsnachweise, Prüfberichte, Logs, FRIA/DPIA, Konformitätserklärungen.

Governance, Kompetenzen und Kultur: Organisation auf die Anforderungen ausrichten

Regelkonformes KI-Management ist eine Teamleistung aus IT, Fachbereich, Recht, Compliance, Datenschutz, Informationssicherheit und Einkauf. Wesentliche Bausteine:

• KI-Governance etablieren

  • AI Policy, Rollen (z. B. AI Compliance Officer), Gremien (AI Risk Committee), Freigabeprozesse und Eskalationswege.
  • Integrieren Sie den AI Act mit bestehenden Rahmenwerken (DSGVO, NIS2, Produktsicherheitsrecht, Branchenstandards).

• Managementsysteme ausrichten

  • Einführung oder Erweiterung eines KI-Managementsystems gemäß ISO/IEC 42001.
  • Verzahnung mit ISO 9001/27001 für Qualität und Sicherheit; klare KPIs und Auditzyklen.

• Kompetenzen aufbauen

  • Schulungen für Entwickler, Datenverantwortliche, Produktmanager, Einkauf und Management.
  • Praxisleitfäden zu FRIA/DPIA, Daten-Governance, Testing, Human Oversight.

• Tooling und Nachvollziehbarkeit

  • Modell- und Datenkataloge, Model Registry, automatisierte Dokumentations- und Logging-Pipelines.
  • Explainability- und Monitoring-Tools, die Auditpfade unterstützen.

• Change Management und Kultur

  • Klare Kommunikation zu Chancen und Grenzen von KI.
  • Incentivieren Sie verantwortungsvolle Nutzung und Meldung von Risiken.

Sanktionen, Risiken und wie Sie sie minimieren

Der EU AI Act sieht empfindliche Bußgelder vor:

• Bis zu 35 Mio. EUR oder 7 % des weltweiten Jahresumsatzes (je nachdem, welcher Betrag höher ist) für verbotene Praktiken und bestimmte Verstöße gegen Daten-Governance bei Hochrisiko-KI.
• Bis zu 15 Mio. EUR oder 3 % des weltweiten Umsatzes für sonstige Verstöße.
• Bis zu 7,5 Mio. EUR oder 1 % für die Bereitstellung unrichtiger, unvollständiger oder irreführender Informationen.

Neben finanziellen Risiken drohen Reputationsschäden, Projektstopps, Ausschluss von Ausschreibungen oder Rückrufmaßnahmen. Frühzeitige Compliance senkt das Risiko, beschleunigt Zulassungen und stärkt Vertrauen bei Kunden, Aufsichtsbehörden und Arbeitnehmervertretungen.

Konkrete Risikominimierung:

• „Design for Compliance“: Anforderungen früh in die Produkt- und Use-Case-Entwicklung integrieren.
• „Shift left“ bei Tests und Dokumentation: Automatisieren Sie Nachweise, wo immer möglich.
• Lieferketten-Transparenz: Evidenz von Zulieferern einfordern.
• Readiness-Checks vor Go-Live und regelmäßige Audits im Betrieb.

Best Practices und Unterstützung für Ihren Start

Wenn Sie jetzt strukturiert starten, erreichen Sie bis 2027 einen reifen, auditfesten Zustand – ohne Innovationsstau. Bewährt haben sich:

• Ein initiales Assessment mit Risikoklassifizierung Ihrer Use Cases und Rollenklärung.
• Ein 90-Tage-Programm zum Aufbau der Mindest-Governance (Policy, Verantwortlichkeiten, Prozesse, Dokumentations-Backbone).
• Pilotierung eines Hochrisiko-Use-Cases als Referenzprojekt inklusive Konformitätsbewertung und CE-Vorbereitung.
• Schulungen für Schlüsselrollen und die Integration von ISO/IEC 42001-Praktiken in Ihre bestehende Managementsystemlandschaft.

Als spezialisierter Partner unterstützt AIStrategyConsult mittelständische und große Unternehmen in der DACH-Region mit:

• maßgeschneiderten KI-Strategien und risikobasierter Klassifikation,
• Compliance- und Governance-Beratung (EU AI Act, ISO/IEC 42001),
• Prozessoptimierung, Daten- und MLOps-Setup,
• Trainings und Workshops für Teams und Führungskräfte.

Unsere Assessments und Strategie-Workshops starten ab 5.000 €. Umfangreichere Implementierungen, inklusive Konformitätsbewertungsvorbereitung, Dokumentationspaketen und Schulungen, kalkulieren wir transparent nach Umfang und Komplexität.

Wenn Sie die Weichen jetzt stellen, sichern Sie sich regulatorische Klarheit, steigern die operative Effizienz und schaffen die Grundlage für nachhaltige, verantwortungsvolle KI-Innovation in Ihrem Unternehmen.