Du hast diese Woche wieder eine Schlagzeile gelesen. Irgendwas mit „EU AI Act tritt in Kraft“ oder „Unternehmen müssen KI-Systeme regulieren“. Und im nächsten Moment fragst du dich: Betrifft mich das eigentlich? Muss ich jetzt irgendetwas tun? Bin ich schon nicht mehr compliant, weil ich ChatGPT für meine Angebote nutze?
Ich kann dich beruhigen. Und ich werde dir genau erklären, warum.
Was der EU AI Act überhaupt ist (in drei Sätzen)
Der EU AI Act ist das weltweit erste umfassende Gesetz zur Regulierung von Künstlicher Intelligenz, das seit August 2024 schrittweise in Kraft tritt. Er definiert, welche KI-Systeme als gefährlich eingestuft werden, wer diese entwickeln und einsetzen darf und welche Pflichten dabei entstehen. Das Gesetz richtet sich in erster Linie an jene, die KI-Systeme entwickeln, auf den Markt bringen oder in kritischen Bereichen einsetzen, nicht an jeden, der ChatGPT auf dem Laptop offen hat.
Das ist der Kernpunkt, den die meisten Schlagzeilen unterschlagen.
Das Risikoklassen-Modell: Die vier Kategorien, die du kennen musst
Der EU AI Act teilt alle KI-Systeme in vier Risikoklassen ein. Stell dir das wie eine Ampel mit einer zusätzlichen Stufe vor.
Unakzeptables Risiko: Verboten
Diese KI-Systeme sind ab dem 2. Februar 2025 schlicht verboten. Dazu zählen Social Scoring durch staatliche Stellen, Manipulation durch unterschwellige Techniken, Echtzeit-Biometrie in öffentlichen Räumen (mit engen Ausnahmen) und KI, die gezielt Schwächen von Kindern ausnutzt. Als KMU-Inhaber wirst du mit dieser Klasse nie in Berührung kommen.
Hohes Risiko: Strenge Auflagen
Hier wird es ernst. KI-Systeme in dieser Klasse treffen Entscheidungen, die Menschen direkt betreffen: Kreditwürdigkeit, Bewerbungsprozesse, medizinische Diagnosen, kritische Infrastruktur, biometrische Identifikation. Wer solche Systeme entwickelt oder in den Verkehr bringt, muss umfangreiche Dokumentation, Transparenzpflichten und Risikoabschätzungen liefern.
Als typischer KMU-Inhaber, der fertige Tools wie ChatGPT oder Copilot nutzt: Diese Klasse trifft dich als Nutzer kaum.
Begrenztes Risiko: Transparenzpflichten
Diese Klasse betrifft vor allem Chatbots und KI-generierte Inhalte. Wenn du auf deiner Website einen KI-Chatbot einsetzt, der mit Kunden interagiert, muss erkennbar sein, dass dort ein KI-System antwortet. Ähnliches gilt für Deepfakes oder synthetische Medien: Sie müssen als solche gekennzeichnet sein. Das ist überschaubar und eigentlich schon Common Sense.
Minimales Risiko: Keine Einschränkungen
KI-Spamfilter, KI-gestützte Rechtschreibprüfung, Empfehlungsalgorithmen auf Streamingdiensten. Der Großteil aller KI-Anwendungen fällt in diese Klasse. Keinerlei gesetzliche Verpflichtungen, außer den allgemeinen, die schon immer galten.
Der Praxis-Check: Welche Tools nutzt du, und wo stehen sie?
Ich weiß, was auf deinem Rechner läuft. Schauen wir es uns direkt an.
ChatGPT, Gemini, Claude, Perplexity
Diese Werkzeuge sind sogenannte General Purpose AI Models (GPAI). Dafür gibt es im EU AI Act eigene Regeln, aber sie betreffen primär OpenAI, Google und Anthropic als Anbieter. Du als Nutzer, der damit Texte entwirft, Ideen entwickelt oder Recherchen macht, bist in keiner regulierten Zone. Kategorie: minimales Risiko aus Nutzerperspektive.
Microsoft Copilot (in Word, Excel, Outlook)
Copilot ist ein KI-Feature, das in bestehende Werkzeuge integriert ist. Microsoft trägt als Anbieter die regulatorische Verantwortung. Du nutzt ein zugelassenes Werkzeug für normale Geschäftsprozesse. Kein Handlungsbedarf auf deiner Seite.
Midjourney, Adobe Firefly, DALL-E
Bildgeneratoren erzeugen synthetische Medien. Hier greift die Transparenzpflicht: KI-generierte Bilder, die du kommerziell oder öffentlich verwendest, sollten als solche gekennzeichnet sein. Das ist keine bürokratische Hürde, das ist ein ein-zweizeiliger Hinweis im Impressum oder direkt beim Bild. Fertig.
KI-gestützte HR-Tools oder Kreditentscheidungen
Falls du ein Tool nutzt, das automatisiert Bewerbungen bewertet oder Bonitätsentscheidungen trifft: Hier wirst du genauer hinschauen müssen. Das ist aber ein sehr spezifischer Anwendungsfall, der die Minderheit der KMU betrifft.
Was ab August 2026 gilt und was dich davon betrifft
Der EU AI Act folgt einem stufenweisen Zeitplan:
- Februar 2025: Verbote für unakzeptables Risiko (bereits in Kraft)
- August 2025: Regeln für General Purpose AI Models (betrifft Anbieter wie OpenAI)
- August 2026: Regeln für Hochrisiko-KI treten vollständig in Kraft
- 2027: Weitere Spezialregelungen für eingebettete KI-Systeme
Was davon als KMU oder EPU konkret auf dich zutrifft: Die Transparenzpflichten (Chatbot-Kennzeichnung, KI-Content-Labeling) und, falls du je in die Rolle eines KI-Entwicklers oder -Anbieters schlüpfst, die entsprechenden Dokumentationspflichten. Das war es auch schon für die allermeisten unter euch.
Was definitiv nicht auf dich zutrifft: Hochrisiko-Dokumentationspflichten, Konformitätsbewertungen, technische Risikoabschätzungen. Diese Auflagen richten sich an Unternehmen, die KI-Systeme im Hochrisikobereich entwickeln oder als Anbieter vermarkten.
Erleichterungen für KMU und EPU: Die gute Nachricht
Die EU hat, man muss es anerkennen, zumindest teilweise verstanden, dass Kleinstbetriebe nicht die gleichen Kapazitäten haben wie Konzerne. Im sogenannten Digital Omnibus-Paket, das parallel zum AI Act verhandelt wird, sind vereinfachte Compliance-Anforderungen für KMU und Microenterprises vorgesehen.
Konkret heißt das:
- Vereinfachte Dokumentationspflichten für Betriebe unter 50 Mitarbeiter und unter 10 Millionen Euro Jahresumsatz
- Kein eigenes AI Office erforderlich, keine dedizierten Compliance-Beauftragten
- Proportionalitätsprinzip: Die Anforderungen skalieren mit der Betriebsgröße und dem tatsächlichen Risiko des Systems
- Nationale Anlaufstellen (in Österreich voraussichtlich über die Wirtschaftskammer) sollen KMU bei der Einschätzung unterstützen
Als EPU oder Kleinstbetrieb profitierst du von diesem Proportionalitätsprinzip massiv. Die Auflagen, die in den Medien beschrieben werden, richten sich an andere.
Was das konkret bedeutet: Fünf Dinge, die du jetzt tun solltest
Kein Overkill. Nur das Notwendige.
1. KI-Inventur machen Schreib auf, welche KI-Tools du im Betrieb nutzt. Nicht für irgendjemanden, sondern für dich selbst. Das dauert 20 Minuten und gibt dir Klarheit. Kategorie hinzufügen (Textgenerierung, Bildgenerierung, Automatisierung), Zweck notieren.
2. Chatbots auf der Website kennzeichnen Falls du auf deiner Website einen KI-Chatbot betreibst, der mit Kunden spricht: Ergänze einen klaren Hinweis, dass es sich um ein KI-System handelt. Formulierung: „Dieser Assistent wird von KI unterstützt.“ Fertig, Pflicht erfüllt.
3. KI-generierte Inhalte labeln Nicht weil du sonst eine Strafe fürchtest, sondern weil Transparenz gegenüber Kunden sowieso professionell ist. Ein kurzer Hinweis „Erstellt mit Unterstützung generativer KI“ reicht aus. Für Bilder genügt ein Zusatz in der Bildbeschreibung oder im Impressum.
4. Keine Hochrisiko-KI ohne Prüfung einsetzen Wenn du überlegst, ein Tool für HR-Entscheidungen, automatisierte Kreditbewertung oder medizinische Diagnosen einzusetzen: Hier lohnt ein kurzes Gespräch mit einem Fachmann, bevor du startest. Das ist der einzige Bereich, wo KMU wirklich aufpassen müssen.
5. Entwicklungen beobachten, nicht in Panik verfallen Der EU AI Act wird in den nächsten zwei Jahren durch nationale Umsetzungsgesetze und Durchführungsverordnungen konkretisiert. Was heute noch im Ungefähren bleibt, wird klarer. Du musst jetzt nicht alles wissen. Du musst nur wissen, dass du auf dem richtigen Weg bist.
Was ich dir als Praktiker mitgeben will
Ich lese Regulierungstexte, seit es das Wort „Datenschutz-Grundverordnung“ in den Schlagzeilen gab. Das Muster ist immer das gleiche: große Aufregung, viele Berater, die Angst verkaufen, und am Ende stellt sich heraus, dass 80 Prozent der Betroffenen eigentlich nur ein paar Dinge im Alltag anpassen müssen.
Der EU AI Act ist kein Bürokratiemonster für deinen Betrieb. Er ist ein Rahmen, der primär für Entwickler, Anbieter und Betreiber kritischer Systeme gilt. Als KMU oder EPU, der fertige KI-Tools für normale Geschäftsaufgaben nutzt, bewegst du dich in einer Zone, die kaum Pflichten mit sich bringt.
Was du brauchst, ist kein Rechtsanwalt für KI-Compliance, sondern ein klares Bild davon, was du nutzt und warum. Den Rest kannst du, zumindest für den Moment, entspannt beiseitelegen.
Und wenn du wissen willst, wie du KI in deinem Betrieb so einsetzt, dass du nicht nur compliant, sondern auch wirklich produktiver wirst: Dafür bin ich da.
Schreib mir, stell mir die Frage, die dich wirklich beschäftigt. Ich antworte – ohne Juristendeutsch.
