Der EU AI Act für Nicht-Juristen: ein praktisches Compliance-Playbook

Der EU AI Act ist im August 2024 in Kraft getreten und seine Pflichten greifen seitdem schrittweise. Ab August 2026 gelten die meisten Kernbestimmungen, darunter die Regeln für Hochrisiko-KI-Systeme, die Transparenzanforderungen für bestimmte KI-Interaktionen und die vollständigen Verbote einer Handvoll Praktiken. Unternehmen, die bisher von der Seitenlinie zugesehen haben, sind jetzt offiziell zu spät. Die Frage ist nicht mehr, ob diese Regulierung für Sie gilt. Für die meisten Organisationen, die KI im Recruiting, im Customer Scoring, bei Kreditentscheidungen oder im internen Performance Management einsetzen, gilt sie mit hoher Wahrscheinlichkeit.

Der Act folgt einer abgestuften Logik. Je höher der potenzielle Schaden, desto schwerer die Pflicht. Das klingt einfach, doch an der Einordnung bleiben die meisten Teams hängen, denn die Grenze zwischen einem allgemeinen Produktivitätstool und einem regulierten Hochrisikosystem hängt davon ab, wie Sie es einsetzen, nicht nur davon, wie der Anbieter es bezeichnet.

Ihr Compliance-Playbook: eine Schritt-für-Schritt-Abfolge

Schritt 1: Erstellen Sie Ihr KI-Inventar

Sie kkThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önnen nicht klassifizieren, was Sie nicht erfasst haben. Nehmen Sie sich zwei bis drei Wochen Zeit, um ein Inventar jedes aktiv genutzten KI-Systems in Ihrer Organisation zu erstellen. Nehmen Sie Anbieter-Tools auf (Salesforce Einstein, die Recruiting-KI von Workday, Microsoft Copilot in HR-Workflows), intern entwickelte Modelle und alle Integrationen über Drittanbieter-APIs, bei denen ein Modell eine Entscheidung über eine Person trifft oder beeinflusst.

Das Inventar sollte für jedes System vier Dinge erfassen: was es tut, wen es betrifft, welche Daten es verarbeitet und ob ein Mensch das Ergebnis prüft, bevor gehandelt wird.

Schritt 2: Ordnen Sie jedes System den Risikostufen des Act zu

Der Act definiert vier Stufen. Zu den verbotenen Praktiken zählen biometrische Echtzeitüberwachung im öffentlichen Raum und Social Scoring durch Behörden. Hochrisikosysteme umfassen Bereiche wie Bewerbervorauswahl, Kreditwürdigkeitsprüfung, Zugang zu wesentlichen Dienstleistungen und Mitarbeiterüberwachung. Systeme mit begrenztem Risiko, etwa Chatbots, erfordern grundlegende Transparenzhinweise. Systeme mit minimalem Risiko unterliegen keinen spezifischen Pflichten.

Ordnen Sie jeden Eintrag Ihres Inventars dem zutreffenden Anhang zu. Anhang III des Act listet die Hochrisikokategorien ausdrücklich auf. Wenn Ihre HR-Plattform Kandidaten in ein Ranking bringt, sind Sie im Bereich von Anhang III. Wenn Ihr Contact Center eine KI nutzt, um Beschwerden zu routen und Customer Sentiment zu scoren, hängt die Einordnung davon ab, ob das Ergebnis eine Entscheidung mit rechtlicher oder vergleichbar erheblicher Wirkung beeinflusst. Im Zweifel behandeln Sie es als Hochrisiko und arbeiten sich von dort zurück.

Schritt 3: Benennen Sie für jedes Hochrisiko-Tool einen System-Owner

Compliance ohne namentliche Verantwortung hält nicht. Benennen Sie für jedes Hochrisikosystem einen Owner, der für vier Dinge verantwortlich ist: die technische Dokumentation pflegen, sicherstellen, dass die menschliche Aufsicht echt und nicht kosmetisch ist, auf Performance Drift überwachen und Vorfälle protokollieren. Diese Person muss weder Jurist noch Data Scientist sein. Sie braucht genug Befugnis, um das System zu stoppen oder zu ändern, wenn etwas schiefläuft.

Das ist auch der Moment, um zu klären, ob Ihre Organisation Anbieter ist (Sie haben das Modell gebaut), Betreiber (Sie setzen das Modell eines anderen ein) oder beides. Die Pflichten unterscheiden sich. Betreiber haben geringere Dokumentationslasten, tragen aber weiterhin Verantwortung für den Nutzungskontext, die menschliche Aufsicht und bestimmte Transparenzanforderungen.

Schritt 4: Setzen Sie die Mechanik für Transparenz und Aufsicht um

Für Hochrisikosysteme verlangt der Act, dass betroffene Personen wissen, dass ein KI-System an Entscheidungen beteiligt ist, die sie erheblich betreffen. Das bedeutet: Datenschutzhinweise aktualisieren, Hinweistexte in die Kommunikation aufnehmen und in einigen Branchen ein Recht auf Erläuterung schaffen.

Die menschliche Aufsicht ist der Punkt, den die meisten Organisationen unterschätzen. Auf „Genehmigen“ zu klicken, ohne die Fähigkeit, eine KI-Empfehlung substanziell in Frage zu stellen, erfüllt die Anforderung nicht. Aufsicht heißt, dass die prüfende Person Zugang zur Logik des Systems hat, genug Kontext, um widersprechen zu können, und einen dokumentierten Eskalationsprozess. Das in Ihre Workflows einzubauen braucht Zeit, beginnen Sie also mit den Systemen, die die meisten Menschen betreffen.

Schritt 5: Verbinden Sie das mit Ihren bestehenden Governance-Strukturen

Der EU AI Act ersetzt die DSGVO nicht. Beide laufen parallel. Ein Hochrisiko-KI-System, das personenbezogene Daten verarbeitet, braucht sowohl eine Datenschutz-Folgenabschätzung nach DSGVO als auch eine Konformitätsbewertung nach dem AI Act. Verzahnen Sie diese Prozesse, statt sie getrennt zu führen. Ihr Datenschutzbeauftragter sollte, falls vorhanden, im Raum sein, wenn Hochrisiko-KI-Systeme klassifiziert und dokumentiert werden.

Fallstricke, die Compliance-Vorhaben zum Scheitern bringen

Der häufigste Fehler ist, das komplett an Legal oder IT zu delegieren und als Dokumentationsprojekt zu behandeln. Die Pflichten des Act sind operativ. Wenn Ihre HR-Leitung nicht versteht, warum das Kandidaten-Ranking-Tool auf ihrem Bildschirm ein Hochrisikosystem ist, wird die Aktenlage, die Ihre Juristen produzieren, Sie nicht schützen, wenn ein abgelehnter Bewerber die Entscheidung anfechtet.

Die zweite Falle ist zu großes Vertrauen in Anbieterzusagen. Wenn ein Anbieter Ihnen sagt, sein Tool sei „compliant“, heißt das, dass seine Produktdokumentation die Anforderungen auf Anbieterebene erfüllt. Über Ihren konkreten Einsatz in Ihrem konkreten Entscheidungskontext und die Betreiberpflichten sagt es nichts. Fragen Sie Anbieter nach ihrer technischen Dokumentation und ihren Model Cards. Wenn sie diese nicht liefern können oder wollen, ist das ein Signal.

Scope Creep in die andere Richtung gibt es ebenfalls. Manche Teams klassifizieren aus Vorsicht alles als Hochrisiko, was eine nicht handhabbare Compliance-Last erzeugt und den Einsatz wirklich nützlicher KI verlangsamt. Kalibrieren Sie sorgfältig. Eine Rechtschreibprüfung ist kein Hochrisikosystem. Ein Tool, das die Leistung von Mitarbeitern markiert, damit eine Führungskraft es prüft, bevor etwas geschieht, fällt je nachdem, wie folgenreich diese Prüfung in der Praxis tatsächlich ist, in eine andere Kategorie.

Behandeln Sie das schließlich nicht als einmalige Übung. KI-Systeme driften. Das Modell, das Ihr Team vor achtzehn Monaten ausgerollt hat, verhält sich heute möglicherweise anders, durch Retraining, veränderte Daten oder eine geänderte Nutzung durch die Mitarbeiter. Verankern Sie eine quartalsweise Überprüfung in Ihrem Governance-Kalender.

Quick Wins für diese Woche

• Ziehen Sie eine Liste aller SaaS-Tools, die in HR, Finance und im Kundenkontakt im Einsatz sind, und markieren Sie, welche davon automatisierte Entscheidungen oder Scoring beinhalten.
• Laden Sie Anhang III des EU AI Act herunter (der offizielle Text ist kostenlos unter eur-lex.europa.eu verfügbar) und gleichen Sie Ihre Liste damit ab.
• Schicken Sie Ihren Leitungen in HR und Operations ein einseitiges Briefing, das erklärt, was eine Hochrisiko-Einordnung bedeutet und warum ihre Tools darunter fallen könnten.
• Setzen Sie einen 90-minütigen Arbeitstermin mit Legal, IT und einer Bereichsleitung an, um zu klären, wer den Klassifizierungsprozess verantwortet.
• Prüfen Sie, ob Ihre drei wichtigsten KI-Anbieter Konformitätsunterlagen oder Model Cards veröffentlicht haben, und dokumentieren Sie Lücken.

Der EU AI Act ist eine dauerhafte Regulierung, keine vorübergehende Welle behördlicher Aufmerksamkeit. Unternehmen, die Compliance jetzt in ihren KI-Einführungsprozess einbauen, werden später weniger Zeit und Geld für Nachbesserungen aufwenden und verfügen über Dokumentation, die sie im Streitfall schützt. Beginnen Sie mit Ihrem Inventar. Alles andere folgt daraus, dass Sie wissen, was Sie haben.