Governance und der EU AI Act: das Wesentliche

# Governance und der EU AI Act: das Wesentliche

2025 brachte ein Unternehmen ein KI-Tool auf den Markt, das Bewerber unter anderem anhand ihrer Gesichtsausdrücke in Video-Interviews bewertete. Unter dem EU AI Act ist diese Art von „Emotionserkennung am Arbeitsplatz" nun faktisch verboten. Nicht „mit Bußgeld belegt". Verboten.

Der EU AI Act ist das erste große Gesetz weltweit, das kkThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →ünstliche Intelligenz direkt reguliert. Wenn Sie mit KI-Tools arbeiten, damit entwickeln oder sie einfach nur für Ihr Team einkaufen, ist das Wesentliche relevant. Sie müssen keine 100 Seiten Gesetzestext lesen. Sie brauchen die Grundform des Gesetzes: was verboten ist, was streng kontrolliert wird und wann die Regeln greifen.

Genau die bekommen Sie hier.

Was das Gesetz tatsächlich macht

Der EU AI Act ordnet KI-Systeme in Risikoklassen ein. Je höher das Risiko für Rechte und Sicherheit von Menschen, desto strenger die Regeln. Stellen Sie sich eine Art Ampelsystem mit vier Stufen vor.

• Unannehmbares Risiko: komplett verboten.
• Hohes Risiko: erlaubt, aber streng kontrolliert (Dokumentation, Tests, menschliche Aufsicht).
• Begrenztes Risiko: erlaubt, mit Transparenzpflichten (Sie müssen die Menschen informieren).
• Minimales Risiko: im Grunde frei nutzbar (Spamfilter, KI in Videospielen).

Ein zentraler Punkt: Das Gesetz gilt danach, wo die KI *eingesetzt* wird, nicht danach, wo das Unternehmen sitzt. Ein US-Startup, dessen Chatbot EU-Kunden bedient, ist in der Pflicht. Das ist dieselbe „long reachreachThe number of unique people exposed to your message in a given period. Unlike impressions, reach counts each person once, no matter how often they see it.Vollständige Definition ansehen →", die die DSGVO (Europas Datenschutzrecht) zum globalen Standard gemacht hat.

Kurz definiert: Ein „Provider" ist derjenige, der das KI-System baut oder verkauft. Ein „Deployer" ist derjenige, der es in seiner Organisation nutzt. Beide haben Pflichten, aber die Provider tragen die schwerere Last.

Stufe 1: Was verboten ist

Diese Anwendungen sind in der EU vom Tisch. Die meisten gelten seit Februar 2025. Konkrete Beispiele:

• Social Scoring durch Behörden: Bürger nach Vertrauenswürdigkeit einstufen und ihnen dann Leistungen verweigern. (Denken Sie an eine nationale „Wohlverhaltens"-Punktzahl.)
• Emotionserkennung am Arbeitsplatz oder in Schulen: Software, die aus Gesicht oder Stimme erkennen will, ob Sie wütend, gelangweilt sind oder lügen.
• Ungezieltes Abschöpfen von Gesichtsbildern: Aufbau von Gesichtserkennungsdatenbanken durch das Absaugen von Bildern aus dem Internet oder aus Videoüberwachung.
• Manipulative KI, die Schwächen von Menschen (Alter, Behinderung) ausnutzt, um ihr Verhalten zu verzerren und Schaden zu verursachen.
• Predictive Policing, das allein auf dem Profiling einer Person beruht, um vorherzusagen, dass sie eine Straftat begehen wird.
• Biometrische Kategorisierung, die sensible Merkmale wie Ethnie, sexuelle Orientierung oder politische Ansichten ableitet.

Wenn Ihre Produktidee einen dieser Punkte berührt: aufhören. Es gibt keine Compliance-Checkliste, die das in der EU legal macht.

Stufe 2: Was hochriskant ist

Das ist die Stufe, mit der die meisten Berufstätigen tatsächlich in Kontakt kommen. Hochriskant heißt nicht „böse". Es heißt, die KI wird in einem Umfeld eingesetzt, in dem eine schlechte Entscheidung das Leben eines Menschen erheblich beeinflusst. Beispiele:

• KI, die Lebensläufe screent oder Bewerber in eine Rangfolge bringt.
• KI im Credit Scoring oder bei der Entscheidung, wer einen Kredit bekommt.
• KI in Medizinprodukten und Diagnostik.
• KI, die über den Zugang zu Bildung entscheidet (Prüfungsbewertung, Zulassungen).
• KI im Einsatz in kritischer Infrastruktur (Stromnetze, Wasser).
• Bestimmte KI im Einsatz bei Strafverfolgung, Grenzkontrolle und Gerichten.

Wenn Sie ein Hochrisikosystem einsetzen, übernehmen Sie echte Pflichten: Menschen in die Entscheidungsschleife einbinden, protokollieren, was das System tut, gute Datenqualität verwenden, auf Bias überwachen und gegenüber den betroffenen Personen transparent sein. Provider müssen diese Systeme vor dem Verkauf in einer EU-Datenbank registrieren.

Ein realistisches Szenario

Nehmen wir an, Ihr HR-Team kauft einen KI-Lebenslauf-Screener. Sie sind damit Deployer eines Hochrisikosystems. Zu Ihren Pflichten gehören:

• Eine Person benennen, die seine Entscheidungen beaufsichtigt (nicht nur abnickt).
• Logs seiner Outputs aufbewahren.
• Bewerber darüber informieren, dass KI Teil des Verfahrens ist.
• Prüfen, ob der Provider Ihnen ordentliche Anweisungen und eine Risikobewertung geliefert hat.

Die Lehre daraus: „Wir haben es doch nur von der Stange gekauft" ist keine Verteidigung. Der Kauf von Hochrisiko-KI macht Sie dafür verantwortlich, wie Sie sie nutzen.

Stufe 3: Begrenztes Risiko (die Transparenzstufe)

Hier liegen Alltagstools wie ChatGPT, Claude und Gemini in der allgemeinen Nutzung größtenteils. Die Kernregel ist einfach: Menschen sollen wissen, wenn sie mit KI zu tun haben.

• Chatbots müssen deutlich machen, dass Nutzer mit einer Maschine sprechen, nicht mit einem Menschen.
• KI-generierte oder stark bearbeitete Bilder, Audios und Videos („Deepfakes") müssen als kkThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →ünstlich gekennzeichnet werden.
• KI-generierte Inhalte sollten, wo machbar, maschinenlesbar markiert sein.

Wenn Sie also einen Kundenservice-Chatbot einsetzen, bringt ein einzeiliger Hinweis „Sie chatten mit unserem KI-Assistenten" schon viel.

General-Purpose AI: die Modelle hinter Ihren Tools

Die großen Modelle hinter ChatGPT, Claude und Gemini heißen General-Purpose AI (GPAI): Modelle, die flexibel genug sind, viele Aufgaben zu erledigen. Der Act fügt für die Unternehmen, die sie herstellen, einen eigenen Pflichtenkatalog hinzu, der etwa im August 2025 in Kraft trat.

GPAI-Provider müssen Zusammenfassungen ihrer Trainingsdaten veröffentlichen, das EU-Urheberrecht beachten und technische Dokumentation bereitstellen. Die leistungsfähigsten Modelle (jene mit „systemischem Risiko") unterliegen zusätzlichen Test- und Sicherheitsanforderungen. Die EU hat einen freiwilligen General-Purpose AI Code of Practice veröffentlicht, der diesen Providern die Einhaltung erleichtern soll.

Für Sie als *Nutzer* passiert das meiste davon weiter oben in der Kette. Aber es ist der Grund, warum die Dokumentation und die „Model Cards" Ihres KI-Anbieters relevant sind: Sie existieren zum Teil, um diese Regeln zu erfüllen.

Der Zeitplan, den Sie sich merken sollten

Der Act trat im August 2024 in Kraft, aber die Regeln greifen in Wellen. Die wichtigsten Daten:

• Feb 2025: Verbotene Anwendungen untersagt. KI-Kompetenzpflichten beginnen.
• Aug 2025: Regeln für General-Purpose-AI-Modelle gelten.
• Aug 2026: Die meisten Hochrisiko- und Transparenzregeln gelten. Das ist der große Termin.
• Aug 2027: Restliche Hochrisikoregeln (KI, die in regulierte Produkte wie Medizinprodukte eingebaut ist) gelten.

2026 ist also das Jahr, in dem der Großteil der Pflichten landet. Wenn Ihre Organisation KI im Recruiting, in der Kreditvergabe oder in anderen sensiblen Bereichen nutzt, ist dieses Jahr der Moment, in dem aus „das sollten wir uns mal ansehen" ein „das hätte fertig sein müssen" wird.

Sanktionen, kurz gefasst

Die Bußgelder sind ernst zu nehmen. Verbotene Anwendungen kkThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önnen bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes kosten, je nachdem, was höher ist. Andere Verstöße staffeln sich darunter. Die Zahlen sind so angelegt, dass Compliance billiger ist als das Gesetz zu ignorieren.

Eine einfache Methode, Ihren Stand zu prüfen

Für eine erste Triage brauchen Sie keinen Anwalt. Stellen Sie zu jedem KI-System, das Sie nutzen oder bauen, drei Fragen:

1. Ist die Nutzung verboten? (Social Scoring, Emotionserkennung am Arbeitsplatz usw.) Wenn ja: aufhören.

2. Ist sie hochriskant? (Recruiting, Kredit, Gesundheit, Bildung, Strafverfolgung.) Wenn ja, haben Sie echte Pflichten.

3. Spricht sie mit Menschen oder erzeugt sie Inhalte für Menschen? Wenn ja, schulden Sie ihnen Transparenz.

Hier diese Triage als kleines Skript, das Sie für eine interne Checkliste anpassen kkThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önnen:

def classify_ai_use(use_case):
    prohibited = {"social_scoring", "workplace_emotion_recognition",
                  "untargeted_face_scraping", "predictive_policing"}
    high_risk = {"cv_screening", "credit_scoring", "medical_diagnosis",
                 "exam_scoring", "border_control"}

    if use_case in prohibited:
        return "PROHIBITED: do not deploy in the EU."
    if use_case in high_risk:
        return "HIGH-RISK: human oversight, logging, bias checks required."
    return "LIMITED/MINIMAL: add a clear 'this is AI' disclosure."

print(classify_ai_use("cv_screening"))
# HIGH-RISK: human oversight, logging, bias checks required.

Das ist ein erster Filter, keine Rechtsberatung. Aber es erzwingt jedes Mal die richtige erste Frage.

Was das für Leser außerhalb der EU bedeutet

Auch wenn Sie in den USA, in Großbritannien oder anderswo sitzen, gibt es drei Gründe, sich dafür zu interessieren:

• Reach: Wenn einige Ihrer Nutzer in der EU sind, kann der Act für Sie gelten.
• Vorlagen-Effekt: Wie die DSGVO prägt dieses Gesetz Regeln in anderen Regionen. Viele Unternehmen übernehmen einen globalen Standard, statt mehrere zu jonglieren.
• Vertrauenssignal: Diese Praktiken zu befolgen (menschliche Aufsicht, Transparenz, Datenqualität) ist einfach gute KI-Hygiene, mit oder ohne Regulierung.

Die offizielle Zusammenfassung finden Sie auf der AI-Act-Seite der EU, wenn Sie die Primärquelle in halbwegs klarer Sprache wollen.

Key Takeaways

• Merken Sie sich die vier Stufen: verboten, hochriskant, begrenzt (Transparenz), minimal. Der Großteil Ihrer täglichen KI-Nutzung ist „begrenzt", heißt: einfach sagen, dass es KI ist.
• Kennen Sie die Verbotsliste. Social Scoring, Emotionserkennung am Arbeitsplatz und in Schulen, ungezieltes Abschöpfen von Gesichtsbildern und bestimmtes Predictive Policing sind in der EU tabu, Punkt.
• Wenn Sie KI für Recruiting, Kreditvergabe, Gesundheit oder Bildung nutzen, behandeln Sie sie ab jetzt als hochriskant. Menschliche Aufsicht benennen, Logs führen und Dokumentation von Ihrem Anbieter einfordern.
• Markieren Sie August 2026 im Kalender. Dann gelten die meisten Hochrisiko- und Transparenzregeln vollständig. Starten Sie Ihre interne Prüfung dieses Jahr, nicht nächstes.
• Führen Sie die Drei-Fragen-Triage durch (verboten? hochriskant? spricht mit Menschen?), bevor Sie ein KI-Tool ausrollen. Das fängt die größten Probleme in Minuten ab.