Künstliche Intelligenz rechtssicher einsetzen.

Die vier Risikostufen des EU AI Act

Der EU AI Act klassifiziert KI-Systeme in vier Risikostufen. Je höher die Stufe, desto strenger die Anforderungen. Für Unternehmen ist entscheidend, in welche Kategorie ihre KI-Anwendungen fallen — denn davon hängt ab, welche Pflichten sie erfüllen müssen.

Unannehmbares Risiko — verboten seit Februar 2025

Bestimmte KI-Praktiken sind nach Art. 5 des AI Act grundsätzlich verboten. Dazu gehören Social-Scoring-Systeme, die das Verhalten von Personen bewerten und darauf basierend Nachteile verursachen, unterschwellige manipulative Techniken sowie biometrische Echtzeit-Fernüberwachung im öffentlichen Raum (mit engen Ausnahmen für Strafverfolgungsbehörden). Diese Verbote gelten bereits seit dem 2. Februar 2025.

Hohes Risiko — strenge Pflichten ab August 2026

Hochrisiko-KI-Systeme nach Art. 6 und Anhang III unterliegen den umfangreichsten Pflichten. Typische Beispiele aus der Praxis:

• KI im Recruiting: Wenn ein Unternehmen KI-gestützte Tools zur Vorauswahl von Bewerbern einsetzt (etwa Lebenslauf-Screening oder Video-Interview-Analyse), fällt dies unter Anhang III Nr. 4 — Beschäftigung und Personalmanagement.
• Kreditwürdigkeitsprüfung: Banken und Finanzdienstleister, die KI zur Bonitätsbewertung natürlicher Personen nutzen, betreiben ein Hochrisiko-System nach Anhang III Nr. 5.
• Biometrische Identifizierung: Zugangskontrollsysteme mit Gesichtserkennung am Unternehmenseingang fallen unter Anhang III Nr. 1.

Für diese Systeme müssen Unternehmen unter anderem ein Risikomanagementsystem einrichten (Art. 9), Anforderungen an die Datenqualität erfüllen (Art. 10), eine technische Dokumentation erstellen (Art. 11) und eine menschliche Aufsicht sicherstellen (Art. 14). Die Pflichten für Hochrisiko-Systeme gelten ab dem 2. August 2026.

Begrenztes Risiko — Transparenzpflichten

KI-Systeme mit begrenztem Risiko müssen vor allem Transparenzanforderungen erfüllen (Art. 50). Das betrifft insbesondere Chatbots, die gegenüber Nutzern offenlegen müssen, dass sie mit einer KI interagieren. Auch Deepfakes — also KI-generierte Bild-, Audio- oder Videoinhalte — müssen als künstlich erzeugt gekennzeichnet werden. Diese Pflichten gelten seit dem 2. August 2025.

Minimales Risiko — keine spezifischen Pflichten

KI-Systeme mit minimalem Risiko, wie etwa Spam-Filter, KI-gestützte Empfehlungssysteme in Online-Shops oder automatische Rechtschreibprüfung, unterliegen keinen spezifischen Pflichten aus dem AI Act. Sie dürfen frei eingesetzt werden. Allerdings können auch hier datenschutzrechtliche Anforderungen nach der DSGVO bestehen, etwa wenn personenbezogene Daten verarbeitet werden.

AI Literacy — Pflicht seit Februar 2025

Bereits seit dem 2. Februar 2025 gilt die Pflicht zur sogenannten AI Literacy (Art. 4 AI Act). Unternehmen, die KI-Systeme einsetzen oder entwickeln, müssen sicherstellen, dass ihr Personal über ausreichende KI-Kompetenz verfügt. Das bedeutet konkret: Mitarbeiter, die mit KI-Systemen arbeiten, müssen deren Funktionsweise, Möglichkeiten und Grenzen verstehen. Diese Pflicht gilt unabhängig von der Risikostufe des eingesetzten Systems und betrifft daher praktisch jedes Unternehmen, das KI-Tools nutzt — auch wenn es sich nur um ChatGPT oder ähnliche Assistenten handelt.

Wir unterstützen Sie bei der Entwicklung eines maßgeschneiderten Schulungskonzepts, das sowohl die rechtlichen Anforderungen erfüllt als auch praxistauglich ist.