Seit dem 1. August 2024 ist der EU AI Act in Kraft, seit Februar 2025 gelten die ersten verbindlichen Pflichten. Für viele Unternehmen kommt das nicht überraschend, und trotzdem zeigt die Praxis: Ein Großteil der mittelständischen Betriebe hat noch keine strukturierte Antwort auf die neuen Anforderungen. Das ist kein Kavaliersdelikt. Verstöße gegen die Hochrisiko-Vorschriften können mit Bußgeldern von bis zu 30 Millionen Euro oder 6 Prozent des weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ausfällt.
Was der EU AI Act tatsächlich von Unternehmen verlangt
Der EU AI Act klassifiziert KI-Systeme nach Risikostufen. Unverbotene Systeme mit minimalem Risiko, also etwa ein einfacher Chatbot für den Kundenservice, fallen kaum unter regulatorische Pflichten. Anders sieht es bei Hochrisiko-Systemen aus: Dazu zählen unter anderem KI-gestützte Bewerberauswahl, biometrische Kategorisierung, automatisierte Kreditentscheidungen und KI in sicherheitskritischer Infrastruktur.
Wer solche Systeme betreibt oder entwickelt, muss technische Dokumentation vorhalten, Risikomanagement-Systeme einrichten, menschliche Aufsicht sicherstellen und Protokolle über den Systembetrieb führen. Hinzu kommt eine Pflicht, die in der öffentlichen Diskussion oft untergeht: Artikel 4 des EU AI Act schreibt vor, dass Anbieter und Betreiber dafür sorgen müssen, dass ihre Mitarbeiter über ausreichende KI-Kompetenz verfügen. Der Begriff ist bewusst offen formuliert, was bedeutet, dass Unternehmen selbst definieren und nachweisen müssen, was „ausreichend“ in ihrem Kontext heißt.
Das Kompetenzproblem in der Praxis
Viele Betriebe setzen KI bereits ein, oft in Form von Microsoft Copilot, ChatGPT-Integration in Arbeitsabläufe oder branchenspezifischen Tools mit eingebetteten Sprachmodellen. Die Nutzung wächst schneller als das Wissen darüber, wie diese Systeme funktionieren, wo ihre Grenzen liegen und welche Risiken sie mitbringen.
Ein typisches Szenario: Ein Sachbearbeiter nutzt ein KI-Tool, um Vertragsklauseln zu prüfen. Er vertraut dem Output, ohne zu wissen, dass das Modell auf einem Trainingsstand von vor 18 Monaten basiert und aktuelle Rechtsprechung nicht kennt. Das ist kein hypothetisches Risiko. Ähnliche Fälle, bei denen KI-generierte Inhalte ohne ausreichende Prüfung übernommen wurden, haben in den letzten zwei Jahren in mehreren europäischen Ländern zu Haftungsfragen geführt.
Der Kompetenznachweis nach Artikel 4 EU AI Act hat deshalb zwei Funktionen: Er schützt das Unternehmen haftungsrechtlich, und er reduziert tatsächliche Fehlerquoten im operativen Betrieb.
Zertifizierung als dokumentierter Nachweis
Wer nachweisen möchte, dass Mitarbeiter ausreichend qualifiziert sind, braucht mehr als ein internes Schulungsprotokoll. Externe Zertifikate mit standardisierten Prüfkriterien sind gerichtsverwertbar und zeigen Aufsichtsbehörden, dass das Unternehmen die Anforderungen ernst nimmt. Wer prüfen möchte, wie ein solcher strukturierter Qualifizierungsweg aussieht, findet unter KI sicher im Unternehmen einsetzen ein konkretes Zertifizierungsangebot, das genau auf die Anforderungen des EU AI Act ausgerichtet ist.
Solche Programme decken in der Regel Grundlagen zu KI-Systemen, Risikokategorien nach EU AI Act, Datenschutz im KI-Kontext, Prompt-Kompetenz und Qualitätssicherung bei KI-Outputs ab. Entscheidend ist, dass Teilnehmer nicht nur Wissen ansammeln, sondern nachweislich anwenden können.
Welche Abteilungen zuerst handeln müssen
Nicht alle Mitarbeiter brauchen die gleiche Tiefe an Qualifikation. Eine sinnvolle Priorisierung nach Risikokontakt sieht so aus:
- HR und Recruiting: Wer KI-gestützte Bewerberauswahl nutzt, betreibt laut EU AI Act ein Hochrisiko-System. Hier gelten die strengsten Anforderungen.
- Recht und Compliance: Diese Abteilungen müssen den regulatorischen Rahmen kennen und interne Richtlinien formulieren können.
- IT und Produktentwicklung: Wer KI-Systeme implementiert oder integriert, trägt Verantwortung für Dokumentation und Sicherheitsarchitektur.
- Vertrieb und Marketing: Personalisierungsalgorithmen, KI-generierte Inhalte und automatisierte Kundenkommunikation fallen je nach Ausgestaltung unter Transparenzpflichten.
- Geschäftsführung: Strategische Entscheidungen über KI-Einsatz setzen Grundverständnis der Haftungsstruktur voraus.
Interne Strukturen aufbauen, nicht nur schulen
Schulungen allein reichen nicht. Unternehmen, die den EU AI Act dauerhaft compliant umsetzen wollen, brauchen klare Zuständigkeiten. In größeren Organisationen hat sich die Rolle eines AI Compliance Officers etabliert, also einer Person, die Systeminventare pflegt, Risikoklassifizierungen vornimmt und Schulungszyklen koordiniert. In mittelständischen Betrieben mit 50 bis 200 Mitarbeitern übernimmt das oft der IT-Leiter oder der Datenschutzbeauftragte in Personalunion.
Wichtig ist außerdem ein aktuelles Inventar aller eingesetzten KI-Systeme. Das klingt trivial, ist es aber nicht. Tools wie GitHub Copilot, Grammarly Business oder KI-Funktionen in ERP-Systemen werden oft nicht als „KI-Einsatz“ wahrgenommen, fallen aber unter die Definitionen des EU AI Act. Eine strukturierte Bestandsaufnahme ist deshalb der erste praktische Schritt, vor jeder Schulungsmaßnahme.
Der Faktor Zeit
Die Übergangsfrist für Hochrisiko-Systeme nach Anhang III des EU AI Act endet am 2. August 2026. Das klingt nach ausreichend Puffer. In der Realität zeigt die Erfahrung mit der DSGVO, dass Unternehmen, die bis 18 Monate vor Fristende abwarten, unter erheblichem Druck geraten: Beratungskapazitäten werden knapp, interne Umsetzungsprojekte dauern länger als geplant, und kurzfristige Zertifizierungen lassen sich nicht immer termingerecht abschließen.
Wer jetzt beginnt, hat die Wahl. Wer wartet, hat sie nicht mehr.
