EU AI Act: Das erste umfassende KI-Gesetz

Wer ist betroffen

• ◆Anbieter von KI-Systemen, die in der EU vermarktet oder genutzt werden — unabhängig vom Sitz des Anbieters. Ein US-Startup, dessen Tool in Deutschland Kunden hat, fällt darunter.
• ◆Betreiber: Unternehmen oder Behörden, die KI in ihrem operativen Geschäft einsetzen (z.B. KI-gestützte Bewerber-Vorauswahl, automatische Schadensregulierung, Kundensupport-Chatbot).
• ◆Importeure und Händler von KI-Systemen aus Drittländern — sie haften mit, wenn sie ein nicht-konformes System in der EU vertreiben.
• ◆SaaS-Anbieter, die KI-Features in bestehende Workflows integrieren — auch wenn das eigentliche Modell von OpenAI oder Anthropic stammt.
• ◆GPAI-Anbieter (General Purpose AI) mit eigenen Modellen — strengere Pflichten ab 10^25 FLOPS Trainingsbudget (Art. 51 ff.).
• ◆Öffentliche Stellen und Behörden, die KI in den Annex-III-Bereichen einsetzen (Sozialleistungen, Migration, Strafverfolgung).
• ◆Jeder Arbeitgeber, der KI für Personalentscheidungen nutzt (Recruiting, Performance, Kündigung) — fast immer Hochrisiko (Annex III Punkt 4).

Was ich für dich übernehme

• →Risiko-Klassifizierung pro Feature, dokumentiert im Repo (`docs/history/YYYY-MM-DD_*.md`) mit Verweis auf konkrete AI-Act-Artikel — prüfbar für Audits und interne Reviews.
• →AiBadge-Komponente für alle KI-Outputs (Text, Bild, Audio) — DE+EN, Dark/Light Mode, mit Provider-Angabe und Confidence-Score wenn verfügbar.
• →Approval-Gates für kundensichtbare KI-Inhalte (Blog, E-Mail, Rechnung) — die KI schlägt vor, ein Mensch gibt frei. Nichts wird automatisch versendet.
• →Audit-Logs in Postgres mit Such-UI für Admins: welcher Agent hat wann was getan, mit welchem Modell, welchem Prompt, welchem Ergebnis. Retention: 6+ Monate (Art. 26 Abs. 6).
• →EU-hosted Modelle als Default (Scaleway Paris mit Mistral und Pixtral) statt US-LLMs für sensible Workloads — geringeres Compliance-Risiko bei DSGVO-Drittlandstransfer.
• →Datenschutzerklärung mit dediziertem KI-Abschnitt: welche Modelle, welche Daten, welche Zwecke, welche Rechte hat der Nutzer (Auskunft, Löschung, Widerspruch).
• →AI-Literacy-Schulung für dein Team (Art. 4): 2-Stunden-Workshop, wann KI eingesetzt werden darf, wo Grenzen liegen, wie Vorfälle gemeldet werden.
• →Risiko-Workshop für dein Produkt: 90-Minuten-Termin, in dem wir gemeinsam die AI-Act-Risikoklasse bestimmen und einen schriftlichen Bericht erstellen.
• →Bei Hochrisiko: vollständiges Risikomanagement-System nach Art. 9-15, inkl. Bedrohungsmodell, Testdaten-Dokumentation, technische Spezifikation und Konformitätsbewertung.

Rechtsgrundlage

Verordnung (EU) 2024/1689 (AI Act) · Durchführungsverordnungen der EU-Kommission · DSGVO Art. 22 (automatisierte Einzelentscheidungen) · ProdHaftG-Neufassung (Produkthaftung bei KI-Schäden, Umsetzung der EU-Produkthaftungsrichtlinie 2024/2853) · NIS2-Richtlinie (wenn KI in kritischer Infrastruktur eingesetzt wird) · Art. 99 AI Act (Sanktionen)

Häufige Fragen

Mein Chatbot beantwortet nur Fragen zu Produkten — bin ich betroffen?

Ja. Schon ein einfacher Chatbot fällt unter Art. 50 AI Act: der Nutzer muss erkennen können, dass er mit einer KI interagiert (nicht mit einem Menschen). Das ist 'begrenztes Risiko' und kostet dich technisch nur einen klaren Hinweis im UI. Hochrisiko bist du nur bei Annex-III-Anwendungen (Bildung, Beschäftigung, Strafverfolgung etc.).

Was muss ich tun, wenn ich KI-generierte Texte auf meiner Website veröffentliche?

Art. 50 verlangt eine Kennzeichnung als KI-generiert — sichtbar für den Nutzer. Bei Schwankl-Software-Installationen ist das die `<AiBadge />`-Komponente. Wenn die KI nur ein Mensch-erstellter Text 'umformuliert' hat, ist die Lage uneindeutig — sicherer ist immer, zu kennzeichnen.

Darf ich OpenAI/Anthropic in der EU nutzen oder muss alles auf EU-Servern laufen?

Nutzen darfst du, aber du brauchst dann einen tragfähigen Rechtsrahmen für den Drittlandstransfer (Standardvertragsklauseln + Transfer Impact Assessment) UND musst Nutzer transparent informieren. Für sensible Workloads (Personalentscheidungen, Gesundheit, Finanzen) empfehle ich EU-hosted Modelle wie Scaleway Mistral — geringeres Compliance-Risiko.

Was kostet ein konkreter Verstoß gegen den AI Act?

Art. 99 stuft Verstöße in drei Klassen: Verbotene Praktiken (Art. 5) bis 35 Mio EUR oder 7% Weltumsatz — was höher ist. Verstöße gegen Hochrisiko- oder GPAI-Pflichten bis 15 Mio EUR oder 3%. Falschauskunft an Aufsichtsbehörden bis 7,5 Mio EUR oder 1%. Für KMU werden die Bußgelder auf den jeweils niedrigeren der beiden Werte (absolut/prozentual) gedeckelt — aber das ist immer noch sechsstellig.

Brauche ich eine eigene KI-Policy für Mitarbeiter?

Ja, faktisch — auch wenn der AI Act es nicht wörtlich als 'Policy' fordert. Art. 4 verpflichtet alle Anbieter und Betreiber, sicherzustellen, dass Mitarbeiter, die KI einsetzen, über ausreichende KI-Kompetenz verfügen. In der Praxis heißt das: schriftliche Richtlinie, was erlaubt ist (z.B. ChatGPT für interne Recherche), was nicht (z.B. Kundendaten in externe LLMs kippen), wie Vorfälle gemeldet werden, plus Schulung bei Eintritt + jährlich. Ich liefere dir Template + Workshop.

Wie dokumentiere ich Risiko-Bewertungen audit-fest?

Im Repository, nicht im Word-Dokument. Pro Feature ein Eintrag in `docs/history/YYYY-MM-DD_*.md` mit: welche AI-Act-Artikel geprüft wurden, welche Risikoklasse rauskam, wer die Entscheidung getroffen hat, welche Kontrollen eingebaut sind, welche Tests existieren. Wenn die Aufsichtsbehörde kommt, kannst du Git-Historie + Code zeigen statt 'da war doch mal eine PDF'. Das ist auch der Standard, den die EU-Kommission in ihren Leitfäden empfiehlt.