EU AI Act: Das erste umfassende KI-Gesetz

Wer ist betroffen

• ◆Anbieter von KI-Systemen, die in der EU vermarktet oder genutzt werden — unabhaengig vom Sitz des Anbieters. Ein US-Startup, dessen Tool in Deutschland Kunden hat, faellt darunter.
• ◆Betreiber: Unternehmen oder Behoerden, die KI in ihrem operativen Geschaeft einsetzen (z.B. KI-gestuetzte Bewerber-Vorauswahl, automatische Schadensregulierung, Kundensupport-Chatbot).
• ◆Importeure und Haendler von KI-Systemen aus Drittlaendern — sie haften mit, wenn sie ein nicht-konformes System in der EU vertreiben.
• ◆SaaS-Anbieter, die KI-Features in bestehende Workflows integrieren — auch wenn das eigentliche Modell von OpenAI oder Anthropic stammt.
• ◆GPAI-Anbieter (General Purpose AI) mit eigenen Modellen — strengere Pflichten ab 10^25 FLOPS Trainingsbudget (Art. 51 ff.).
• ◆Oeffentliche Stellen und Behoerden, die KI in den Annex-III-Bereichen einsetzen (Sozialleistungen, Migration, Strafverfolgung).
• ◆Jeder Arbeitgeber, der KI fuer Personalentscheidungen nutzt (Recruiting, Performance, Kuendigung) — fast immer Hochrisiko (Annex III Punkt 4).

Was ich fuer dich uebernehme

• →Risiko-Klassifizierung pro Feature, dokumentiert im Repo (`docs/history/YYYY-MM-DD_*.md`) mit Verweis auf konkrete AI-Act-Artikel — pruefbar fuer Audits und interne Reviews.
• →AiBadge-Komponente fuer alle KI-Outputs (Text, Bild, Audio) — DE+EN, Dark/Light Mode, mit Provider-Angabe und Confidence-Score wenn verfuegbar.
• →Approval-Gates fuer kundensichtbare KI-Inhalte (Blog, E-Mail, Rechnung) — die KI schlaegt vor, ein Mensch gibt frei. Nichts wird automatisch versendet.
• →Audit-Logs in Postgres mit Such-UI fuer Admins: welcher Agent hat wann was getan, mit welchem Modell, welchem Prompt, welchem Ergebnis. Retention: 6+ Monate (Art. 26 Abs. 6).
• →EU-hosted Modelle als Default (Scaleway Paris mit Mistral und Pixtral) statt US-LLMs fuer sensible Workloads — geringeres Compliance-Risiko bei DSGVO-Drittlandstransfer.
• →Datenschutzerklaerung mit dediziertem KI-Abschnitt: welche Modelle, welche Daten, welche Zwecke, welche Rechte hat der Nutzer (Auskunft, Loeschung, Widerspruch).
• →AI-Literacy-Schulung fuer dein Team (Art. 4): 2-Stunden-Workshop, wann KI eingesetzt werden darf, wo Grenzen liegen, wie Vorfaelle gemeldet werden.
• →Risiko-Workshop fuer dein Produkt: 90-Minuten-Termin, in dem wir gemeinsam die AI-Act-Risikoklasse bestimmen und einen schriftlichen Bericht erstellen.
• →Bei Hochrisiko: vollstaendiges Risikomanagement-System nach Art. 9-15, inkl. Bedrohungsmodell, Testdaten-Dokumentation, technische Spezifikation und Konformitaetsbewertung.

Rechtsgrundlage

Verordnung (EU) 2024/1689 (AI Act) · Durchfuehrungsverordnungen der EU-Kommission · DSGVO Art. 22 (automatisierte Einzelentscheidungen) · ProdHaftG-Neufassung (Produkthaftung bei KI-Schaeden, Umsetzung der EU-Produkthaftungsrichtlinie 2024/2853) · NIS2-Richtlinie (wenn KI in kritischer Infrastruktur eingesetzt wird) · Art. 99 AI Act (Sanktionen)

Haeufige Fragen

Mein Chatbot beantwortet nur Fragen zu Produkten — bin ich betroffen?

Ja. Schon ein einfacher Chatbot faellt unter Art. 50 AI Act: der Nutzer muss erkennen koennen, dass er mit einer KI interagiert (nicht mit einem Menschen). Das ist 'begrenztes Risiko' und kostet dich technisch nur einen klaren Hinweis im UI. Hochrisiko bist du nur bei Annex-III-Anwendungen (Bildung, Beschaeftigung, Strafverfolgung etc.).

Was muss ich tun, wenn ich KI-generierte Texte auf meiner Website veroeffentliche?

Art. 50 verlangt eine Kennzeichnung als KI-generiert — sichtbar fuer den Nutzer. Bei Schwankl-Software-Installationen ist das die `<AiBadge />`-Komponente. Wenn die KI nur ein Mensch-erstellter Text 'umformuliert' hat, ist die Lage uneindeutig — sicherer ist immer, zu kennzeichnen.

Darf ich OpenAI/Anthropic in der EU nutzen oder muss alles auf EU-Servern laufen?

Nutzen darfst du, aber du brauchst dann einen tragfaehigen Rechtsrahmen fuer den Drittlandstransfer (Standardvertragsklauseln + Transfer Impact Assessment) UND musst Nutzer transparent informieren. Fuer sensible Workloads (Personalentscheidungen, Gesundheit, Finanzen) empfehle ich EU-hosted Modelle wie Scaleway Mistral — geringeres Compliance-Risiko.

Was kostet ein konkreter Verstoss gegen den AI Act?

Art. 99 stuft Verstoesse in drei Klassen: Verbotene Praktiken (Art. 5) bis 35 Mio EUR oder 7% Weltumsatz — was hoeher ist. Verstoesse gegen Hochrisiko- oder GPAI-Pflichten bis 15 Mio EUR oder 3%. Falschauskunft an Aufsichtsbehoerden bis 7,5 Mio EUR oder 1%. Fuer KMU werden die Bussgelder auf den jeweils niedrigeren der beiden Werte (absolut/prozentual) gedeckelt — aber das ist immer noch sechsstellig.

Brauche ich eine eigene KI-Policy fuer Mitarbeiter?

Ja, faktisch — auch wenn der AI Act es nicht woertlich als 'Policy' fordert. Art. 4 verpflichtet alle Anbieter und Betreiber, sicherzustellen, dass Mitarbeiter, die KI einsetzen, ueber ausreichende KI-Kompetenz verfuegen. In der Praxis heisst das: schriftliche Richtlinie, was erlaubt ist (z.B. ChatGPT fuer interne Recherche), was nicht (z.B. Kundendaten in externe LLMs kippen), wie Vorfaelle gemeldet werden, plus Schulung bei Eintritt + jaehrlich. Ich liefere dir Template + Workshop.

Wie dokumentiere ich Risiko-Bewertungen audit-fest?

Im Repository, nicht im Word-Dokument. Pro Feature ein Eintrag in `docs/history/YYYY-MM-DD_*.md` mit: welche AI-Act-Artikel geprueft wurden, welche Risikoklasse rauskam, wer die Entscheidung getroffen hat, welche Kontrollen eingebaut sind, welche Tests existieren. Wenn die Aufsichtsbehoerde kommt, kannst du Git-Historie + Code zeigen statt 'da war doch mal eine PDF'. Das ist auch der Standard, den die EU-Kommission in ihren Leitfaeden empfiehlt.