Am vergangenen Mittwoch, dem 13. März, hat das Europäische Parlament mit großer Mehrheit die KI-Verordnung verabschiedet, im Englischen „AI Act“ genannt. Es ist das weltweit erste umfassende Gesetz zur Regulierung künstlicher Intelligenz. Seitdem erreichen uns Fragen wie: Dürfen wir ChatGPT jetzt noch nutzen? Müssen wir unsere KI-Tools anmelden? Was bedeutet der EU AI Act für Unternehmen im Mittelstand? Hier ist unser Überblick, ohne Panik, aber mit den Punkten, die Sie kennen sollten.
Wo steht das Verfahren?
Ganz abgeschlossen ist es noch nicht. Nach dem Parlament muss auch der Rat der EU formell zustimmen, das gilt als Formsache. Danach wird die Verordnung im Amtsblatt veröffentlicht und tritt 20 Tage später in Kraft. Als EU-Verordnung gilt sie dann unmittelbar in allen Mitgliedstaaten, ein deutsches Umsetzungsgesetz braucht es für die Grundregeln nicht. Die Pflichten greifen gestaffelt:
| Zeitpunkt nach Inkrafttreten | Was dann gilt |
|---|---|
| nach 6 Monaten | Verbote bestimmter KI-Praktiken, allgemeine Bestimmungen |
| nach 12 Monaten | Regeln für KI-Modelle mit allgemeinem Verwendungszweck (etwa die großen Sprachmodelle) |
| nach 24 Monaten | Der Großteil der Verordnung, insbesondere für Hochrisiko-Systeme und Transparenzpflichten |
| nach 36 Monaten | Bestimmte Hochrisiko-Systeme in bereits regulierten Produkten |
Sie haben also Zeit, aber nicht unbegrenzt viel.
Das Grundprinzip: Risikoklassen
Die KI-Verordnung reguliert nicht die Technik an sich, sondern ihren Einsatz. Je höher das Risiko für Menschen, desto strenger die Regeln:
- Unannehmbares Risiko, verboten: zum Beispiel Social Scoring, manipulative Techniken, die Schwächen von Menschen ausnutzen, das ungezielte Sammeln von Gesichtsbildern aus dem Internet oder Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen (mit engen Ausnahmen etwa aus medizinischen oder Sicherheitsgründen).
- Hohes Risiko, strenge Auflagen: KI in sensiblen Bereichen, etwa bei der Auswahl von Bewerbern, bei Entscheidungen über Beförderung oder Kündigung, bei der Kreditwürdigkeitsprüfung, in der Bildung oder in kritischer Infrastruktur.
- Begrenztes Risiko, Transparenzpflichten: Chatbots müssen sich als KI zu erkennen geben, KI-erzeugte oder manipulierte Bilder, Videos und Audios (Deepfakes) müssen gekennzeichnet werden.
- Minimales Risiko, keine besonderen Pflichten: etwa Spamfilter, KI in Videospielen oder einfache Empfehlungsfunktionen.
EU AI Act: Was Unternehmen konkret betrifft
Die meisten Mittelständler entwickeln keine eigene KI, sondern nutzen fertige Werkzeuge. Die Verordnung nennt sie „Betreiber“. Für Betreiber sind vor allem diese Punkte wichtig:
1. KI-Kompetenz der Mitarbeiter
Unternehmen, die KI-Systeme einsetzen, sollen sicherstellen, dass ihre Mitarbeiter, die damit arbeiten, über ausreichende KI-Kompetenz verfügen. Diese Pflicht gehört zu den allgemeinen Bestimmungen und greift damit schon früh. Gemeint ist kein Informatikstudium, sondern ein Verständnis dafür, was das Werkzeug kann, wo es Fehler macht und welche Regeln im Unternehmen gelten.
2. Vorsicht im Personalbereich
Wer KI bei Bewerbungen, Leistungsbewertung oder Personalentscheidungen einsetzt, bewegt sich schnell im Hochrisiko-Bereich. Als Betreiber müssen Sie dann unter anderem das System gemäß Anleitung nutzen, menschliche Aufsicht sicherstellen, den Betrieb überwachen, Protokolle aufbewahren und die Beschäftigten bzw. ihre Vertretung vorab informieren.
3. Transparenz nach außen
Setzen Sie auf Ihrer Website einen KI-Chatbot ein, müssen Besucher erkennen können, dass sie mit einer Maschine sprechen. Und wer KI-generierte Bilder oder Videos veröffentlicht, die echt wirken, muss sie unter den Voraussetzungen der Verordnung kennzeichnen.
4. Bußgelder
Die Verordnung sieht empfindliche Bußgelder vor, bei verbotenen Praktiken bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes. Für kleine und mittlere Unternehmen gelten abgemilderte Obergrenzen.
Und ChatGPT, Copilot und Co.?
Die Nutzung von KI-Assistenten für Texte, Zusammenfassungen oder Recherche ist nicht verboten und fällt in den allermeisten Fällen nicht in den Hochrisiko-Bereich. Die Anbieter der großen Sprachmodelle bekommen eigene Pflichten, etwa zur technischen Dokumentation und zum Umgang mit dem Urheberrecht. Für Sie als Nutzer bleibt aber die DSGVO der wichtigere Maßstab: Welche Daten geben Sie ein, und wohin gehen sie?
Ihre To-do-Liste für 2024
- KI-Inventur: Welche KI-Werkzeuge werden bei Ihnen eingesetzt, offiziell und inoffiziell? Auch KI-Funktionen in bestehender Software zählen.
- Einordnen: In welche Risikoklasse fällt jeder Einsatz? Besonders genau hinschauen bei Personal, Kunden-Scoring und Sicherheit.
- KI-Richtlinie: Klare Regeln, welche Tools erlaubt sind, welche Daten tabu sind und wer verantwortlich ist.
- Schulung: Mitarbeiter, die KI nutzen, regelmäßig und praxisnah schulen. Das erfüllt die Kompetenzpflicht und verbessert die Ergebnisse.
- Kennzeichnung vorbereiten: Chatbots und KI-Inhalte auf Website und in Social Media transparent machen.
- Lieferanten fragen: Wie gehen Ihre Softwareanbieter mit der KI-Verordnung um?
Kurz gefragt
Müssen wir unsere KI-Tools irgendwo anmelden? Für die übliche Nutzung von KI-Assistenten nicht. Registrierungspflichten betreffen vor allem Hochrisiko-Systeme, und dort in erster Linie die Anbieter.
Wer kontrolliert das in Deutschland? Welche Behörde zuständig wird, muss noch festgelegt werden. Darüber wird gerade diskutiert.
Sollten wir mit KI jetzt lieber warten? Nein. Wer KI bewusst und mit klaren Regeln einsetzt, ist für die Verordnung besser vorbereitet als jemand, der das Thema ignoriert und dann von inoffizieller Nutzung überrascht wird.
Unser Fazit
Der EU AI Act bedeutet für die meisten Unternehmen kein Verbot, sondern eine Aufforderung zur Ordnung: wissen, welche KI im Einsatz ist, Mitarbeiter befähigen, sensible Anwendungen sorgfältig prüfen. Wer heute damit anfängt, hat entspannt Zeit bis zum Stichtag und nutzt KI nebenbei auch besser.
Wir helfen Ihnen gerne
Sie möchten eine KI-Inventur machen, eine KI-Richtlinie aufsetzen oder Ihre Mitarbeiter schulen? Das IT-Team der Mittelstandsoptimierer unterstützt Sie praxisnah, gemeinsam mit unseren Kollegen aus Datenschutz und Informationssicherheit. Rufen Sie uns an: 06131 144928-0.
Herzliche Grüße aus Mainz
