Das Wichtigste in Kürze
- Die KI Verordnung für Unternehmen gilt schrittweise: wichtige Verbote ab 2. Februar 2025, Vorgaben für allgemein einsetzbare Grundmodelle ab 2. August 2025, der Großteil der Regeln ab 2. August 2026; einzelne Produktvorgaben bis 2. August 2027.
- Die meisten Firmen sind Nutzer bzw. Betreiber von KI. Sie brauchen Transparenz, menschliche Aufsicht, Protokollierung, klare Abläufe und Nachweise.
- Alles beginnt mit der Risikoklasse: verboten, hoch, begrenzt, gering. Daran richten sich Ihre Pflichten aus.
- Bei Basismodellen (allgemein einsetzbare Grundmodelle) sind zusätzliche Informationen vom Anbieter nötig. Künstlich erzeugte Inhalte müssen gegebenenfalls gekennzeichnet werden.
- Pragmatischer Start: Bestandsaufnahme, Rollen klären, Anwendungsfälle einstufen, Mindestnachweise festlegen, 90-Tage-Fahrplan umsetzen.
Inhaltsverzeichnis
- Einleitung
- Was regelt die EU-KI-Verordnung?
- Wer ist betroffen? Rollen im Überblick
- Zeitplan 2025–2027
- So stufen Sie Ihre KI richtig ein
- Pflichten für Nutzer/Betreiber
- Transparenz und Kennzeichnung
- Allgemein einsetzbare Grundmodelle (Basismodelle)
- Steuerung und Verantwortlichkeiten
- Einkauf und externe Anbieter
- Sanktionen und Aufsicht
- Ihr 60–90-Tage-Fahrplan
- FAQ
- Glossar und Quellen
Einleitung
Die KI Verordnung für Unternehmen sorgt für klare Regeln beim Einsatz von Künstlicher Intelligenz. Grundidee: Je höher das Risiko für Menschen und Gesellschaft, desto strenger die Pflichten. Für Sie heißt das: Anwendungsfälle ordnen, Nachweise aufbauen, Zuständigkeiten klären. Dieser Leitfaden erklärt in einfacher Sprache, was jetzt zählt.
Was regelt die EU-KI-Verordnung?
- EU-weit einheitliche Regeln für Entwicklung, Bereitstellung und Nutzung von KI-Systemen.
- Einstufung in vier Risikoklassen: verboten, hoch, begrenzt, gering.
- Pflichten je nach Rolle: Anbieter, Bevollmächtigter, Importeur, Händler, Nutzer/Betreiber.
- Besondere Vorgaben für Basismodelle (allgemein einsetzbare Grundmodelle).
- Staatliche Aufsicht, Marktüberwachung und Bußgelder sichern die Einhaltung.
| Begriff | Kurz erklärt | Warum es Sie betrifft |
|---|---|---|
| KI-System | Software, die Inhalte, Prognosen oder Entscheidungen erzeugt | Muss eingestuft, beaufsichtigt und dokumentiert werden |
| Nutzer/Betreiber | Unternehmen, das ein KI-System in eigener Verantwortung einsetzt | Trägt Pflichten im Betrieb (Transparenz, Protokollierung, Aufsicht) |
| Basismodell | Allgemein einsetzbares Grundmodell (z. B. Text- oder Bild-Erzeugung) | Beim Einkauf sind zusätzliche Informationen und Nachweise nötig |
Wer ist betroffen? Rollen im Überblick
Fast jedes Unternehmen nutzt heute KI – oftmals als Cloud-Dienst oder als Funktion in einer Fachanwendung. In den meisten Fällen sind Sie Nutzer bzw. Betreiber. Damit tragen Sie die Verantwortung für einen sicheren, nachvollziehbaren Einsatz.
| Rolle | Kernaufgabe | Was Sie nachweisen sollten |
|---|---|---|
| Nutzer/Betreiber | Sicherer Betrieb | Prozessbeschreibung, Regeln zur menschlichen Aufsicht, Protokolle, Schulungen |
| Anbieter | Konforme Entwicklung und Bereitstellung | Technische Unterlagen, Risikomanagementakte, Konformitätserklärung |
| Importeur/Händler | Nur konforme Produkte in den Markt bringen | CE-Prüfung, Rückverfolgbarkeit, Informationspflichten |
Zeitplan 2025–2027
Planen Sie Ihre Umsetzung entlang dieser festen Termine:
| Datum | Was gilt | Ihr Schritt |
|---|---|---|
| 2. Februar 2025 | Verbote bestimmter KI-Praktiken, erste Grundanforderungen | Bestandsaufnahme, verbotene Anwendungen beenden |
| 2. August 2025 | Vorgaben für Basismodelle | Informationen/Nachweise der Anbieter einholen, Kennzeichnung planen |
| 2. August 2026 | Großteil der Verordnung gilt | Unternehmensregel, Abläufe, Schulungen, Überwachung im Alltag verankern |
| 2. August 2027 | Ausgewählte Produktvorgaben mit längerer Frist | Spezielle Konformitätsschritte im Produktumfeld abschließen |
So stufen Sie Ihre KI richtig ein
- Anwendungsfall beschreiben: Zweck, betroffene Personen, getroffene Entscheidungen, mögliche Folgen.
- Risiko prüfen: Berührt der Einsatz Sicherheit, Grundrechte oder besonders schutzwürdige Bereiche? Dann Hochrisiko prüfen.
- Interaktion klären: Gibt es direkten Kontakt zu Kunden oder Beschäftigten? Dann gelten Transparenzpflichten.
- Entscheidung dokumentieren: Verboten / Hoch / Begrenzt / Gering – mit kurzer Begründung.
- Kontrollen festlegen: Passende Nachweise und Abläufe je Risikoklasse zuordnen.
Pflichten für Nutzer/Betreiber
Konzentrieren Sie sich auf fünf Bausteine. Nachweise kurz halten, aber eindeutig.
- Risikomanagement: Bewertung je Anwendungsfall, Maßnahmenplan, regelmäßige Überprüfung.
- Datenqualität: Herkunft, Verzerrungsrisiken, Prüfdatensätze, Aktualisierung.
- Dokumentation und Protokollierung: Zweck, Eingaben/Ausgaben, Eingriffsrechte, Fehlermeldungen, Versionsstände.
- Menschliche Aufsicht: klare Eingriffspunkte, Eskalationswege, Vier-Augen-Prinzip bei wichtigen Entscheidungen.
- Fortlaufende Überwachung und Zwischenfälle: Überwachung im Betrieb, Abweichungen erkennen, Meldewege, geordnete Rücknahme bei Problemen.
| Pflicht | Konkreter Nachweis | Wer verantwortet? |
|---|---|---|
| Risikomanagement | Ein Blatt pro Anwendungsfall mit Risiko, Maßnahme, Termin | Fachbereich und Rechts-/Compliance-Stelle |
| Menschliche Aufsicht | Arbeitsanweisung mit Stopp-Kriterien | Fachbereich |
| Protokollierung | Protokollformat und Aufbewahrungsdauer | IT-Verantwortliche |
| Überwachung | Monatliche Auswertung mit Kennzahlen | IT-Verantwortliche und Prozess-Eigentümer |
Transparenz und Kennzeichnung
- Digitale Assistenten: Deutlicher Hinweis „Sie kommunizieren mit einem KI-System“. Einfache Möglichkeit zum Menschen zu wechseln.
- Künstlich erzeugte Medien: Täuschend echte Bilder, Videos, Tonaufnahmen und Texte klar als künstlich erzeugt kennzeichnen.
- Nachvollziehbarkeit: In verständlicher Sprache erläutern, wie Ergebnisse zustande kommen und welche Grenzen bestehen.
Allgemein einsetzbare Grundmodelle (Basismodelle)
Viele Unternehmen beziehen Grundmodelle von externen Anbietern. Umso wichtiger ist eine saubere Informationslage.
- Anfordern: Beschreibung des Modells, Hinweise zur Datengrundlage, Prüfverfahren, Schutzmaßnahmen, bekannte Schwachstellen, Nutzungsbeschränkungen.
- Absichern: Nutzungsregeln, sorgfältiger Umgang mit Eingaben, Filter gegen schädliche Ausgaben, Kennzeichnung künstlicher Inhalte, klare Wege für Rückmeldungen.
- Urheberrecht: Verfahren für Beschwerden und Entfernung von problematischen Inhalten festlegen.
Steuerung und Verantwortlichkeiten
Klare Zuständigkeiten machen die Umsetzung leicht prüfbar. Eine einfache Zuordnung reicht zum Start.
| Funktion | Rolle | Aufgabe |
|---|---|---|
| Fachbereich | Prozess-Verantwortung | Anwendungsfall, menschliche Aufsicht, Kennzahlen |
| IT | System-Verantwortung | Betrieb, Protokollierung, Überwachung, Versionsstände |
| Recht/Compliance | Kontrollinstanz | Risikoprüfung, Unternehmensregel, interne Prüfungen |
| Informationssicherheit | Schutzmaßnahmen | Zugriffe, Protokolle, Behandlung von Sicherheitsvorfällen |
| Personalabteilung | Befähigung | Schulungen, Sensibilisierung |
Einkauf und externe Anbieter
Stellen Sie gezielte Fragen – und halten Sie die Antworten vertraglich fest:
- Welche bekannten Risiken und Fehlfunktionen sind dokumentiert?
- Welche Prüfungen wurden durchgeführt? Mit welchen Ergebnissen?
- Wie funktioniert die Protokollierung und der Export von Protokollen?
- Wie und wann erfolgen Sicherheits- und Funktions-Aktualisierungen?
- Wie melde ich Störungen oder Schwachstellen?
- Welche Nutzungsverbote gelten (z. B. bestimmte Datenarten)?
- Wie läuft die Beendigung der Nutzung ab (Daten, Modelle, Protokolle)?
- Welche Qualitätsziele und Dienstgüte-Vereinbarungen sind zugesichert?
| Mindestklausel | Ziel | Praxis-Hinweis |
|---|---|---|
| Transparenz- und Informationspflichten | Laufende Informationen durch den Anbieter | Änderungen, neue Risiken, Aktualisierungen zeitnah mitteilen |
| Prüf- und Nachweisrechte | Einblick in Unterlagen | Berichte, Prüfprotokolle, Kennzahlen anfordern können |
| Meldung von Störungen | Schnelle Reaktion | Fristen, Eskalation, feste Ansprechpartner |
Sanktionen und Aufsicht
Die Verordnung sieht abgestufte Bußgelder vor. Zusätzlich drohen Anordnungen, Produkt-Rücknahmen oder Projektstopps. Wer klare Nachweise führt, Beschäftigte schult und den Betrieb fortlaufend überwacht, senkt das Risiko deutlich.
| Verstoß (Beispiele) | Risiko | Folge (kurz) |
|---|---|---|
| Nichteinhaltung von Verboten | Grundrechtsbezug | Hohe Bußgelder, sofortiger Stopp |
| Fehlende Dokumentation/Protokolle | Nachweisprobleme | Behördliche Anordnungen, Bußgelder |
| Keine Kennzeichnung künstlicher Inhalte | Irreführung | Abmahn- und Sanktionsrisiken |
Ihr 60–90-Tage-Fahrplan
- Tag 0–30: Bestandsliste aller KI-Anwendungen, Zuständigkeiten festlegen, Kriterien für die Einstufung beschließen, kurze Prüfung aller Anwendungsfälle, Liste der Anbieter und Nachweise anfordern.
- Tag 31–60: Die wichtigsten Anwendungsfälle vertiefen, Vorlagen für Dokumentation, Protokollierung und Aufsicht befüllen, Kennzeichnung festlegen, Schulungen starten, Leitfaden für Störungen testen.
- Tag 61–90: Überwachung im Betrieb aktivieren, Anbieter-Prüfungen durchführen, Lücken schließen, interne Probe-Prüfung, Beschluss der weiteren Schritte im Management.
FAQ
Gilt die EU-KI-Verordnung auch für interne Werkzeuge?
Ja. Entscheidend ist der Einsatz eines KI-Systems, nicht nur der Verkauf. Interne Anwendungen müssen eingestuft und entsprechend betrieben werden.
Welche Pflichten treffen mich als Nutzer bzw. Betreiber?
Transparenz, menschliche Aufsicht, angemessene Protokollierung, verständliche Hinweise für Betroffene sowie laufende Risiko- und Leistungskontrollen. Bei hohen Risiken ist der Nachweisumfang größer.
Wie erkenne ich, ob mein Anwendungsfall hochriskant ist?
Prüfen Sie, ob Sicherheit, Grundrechte oder besonders schutzwürdige Bereiche betroffen sind (zum Beispiel Beschäftigung, Bildung, kritische Infrastruktur). Dann sind strenge Kontrollen erforderlich.
Müssen künstlich erzeugte Inhalte gekennzeichnet werden?
Ja, wenn sonst eine Irreführung möglich ist. Das gilt vor allem für täuschend echte Bilder, Videos, Tonaufnahmen und Texte.
Welche Fristen sind 2025 wichtig?
Ab 2. Februar 2025 gelten Verbote bestimmter Praktiken. Ab 2. August 2025 treten zusätzliche Vorgaben für Basismodelle in Kraft.
Brauchen wir eine eigene Regel zum KI-Einsatz?
Ja. Eine klare Unternehmensregel bündelt Zuständigkeiten, Kennzeichnung, Protokollierung, Aufsicht und Umgang mit Störungen – und dient als zentrales Nachweis-Dokument.
Glossar und Quellen
Basismodell: Allgemein einsetzbares Grundmodell, das viele Aufgaben unterstützen kann (zum Beispiel Text erstellen oder Bilder erzeugen).
Menschliche Aufsicht: Geplante Eingriffsmöglichkeiten für Menschen an den entscheidenden Stellen.
Protokollierung: Nachvollziehbare Aufzeichnung wichtiger Ein- und Ausgaben sowie Ereignisse.
Offizielle Informationen der EU-Kommission: „EU-KI-Verordnung tritt in Kraft“ und „Regelungsrahmen für KI“.
Hinweis: Diese Darstellung ersetzt keine Rechtsberatung. Sie dient der schnellen Orientierung.
