Künstliche Intelligenz ist in vielen Unternehmen längst angekommen: Sie schreibt Texte, fasst Meetings zusammen, hilft im Kundenservice und sortiert Daten schneller, als der Kaffeevollautomat „Bohnen nachfüllen“ piepsen kann. Klingt praktisch? Ist es auch. Aber natürlich stellt sich dabei eine wichtige Frage: Was ist eigentlich erlaubt – und worauf müssen Unternehmen achten?
Genau hier kommt die KI-Verordnung ins Spiel. Der offizielle Name lautet oft EU AI Act. Klingt erst einmal trocken, ist aber ziemlich wichtig. Denn die Verordnung soll dafür sorgen, dass KI in Europa sinnvoll, sicher und fair eingesetzt wird.
Die gute Nachricht: Sie müssen dafür kein Jurastudium nachholen. In diesem Beitrag erklären wir einfach und verständlich, was die KI-Verordnung ist, was dort geregelt wird und was kleine und mittlere Unternehmen (KMU) bei der Nutzung von KI beachten sollten.
Was ist die KI-Verordnung überhaupt?
Die KI-Verordnung ist ein EU-weites Regelwerk für den Umgang mit Künstlicher Intelligenz. Ihr Ziel ist nicht, Unternehmen KI madig zu machen. Im Gegenteil: Die EU will Innovation ermöglichen – aber eben nicht nach dem Motto „einfach mal machen, wird schon gutgehen“.
Die Verordnung soll sicherstellen, dass KI-Systeme sicher sind, Grundrechte respektieren und transparent eingesetzt werden. Gleichzeitig will sie Unternehmen in der EU einheitliche Regeln geben, damit nicht jedes Land sein eigenes KI-Süppchen kocht.
Warum gibt es die KI-Verordnung?
Weil KI nicht nur nützlich, sondern je nach Einsatz auch problematisch sein kann. Ein Textgenerator für Ideen im Marketing ist etwas ganz anderes als eine KI, die Bewerbungen vorsortiert, Kreditwürdigkeit bewertet oder Menschen im Job emotional „scannt“.
Je stärker KI in Entscheidungen eingreift, die Menschen betreffen, desto größer wird das Risiko. Genau deshalb arbeitet die KI-Verordnung mit einem risikobasierten Ansatz. Einfach gesagt: Je heikler der Einsatz, desto strenger die Regeln.
Wie ist die KI-Verordnung aufgebaut?
1. Verbotene KI-Praktiken
Einige Anwendungen sind so kritisch, dass sie in der EU grundsätzlich verboten sind. Dazu gehören zum Beispiel KI-Systeme, die Menschen manipulieren, soziale Schwächen gezielt ausnutzen oder eine Art Social Scoring betreiben.
Auch besonders heikle Anwendungen im Bereich Biometrie und Emotionserkennung sind stark eingeschränkt oder verboten. Kurz gesagt: Wenn KI anfängt, Menschen unfair zu beeinflussen oder heimlich zu bewerten, wird es rechtlich sehr ungemütlich.
- KI, die Menschen gezielt manipuliert
- KI, die Schwächen bestimmter Gruppen ausnutzt
- Social Scoring von Personen
- Emotionserkennung am Arbeitsplatz oder in Bildungseinrichtungen (mit sehr engen Ausnahmen)
2. Hochrisiko-KI
Dann gibt es Anwendungen, die nicht verboten sind, aber als Hochrisiko gelten. Das betrifft KI-Systeme, die erhebliche Auswirkungen auf Sicherheit, Chancen oder Rechte von Menschen haben können.
Wichtig für KMU: Hochrisiko heißt nicht automatisch „superintelligente Roboterzukunft“. Oft geht es um ganz normale Geschäftsanwendungen mit sensibler Wirkung.
- KI in Recruiting, Bewerberauswahl und Personalbewertung
- KI zur Bewertung von Kreditwürdigkeit
- KI in bestimmten Bildungs- oder Prüfungsprozessen
- KI in kritischer Infrastruktur oder bestimmten Gesundheits- und Sicherheitsbereichen
Für solche Systeme gelten deutlich strengere Anforderungen – etwa zu Risikomanagement, Dokumentation, Transparenz, menschlicher Aufsicht und technischer Zuverlässigkeit.
3. Transparenzpflichten
Bei einigen KI-Anwendungen geht es vor allem darum, dass Menschen erkennen können, dass KI im Spiel ist. Das betrifft zum Beispiel bestimmte Chatbots oder künstlich erzeugte bzw. manipulierte Inhalte wie Deepfakes.
Die Grundidee ist simpel: Wer mit KI spricht oder KI-Inhalte sieht, soll das nicht erst nach drei Espressi und einem Faktencheck merken.
- Bei bestimmten KI-Interaktionen muss erkennbar sein, dass kein Mensch antwortet
- Bestimmte künstlich erzeugte oder manipulierte Inhalte müssen offengelegt werden
- Bei sensiblen biometrischen oder emotionsbezogenen Anwendungen gelten zusätzliche Transparenzregeln
4. Geringes oder minimales Risiko
Viele alltägliche KI-Anwendungen landen eher in dieser Kategorie. Zum Beispiel Tools für Ideensammlungen, Textvorschläge, Zusammenfassungen oder Übersetzungen. Für solche Systeme sieht die Verordnung meist keine speziellen Zusatzpflichten aus der Risikologik vor.
Aber Achtung: Ganz ohne Hausaufgaben läuft es trotzdem nicht. Unternehmen sollen dafür sorgen, dass ihre Mitarbeitenden KI verstehen und verantwortungsvoll nutzen. Dazu später mehr.
Was wird in der KI-Verordnung konkret geregelt?
Die KI-Verordnung regelt vor allem fünf Dinge:
Sicherheit und Vertrauenswürdigkeit
Vor allem bei Hochrisiko-KI soll sichergestellt werden, dass Systeme verlässlich funktionieren, Risiken reduziert werden und Ergebnisse nicht einfach blind übernommen werden.
Verantwortlichkeiten
Die Verordnung unterscheidet grob zwischen Unternehmen, die KI anbieten oder entwickeln, und Unternehmen, die KI nutzen. Das ist wichtig, weil sich daraus unterschiedliche Pflichten ergeben.
Einfach gesagt:
- Anbieter/Provider: entwickeln oder vermarkten eine KI-Lösung
- Nutzer/Deployer: setzen eine KI im Unternehmen ein
Für viele KMU ist genau diese Unterscheidung entscheidend. Denn wer „nur“ ein KI-Tool im Alltag nutzt, hat in der Regel andere Pflichten als ein Unternehmen, das eine eigene KI-Lösung baut oder unter eigenem Namen anbietet.
Transparenz
Menschen sollen erkennen können, wann sie mit KI interagieren oder wann Inhalte künstlich erzeugt oder manipuliert wurden. Das schützt vor Täuschung, Missverständnissen und digitalem Bauchweh.
KI-Kompetenz
Unternehmen sollen dafür sorgen, dass Mitarbeitende, die mit KI arbeiten, ausreichend geschult sind. Nicht im Sinne von „jeder wird Data Scientist“, sondern im Sinne von: Die Leute sollen wissen, was das Tool kann, was es nicht kann und wann ein Mensch eingreifen muss.
Unterstützung für KMU
Die EU hat ausdrücklich vorgesehen, dass kleinere Unternehmen nicht unter einem Berg aus Bürokratie verschwinden sollen. Es gibt deshalb spezielle Erleichterungen und Unterstützungsmaßnahmen – vor allem dann, wenn KMU selbst Hochrisiko-KI entwickeln oder in Verkehr bringen.
Was müssen KMU bei der Nutzung von KI konkret beachten?
Hier kommt der Teil, der im Alltag wirklich zählt. Wenn Sie ein kleines oder mittleres Unternehmen führen und KI nutzen möchten, dann sind diese Punkte besonders wichtig:
1. Erst klären: Nutzen Sie KI nur – oder bieten Sie sie an?
Wenn Sie externe KI-Tools für interne Zwecke einsetzen, sind Sie meistens auf der Nutzungsseite. Entwickeln Sie aber eigene KI-Lösungen oder bieten Sie KI-Funktionen aktiv an Kunden an, steigen die Anforderungen deutlich.
Diese Frage ist kein juristischer Luxus, sondern die Basis für alles Weitere.
2. Machen Sie eine kleine KI-Inventur
Listen Sie auf, welche KI-Tools im Unternehmen genutzt werden. Ja, wirklich. Sonst passiert schnell Folgendes: Das Marketing nutzt einen Textgenerator, der Vertrieb testet ein Meeting-Tool mit KI-Zusammenfassung, HR probiert ein Bewerbertool aus – und niemand hat den Überblick.
Fragen Sie dabei:
- Welches Tool wird genutzt?
- Wofür wird es eingesetzt?
- Wer nutzt es?
- Hat das Tool Einfluss auf Entscheidungen über Menschen?
- Gibt es Kundenkontakt oder veröffentlichte Inhalte?
3. Prüfen Sie sensible Anwendungsfälle besonders gründlich
Wenn KI in Bereichen wie Recruiting, Personalbewertung, Bonitätsprüfung, Zugang zu Leistungen oder sicherheitsrelevanten Prozessen eingesetzt wird, sollten Sie besonders genau hinschauen. Hier kann der Schritt vom praktischen Helfer zur Hochrisiko-Anwendung schneller gehen, als man denkt.
Faustregel: Je stärker KI über Chancen, Auswahl oder Bewertung von Menschen mitentscheidet, desto vorsichtiger sollten Sie sein.
4. Schulen Sie Ihr Team
Die schönste KI-Richtlinie bringt nichts, wenn Mitarbeitende denken, eine KI sei entweder allwissend oder komplett magisch. Beides ist im Alltag eher unpraktisch.
Wichtig ist, dass Ihr Team versteht:
- wie das jeweilige Tool genutzt werden darf,
- welche Ergebnisse geprüft werden müssen,
- wo Fehler, Halluzinationen oder Verzerrungen auftreten können,
- wer die finale Verantwortung trägt.
5. Menschliche Kontrolle einplanen
Gerade bei sensiblen Anwendungen sollte KI keine Alleinunterhalterin sein. Ein Mensch muss Ergebnisse prüfen, Entscheidungen einordnen und notfalls korrigieren können.
Oder einfacher gesagt: KI darf unterstützen – aber nicht unbemerkt den Chef spielen.
6. Auf Transparenz achten
Wenn Sie KI im Kundenkontakt einsetzen, sollte für Nutzer klar erkennbar sein, dass sie mit einem KI-System interagieren. Wenn Sie stark manipulierte oder künstlich erzeugte audiovisuelle Inhalte verwenden, kann ebenfalls eine Offenlegung nötig sein.
Transparenz ist dabei nicht nur eine rechtliche Frage, sondern auch eine Vertrauensfrage. Kunden mögen vieles – aber ungern das Gefühl, heimlich von einer Maschine bespielt zu werden.
7. Zuständigkeiten festlegen
Sie brauchen nicht zwingend einen „Chief Galactic AI Overlord“. Aber Sie sollten intern klar regeln, wer sich kümmert:
- Wer prüft neue KI-Tools?
- Wer schult Mitarbeitende?
- Wer entscheidet über sensible Einsatzbereiche?
- Wer dokumentiert Regeln und Freigaben?
Ein klarer Ansprechpartner ist in KMU oft Gold wert – auch wenn die Verordnung nicht automatisch eine eigene neue Titel-Sammlung verlangt.
Typische Beispiele aus dem KMU-Alltag
Beispiel 1: ChatGPT oder ähnliche Tools für Texte und Ideen
Wenn Sie KI für E-Mail-Entwürfe, Blogideen, Produkttexte oder Zusammenfassungen nutzen, bewegen Sie sich oft nicht im Hochrisiko-Bereich. Trotzdem sollten Mitarbeitende geschult sein und Inhalte vor Veröffentlichung prüfen. KI ist schnell – aber leider auch schnell mal kreativ mit den Fakten.
Beispiel 2: KI-Chatbot auf Ihrer Website
Ein Chatbot im Kundenservice kann viel Zeit sparen. Wichtig ist aber, dass Besucher erkennen können, dass sie mit einem KI-System sprechen. Außerdem sollten Antworten überprüfbar sein und es sollte einen klaren Übergang zu einem menschlichen Ansprechpartner geben.
Beispiel 3: KI im Recruiting
Hier wird es deutlich sensibler. Sobald KI Bewerbungen filtert, Kandidaten bewertet oder Auswahlprozesse beeinflusst, kann das in den Hochrisiko-Bereich fallen. In diesem Fall sollten Sie das Thema nicht nebenbei „mal testen“, sondern strukturiert und sauber prüfen.
Beispiel 4: KI-generierte Werbevideos oder Avatare
Wenn Sie künstlich erzeugte oder manipulierte Bild-, Audio- oder Videoinhalte einsetzen, sollten Sie die Transparenzpflichten im Blick behalten – vor allem dann, wenn Inhalte täuschend echt wirken. Humor ist erlaubt. Täuschung eher nicht.
Ab wann gilt die KI-Verordnung?
Die KI-Verordnung kommt nicht an einem einzigen Stichtag mit voller Wucht, sondern schrittweise.
- Seit 1. August 2024 ist die Verordnung in Kraft.
- Seit 2. Februar 2025 gelten bereits die Regeln zu verbotenen KI-Praktiken und zur KI-Kompetenz.
- Seit 2. August 2025 gelten Pflichten für Anbieter bestimmter General-Purpose-AI-Modelle.
- Ab 2. August 2026 greifen die meisten weiteren Regeln.
- Für bestimmte Hochrisiko-Systeme mit Bezug zu regulierten Produkten gelten teils längere Übergänge bis 2027.
Für Unternehmen heißt das: Jetzt ist der richtige Zeitpunkt, um Ordnung in die eigene KI-Nutzung zu bringen – nicht erst dann, wenn aus einer Tool-Spielerei plötzlich ein ernsthafter Anwendungsfall geworden ist.
Häufige Fragen zur KI-Verordnung
Gilt die KI-Verordnung auch für Unternehmen, die KI nur nutzen?
Ja. Nicht nur Entwickler und Anbieter, sondern auch Unternehmen, die KI unter ihrer Verantwortung einsetzen, können betroffen sein. Wie umfangreich die Pflichten sind, hängt stark vom Einsatzbereich und vom Risiko der Anwendung ab.
Braucht jedes KMU jetzt einen KI-Beauftragten?
Nein. Die KI-Verordnung schreibt nicht pauschal vor, dass jedes Unternehmen eine eigene KI-Stelle schaffen muss. In der Praxis ist es aber sehr sinnvoll, eine verantwortliche Person oder ein kleines Team zu benennen, damit Zuständigkeiten klar sind.
Müssen alle KI-Texte gekennzeichnet werden?
Nein, nicht pauschal jeder KI-Text. Die Transparenzpflichten sind differenziert geregelt. Klar sein muss vor allem die direkte Interaktion mit KI, und bei bestimmten künstlich erzeugten oder manipulierten Inhalten gelten Offenlegungspflichten. Trotzdem ist ehrliche Kommunikation meistens die bessere langfristige Strategie.
Fazit: KI nutzen ja – aber mit Plan
Die KI-Verordnung ist kein Innovationskiller. Sie ist eher ein Regelwerk mit Leitplanken. Und das ist für KMU sogar eine Chance: Wer KI strukturiert, transparent und sinnvoll einsetzt, arbeitet nicht nur rechtssicherer, sondern oft auch effizienter und vertrauenswürdiger.
Die wichtigste Botschaft lautet deshalb nicht „Finger weg von KI“, sondern: Nutzen Sie KI bewusst, mit klaren Regeln und einem realistischen Blick auf Chancen und Risiken.
Wenn Sie wissen möchten, welche KI-Tools in Ihrem Unternehmen sinnvoll einsetzbar sind, wo Vorsicht geboten ist und wie Sie Ihr Team praxisnah aufstellen, unterstützen wir Sie gerne dabei. So wird aus KI kein Bürokratie-Monster, sondern ein echter Helfer im Alltag.
