KI-Pflicht?
Verstehen. Nachweisen. Abhaken.

Der EU AI Act ist die europäische Verordnung für künstliche Intelligenz. Er ordnet KI-Systeme nach ihrem Risiko und legt fest, welche Regeln Anbieter und Anwender einhalten müssen. Die Verordnung gilt unmittelbar in allen EU-Mitgliedstaaten.

Ja. Entscheidend ist grundsätzlich, ob und wie KI eingesetzt wird, nicht wie groß ein Unternehmen ist. Umfang und Aufwand der Maßnahmen dürfen aber zur Organisation, zum Einsatzgebiet und zum Risiko passen.

Ja, allerdings stufenweise. Die Verordnung ist seit 1. August 2024 in Kraft. Verbote bestimmter KI-Praktiken und die Pflicht zur KI-Kompetenz gelten seit 2. Februar 2025. Weitere Pflichten, darunter wesentliche Transparenzregeln, gelten seit 2. August 2026; einzelne Hochrisiko-Regeln folgen später.

Nicht vollständig. Über Zeitpläne einzelner Hochrisiko-Regeln wird politisch und gesetzgeberisch weiter diskutiert. Bereits geltende Pflichten wie verbotene Praktiken und KI-Kompetenz sollten Unternehmen deshalb nicht aufschieben.

Nein. Auch Unternehmen, die fertige KI-Dienste wie Text-, Bild-, Analyse- oder Assistenzsysteme beruflich einsetzen, können als Betreiber beziehungsweise Anwender Pflichten haben.

Nein. Klassische, fest programmierte Wenn-dann-Abläufe sind nicht automatisch ein KI-System. Entscheidend ist, ob das System aus Eingaben Ergebnisse wie Vorhersagen, Inhalte, Empfehlungen oder Entscheidungen ableitet und damit seine Umgebung beeinflussen kann.

Ein Anbieter entwickelt ein KI-System oder bringt es unter eigenem Namen auf den Markt. Ein Betreiber setzt ein KI-System beruflich unter eigener Verantwortung ein. Ein Unternehmen kann je nach Projekt auch beide Rollen gleichzeitig haben.

Vereinfacht unterscheidet der AI Act verbotene Praktiken, Hochrisiko-Systeme, Systeme mit besonderen Transparenzpflichten und Anwendungen mit geringem oder minimalem Risiko. Die konkrete Einordnung hängt immer vom Zweck und Einsatzkontext ab.

Nein. Ein allgemeines KI-Werkzeug ist nicht allein wegen seiner Technik automatisch Hochrisiko. Entscheidend ist der konkrete Verwendungszweck. Wird KI etwa für bestimmte Personal-, Bildungs-, Kredit- oder Sicherheitsentscheidungen eingesetzt, kann eine strengere Einordnung nötig sein.

Verboten sind unter anderem bestimmte manipulative oder ausbeuterische Praktiken, unzulässiges Social Scoring und einige Formen biometrischer Kategorisierung oder Emotionserkennung. Die Regeln enthalten genaue Voraussetzungen und Ausnahmen; kritische Fälle sollten fachlich geprüft werden.

Ja. Systeme zur Auswahl, Bewertung, Beförderung, Überwachung oder Beendigung von Beschäftigungsverhältnissen können als Hochrisiko-Anwendungen gelten. Einfache Schreibhilfe für eine Stellenanzeige ist dagegen nicht automatisch Hochrisiko.

Anbieter und Betreiber müssen Maßnahmen zur Förderung der KI-Kompetenz von Beschäftigten und weiteren Personen treffen, die in ihrem Auftrag KI nutzen. Seit der Änderung im Juli 2026 ist kein bestimmtes oder garantiertes Kompetenzniveau vorgeschrieben. Maßnahmen sollen zu Vorkenntnissen, Rolle, Einsatzkontext und Risiken passen.

Geschult werden sollten mindestens alle Personen, die KI beruflich nutzen, Ergebnisse prüfen, Systeme beschaffen oder deren Einsatz verantworten. Inhalt und Tiefe können je nach Aufgabe unterschiedlich sein.

Das hängt vom Einsatz ab. Für gelegentliche Textunterstützung kann eine kompakte Basisschulung mit klaren Regeln angemessen sein. Bei sensiblen Daten, Personalentscheidungen oder risikoreichen Fachanwendungen sind vertiefte und rollenspezifische Maßnahmen erforderlich.

Nein. Der AI Act schreibt kein bestimmtes Zertifikat vor. Ein Zertifikat, Teilnehmernachweis und dokumentierter Schulungsinhalt helfen jedoch dabei, die ergriffenen Kompetenzmaßnahmen nachvollziehbar zu belegen.

Der AI Act nennt keinen festen Jahresrhythmus. Eine Auffrischung ist sinnvoll, wenn neue Werkzeuge, neue Risiken, geänderte Aufgaben oder wichtige Rechtsänderungen hinzukommen. Viele Unternehmen prüfen den Schulungsbedarf mindestens jährlich.

Die Gesamtverantwortung liegt beim Unternehmen. Praktisch sollten Geschäftsführung, Personal, Datenschutz, IT und Fachbereiche klare Zuständigkeiten vereinbaren. Eine benannte koordinierende Person erleichtert Nachweise und Aktualisierungen.

Sinnvoll sind Teilnehmer, Datum, Inhalte, Lernziele, Ergebnis oder Abschluss, verwendete Version der Unterlagen und geplante Auffrischungen. Die Nachweise sollten zum jeweiligen KI-Einsatz passen.

Nein, es gibt keine pauschale Kennzeichnungspflicht für jeden intern oder extern verwendeten KI-Text. Besondere Regeln gelten aber beispielsweise für bestimmte KI-Interaktionen, Deepfakes und veröffentlichte Texte zu Angelegenheiten von öffentlichem Interesse.

Grundsätzlich müssen Menschen informiert werden, wenn sie direkt mit einem KI-System interagieren, sofern dies nicht ohnehin offensichtlich ist. Die Information sollte spätestens bei Beginn der Interaktion klar und verständlich erfolgen.

Bei künstlich erzeugten oder manipulierten Inhalten können technische Kennzeichnungs- und Offenlegungspflichten greifen. Bei Deepfakes muss grundsätzlich offengelegt werden, dass der Inhalt künstlich erzeugt oder verändert wurde.

Ein Deepfake ist ein KI-erzeugter oder manipulierter Bild-, Audio- oder Videoinhalt, der echten Personen, Gegenständen, Orten oder Ereignissen ähnelt und fälschlich echt erscheinen könnte.

Der Hinweis sollte leicht wahrnehmbar, verständlich und dem Medium angemessen sein, zum Beispiel: „Sie kommunizieren mit einem KI-Assistenzsystem“ oder „Dieser Inhalt wurde mit KI erstellt oder bearbeitet“. Der genaue Text hängt vom Anwendungsfall ab.

Nein. Beide Regelwerke gelten nebeneinander. Sobald personenbezogene Daten mit KI verarbeitet werden, müssen zusätzlich die Vorgaben der DSGVO beachtet werden.

Nur wenn dafür eine zulässige Rechtsgrundlage, ein geeigneter Dienst und die erforderlichen Datenschutzmaßnahmen bestehen. Ohne Freigabe sollten Mitarbeitende keine Kunden-, Beschäftigten- oder Gesundheitsdaten in öffentliche KI-Dienste eingeben.

Nur in ausdrücklich freigegebene Systeme mit passenden Vertrags-, Sicherheits- und Löschregelungen. Geschäftsgeheimnisse, Zugangsdaten, interne Kalkulationen und nicht veröffentlichte Dokumente gehören nicht in beliebige öffentliche KI-Werkzeuge.

Nicht automatisch. Vor der Nutzung sollten Datenschutz, Vertragsbedingungen, Datenspeicherung, Trainingsnutzung, Zugriffsrechte und der geschäftliche Zweck geprüft werden. Eine interne Liste freigegebener Werkzeuge schafft Klarheit.

Nein. KI kann falsche, veraltete oder erfundene Angaben liefern. Verantwortliche Personen sollten Ergebnisse abhängig vom Risiko fachlich prüfen, Quellen kontrollieren und Entscheidungen nachvollziehbar halten.

KI-Ausgaben können geschützte Inhalte ähneln oder falsche Quellen nennen. Vor einer Veröffentlichung sollten Texte, Bilder, Marken, Zitate und Quellen geprüft werden. Der AI Act ersetzt diese urheberrechtliche Prüfung nicht.

Zuerst sollten alle eingesetzten und geplanten KI-Werkzeuge erfasst werden. Danach folgen Zweck, Verantwortliche, Datenarten, betroffene Personen, Risikoeinschätzung, Freigabestatus und erforderliche Maßnahmen.

Ein allgemeines KI-Register ist nicht für jedes Unternehmen ausdrücklich als eigenes Dokument vorgeschrieben. Es ist aber ein sehr hilfreiches Steuerungs- und Nachweisinstrument, um Systeme, Zwecke, Risiken und Zuständigkeiten aktuell zu halten.

Eine verständliche Richtlinie ist in der Praxis sehr sinnvoll. Sie legt fest, welche Werkzeuge erlaubt sind, welche Daten nicht eingegeben werden dürfen, wann Ergebnisse geprüft werden müssen und an wen sich Mitarbeitende bei Fragen wenden.

Die Nutzung sollte gestoppt oder begrenzt, der Vorfall dokumentiert und an die zuständige interne Stelle gemeldet werden. Danach werden Auswirkungen, Datenschutz, Informationspflichten und nötige Korrekturen geprüft.

Ja, soweit es zum Einsatz passt. Wichtig sind unter anderem Leistungsbeschreibung, Rollenverteilung, Datenschutz, Sicherheit, Datenstandorte, Protokollierung, Änderungen am System und verfügbare Compliance-Unterlagen.

Typisch sind KI-Register, Richtlinie, Freigaben, Risikoeinschätzungen, Schulungsnachweise, Anbieterunterlagen, Datenschutzprüfungen, Transparenzhinweise und eine dokumentierte Zuständigkeit. Nicht jedes Dokument ist in jedem Fall zwingend.

Nein. Die Inhalte sind für den beruflichen Alltag verständlich aufbereitet. Begriffe und Pflichten werden schrittweise erklärt und mit praktischen Beispielen verbunden.

Die Schulung unterstützt die Kompetenzmaßnahmen nach Artikel 4. Das Compliance-Paket ergänzt sie um praktische Vorlagen wie Richtlinien, Register, Nachweise und Transparenzbausteine.

Nein. Schulung ist ein wichtiger Baustein, ersetzt aber nicht die Prüfung der eingesetzten Systeme, interne Regeln, Datenschutzmaßnahmen und gegebenenfalls besondere Pflichten für Hochrisiko-Anwendungen.

Nein. Es unterstützt eine strukturierte und dokumentierte Umsetzung. Individuelle Rechtsfragen, Sonderfälle und Hochrisiko-Anwendungen sollten bei Bedarf durch qualifizierte Rechtsberatung geprüft werden.

Ja. Vorlagen entfalten ihren Nutzen erst, wenn Werkzeuge, Zuständigkeiten, Freigabewege und tatsächliche Arbeitsabläufe des Unternehmens eingetragen und regelmäßig aktualisiert werden.

Rechtliche Vorgaben und Auslegung entwickeln sich weiter. Deshalb sollten Schulungsstand, Richtlinien und Register regelmäßig überprüft werden. Maßgeblich bleiben immer die aktuelle Rechtslage und der konkrete Einsatzfall.