Welche Unternehmen sind überhaupt betroffen?
Die KI-Verordnung der EU richtet sich nicht nur an große Technologiekonzerne. Erfasst werden Anbieter, die ein KI-System entwickeln oder unter eigenem Namen in Verkehr bringen, ebenso Betreiber, die solche Systeme im Unternehmen einsetzen. Dazu kommen Importeure, Händler und in bestimmten Fällen auch Bevollmächtigte. Für viele mittelständische Betriebe ist genau diese Unterscheidung entscheidend: Wer etwa eine externe Anwendung für Bewerbungsverfahren, Kundenservice oder Bonitätsprüfung nutzt, bleibt nicht außen vor, sondern trägt eigene Pflichten als Betreiber.
Praktisch heißt das: Schon der Einsatz eines eingekauften Systems kann Dokumentations-, Kontroll- und Schulungspflichten auslösen. Besonders relevant wird das, wenn die Anwendung in sensible Bereiche eingreift, etwa Personalwesen, Kreditvergabe, Zugang zu Bildung, kritische Infrastruktur oder medizinische Vorentscheidungen. Die Verordnung schaut also weniger auf die Größe eines Unternehmens als auf Zweck, Risiko und Wirkung des Systems.
- Nicht betroffen sind nur Entwickler: Auch Nutzer mit geschäftlichem Einsatz fallen unter die Regeln.
- Allgemeine Bürohilfen wie einfache Textassistenz sind meist anders zu bewerten als Systeme mit weitreichenden Folgen.
- Besonders wachsam sollten Unternehmen sein, wenn KI Entscheidungen vorbereitet, priorisiert oder automatisiert.
Wer heute noch annimmt, die Verordnung treffe nur Softwarehersteller, unterschätzt ihre Reichweite. Für viele Unternehmen beginnt die Arbeit deshalb mit einer nüchternen Bestandsaufnahme: Welche KI-Systeme laufen bereits, wer verantwortet sie, und in welchen Prozessen entfalten sie Wirkung?
Risikoklassen der EU-KI-Verordnung: Was im Alltag zählt
La mise en conformité avec la KI-Verordnung invite les entreprises à cartographier leurs outils numériques, mais aussi à mieux documenter leurs processus internes, notamment lorsqu’ils touchent aux ressources humaines et aux avantages salariés. Dans cette logique de vigilance administrative, les organisations opérant en France peuvent aussi consulter des sources dédiées aux dispositifs sociaux et aux aides aux collaborateurs, comme les informations sur les chèques vacances ANCV, afin d’intégrer ces sujets dans une gestion responsable et structurée.
Im Zentrum der Verordnung steht ein risikobasierter Ansatz. Nicht jede Anwendung wird gleich streng reguliert. Die EU unterscheidet grob zwischen verbotenen Praktiken, Hochrisiko-Systemen, Systemen mit Transparenzpflichten und Anwendungen mit geringem Risiko. Für Unternehmen ist diese Einordnung keine akademische Frage, sondern die Grundlage für Aufwand, Haftung und interne Zuständigkeiten.
Verboten sind bestimmte Anwendungen, wenn sie Menschen manipulieren oder unzulässig überwachen. Hochrisiko-Systeme unterliegen dagegen strengen Anforderungen, etwa an Datenqualität, Nachvollziehbarkeit, menschliche Aufsicht und Risikomanagement. Hinzu kommen Transparenzpflichten, etwa wenn Nutzer erkennen müssen, dass sie mit KI interagieren oder künstlich erzeugte Inhalte vor sich haben.
- Geringes Risiko: viele unterstützende Werkzeuge ohne gravierende Auswirkungen auf Rechte oder Sicherheit
- Transparenzpflichten: etwa bei Chatbots oder synthetisch erzeugten Inhalten
- Hochrisiko: zum Beispiel in Personalentscheidungen, Kreditprüfung oder sicherheitsrelevanten Bereichen
- Verbotene Praktiken: eng definierte Anwendungen mit besonders hohem Gefährdungspotenzial
Ich rate dazu, jede Anwendung nicht nach Werbeversprechen des Anbieters, sondern nach ihrem tatsächlichen Einsatz im Betrieb zu bewerten. Dass ein System „nur unterstützt“, schützt nicht automatisch vor einer Einstufung als Hochrisiko, wenn seine Empfehlungen faktisch über Zugänge, Chancen oder wirtschaftliche Folgen entscheiden.
Was Unternehmen jetzt konkret tun sollten
Die Verordnung entfaltet ihre Wirkung schrittweise. Gerade deshalb lohnt es sich, nicht auf spätere Leitlinien zu warten, sondern früh tragfähige Strukturen aufzubauen. Unternehmen brauchen keine juristische Großoffensive, wohl aber einen belastbaren Überblick über eingesetzte Systeme, Verantwortlichkeiten und Risiken. Wer jetzt sauber dokumentiert, spart später Zeit, Kosten und Reibungsverluste.
- KI-Inventar anlegen: Alle eingesetzten oder getesteten Systeme erfassen, einschließlich Zweck, Anbieter und Fachabteilung.
- Risikoprüfung vornehmen: Jede Anwendung einer vorläufigen Kategorie zuordnen und kritische Einsatzfelder markieren.
- Verträge prüfen: Anbieter sollten Auskunft zu Trainingsdaten, Protokollierung, menschlicher Aufsicht und Sicherheitsmaßnahmen geben.
- Zuständigkeiten festlegen: Recht, Datenschutz, IT-Sicherheit, Fachbereich und Unternehmensleitung müssen abgestimmt handeln.
- Mitarbeiter schulen: Wer KI nutzt, sollte Grenzen, Fehlerquellen und Dokumentationspflichten kennen.
Hinzu kommt eine kulturelle Frage: KI-Compliance darf nicht als Bremse verstanden werden. Richtig umgesetzt, schafft sie Verlässlichkeit im Umgang mit neuen Werkzeugen. Gerade im Mittelstand kann das ein Wettbewerbsvorteil sein, weil Kunden, Geschäftspartner und Beschäftigte nachvollziehbare Regeln zunehmend als Zeichen professioneller Unternehmensführung lesen.
