Was ist der EU AI Act?
Der EU AI Act ist die Verordnung (EU) 2024/1689 zur Festlegung harmonisierter Vorschriften für künstliche Intelligenz. Auf Deutsch wird sie KI-Verordnung genannt. Sie schafft einen unionsweiten Rahmen für Entwicklung, Bereitstellung, Einfuhr, Vertrieb und Nutzung von KI-Systemen. Ziel ist, Sicherheit und Grundrechte zu schützen und zugleich einen verlässlichen Binnenmarkt für KI zu schaffen.
Die Verordnung folgt einem risikobasierten Ansatz. Nicht jede KI-Anwendung wird gleich behandelt. Je größer das mögliche Risiko für Gesundheit, Sicherheit oder Grundrechte, desto strenger sind die Pflichten. Unternehmen müssen daher zuerst Inventar, Rolle und konkreten Verwendungszweck klären. Ein allgemeines Etikett wie „Chatbot“ oder „Algorithmus“ reicht für die Einstufung nicht.
Der AI Act steht nicht allein. Datenschutzrecht, Urheberrecht, Produktsicherheit, Arbeitsrecht, Antidiskriminierungsrecht, vertragliche Pflichten und sektorspezifische Regeln können parallel gelten. Eine zulässige KI nach dem AI Act kann beispielsweise trotzdem eine unzulässige Verarbeitung personenbezogener Daten enthalten.
Die vier Risikostufen
Verbotene KI-Praktiken
Bestimmte Anwendungen gelten als mit europäischen Werten und Grundrechten unvereinbar und sind untersagt. Ob eine Praxis verboten ist, hängt von der genauen Funktionsweise und Nutzung ab. Unternehmen sollten besonders sensible Einsatzfelder nicht anhand einer Produktbeschreibung freigeben, sondern technisch und rechtlich prüfen.
Hochrisiko-KI
Hochrisiko-Systeme können etwa in bestimmten regulierten Produkten oder besonders sensiblen Entscheidungsbereichen eingesetzt werden. Für sie gelten umfassende Anforderungen: Risikomanagement, Daten- und Daten-Governance, technische Dokumentation, Protokollierung, Transparenz gegenüber Betreibern, menschliche Aufsicht sowie Genauigkeit, Robustheit und Cybersicherheit. Anbieter müssen Konformität, Registrierung und Beobachtung nach dem Inverkehrbringen entsprechend ihrer Rolle organisieren.
Begrenztes Risiko und Transparenzpflichten
Für bestimmte Systeme steht Transparenz im Vordergrund. Menschen sollen erkennen können, dass sie mit einem KI-System interagieren oder dass Inhalte künstlich erzeugt oder manipuliert wurden, soweit die jeweiligen Voraussetzungen greifen. Die konkrete Kennzeichnungspflicht hängt von System und Kontext ab.
Minimales Risiko
Viele alltägliche KI-Anwendungen fallen nicht in die strengeren Kategorien. Das bedeutet nicht „rechtsfreier Raum“. Allgemeine Gesetze und die Verantwortung für fehlerhafte Leistungen gelten weiterhin. Freiwillige Verhaltenskodizes und interne Mindestkontrollen können auch hier sinnvoll sein.
General-Purpose AI: Modelle mit allgemeinem Verwendungszweck
Die KI-Verordnung enthält eigene Regeln für General-Purpose-AI (GPAI), also Modelle mit allgemeinem Verwendungszweck, die für viele Aufgaben eingesetzt und in unterschiedliche Systeme integriert werden können. Anbieter solcher Modelle treffen unter anderem Transparenz- und Dokumentationspflichten. Für Modelle mit systemischem Risiko gelten weitergehende Anforderungen.
Ein Unternehmen, das ein fremdes allgemeines Modell in eine eigene Lösung integriert, sollte seine Rolle sorgfältig bestimmen. Anpassung, Markenauftritt, Zweckänderung oder wesentliche Modifikation können Verantwortlichkeiten verändern. Verträge mit Modell- und Plattformanbietern ersetzen die eigene Einordnung nicht.
Bin ich vom EU AI Act betroffen?
Die Verordnung betrifft Anbieter und Betreiber von KI-Systemen. Anbieter entwickeln ein System oder lassen es entwickeln und bringen es unter eigenem Namen oder eigener Marke in Verkehr beziehungsweise nehmen es in Betrieb. Betreiber verwenden ein KI-System in eigener Verantwortung im Rahmen ihrer beruflichen Tätigkeit. Daneben kennt die Verordnung weitere Rollen, etwa Einführer und Händler.
Damit kann praktisch jedes Unternehmen betroffen sein, das KI beruflich einsetzt: bei Bewerberauswahl, Kundenservice, Kredit- oder Preisentscheidungen, Qualitätskontrolle, Beratung, Softwareentwicklung oder Inhaltserstellung. Die Pflichten unterscheiden sich jedoch stark. Wer ein Standardwerkzeug intern nutzt, hat eine andere Rolle als ein Softwarehaus, das ein KI-System für Kunden anbietet.
Vier Fragen für die Ersteinstufung
- Liegt ein KI-System vor? Funktionsweise und Zweck müssen anhand der gesetzlichen Definition bewertet werden.
- Welche Rolle hat das Unternehmen? Anbieter, Betreiber, Einführer, Händler oder Teil einer Wertschöpfungskette?
- Welcher Verwendungszweck gilt? Entscheidend ist der reale Einsatz, einschließlich vorhersehbarer Fehlanwendung.
- Welche Risikoklasse greift? Verbot, Hochrisiko, Transparenzpflicht oder minimales Risiko – plus mögliche GPAI-Regeln.
Zeitplan der KI-Verordnung
Der AI Act wird gestaffelt angewendet. Die Verbote bestimmter KI-Praktiken gelten seit Februar 2025. Pflichten für General-Purpose-AI gelten seit August 2025. Die Hochrisiko-Anforderungen greifen abhängig von der jeweiligen Fallgruppe ab August 2026 beziehungsweise August 2027.
Diese Stufen sind keine Einladung zum Abwarten. Inventarisierung, Rollenklärung, Beschaffungsvorgaben, Datenqualität, Dokumentation und menschliche Aufsicht benötigen Vorlauf. Ein System kann zudem schon vor einer AI-Act-Frist unter Datenschutz-, Haftungs- oder Arbeitsrecht fallen.
Konkrete Pflichten in der Praxis
KI-Inventar und Governance
Unternehmen brauchen einen Überblick über eingesetzte, entwickelte und eingekaufte KI. Das Inventar sollte Zweck, Verantwortliche, Anbieter, Datenarten, betroffene Personen, Schnittstellen, Risikoklasse und Freigabestatus enthalten. Eine interdisziplinäre Governance verbindet Fachbereich, IT, Informationssicherheit, Datenschutz, Recht, Einkauf und Leitung.
KI-Kompetenz
Personen, die KI-Systeme betreiben oder nutzen, benötigen angemessene Kenntnisse. Schulungen sollten nicht bei allgemeinen Prompt-Tipps enden. Relevant sind Grenzen des Systems, Fehlermuster, Datenschutz, Vertraulichkeit, menschliche Kontrolle, Eskalation und Dokumentation.
Hochrisiko-Anforderungen
Anbieter von Hochrisiko-KI benötigen über den Lebenszyklus ein Risikomanagementsystem, kontrollierte Datensätze und Daten-Governance, technische Dokumentation, automatische Protokollierung, verständliche Gebrauchsinformationen und Verfahren für menschliche Aufsicht. Genauigkeit, Robustheit und Cybersicherheit müssen zum Zweck passen. Betreiber müssen unter anderem Anweisungen beachten, Aufsicht organisieren, Eingabedaten kontrollieren und den Betrieb beobachten, soweit die jeweiligen Regeln gelten.
Lieferkette und Verträge
Ohne Informationen des Modellentwicklers kann ein nachgelagerter Anbieter seine Pflichten kaum erfüllen. Verträge sollten Dokumentation, zulässige Zwecke, Änderungen, Sicherheitsvorfälle, Datenherkunft, Protokolle, Auditinformationen und Unterstützung bei Behördenanfragen abbilden. Auch Haftungsgrenzen und Freistellungen müssen realistisch zur eigenen Rolle passen.
Die Risiko- und Versicherungsbrücke
Die KI-Verordnung macht Verantwortlichkeiten sichtbarer, beseitigt aber keine Fehler. Falsche Ausgaben, diskriminierende Entscheidungen, Datenabfluss, Schutzrechtsverletzungen oder unzureichende menschliche Kontrolle können Ansprüche und Verteidigungskosten auslösen. Der AI Act selbst ist keine Versicherungsvorgabe. Er liefert jedoch eine Struktur, um Restrisiken zu erkennen.
Haftung aus dem KI-Einsatz
Verursacht ein KI-gestützter Prozess einen Personen-, Sach- oder Vermögensschaden, hängt die zuständige Versicherungslinie vom Schaden, der Tätigkeit und dem Anspruchsgrund ab. Betriebs-, Produkt-, Cyber- oder Vermögensschadenhaftpflicht können berührt sein. Ein „KI-Schaden“ ist keine einheitliche versicherungsrechtliche Kategorie.
Berufshaftpflicht
Berater, IT-Dienstleister, Planer oder andere professionelle Dienstleister bleiben für ihre Leistung verantwortlich, auch wenn KI einen Entwurf oder eine Analyse geliefert hat. Entsteht dem Kunden durch eine fehlerhafte KI-gestützte Leistung ein reiner Vermögensschaden, kann eine Berufshaftpflicht relevant sein. Tätigkeitsbeschreibung, Ausschlüsse, Datenschutz- und Schutzrechtsbausteine müssen den tatsächlichen KI-Einsatz erfassen.
D&O
Leitungsorgane müssen wesentliche KI-Risiken angemessen steuern. Fehlende Governance, unkontrollierter Einsatz oder ignorierte Warnsignale können Vermögensschadenansprüche gegen Leitungspersonen begünstigen. D&O-Schutz kann versicherte Organhaftungsansprüche prüfen und bearbeiten, ersetzt aber keine pflichtgemäße Organisation.
KI-/AI-Haftpflicht als entstehende Kategorie
Am Markt entsteht die Kategorie einer besonderen KI- beziehungsweise AI-Haftpflicht. Sie ist noch früh und nicht einheitlich definiert. Ob ein spezialisiertes Konzept sinnvoller ist als angepasste bestehende Haftpflicht-, Cyber- und D&O-Linien, lässt sich nur anhand von Tätigkeit, Rolle und Bedingungsumfang beurteilen. Eine pauschale Produkt- oder Anbieterempfehlung wäre verfrüht.
Was jetzt zu tun ist
- Alle beruflich genutzten und entwickelten KI-Systeme zentral inventarisieren.
- Für jedes System Rolle, Zweck, Nutzer, betroffene Personen und Daten dokumentieren.
- Verbotene Praktiken ausschließen und Risikoklasse nachvollziehbar festhalten.
- GPAI-, Hochrisiko- und Transparenzpflichten in einen Fristenplan übersetzen.
- Freigabeprozess für neue KI-Anwendungen und wesentliche Änderungen etablieren.
- KI-Kompetenz rollenbezogen aufbauen und Schulungen dokumentieren.
- Menschliche Aufsicht mit echten Entscheidungs- und Eingriffsmöglichkeiten gestalten.
- Datenqualität, Protokollierung, Cybersicherheit und Vorfallprozess testen.
- Beschaffungs- und Kundenverträge auf Informations-, Änderungs- und Haftungslücken prüfen.
- Verbleibende Schadenbilder mit bestehenden Haftpflicht-, Cyber- und D&O-Linien abgleichen lassen.
Menschliche Aufsicht muss praktisch funktionieren
Ein Mensch im Prozess ist nicht automatisch wirksame Aufsicht. Die zuständige Person muss verstehen, wann das System unzuverlässig sein kann, die nötigen Informationen sehen und Zeit sowie Befugnis zum Eingreifen haben. Wer hunderte automatisierte Entscheidungen nur formal bestätigt, erkennt systematische Fehler kaum. Unternehmen sollten deshalb Schwellen für manuelle Prüfung, Abbruch, Eskalation und Rückkehr zu einem Ersatzprozess definieren.
Ebenso wichtig ist die Beobachtung nach Freigabe. Eingabedaten, Modellversionen, Nutzerverhalten und Umfeld können sich verändern. Qualitätskennzahlen müssen zum Schadenbild passen: Bei einer Bewerbervorauswahl zählen andere Fehlerraten und Fairnessfragen als bei einer Wartungsprognose. Beschwerden, ungewöhnliche Ergebnisse und Sicherheitsvorfälle sollten in eine geregelte Neubewertung führen. Diese operative Evidenz ist zugleich wertvoll, wenn Haftungsursache und Versicherungszuständigkeit später geklärt werden müssen.
Häufige Fragen zum EU AI Act
Gilt die KI-Verordnung nur für Entwickler?
Nein. Sie betrifft sowohl Anbieter als auch Betreiber und weitere Akteure. Auch Unternehmen, die fremde KI im beruflichen Kontext nutzen, können Pflichten haben.
Ist ChatGPT automatisch Hochrisiko-KI?
Die Einordnung eines konkreten Systems hängt von Rolle und Verwendungszweck ab. Ein allgemeines Modell und eine darauf aufbauende Hochrisiko-Anwendung sind rechtlich zu unterscheiden.
Wann gelten die Hochrisiko-Pflichten?
Die Hochrisiko-Anforderungen greifen je nach Fallgruppe ab August 2026 beziehungsweise August 2027. Verbote gelten bereits seit Februar 2025, GPAI-Pflichten seit August 2025.
Reicht eine Datenschutz-Folgenabschätzung?
Nein. Sie kann bei personenbezogenen Daten wichtig sein, deckt aber nicht alle Anforderungen der KI-Verordnung an Risikomanagement, Dokumentation, Aufsicht, Robustheit und Konformität ab.
Wer haftet für einen falschen KI-Output?
Das hängt von Rolle, Vertrag, Pflichtverletzung, Schaden und anwendbarem Recht ab. Der Einsatz eines fremden Modells beseitigt nicht automatisch die Verantwortung des nutzenden Unternehmens.
Kann Schreder Global eine KI-Haftpflicht empfehlen?
Nein. Wir informieren allgemein und nennen keine konkreten Produkte oder Versicherer. Auf Wunsch verbinden wir Sie mit einem spezialisierten, zugelassenen Partnermakler, der Ihr individuelles Risiko prüft.
Von der Compliance zur belastbaren Entscheidung
Gute AI-Act-Umsetzung beginnt nicht mit maximaler Dokumentation, sondern mit Transparenz. Wer Systeme, Rollen und Zwecke kennt, kann Hochrisiko-Anwendungen priorisieren und einfache Werkzeuge angemessen behandeln. Jede Freigabe sollte zeigen, welche Risiken geprüft wurden, wer die verbleibenden Risiken akzeptiert und wann neu bewertet wird.
Versicherungsfragen schließen an diese Arbeit an. Ein spezialisierter Partnermakler kann prüfen, ob Tätigkeitsbeschreibungen und bestehende Bedingungen den realen KI-Einsatz abbilden. Die regulatorische und rechtliche Einordnung bleibt Aufgabe qualifizierter Rechts- und Compliance-Fachleute.