KI-Verordnung der EU: Was digitale Produkte jetzt umsetzen müssen
Die meisten Teams, die KI-Funktionen ausliefern, fallen in den Anwendungsbereich – und haben kein einziges System klassifiziert. Hier ist die Arbeit, der Reihe nach.
Die Verordnung (EU) 2024/1689 – die KI-Verordnung – ist der erste umfassende Rechtsrahmen für künstliche Intelligenz und gilt gestaffelt, nicht auf einen Schlag. Für die meisten digitalen Organisationen ist die praktische Folge unspektakulär: einige Funktionen brauchen Transparenzhinweise und eine dokumentierte Risikobewertung. Das Problem ist, dass kaum jemand die Klassifizierung vorgenommen hat, die zeigt, welche das sind.
Dies ist ein Leitfaden aus der Praxis, keine Rechtsberatung: Er dient dazu, mit gesammelten Fakten in die juristische Prüfung zu gehen.
Fallen Sie in den Anwendungsbereich?
| Rolle | Wer das ist | Pflichtenlast |
|---|---|---|
| Anbieter | Sie entwickeln ein KI-System und bringen es unter eigenem Namen in Verkehr | Am höchsten |
| Betreiber | Sie nutzen ein KI-System in eigener Verantwortung | Mittel: Aufsicht, Information, Beobachtung |
| Einführer / Händler | Sie bringen ein Fremdsystem auf den EU-Markt | Prüfpflichten |
| Anbieter eines GPAI-Modells | Sie stellen ein Allzweckmodell bereit | Dokumentation, Urheberrechtspolitik, Transparenz |
Zwei Fallen treffen Produktteams. Erstens die extraterritoriale Reichweite: in der EU verwendete Ausgaben können ein Unternehmen von außerhalb erfassen. Zweitens das Verschieben der Rolle – ein fremdes Modell zu verfeinern und umzubenennen kann Sie vom Betreiber zum Anbieter machen, mit deutlich schwereren Pflichten.
Die Risikostufen in klaren Worten
Verbotene Praktiken
Bestimmte Anwendungen sind untersagt, darunter Social Scoring durch Behörden, ausnutzende Manipulation vulnerabler Gruppen und bestimmte biometrische Praktiken. Ähnelt ein Vorhaben im Backlog dem, ist es keine Compliance-Frage, sondern eine Absage.
Hochrisikosysteme
Hier liegt die eigentliche Last: Risikomanagementsystem, Daten-Governance, technische Dokumentation, Protokollierung, menschliche Aufsicht, Maßnahmen zu Genauigkeit und Robustheit, Konformitätsbewertung und Beobachtung nach dem Inverkehrbringen. Typische Auslöser sind Beschäftigung und Personalauswahl, Kreditwürdigkeit, Bildungszugang, wesentliche öffentliche und private Dienste sowie Sicherheitsbauteile regulierter Produkte.
Transparenzpflichten
Hier landen die meisten digitalen Produkte: darüber informieren, dass mit einer KI interagiert wird, synthetische Medien offenlegen, Emotionserkennung und biometrische Kategorisierung anzeigen und KI-generierte Inhalte maschinenlesbar kennzeichnen.
Minimales Risiko
Empfehlungssortierung, Spamfilter oder Eingabevorschläge bringen keine besonderen Pflichten – müssen aber im Verzeichnis stehen, denn eine Klassifizierung ist nur glaubwürdig, wenn sie alles abdeckt.
Fünf Ergebnisse, die jetzt entstehen müssen
- Ein Verzeichnis der KI-Systeme. Jedes Modell, jede Funktion, jede fremde KI-Fähigkeit mit Verantwortlichem, Zweck, genutzten Daten, betroffenen Personen und Rolle. Dieses Artefakt trägt alles Weitere – und niemand besitzt es.
- Klassifizierung mit Begründung. Nicht nur ein Stufenlabel, sondern eine schriftliche Begründung pro System: Aufsichtsbehörden und Kunden werden nach dem Warum fragen.
- Umgesetzte Transparenz. Hinweise in der Oberfläche, Kennzeichnung synthetischer Inhalte und klare Dokumentation der Systemgrenzen.
- Gestaltete menschliche Aufsicht. Wer prüfen, übersteuern und abschalten darf, wie diese Personen geschult werden und wie ihr Eingreifen protokolliert wird. Aufsicht, die nur in einer Richtlinie existiert, ist keine.
- Protokollierung und Beobachtung. Eingaben, Ausgaben, Entscheidungen und Übersteuerungen angemessen aufbewahrt, mit Drift- und Vorfallerkennung für alles Folgenreiche.
Wo KI-Verordnung und DSGVO aufeinandertreffen
Beide Regime addieren sich. Die DSGVO regelt weiterhin Rechtsgrundlage, Zweckbindung, Datenminimierung, Transparenz und Betroffenenrechte einschließlich der Vorgaben zu automatisierten Entscheidungen. Die KI-Verordnung ergänzt Pflichten auf Systemebene. Praktisch folgt daraus ein kombinierter Prozess – Datenschutz-Folgenabschätzung und KI-Risikobewertung gemeinsam durchgeführt, von Menschen, die miteinander sprechen – statt zweier paralleler Dokumentationsübungen.
Das KI-Risikomanagement-Rahmenwerk des NIST hilft bei der Strukturierung: Es ist freiwillig und kein Konformitätsweg, aber seine Struktur aus Steuern, Kartieren, Messen und Managen passt gut zu den erwarteten Nachweisen.
Ein pragmatischer 90-Tage-Plan
Tage 1–30: das Verzeichnis erstellen. Produktteams befragen und prüfen, welche KI-Fähigkeiten in SaaS-Werkzeugen angekommen sind, die niemand als KI eingeordnet hat. Überraschungen sind zu erwarten.
Tage 31–60: mit schriftlicher Begründung klassifizieren, Verbotenes und Hochrisiko identifizieren und Transparenz umsetzen – der günstigste und sichtbarste Compliance-Gewinn.
Tage 61–90: Risikobewertung und menschliche Aufsicht für die exponiertesten Systeme aufsetzen, Protokollierung einführen und einen Kontrollpunkt schaffen, damit neue KI-Funktionen bereits im Entwurf klassifiziert werden.
Schwierigkeiten bekommen nicht die Organisationen mit riskanten Systemen, sondern jene, die nicht sagen können, welche Systeme sie haben.
Häufige Fragen
Gilt die KI-Verordnung der EU auch, wenn wir nicht in der EU sitzen?
Sie kann gelten. Die Verordnung erfasst Anbieter, die KI-Systeme auf dem EU-Markt in Verkehr bringen, sowie in der EU niedergelassene Betreiber, und sie reicht zu Akteuren außerhalb der EU, deren Ausgaben in der Union verwendet werden.
Welche Risikokategorien gibt es?
Verbotene Praktiken, Hochrisikosysteme mit umfangreichen Pflichten, Systeme mit begrenztem Risiko und Transparenzpflichten sowie Anwendungen mit minimalem Risiko. Für KI-Modelle mit allgemeinem Verwendungszweck gelten eigene Regeln.
Ist unser Chatbot ein Hochrisikosystem?
In der Regel nicht. Ein Kundenservice-Assistent fällt meist unter Transparenzpflichten: Nutzer müssen wissen, dass sie mit einer KI interagieren, und synthetische Inhalte sind zu kennzeichnen. Hochrisiko betrifft etwa Beschäftigung, Kreditwürdigkeit, Bildung und wesentliche Dienste.
Welche Dokumentation wird benötigt?
Ein Verzeichnis der KI-Systeme mit Klassifizierung, Risikobewertungen, Nachweise zur Daten-Governance, technische Dokumentation, Vorkehrungen zur menschlichen Aufsicht, Protokollierung und Beobachtung nach dem Inverkehrbringen bei Hochrisikosystemen.
Wie verhält sich das zur DSGVO?
Sie ergänzen sich. Die KI-Verordnung regelt System und Risiko; die DSGVO regelt weiterhin die Verarbeitung personenbezogener Daten, Rechtsgrundlage, Transparenz und Betroffenenrechte. Die Erfüllung einer Vorgabe erfüllt nicht die andere.