WissenBegriffvon Michael Selck

KI-Verordnung

Die KI-Verordnung (Verordnung (EU) 2024/1689) ist das europäische Gesetz, das KI-Systeme nach ihrem Risiko einstuft und Anbietern wie Betreibern abgestufte Pflichten auferlegt. Für einen Mittelständler, der KI im eigenen Betrieb einsetzt, bedeutet sie vor allem ausreichende KI-Kompetenz der Mitarbeitenden, Transparenz gegenüber Menschen, die mit KI zu tun haben, und eine klare menschliche Verantwortung für die Ergebnisse.

Was bedeutet KI-Verordnung?

Die KI-Verordnung, im Englischen „AI Act“, ist das erste umfassende Gesetz zur künstlichen Intelligenz in der Europäischen Union. Als Verordnung gilt sie unmittelbar in allen Mitgliedstaaten, ohne dass ein deutsches Gesetz sie erst umsetzen muss. Sie ist am 1. August 2024 in Kraft getreten und wird in Stufen wirksam: Verbote und die Pflicht zur KI-Kompetenz gelten seit dem 2. Februar 2025, Transparenzpflichten und der Großteil der Hochrisiko-Regeln nach dem Verordnungstext ab dem 2. August 2026. Die EU-Kommission hat Ende 2025 Vereinfachungen vorgeschlagen, die einzelne Fristen verschieben könnten – vor größeren Entscheidungen lohnt deshalb ein Blick auf den aktuellen Stand.

Der Kern der Verordnung ist ein Risiko-Raster mit vier Stufen. Ganz oben stehen verbotene Praktiken, etwa die Erkennung von Emotionen am Arbeitsplatz oder die Bewertung von Menschen nach ihrem Sozialverhalten. Darunter folgen Hochrisiko-Einsätze, bei denen KI über Zugang, Rechte oder Sicherheit von Menschen mitbestimmt, zum Beispiel bei der Vorauswahl von Bewerbern. Die dritte Stufe sind Einsätze mit Transparenzpflichten, etwa ein Chat auf der Website. Alles andere ist minimales Risiko. Entscheidend ist dabei nicht, wie leistungsfähig eine KI ist, sondern wofür sie eingesetzt wird.

Die Pflichten verteilt die Verordnung nach Rollen. Anbieter entwickeln ein KI-System oder bringen es unter eigenem Namen auf den Markt. Betreiber setzen ein KI-System in eigener Verantwortung beruflich ein. Ein Handwerksbetrieb, der Angebotsentwürfe von einer KI-Stelle vorbereiten lässt, ist Betreiber – und trägt damit deutlich schlankere Pflichten als der Hersteller des Sprachmodells.

Von Nachbarbegriffen ist die KI-Verordnung klar zu trennen. Sie ersetzt nicht die Datenschutz-Grundverordnung: Ob personenbezogene Daten verarbeitet werden dürfen, regelt weiterhin die DSGVO – was das für den KI-Einsatz heißt, beschreibt der Eintrag DSGVO-konforme KI. Sie ist auch keine KI-Richtlinie im Unternehmen: Die Verordnung ist Gesetz, die Richtlinie ist die interne Hausregel, mit der ein Betrieb die gesetzlichen Pflichten in seinen Alltag übersetzt.

KI-Verordnung kurz erklärt: die wichtigsten Punkte

Sie gilt für jeden Betrieb, der KI beruflich nutzt – unabhängig von Größe und Branche, auch beim einzelnen Chatwerkzeug im Büro.
Der Zweck bestimmt die Risikoklasse: Dasselbe Werkzeug kann im Posteingang unkritisch und in der Bewerberauswahl hochriskant sein.
Drei Pflichten treffen praktisch jeden Betreiber: die Verbote kennen, die Mitarbeitenden passend zur Aufgabe schulen und dort kennzeichnen, wo es vorgeschrieben ist.
Hochrisiko-Einsätze verlangen deutlich mehr: Einsatz nach Gebrauchsanweisung, menschliche Aufsicht durch geschulte Personen, Aufbewahrung der Protokolle, Information der Beschäftigten.
Verstöße können mit Bußgeldern geahndet werden, die nach Schwere gestaffelt sind – am höchsten bei verbotenen Praktiken.

KI-Verordnung in der Praxis

Maschinenbaubetrieb mit vorsortiertem Postfach: Eine KI-Assistenz ordnet eingehende Mails Kunden und Vorgängen zu und bereitet Antworten vor. Das ist minimales Risiko. Der Betrieb schult die Sachbearbeitung, hält den Einsatz in seinem KI-Verzeichnis fest und legt fest, dass keine Antwort ohne Freigabe das Haus verlässt.
Dienstleister mit Chat auf der Website: Besucher schreiben direkt mit einer KI. Hier greift ab August 2026 die Transparenzpflicht: Der Chat muss als KI erkennbar sein. Dasselbe gilt sinngemäß für eine KI-Telefonassistenz, die Anrufe entgegennimmt.
Industriebetrieb mit Bewerbermanagement: Ein Werkzeug soll eingehende Bewerbungen vorsortieren und bewerten. Damit wird der Einsatz zum Hochrisiko-Fall mit umfangreichen Pflichten. Der Betrieb entscheidet sich bewusst dagegen: Die KI nimmt Bewerbungen auf und beantwortet Fragen, die Auswahl bleibt bei den Menschen in der Personalabteilung.

Woran Sie erkennen, dass Ihr Betrieb die KI-Verordnung im Griff hat

Es gibt ein KI-Verzeichnis: welches System, wofür, mit welchen Daten, in welcher Risikoklasse und wer verantwortlich ist – eine Zeile je Einsatz.
Alle, die mit KI arbeiten, sind passend zu ihrer Aufgabe geschult, und es gibt einen schlichten Nachweis mit Datum, Teilnehmenden und Inhalten.
Eine Kennzeichnungsregel legt fest, wie Chat, KI-Absender und künstlich erzeugte Bilder oder Stimmen kenntlich gemacht werden.
Für jeden Einsatz ist geklärt, wer KI-Ergebnisse prüft und freigibt – und dass nichts mit Außenwirkung ohne Freigabe hinausgeht.
Neue Werkzeuge und neue Einsatzzwecke werden vor dem Start eingeordnet, nicht erst, wenn jemand nachfragt.

Typische Fehler

Abwarten, bis alles klar ist: Verbote und Schulungspflicht gelten bereits seit Februar 2025 – auch wenn über einzelne spätere Fristen noch diskutiert wird.
Das Werkzeug statt den Zweck prüfen: Ein harmloses Sprachmodell wird zum Hochrisiko-Fall, sobald es Bewerber sortiert oder Leistung bewertet.
Schatten-KI übersehen: Mitarbeitende nutzen oft eigene Konten. Wer nur die offiziellen Systeme erfasst, kennt seinen tatsächlichen Einsatz nicht.
Die Verordnung mit dem Datenschutz verwechseln: Ein Auftragsverarbeitungsvertrag klärt die DSGVO-Frage, aber nicht Risikoklasse, Schulung und Kennzeichnung.

Unser Bezug

Wir sind selbst Betreiber im Sinne der KI-Verordnung: In unserem Betrieb arbeiten seit 14 Monaten 43 KI-Stellen, jede mit klar umrissener Zuständigkeit. Unsere Einsätze liegen in Verwaltung, Buchhaltung, Vertrieb und Kommunikation – nach unserer Einschätzung kein Hochrisiko-Fall. Unsere roten Linien sind keine KI-Bewertung von Beschäftigten und keine verbotenen Praktiken. KI-Absender sind gekennzeichnet, im Kundenkontakt unabschaltbar, und nichts mit Außenwirkung wird aktiv, bevor ein Mensch es freigegeben hat. Die KI bereitet vor, der Mensch gibt frei. Offen sagen wir auch, was noch fehlt: Unsere schriftliche Betreiberdokumentation schließen wir gerade, zusammen mit einer anwaltlichen Kurzprüfung.

In der Beratung ordnen wir mit Ihnen ein, welche KI-Systeme in Ihrem Betrieb schon laufen, in welcher Risikoklasse sie liegen und welche Schulung, Kennzeichnung und Freigaben fehlen. Eine rechtliche Prüfung ersetzt das nicht, aber Sie gehen mit einer sortierten Liste ins Gespräch mit Ihrer Rechtsberatung. Für die Beratung ist bis zu 80 % Förderung möglich, je nach Betrieb und Standort. Die Umsetzung beauftragen Sie getrennt, wenn Sie wollen: im AI Workspace mit Freigaben an jeder Außenwirkung oder als individuelle Lösung.

Erstgespräch

Wissen Sie, in welcher Risikoklasse Ihre KI-Einsätze liegen?

Im Erstgespräch gehen wir durch, wo in Ihrem Betrieb schon KI arbeitet, welche Pflichten der KI-Verordnung daraus folgen und wer freigibt – nüchtern, in 30 Minuten und ohne Verkaufsgespräch.

Termin buchen Erstgespräch anfragen

Weiterführende Beiträge

Häufige Fragen zu KI-Verordnung

Gilt die KI-Verordnung auch für kleine Betriebe?

Ja. Jeder Betrieb, der ein KI-System beruflich einsetzt, ist Betreiber im Sinne der Verordnung – unabhängig von der Zahl der Mitarbeitenden. Für typische Einsätze in Verwaltung, Vertrieb und Kommunikation bleiben die Pflichten aber überschaubar: verbotene Praktiken meiden, die Menschen schulen, die mit KI arbeiten, und dort kennzeichnen, wo es vorgeschrieben ist.

Ab wann gilt die KI-Verordnung?

Sie ist am 1. August 2024 in Kraft getreten und gilt in Stufen. Seit dem 2. Februar 2025 gelten die Verbote und die Pflicht zur KI-Kompetenz, ab dem 2. August 2026 nach dem Verordnungstext die Transparenzpflichten und der Großteil der Hochrisiko-Regeln, ab dem 2. August 2027 die Regeln für KI in regulierten Produkten. Ob die von der EU-Kommission vorgeschlagenen Vereinfachungen einzelne Fristen verschieben, sollten Sie vor größeren Entscheidungen prüfen.

Ist ein Betrieb Anbieter oder Betreiber, wenn er ein KI-Werkzeug einkauft?

In aller Regel Betreiber. Anbieter ist, wer ein KI-System entwickelt oder unter eigenem Namen auf den Markt bringt. Ein Betrieb kann allerdings in die Anbieterrolle rutschen, wenn er ein Hochrisiko-System unter eigenem Namen vertreibt, es wesentlich verändert oder ein allgemeines Werkzeug für einen Hochrisiko-Zweck wie die Bewerbervorauswahl einsetzt.

Muss jeder KI-erstellte Text gekennzeichnet werden?

Nein. Die Kennzeichnungspflicht greift vor allem beim direkten Austausch mit einer KI, etwa im Website-Chat, bei täuschend echten Bildern, Videos und Stimmen sowie bei KI-Texten zu Themen von öffentlichem Interesse, die kein Mensch redaktionell verantwortet. Eine Angebotsmail, die ein Mensch geprüft und freigegeben hat, ist nach der KI-Verordnung in der Regel nicht kennzeichnungspflichtig – eine klare Kennzeichnung von KI-Absendern schafft trotzdem Vertrauen.

Wie verhält sich die KI-Verordnung zur DSGVO?

Beide gelten nebeneinander. Die KI-Verordnung regelt, wie riskant ein KI-Einsatz ist und welche Pflichten daraus folgen; die DSGVO regelt, ob und wie personenbezogene Daten verarbeitet werden dürfen. Wer KI mit Kunden- oder Mitarbeiterdaten nutzt, muss deshalb beide Fragen beantworten – Erfüllung der einen ersetzt die andere nicht.