1. Gilt das EU-KI-Gesetz für Ihr Unternehmen?

In der Praxis gilt: Wenn Sie in der EU tätig sind, Produkte in die EU verkaufen oder Ihre KI-Ergebnisse in der EU verwendet werden, sollten Sie davon ausgehen, dass Sie unter die Regelung fallen.

Es betrifft nicht nur „KI-Anbieter“, sondern auch Unternehmen, die KI-Systeme in realen Geschäftsprozessen einsetzen, insbesondere dort, wo KI Entscheidungen über Personen, Zugänge, Finanzen oder Sicherheit beeinflusst. Dazu gehören gängige Unternehmensszenarien wie Personalbeschaffung, Bewerberauswahl, Leistungsüberwachung, Kreditwürdigkeitsprüfung, Versicherungsentscheidungen, Bildungs- und Schulungsbewertungen sowie einige sicherheitsrelevante Anwendungen.

Meine Meinung: Der teuerste Fehler ist es, zu warten, bis ein Kunde, ein Wirtschaftsprüfer oder ein Vorfall Sie unter Druck dazu zwingt, Ihre KI-Nutzung zu dokumentieren. Eine grundlegende Bestandsaufnahme und Risikoklassifizierung Ihrer KI-Anwendungen ist ein schneller Schritt mit großer Wirkung.

2. Die Risikoklassen (der Teil, den die Führungskräfte tatsächlich benötigen)

Das KI-Gesetz ist auf Risiken ausgerichtet. Ihre Verpflichtungen hängen davon ab, was Ihre KI leistet und wo sie eingesetzt wird.

A) Verbotene Praktiken (inakzeptables Risiko)

Bestimmte Anwendungen von KI sind im Grunde verboten. Die meisten Unternehmen planen nicht, diese einzusetzen, aber es kann zu unbeabsichtigten Überschneidungen kommen: Analysetools, die sensible Merkmale ableiten, Überwachungstools, die in die Emotionserkennung eingreifen, oder Verhaltensbeeinflussung, die manipulativ wird.

B) Hochrisiko-KI-Systeme (umfangreiche Verpflichtungen)

Dies ist die Kategorie, die ernsthafte Compliance-Arbeit erfordert. Hohes Risiko tritt häufig in folgenden Bereichen auf:

Personalwesen und Mitarbeitermanagement (Rekrutierung, Auswahlverfahren, Bewertung, Überwachung)

Bildung und Berufsausbildung (Prüfungen, Bewertung, Zulassungsentscheidungen)

Zugang zu wesentlichen Dienstleistungen (Kreditentscheidungen, bestimmte Versicherungs- und Anspruchsberechtigungsentscheidungen)

Kritische Infrastrukturen, sicherheitsrelevante Kontexte und bestimmte biometrische Anwendungen

C) Transparenzpflichten (begrenztes Risiko)

Wenn Menschen mit KI interagieren (z. B. mit Chatbots), müssen sie möglicherweise darüber informiert werden. Wenn Sie Inhalte generieren oder manipulieren, die irreführend sein könnten (synthetische Medien, „Deepfakes“), können Offenlegungspflichten bzw. Kennzeichnungspflichten erforderlich sein.

D) Minimales Risiko

Viele Anwendungsfälle für KI sind bereits Realität. Doch „minimales Risiko“ bedeutet nicht „keine Verantwortung“. Die Nutzung von KI muss weiterhin im Einklang mit Ihren allgemeinen Compliance-Vorgaben stehen: DSGVO, Sicherheit, Verbraucherschutz, geistiges Eigentum und vertragliche Verpflichtungen.

Meine Meinung: Die meisten Unternehmen scheitern nicht, weil sie das falsche Werkzeug wählen. Sie scheitern, weil sie den Anwendungsfall nicht frühzeitig genug klassifizieren. Die Klassifizierung ist das Lenkrad.

3. Welche Verpflichtungen und Aufgaben ergeben sich daraus?

Hier ist der entscheidende Punkt: Verpflichtungen gelten nicht nur für das Unternehmen, das die KI entwickelt hat. Sie gelten auch für das Unternehmen, das sie nutzt.

Wenn Sie ein Hochrisiko-KI-System bereitstellen (auch wenn Sie ein System wesentlich modifizieren oder umbenennen), müssen Sie mit einer Konformität auf „Produktniveau“ rechnen: Risikomanagement, Dokumentation, Protokollierung, Gestaltung der menschlichen Aufsicht, Robustheit und Sicherheitskontrollen sowie ein Konformitätsverfahren vor der Markteinführung.

Wenn Sie KI-Systeme mit hohem Risiko einsetzen (also in Ihrem Unternehmen nutzen), haben Sie weiterhin Pflichten: Sie müssen die Systeme gemäß den Anweisungen verwenden, eine sinnvolle menschliche Aufsicht gewährleisten, das System überwachen, geeignete Protokolle führen, Vorfälle managen und organisatorische Kontrollen anwenden. Sie benötigen außerdem Klarheit über die Verantwortlichkeiten gegenüber den Anbietern, denn die Aussage „Der Anbieter hat die Konformität bestätigt“ schützt Sie nicht, wenn Ihr Nutzungskontext Risiken birgt.

Meine Meinung: Deshalb ist „Schatten-KI“ kein moralisches Problem, sondern ein Governance-Problem. Wenn KI informell im Personalwesen oder im operativen Bereich eingesetzt wird, lässt sich die Aufsicht nicht nachweisen, die Kontrolle nicht gewährleisten und man kann nicht überzeugend antworten, wenn jemand fragt: „Zeigen Sie mir, wie diese Entscheidung beeinflusst wurde.“

4. Was sind die tatsächlichen Geschäftsrisiken?

Ja, Strafen sind wichtig. Aber für die meisten Unternehmen liegen die größeren unmittelbaren Risiken woanders:

Die Geschäftsabschlüsse verlangsamen sich, weil Unternehmenskunden Nachweise gemäß dem KI-Gesetz fordern.

Die Beschaffungsabteilung fordert Dokumente an, die Sie nicht schnell beschaffen können.

Personalabteilungen oder operative Abteilungen setzen KI-Tools ein, die unbeabsichtigt Anforderungen mit hohem Risikopotenzial auslösen.

Vorfälle: Beschwerden, Bedenken hinsichtlich Diskriminierung, Reputationsprobleme oder Sicherheitsrisiken

Kosten für die nachträgliche Anpassung an Compliance-Vorschriften, die explodieren, weil die Governance erst nach der Einführung korrigiert wird.

Vereinfacht ausgedrückt: Der KI-Gesetzgebung wandelt „KI-Experimente“ in „KI-Anwendungen“ um. Und Anwendungen erfordern Verantwortlichkeit, Kontrollen und Nachweise.

5. Der praktische Weg, um voranzukommen, ohne daraus eine Bürokratie zu machen.

Wenn Sie das Risiko schnell reduzieren möchten, konzentrieren Sie sich auf diese fünf Maßnahmen:

First, build an AI inventory.
Keine sechsmonatige Übung zur Unternehmensarchitektur. Sondern eine praktische Liste: Welche KI wird von wem für welche Entscheidungen und mit welchen Daten verwendet?

Zweitens: Klassifizieren Sie jeden Anwendungsfall.
Verboten, hohes Risiko, Transparenz, minimal. Die meisten Organisationen sind überrascht, wie viele Tools sich in „Grauzonen“ befinden.

Drittens: Klären Sie die Rollen und Verantwortlichkeiten.
Wer ist der Bereitsteller? Wer ist der Anbieter? Wer ist für Überwachung, Protokollierung und Incident-Response zuständig? Wo genau ist die Freigabe durch die Rechtsabteilung/Compliance erforderlich?

Viertens: Beheben Sie die schnellen Lücken.
Grundlagen der KI-Kompetenz, Transparenzhinweise, wo erforderlich, und eine sorgfältige Anbieterprüfung, die nutzbare Dokumentation hervorbringt.

Fünftens, für Hochrisikofälle: Aufbau des „Beweismittel-Lebenszyklus“.
Datenverwaltung, Bewertungs- und Testansatz, Überwachung und die erforderliche Dokumentation zum Nachweis der Kontrolle.

Meine Meinung: Die Erfolgsstrategie lautet nicht „perfekt sein“, sondern „nachweisbar sein“. Man braucht keine Unmenge an Richtlinien, sondern ein System, das zuverlässig Belege und Entscheidungen liefert.

Handlungsaufforderung (auf Buchungen ausgerichtet)
Wenn Sie möchten, kann ich Ihnen helfen, innerhalb von Tagen und nicht Monaten von der Unsicherheit zu einer klaren Managemententscheidung zu gelangen.

Meine typische Dienstleistung für mittelständische Unternehmen ist ein KI-Gesetz-Bereitschaftscheck:

• Eine schnelle Bestandsaufnahme der KI-Nutzung (einschließlich potenzieller Einstiegspunkte für Schatten-KI)
• Eine Risikoklassifizierungskarte (was ist hohes Risiko, was ist Transparenz, was ist unbedenklich)
• Eine priorisierte Liste von Lücken mit konkreten Maßnahmen und Verantwortlichen
• Die Anforderungen an Anbieter/Dokumentation können Sie an die Einkaufsabteilung und die Lieferanten weiterleiten.
• Eine kurze Roadmap, die Ihrer Geschäftsrealität entspricht (und keine unrealistischen Vorgaben enthält).

Wenn Sie daran interessiert sind, senden Sie mir bitte eine kurze Nachricht mit folgenden Informationen: Ihrer Branche, den Bereichen, in denen Ihrer Meinung nach KI am häufigsten eingesetzt wird (Personalwesen, Kundenservice, Marketing, Finanzen, Betriebsabläufe) und ob Sie intern KI-Anwendungen entwickeln. Ich werde Ihnen dann einen konkreten Vorschlag für die nächsten Schritte zukommen lassen.