Die meisten Unternehmen entwickeln keine KI-Modelle. Sie kaufen oder lizenzieren KI-Systeme oder aktivieren KI-Funktionen in Software, die sie ohnehin nutzen. Damit sind sie nach der europäischen KI-Verordnung (EU AI Act) Betreiber: Jede Person oder Organisation, die ein KI-System in eigener Verantwortung verwendet, sofern es nicht um eine rein persönliche, nicht berufliche Nutzung geht.
Die KI-Verordnung ist am 1. August 2024 in Kraft getreten und gilt schrittweise. Einige Betreiberpflichten gelten bereits, und für die Hochrisiko-Vorschriften stehen die Termine inzwischen fest. Mit sechs Schritten kommen Sie zu einer belastbaren Ausgangslage.
1. KI-Inventar aufbauen
Was Sie nicht kennen, können Sie weder einstufen noch steuern. Erfassen Sie deshalb alle eingesetzten KI-Systeme – auch KI-Funktionen in bestehenden SaaS-Anwendungen und Tools, die Beschäftigte eigenständig nutzen.
- Name des Systems, Anbieter und Version
- Fachlich und technisch verantwortliche Person
- Zweck sowie unterstützte Entscheidungen und Prozesse
- Nutzende und die von den Ergebnissen betroffenen Personen
- Verarbeitete Daten, insbesondere personenbezogene Daten
2. Rolle je System prüfen
Ihre Pflichten hängen von Ihrer Rolle ab. Wer ein fremdes System nutzt, ist Betreiber. Anbieter – mit deutlich umfangreicheren Pflichten – sind Sie, wenn Sie ein System selbst entwickeln oder unter eigenem Namen in Verkehr bringen. Nach Artikel 25 kann ein Betreiber zudem Anbieterpflichten für ein Hochrisiko-System übernehmen: wenn er es mit seinem Namen oder seiner Marke versieht, es wesentlich verändert oder die Zweckbestimmung so ändert, dass es zum Hochrisiko-System wird. Dokumentieren Sie die Rolle je System und prüfen Sie sie erneut, sobald sich der Anwendungsfall ändert.
3. Verbotene Praktiken ausschließen
Die Verbote nach Artikel 5 gelten seit dem 2. Februar 2025. Verstöße können mit Geldbußen von bis zu 35 Mio. EUR oder 7 % des weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist. Gleichen Sie jeden Anwendungsfall mit der Liste ab, insbesondere:
- Manipulative oder täuschende Techniken oder das Ausnutzen von Schwächen, die erheblichen Schaden verursachen
- Social Scoring, das zu ungerechtfertigter oder unverhältnismäßiger Behandlung führt
- Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen, außer aus medizinischen oder Sicherheitsgründen
- Biometrische Kategorisierung, um sensible Merkmale wie politische Meinung oder sexuelle Orientierung abzuleiten
- Ungezieltes Auslesen von Gesichtsbildern zum Aufbau von Gesichtserkennungsdatenbanken
- Vorhersage von Straftaten allein auf Basis von Profiling oder Persönlichkeitsmerkmalen
4. KI-Kompetenz sicherstellen
Auch Artikel 4 gilt seit dem 2. Februar 2025. Mit dem KI-Omnibus wurde der Wortlaut angepasst: Anbieter und Betreiber müssen Maßnahmen ergreifen, um die KI-Kompetenz der Personen zu fördern, die KI-Systeme in ihrem Auftrag betreiben oder nutzen. Ein bestimmtes Kompetenzniveau jeder einzelnen Person müssen sie nicht garantieren. Praktisch heißt das: rollenbezogene Schulungen, klare Nutzungsregeln und ein Nachweis über die ergriffenen Maßnahmen. Wer KI-Einsätze freigibt oder überwacht, braucht mehr Tiefe als gelegentliche Nutzende.
5. Transparenzpflichten vorbereiten
Die Transparenzpflichten nach Artikel 50 gelten ab dem 2. August 2026. Als Betreiber müssen Sie Personen informieren, wenn Sie bei ihnen ein System zur Emotionserkennung oder biometrischen Kategorisierung einsetzen. Deepfakes müssen Sie offenlegen, ebenso KI-erzeugte oder -veränderte Texte, die veröffentlicht werden, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren – es sei denn, der Text wurde von Menschen geprüft und jemand trägt die redaktionelle Verantwortung. Entwickeln Sie einen eigenen Chatbot für Kundinnen und Kunden, sind Sie unter Umständen Anbieter und müssen dafür sorgen, dass Menschen erkennen, dass sie mit einer KI interagieren.
6. Hochrisiko-Pflichten vorbereiten
Der KI-Omnibus, die Verordnung (EU) 2026/1744, ist am 27. Juli 2026 in Kraft getreten und hat die Hochrisiko-Fristen verschoben. Für die in Anhang III genannten Anwendungsfälle – etwa Personalauswahl und Personalentscheidungen, Bildung, Kreditwürdigkeitsprüfung und Zugang zu wesentlichen Dienstleistungen – gelten die Vorschriften ab dem 2. Dezember 2027. Für KI in Produkten nach Anhang I gelten sie ab dem 2. August 2028.
Betreiber von Hochrisiko-Systemen müssen diese dann gemäß Betriebsanleitung verwenden, die menschliche Aufsicht kompetenten Personen übertragen, den Betrieb überwachen, Protokolle aufbewahren, Beschäftigte und betroffene Personen informieren und in bestimmten Fällen eine Grundrechte-Folgenabschätzung durchführen. Markieren Sie mögliche Hochrisiko-Anwendungen schon jetzt in Ihrem Inventar und verzahnen Sie die Arbeit mit Ihren Datenschutz-Folgenabschätzungen nach DSGVO.
Fidempli unterstützt Sie bei diesen Schritten mit Beratung und Professional Services; ab Dezember 2026 hilft die Fidempli-Plattform, Inventar, Vorab-Einstufung und Nachweise dauerhaft aktuell zu halten.