Cyber Resilienz
EU AI Act: Was steht drin — und was heißt das für mein Unternehmen?
Kernaussagen
- Der EU AI Act (Verordnung (EU) 2024/1689) regelt KI-Systeme risikobasiert: je höher das Risiko für Gesundheit, Sicherheit oder Grundrechte, desto strenger die Pflichten.
- Verbotene Praktiken und Hochrisiko-KI sind klar umrissene Schwerpunkte; viele Alltagsanwendungen fallen unter begrenzte Risiken oder Mindestanforderungen an Transparenz — trotzdem zählen Dokumentation, Rollen und Lieferkette.
- Für Unternehmen zählt die Einordnung: Nutzen wir KI als Produkt, eingebettet in Dienstleistungen, intern im Personalwesen oder als Basismodell? Von der Rolle hängen Anforderungen und Fristlogik ab.
- Der AI Act ist eng mit Daten-, Produkt- und Arbeitsrecht verzahnt; Governance (Risiko, Test, Monitoring, Mensch-über-den-Loop wo nötig) wird zum Standard.
- Umsetzung braucht oft seltene Schnittstellenprofile: Legal, Tech, Risk und Fachbereich — ähnlich wie bei anderen EU-Digital- und Security-Programmen.
Der EU Artificial Intelligence Act ist für viele Entscheiderinnen und Entscheider der nächste große EU-Digital-Rahmen — neben NIS2, DORA und CRA. Wer heute Produkte vertreibt, Software einkauft oder KI intern in HR, Vertrieb oder Operations nutzt, sollte verstehen: Der Act ist kein reines Tech-Gesetz, sondern ein Risiko- und Marktzugangsregime für KI-Systeme und bestimmte General-Purpose-AI-Modelle.
Dieser Artikel fasst die Praxislogik zusammen: Welche Bausteine der Act vorsieht, wo Organisationen typischerweise handeln müssen — und wo Governance, IT und Security zusammenlaufen. Keine Rechtsberatung; verbindliche Auslegung liefert immer der konkrete Anwendungsfall plus Fachjuristin oder Fachjurist.
Orientierung auf EU-Ebene:
- European Commission — Regulatory framework for AI
- AI Act Explorer — strukturierte Darstellung
- Praxisnahe Einordnungen finden sich u. a. bei Digital Chiefs — AI Act / Regulierungscluster und international bei Eversheds Sutherland — Regulatory Updates (globale Kanzlei-Publikationen zu EU AI Law).
Das Grundprinzip: risikobasiert statt „KI = verboten“
Der EU AI Act stuft KI nach dem Schadenpotenzial für Personen und Grundrechte ein — nicht nach dem Buzzword auf der Folie. Grob:
- Unzulässige Praktiken (verboten) — etwa bestimmte manipulative oder ausbeuterische Einsatzformen (siehe Kapitel/Konsole im Explorer und EU-Leitlinien).
- Hochrisiko-KI — wenn definierte Anwendungsbereiche und Kriterien erfüllt sind; hier folgen Konformitäts- und Qualitätsanforderungen entlang des Lebenszyklus.
- Begrenzte Risiken — u. a. Transparenzpflichten, damit Nutzerinnen und Nutzer erkennen, dass sie mit KI interagieren.
- Minimales Risiko — große Freiheiten, aber ohne Freifahrtschein für fahrlässige Rollenunklarheit.
Was viele Organisationen zuerst klären sollten
- Produkt oder interner Use Case? Marktplacement löst andere Pflichten aus als ein internes HR-Tool mit Empfehlungslogik.
- Lieferkette: Kamerasoftware von Dritten, eingebettetes Modell, eigene Feinjustierung — wer ist „Provider“, wer „Deployer“?
- Daten & Tests: Trainingsdaten, Evaluierung, Überwachung nach Rollout — dokumentierbar und verantwortlich besetzt?
- Menschliche Kontrolle: Wo sind Überschreiben, Eskalation und Not-Aus logisch verankert — nicht nur UI-Deko?
Hochrisiko: nicht nur „klingt gefährlich“, sondern definiert
Im Alltag wird „Hochrisiko“ oft inflationär benutzt. Im Act ist es ein legal definierter Zusammenhang aus Zweck, Kontext und Katalogen. Für Unternehmen heißt das: Zuerst Use-Case schriftlich, dann Abgleich mit den europäischen Definitionen — nicht umgekehrt. Der AI Act Explorer hilft beim Navigieren der Kapitelstruktur; die Commission-Portalseiten führen zu offiziellen FAQ und Leitlinien.
Konsequenzen in der Praxis:
- Risikomanagement-System und dokumentierte Qualitätssicherung (je nach Rolle entlang der Wertschöpfung).
- Technische Dokumentation, Logging wo vorgesehen, Überwachung nach Bereitstellung und Prozesse bei schweren Vorfällen oder Modelländerungen.
- EU-Datenbank für Hochrisiko-KI (Registrierungspflichten nach Maßgabe der Rolle).
General-Purpose-AI und Foundation Models
Ein zweites Schwergewicht betrifft General-Purpose-AI-Modelle — Basismodelle mit vielfältigen Einsetzbarkeiten. Hier gelten eigene Schichten (Transparenz, Copyright-Dokumentation, bei systemischem Risiko zusätzliche Pflichten). Wer solche Modelle in Produkte einbettet oder hostet, sollte früh klären, ob er als Anbieter oder integratorischer Mittler in die Pflichtenlandschaft rutscht.
Vertiefung: AI Act und Cyber Resilienz / Security
Wo KI Entscheidungswege in kritischen Systemen berührt (z. B. Alarmklassifizierung, Zugriffsentscheidungen, Auswahl in sicherheitsnahen Workflows), verschärfen sich Erwartungen an Robustheit, Missbrauchsschutz und Nachvollziehbarkeit. Das ist fließend verwandt mit Themen, die Sie aus Incident-Response- und Resilience-Programmen kennen — nur mit zusätzlicher KI-spezifischer Dokumentation.
Wer parallel NIS2/BSIG umsetzt, sollte Schnittstellen zwischen Meldewesen, Lieferantensteuerung und KI-Rollout vermeiden: dieselben Vendor-Linien, aber andere technische Artefakte.
Was das für „normale“ Unternehmen heißt
Nicht jedes mittelständische Unternehmen baut ein ChatGPT-Nachfolge-Modell. Aber viele:
- nutzen KI in Personalmarketing oder Vorselektion (Achtung: Diskriminierungs- und Transparenzrisiken, je nach System und Prozessschritt),
- binden copilotartige Werkzeuge in Office und Engineering ein (Datenschutz, Geheimnisse, Logging),
- kaufen Sicherheits- oder Analytics-Produkte mit eingebetteter KI.
Dann reicht „Wir haben eine Policy“ nicht. Gefragt sind Verantwortliche, Use-Case-Register, Lieferantenklassifizierung und Test- plus Änderungsmanagement — vergleichbar mit Reifegradmodellen in Security, aber mit KI-spezifischen Artefakten.
Konkrete nächste Schritte (Checkliste)
AI-Compliance — Startpunkt
- Bestand: Welche KI-Systeme sind live, pilotiert oder per SaaS angebunden?
- Rollen: Product Owner, Legal, DSB, Security — wer trägt welches Kapitel des Pflichtenkatalogs?
- Risiko: pro Use-Case eine Stufe nach EU-Logik dokumentieren (Explorer + Primärquelle).
- Lieferkanten: relevante Klauseln, Audit- und Incident-Rechte, Modell- und Datentransparenz.
- Qualität: Testfälle, Human Oversight, Rückfallpfade bei Fehlentscheidungen.
Fazit
Der EU AI Act ist der Versuch, Innovation und Grundrechtsschutz technologie-neutral zu balancieren — mit harten Grenzen bei Manipulation und mit hoher Sorgfalt bei Hochrisiko-Anwendungen. Für Entscheider ist er operational: Er verlangt klare Rollen, Register und Wirksamkeitsnachweise — ähnlich wie andere EU-Digital-Gesetze, aber KI-spezifisch.
Wenn Sie Regulatorik, Security und Umsetzung personell zusammenführen müssen, ist das ein typisches Suchprofil für Cybersecurity Recruiting; für breitere Tech-Rollen ergänzend IT Recruiting.
Häufige Fragen
- Je nach Reifegrad: Data- und ML-Engineering mit Produktverantwortung, KI-Governance- und Risk-Rollen, Legal/Compliance mit Tech-Dialog sowie IT- und Security-Profile, die Prüfpfade, Logging und Lieferketten absichern. Wir klären vor dem Suchlauf Rollen-Schnittstellen und „first-year outcomes“, dann suchen wir aktiv — auch passiv Markt — und qualifizieren entlang belastbarer Liefernachweise.
- Nein. Hochrisiko ist an definierte Anwendungsbereiche und Kriterien geknüpft. Entscheidend ist eine sachliche Einordnung nach offiziellen Definitionen und Begleitmaterialien der EU — nicht Schlagzeilen. Im Zweifel hilft strukturierte Dokumentation der Use-Cases und eine fachliche Bewertung.
- Wo KI sicherheitsrelevante oder sicherheitsunterstützende Funktionen hat (z. B. Monitoring, Entscheidungsunterstützung in kritischen Prozessen), verstärken sich Anforderungen an Robustheit, Protokollierung, Zugangskontrolle und Incident-Logik — das berührt dieselben Governance-Linien wie resilience-orientiertes Security-Management.