EU AI Act: Was DACH-Unternehmen jetzt zur KI-Compliance wissen müssen

Die Einführung Künstlicher Intelligenz (KI) ist für Unternehmen im DACH-Raum seit geraumer Zeit ein zentrales Thema. Nun jedoch fordern neue gesetzliche Rahmenbedingungen eine grundlegende Neubewertung und Anpassung der bestehenden Strategien. Der EU AI Act, dessen schrittweises Inkrafttreten bereits begonnen hat, ist dabei nicht nur eine Angelegenheit für Technologieentwickler. Er nimmt vielmehr auch die Anwender von KI-Systemen in die Pflicht, insbesondere den Mittelstand. Die letzten Wochen haben verdeutlicht, dass viele Unternehmen erst jetzt das volle Ausmaß dieser regulatorischen Anforderungen erkennen. Dies hat weitreichende Konsequenzen für Compliance, Datenschutz, IT-Sicherheit und Change Management.

Die Integration von KI in Geschäftsprozesse verspricht Effizienzgewinne und innovative Lösungen. Doch diese Vorteile gehen Hand in Hand mit erhöhten Anforderungen an die Verantwortlichkeit und Transparenz. Das Gesetz zwingt Unternehmen dazu, ihre KI-Anwendungen systematisch zu prüfen und anzupassen. Die Herausforderung besteht darin, die theoretischen Vorgaben in die praktische Unternehmensrealität zu übersetzen. Dies erfordert nicht nur technische Anpassungen, sondern auch eine strategische Neuausrichtung und eine Kultur des bewussten Umgangs mit KI-Technologien.

Der EU AI Act: Ein risikobasierter Rahmen mit weitreichenden Folgen

Der EU AI Act ist seit dem 1. August 2024 schrittweise in Kraft getreten, mit allgemeiner Anwendbarkeit ab dem 2. August 2026. Er etabliert erstmals einen verbindlichen, risikobasierten Rahmen für KI-Systeme innerhalb der Europäischen Union. Dieser Rahmen unterscheidet vier Risikostufen, die unterschiedliche Anforderungen an die Entwicklung und den Einsatz von KI-Systemen stellen:

1. Inakzeptables Risiko: Systeme, die eine Gefahr für die Grundrechte darstellen, sind verboten (seit Februar 2025). Beispiele hierfür sind soziale Scoring-Systeme oder manipulative Praktiken. Unternehmen müssen sicherstellen, dass sie solche Systeme weder entwickeln noch einsetzen. 2. Hohes Risiko: Diese Kategorie ist für den Mittelstand besonders relevant. Hochrisiko-KI-Systeme sind solche, die in sensiblen Bereichen eingesetzt werden können und potenzielle Schäden für Gesundheit, Sicherheit oder Grundrechte verursachen könnten. Dazu gehören Anwendungen in der Personalverwaltung (Recruiting, Leistungsbewertung, Kündigungsprozesse), bei der Kreditvergabe, in kritischen Infrastrukturen oder in der Rechtsdurchsetzung. Für diese Systeme gelten strenge Anforderungen an Risikomanagement, Datenqualität, Dokumentation, menschliche Aufsicht und Robustheit. Ein oft übersehener Aspekt ist, dass auch industrielle Anwendungen wie die visuelle Inspektion in der Fertigung oder Predictive Maintenance als hochriskant eingestuft werden können, wenn Fehlfunktionen zu erheblichen Schäden führen könnten. 3. Begrenztes Risiko: Systeme mit begrenztem Risiko, wie Chatbots, unterliegen Transparenzpflichten. Nutzer müssen erkennen können, dass sie mit einer KI interagieren. 4. Minimales Risiko: Die Mehrheit der KI-Systeme fällt in diese Kategorie und unterliegt kaum zusätzlichen Auflagen. Hierzu zählen beispielsweise Spam-Filter oder einfache Empfehlungssysteme.

Ein verbreitetes Missverständnis ist, dass der AI Act primär Technologieanbieter betrifft. Dies ist falsch. Tatsächlich erstreckt sich seine Geltung auf alle Organisationen, die KI-Systeme einsetzen, auch wenn diese als Standardsoftware von Drittanbietern bezogen werden. Dies betrifft eine enorme Bandbreite an Unternehmenssoftware, die zunehmend KI-Funktionen integriert, beispielsweise in HR-, Rechts- oder Finanzsystemen. Unternehmen, die solche integrierten KI-Funktionen nutzen, unterliegen nun konkreten Dokumentations-, Kontroll- und Nachweispflichten. Sie müssen die Risikobewertung des Anbieters prüfen, eigene Risiken abschätzen und die Compliance entlang der gesamten Wertschöpfungskette sicherstellen.

Compliance-Herausforderungen und Haftungsrisiken

Die Nichteinhaltung des EU AI Acts kann drastische Bußgelder nach sich ziehen. Bei schwerwiegenden Verstößen sind Strafen von bis zu 35 Millionen Euro oder sieben Prozent des weltweiten Jahresumsatzes möglich, je nachdem, welcher Betrag höher ist. Bei Verstößen gegen die Pflichten für Hochrisiko-KI-Systeme können Bußgelder von bis zu 15 Millionen Euro oder drei Prozent des Jahresumsatzes verhängt werden. Diese potenziellen Strafen unterstreichen die Notwendigkeit, die AI-Compliance zu einem Top-Thema für Unternehmensführungen zu machen.

Die praktische Umsetzung wird zusätzlich durch fehlende nationale Standards und unklare Zuständigkeiten der Behörden erschwert. Dies führt zu einer grossen Unsicherheit bei Unternehmen, insbesondere im Mittelstand, der oft nicht über dedizierte Compliance-Abteilungen in dieser Grösse verfügt. KPMG empfiehlt einen strukturierten Plan zur Umsetzung, der eine unternehmensweite KI-Strategie, die Erfassung und Klassifizierung bestehender KI-Anwendungen, einschliesslich sogenannter