EU AI Act: Was Unternehmen jetzt umsetzen müssen
Die KI-Verordnung gilt gestaffelt seit August 2024. Für Unternehmen, die KI einsetzen, ist die Pflicht zur KI-Kompetenz seit Februar 2025 bereits bindend.
ISO 27001 · Microsoft Solution Partner
Die meisten Unternehmen entwickeln keine KI. Sie setzen sie ein. Genau daran hängen Pflichten, die vielen noch nicht bewusst sind. Die wichtigste gilt bereits: KI-Kompetenz der Beschäftigten.
Der Zeitplan im Überblick
Die Verordnung (EU) 2024/1689 ist am 1. August 2024 in Kraft getreten und gilt gestaffelt:
Seit 2. Februar 2025: Verbot bestimmter KI-Praktiken (etwa Social Scoring oder manipulative Systeme) und die Pflicht zur KI-Kompetenz nach Artikel 4 für Anbieter wie für Betreiber.
Seit 2. August 2025: Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck sowie die Governance-Strukturen auf EU-Ebene.
Ab 2. August 2026: Der überwiegende Teil der Verordnung, insbesondere die Anforderungen an Hochrisiko-Systeme nach Anhang III und die Transparenzpflichten.
Ab 2. August 2027: Hochrisiko-Systeme, die als Sicherheitsbauteil in regulierte Produkte eingebettet sind.
Anbieter oder Betreiber? Die entscheidende Unterscheidung
Die Verordnung unterscheidet vor allem zwischen Anbietern (wer ein KI-System entwickelt und in Verkehr bringt) und Betreibern (wer ein KI-System in eigener Verantwortung nutzt). Wer Microsoft Copilot, ChatGPT oder ein KI-Telefonsystem im Unternehmen einsetzt, ist in der Regel Betreiber.
Vorsicht: Aus einem Betreiber kann ein Anbieter werden. Dies gilt etwa, wenn ein System wesentlich verändert, unter eigenem Namen bereitgestellt oder für einen anderen Zweck eingesetzt wird als vom Hersteller vorgesehen. Diese Einordnung sollte dokumentiert sein.
Vier Risikoklassen
Verbotene Praktiken: unter anderem Social Scoring, das Ausnutzen von Schutzbedürftigkeit, ungezieltes Auslesen von Gesichtsbildern. Seit Februar 2025 untersagt.
Hochrisiko-Systeme: etwa in Beschäftigung (Bewerbungsauswahl, Leistungsbewertung), kritischer Infrastruktur, Bildung oder Kreditvergabe. Umfangreiche Pflichten ab 2026.
Systeme mit Transparenzpflicht: Chatbots, Emotionserkennung, synthetische Inhalte. Nutzer müssen erkennen können, dass sie es mit KI zu tun haben.
Geringes Risiko: der Großteil der betrieblichen Anwendungen. Hier gelten vor allem KI-Kompetenz und die allgemeinen Sorgfaltspflichten.
Außen liegt der Großteil des betrieblichen KI-Einsatzes, im Kern das, was gar nicht erlaubt ist.
Die Pflichten für Betreiber
- KI-Kompetenz (Art. 4): Beschäftigte, die KI-Systeme bedienen, müssen über ausreichende Kenntnisse verfügen. Diese richten sich nach Rolle, Vorbildung und Einsatzkontext. Das ist die Pflicht, die heute schon greift und sich am schnellsten nachweisen lässt. Dazu dienen Schulungen, Nutzungsrichtlinien und dokumentierte Unterweisungen.
- Einsatz gemäß Herstellervorgaben: Systeme sind so zu verwenden, wie es die Betriebsanleitung vorsieht. Abweichungen können die Rolle des Betreibers verändern.
- Menschliche Aufsicht: Bei Systemen mit relevanten Auswirkungen muss eine Person die Ergebnisse prüfen und eingreifen können. Diese Person benötigt dafür die entsprechende Befähigung sowie die notwendigen Befugnisse.
- Transparenz gegenüber Betroffenen: Wo KI mit Menschen interagiert oder Inhalte erzeugt, ist das kenntlich zu machen.
- Datenschutz bleibt parallel gültig: Der AI Act ersetzt die DSGVO nicht. Personenbezogene Daten in KI-Systemen brauchen weiterhin Rechtsgrundlage, Zweckbindung und Betroffenenrechte.
Was das praktisch bedeutet
Für die meisten Unternehmen läuft es auf vier Bausteine hinaus: ein Verzeichnis der eingesetzten KI-Systeme mit Zweck und Einordnung, eine Nutzungsrichtlinie, die Erlaubtes und Verbotenes klärt, ein Schulungskonzept für die KI-Kompetenz und technische Leitplanken, damit sensible Daten nicht in ungeeignete Systeme gelangen.
Genau diese Bausteine deckt die AI-Governance für Microsoft 365 ab. Das Spektrum reicht von Vertraulichkeitsbezeichnungen und Berechtigungen bis zur Protokollierung. Ergänzend klärt das Copilot Readiness Assessment, ob die Datenbasis für einen sicheren Einsatz taugt, und die LLM-Strategie, welche Werkzeuge überhaupt eingesetzt werden sollen.
Wie NMS unterstützt
NMS erhebt den Bestand an KI-Systemen, ordnet sie nach Risikoklasse ein und erarbeitet die Nutzungsrichtlinie. NMS richtet die technischen Leitplanken in Microsoft 365 und Azure ein und führt die Schulungen für die KI-Kompetenz durch. Dies erfolgt dokumentiert, damit die Umsetzung nachweisbar ist. Wo KI-Regulierung auf Informationssicherheit trifft, greift das Vorgehen mit NIS2 und ISO 27001 ineinander.
Rechtlicher Hinweis: NMS erbringt technische und organisatorische IT-Beratung, keine Rechtsberatung im Sinne des Rechtsdienstleistungsgesetzes. Die hier genannten Fristen, Schwellenwerte und Bußgeldrahmen geben den Informationsstand zum genannten Datum wieder und ersetzen keine rechtliche Einzelfallprüfung. Verbindliche Auskünfte erteilen die zuständigen Behörden (insbesondere das BSI) sowie spezialisierte Rechtsberatung. Stand: Juli 2026
Gilt der EU AI Act auch für uns, wenn wir nur Microsoft Copilot nutzen?
Ja. Wer ein KI-System im Unternehmen einsetzt, ist Betreiber im Sinne der Verordnung. Die Pflicht zur KI-Kompetenz nach Artikel 4 gilt seit dem 2. Februar 2025 unabhängig davon, ob das System zugekauft oder selbst entwickelt wurde.
Was bedeutet KI-Kompetenz nach Artikel 4 konkret?
Beschäftigte, die KI-Systeme bedienen, müssen deren Funktionsweise, Grenzen und Risiken in dem Maß verstehen, das ihre Rolle erfordert. In der Praxis heißt das: rollenbezogene Schulungen, eine verständliche Nutzungsrichtlinie und eine Dokumentation, wer wann unterwiesen wurde.
Sind unsere KI-Anwendungen Hochrisiko-Systeme?
Meist nicht. Typische Büroanwendungen wie Textentwürfe oder Zusammenfassungen fallen in die Kategorie geringen Risikos. Hochrisiko wird es unter anderem bei Systemen zur Bewerbungsauswahl, Leistungsbewertung, Kreditwürdigkeitsprüfung oder im Betrieb kritischer Infrastruktur. Die Einordnung sollte je System dokumentiert werden.
Was passiert bei Verstößen?
Die Verordnung sieht gestaffelte Bußgelder vor, im oberen Rahmen bis zu 35 Mio. Euro oder 7 Prozent des weltweiten Jahresumsatzes bei verbotenen Praktiken; für andere Verstöße sind niedrigere Rahmen vorgesehen. Maßgeblich sind die nationale Aufsichtsstruktur und der Einzelfall.
Wie lange dauert die Umsetzung im Mittelstand?
Bestandsaufnahme, Einordnung und Nutzungsrichtlinie sind meist in wenigen Wochen erledigt. Länger dauert der Aufbau der technischen Leitplanken und die Schulung der Belegschaft, beides lässt sich gut mit einer laufenden Microsoft-365-Einführung verbinden.
Lösungen in einer neuen Dimension.
Ein Gespräch genügt, um herauszufinden, wo IT, Microsoft Cloud und KI den Arbeitsalltag wirklich entlasten können.
Ihr Ansprechpartner: Jan Emmerich, Geschäftsführer