AI ACT: Mehr Chancen als Risiken?

An KI scheiden sich die Geister: Für die einen ist es die Innovation der Neuzeit – andere verbinden schlimmste Befürchtungen mit Künstlicher Intelligenz, bis hin zur Angst vor der Verdummung der Menschheit. Die Wahrheit dürfte, wie so oft, in der Mitte liegen. Tatsache ist, dass KI viele Prozesse vereinfachen und beschleunigen kann. Darum wird sie auch in kleineren und mittelständischen Betrieben immer häufiger genutzt. Doch der Umgang mit KI schwebt nicht im rechtlosen Raum. Der europäische AI Act (KI-Verordnung) schafft einen Rahmen, der neue Chancen eröffnet, aber auch Sicherheit bieten soll und Grundrechte schützen will.

Im Klartext: KI vereinfacht die Arbeit – Sie sollten aber bei der Einführung in Ihrem Betrieb darauf achten, dass Nutzen und Compliance Hand in Hand gehen. Doch gehen wir dafür erstmal einen Schritt zurück.

Was ist KI?

Einfach gesagt, sind KI-Programme Systeme, die mit möglichst vielen verfügbaren Daten gefüttert und auf dieser Basis trainiert werden, um selbständig Aufgaben zu lösen. Doch KI ist nur im begrenzten Umfang in der Lage, zu prüfen, ob die Schritte, die das Programm macht, auch vernünftig sind. Die Ergebnisse von KI sind abhängig vom Material, mit dem die Systeme trainiert werden. Deshalb

• können unrichtige oder veraltete Informationen zu falschen Ergebnissen führen, 
• kann die Aufgabe von der KI missverstanden werden und so 
• zu „Halluzinationen“ führen (richtig klingende, aber falsche Antworten).
• Kann KI Menschen ersetzen?

Natürlich kann man KI auch auf menschliches Verhalten trainieren. Aber dieses Training hat seine Grenzen. Gerade im Einzelhandel entscheidet häufig eine emotionale Ebene über die Kaufentscheidung. Oft hört man von Käufern, dass der Verkäufer doch sehr freundlich war. Das bedeutet auch, dass er sehr natürlich, offen, einfach „menschlich“ beim Kunden ankam. Sie können zwar auch KI auf „Freundlichkeit“ trainieren – aber sie bleibt doch immer maschinell-steril. Außerdem können die Algorithmen, die die Basis der KI sind, eben nicht „menschlich“ reagieren. KI kann „kein Auge zudrücken“, wie es ein guter Verkäufer kann. 

Auch bei der Personalführung spielen oft emotionale Momente eine wichtige Rolle, die sich nur schwer bis gar nicht mit KI vermitteln lassen. Insofern hat der Einsatz von KI aktuell doch noch einige Grenzen.

Dabei spielt es eine wichtige Rolle, dass Sie sich bei
der Nutzung von KI-Programmen fast immer damit einverstanden erklären, dass Ihre eingegebenen Informationen für das Training der Apps genutzt werden. Dies führt dazu, dass viele Nutzer die Eingabe von sensiblen Daten vermeiden – was aber nicht zur Verfügung steht, kann nicht trainiert werden.

Wo macht KI Sinn?

Vor dem beschriebenen Hintergrund stellt sich die Frage, ob man KI überhaupt in kleineren oder mittleren Unternehmen sinnvoll einsetzen kann. Tatsächlich gibt es hier zahlreiche Aufgabenfelder, in denen die Anwendung sinnvoll ist. Der Einsatz bietet sich beispielsweise an

• beim Sortieren von E-Mails, Rechnungen, Lieferscheinen, Belegen aller Art usw., was händisch meist sehr zeitaufwendig ist,
• bei der Verwaltung der Termine, was besonders sinnvoll wird, wenn mehrere Mitarbeiter ihre Termine koordinieren müssen,
• bei der Suche nach Informationen, die kurzfristig benötigt werden (z.B. Montage- oder Reparaturanleitungen im Netz).

Wenn Ihr Unternehmen auch im Internet aktiv ist, können Sie beispielsweise auf Ihrer Internetseite einen „Assistenten“ installieren, der häufig vorkommende Fragen beantwortet und damit Ihre Kundenberatung entlastet.

Im fortgeschrittenen Stadium kann man KI auch im Bereich der Mitarbeiterbewertung einsetzen. Allerdings gibt es hier technische Grenzen und auch rechtliche Einschränkungen, auf die wir noch eingehen werden. 

Die rechtliche Seite des AI Act

Ja, auch die Politik hat sich mit dem Einsatz von KI befasst. Bereits seit August 2024 ist die EU-Verordnung „AI Act“ rechtskräftig. (AI: „Artificial Intelligence“ – englischer Begriff für Künstliche Intelligenz). EU-Verordnungen sind auch ohne formale Umsetzung in nationales Recht wirksam.

Aufbau der KI-Verordnung

Der AI Act soll sicherstellen, dass eingesetzte KI-Systeme sicher arbeiten, Grundrechte wahren und keine Schäden verursachen. Sie sollen vertrauenswürdig sein und den Menschen in den Mittelpunkt stellen. Für die KI gelten im EU-Binnenmarkt einheitliche Regeln, die zwar Innovation fördern, aber gleichzeitig Risiken minimieren.

Der AI Act unterteilt in vier Risikogruppen, für die unterschiedliche Regelungen gelten. 

Risikogruppe	Art der KI-Tools (Beispiele)	Anforderungen
Minimal	Einfache Tools, Spam-Filter	Minimale bis keine Anforderungen
Begrenzt	Bestimmte Chatbots	Transparenz- und Informationspflichten
Hoch	KI in Medizin, Verkehr, Jura	Strenge, umfangreiche Vorgaben
Unannehmbar	Gefährlich, manipulativ	Verboten

Was Sie beim Einsatz von KI beachten sollten

Wie bereits im vorigen Kapitel erläutert, unterscheidet der AI Act vier Risikogruppen. Die EU hat hier im Mai 2026 Präzisierungen vorgenommen und gleichzeitig Umsetzungstermine für diese Hochrisikogruppen verschoben.

Die Gruppen „Minimal“ und „Begrenzt“ dürften jedoch für den KI-Einsatz im Direkt- und Onlineverkauf sowie bei kleineren und mittleren Unternehmen ausreichen. Für diese Gruppe gelten im Rahmen des AI Acts keine strengen Vorschriften. 

Allerdings müssen Unternehmer auch beim KI-Einsatz beachten, dass Daten- und Verbraucherschutz-Vorschriften eingehalten werden müssen und auch nicht gegen Wettbewerbs- und Urheberrechte verstoßen werden darf. 

Sollten Sie beispielsweise im Internet ein Beratungssystem anbieten, achten Sie darauf, dass personenbezogene Daten nach den Regeln der Datenschutzgrundverordnung verarbeitet werden. 

Vielleicht setzen Sie zu Beratungszwecken im Internet Chatbots ein. Das sind Computerprogramme, die automatisch mit Menschen in Text- oder Sprachform kommunizieren. Für den Nutzer dieser Chatbots muss eindeutig erkennbar sein, dass es sich hier um eine KI-gesteuerte Einrichtung handelt. Sie müssen also darauf hinweisen, dass der Anwender nicht mit einem Menschen, sondern mit einer KI kommuniziert.

Für mit KI generierte Inhalte ist in den meisten Fällen eine Kennzeichnung notwendig. Doch selbst, wenn keine Kennzeichnungspflicht besteht, sollten Sie selbst schon vorsorglich darauf hinweisen.

Der begrenzte KI-Risikobereich

Im begrenzten KI-Risikobereich geht es primär um KI-Systeme, bei denen kein erhebliches Gefährdungspotenzial für Sicherheit oder Grundrechte besteht – aber Transparenzpflichten erfüllt werden müssen. Zum begrenzten Risikobereich können folgende Beispiele gehören:

Der KI-Hochrisikobereich

Mit dem Hochrisikobereich bei der KI-Nutzung haben Sie nur in seltenen Ausnahmefällen zu tun. Wir stellen diesen Bereich deshalb nur kurz vor. 

Hochriskant sind beispielsweise nach dem AI Act Bereiche, in denen KI eingesetzt wird, die über Menschen entscheidet oder Menschen bewertet. Das könnte beispielsweise bei Auswertungen von Bewerbungen oder Leistungsbewertungen der Mitarbeiter der Fall sein.

Wenn die KI den Zugang zu wesentlichen Leistungen beeinflusst, wäre es auch solch ein Fall. Hierzu gehören unter anderem Bonitätsprüfungen oder Kreditentscheidungen.

Auch staatliche KI-Anwendungen gelten als hochriskant. Dementsprechende Anforderungen sind zu erfüllen:

• Ein umfassendes Risikomanagement, das Risiken erkennt, bewertet, minimiert und permanent überprüft.
• Eine technische Dokumentation, aus der hervorgeht, wie das System funktioniert, auf welche Daten es zugreift, welche Tests es durchführt und wie Risiken minimiert werden. 
• Tests mit Daten, die relevant, fehlerarm, repräsentativ und diskriminierungsarm sind.
• Die Prozesse müssen unter menschlicher Aufsicht stehen. Die Kontrolleure müssen in die Prozesse eingreifen und Fehler korrigieren können.
• KI, die im hochriskanten Bereich genutzt wird, muss technisch stabil, zuverlässig und möglichst resistent gegen Fehler sein. 

Von der EU erwünscht

Die EU verlangt zwar nicht, dass Anwender von Minimal-KI spezielle Verhaltensrichtlinien für den Umgang mit Künstlicher Intelligenz entwickeln – es wird aber ausdrücklich gewünscht und von EU-Seite unterstützt. Hierbei bindet die EU Branchenverbände, Entwickler und andere Akteure ein, um sicherzustellen, dass die Ergebnisse praktikabel sind und echte Unterstützung im Alltag bieten. 

So hat die EU das „AI Office“ (Europäisches Büro für Künstliche Intelligenz) eingerichtet. Es unterstützt Unternehmen, die freiwillige Verhaltensrichtlinien für den Umgang mit KI entwickeln wollen. Hierzu hat die EU auch Ethikleitlinien für vertrauenswürdige KI veröffentlicht. Die deutsche Fassung finden Sie auf der Internetseite des Amts für Veröffentlichungen der Europäischen Union (https://op.europa.eu/de/home) im Bereich „EU-Veröffentlichungen“.

Außerdem erstellt die EU technische Standards und Praxisleitfäden, z.B. einen „Code of Practice“ für allgemeine KI-Modelle (General-Purpose AI Code of Practice), der konkrete Hinweise zur Umsetzung von Transparenz- und Sicherheitsanforderungen bietet.

Beispiel	Notwendige Maßnahmen
KI-gestützte Assistenten im Online-Shop (Chatbots), Automatisierte Antwortsysteme auf Webseiten, KI-Support in Messenger-Diensten	Es muss für den Nutzer der KI-gesteuerten Einrichtungen erkennbar sein, dass er mit KI kommuniziert.
Automatisch erstellte Produktbeschreibungen, Marketingtexte, Social-Media-Posts, Newsletter-Inhalte	Wenn nicht anders erkennbar, muss bei KI-generierten Texten darauf hingewiesen werden, dass die Texte nicht von einer natürlichen Person verfasst wurden.
Werbebilder, Produktvisualisierung, KI-generierte „Models“ für Online-Shops	Klarer Hinweis auf KI-Generierung. Vorsicht: Nachbildung realer Personen kann juristische Konsequenzen haben.

Verantwortung für die KI

Verantwortung für eine KI-Anwendung übernimmt zunächst natürlich der Softwarehersteller. Er zeichnet für die Entwicklung, die Dokumentation und auch für die CE-Kennzeichnung verantwortlich, die nur bei KI im Hochrisikobereich vorgeschrieben ist.

Als Nutzer der Künstlichen Intelligenz sind Sie verpflichtet, sie nur im Sinne ihrer Bestimmung einzusetzen. Mitarbeiter, die mit der KI arbeiten sollen, müssen geschult werden. Und: Die KI muss ständig kontrolliert und überwacht werden.