AI Act der Europäischen Union: 7 To-Dos für Unternehmen

Welche Tools verwenden Marketing, Personalabteilung, Vertrieb oder Kundenservice? Wo entstehen Texte, Bilder oder Videos, wo kommuniziert KI direkt mit Menschen? „Spätestens jetzt sollten sich die Unternehmen einen Überblick verschaffen, wo sie stehen“, betont Alexander von Janowski von der Berliner KvJ Consulting GmbH. Sinnvoll ist ein zentrales Verzeichnis mit Anwendung, Zweck, Anbieter und Zuständigkeit.

Viele Betriebe halten sich für reine Anwender. Doch das kann zu kurz greifen. „Entscheidend ist die eigene Rolle“, sagt von Janowski. Wer etwa ein zugekauftes Modell unter eigenem Namen als eigenen Assistenten betreibt, kann selbst als Anbieter gelten – und zusätzliche Pflichten übernehmen. Deshalb sollte für jede Anwendung klar sein, wer sie bereitstellt, betreibt und verantwortet.

KI-Chatbots oder Telefonassistenten müssen grundsätzlich transparent machen, dass KI im Spiel ist. Der Hinweis muss spätestens bei der ersten Interaktion erfolgen – außer die KI-Nutzung ist offensichtlich. Von Janowski weist darauf hin, dass ein Bot namens „Assistent“ oder der pauschale Hinweis „Diese Website nutzt KI“ dafür nicht automatisch ausreichen.

Nicht jeder KI-generierte Inhalt braucht einen sichtbaren Warnhinweis. Kennzeichnungspflichten gelten aber unter anderem für Deepfakes und bestimmte täuschend echt wirkende Inhalte. Das kann auch Werbung betreffen: Ein realistischer KI-Avatar der Geschäftsführung ist kennzeichnungspflichtig. Gleiches kann für ein KI-generiertes Produktbild gelten, wenn es über das tatsächliche Aussehen täuscht.

Auch KI-Texte können kennzeichnungspflichtig sein, wenn sie über Themen von öffentlichem Interesse informieren. Werden sie von Menschen redaktionell geprüft und trägt eine Person oder Organisation die redaktionelle Verantwortung, kann die Kennzeichnungspflicht entfallen. Ein bloßer Rechtschreibcheck reicht nicht.

Auch KI-Texte können kennzeichnungspflichtig sein, wenn sie über Themen von öffentlichem Interesse informieren. Werden sie von Menschen redaktionell geprüft und trägt eine Person oder Organisation die redaktionelle Verantwortung, kann die Kennzeichnungspflicht entfallen. Ein bloßer Rechtschreibcheck reicht nicht.

Unternehmen müssen für ausreichende KI-Kompetenz bei Beschäftigten sorgen, die mit den Systemen arbeiten. Ein bestimmtes Zertifikat schreibt der AI Act nicht vor. Sinnvoll sind klare Regeln, passende Schulungen und festgelegte Zuständigkeiten. Entscheidungen zum KI-Einsatz sollten ebenfalls dokumentiert werden – sonst könne es laut von Janowski bei einem Audit Probleme geben.

Bestimmte KI-Anwendungen im Personalmanagement können als Hochrisiko-KI gelten – etwa Systeme zur Bewerberauswahl oder zur Bewertung von Beschäftigten. Hier gelten strengere Anforderungen. Unternehmen sollten solche Tools frühzeitig rechtlich einordnen. Die entsprechenden Regeln greifen ab 2. Dezember 2027.

Bei Pflichtverletzungen drohen empfindliche Sanktionen. Bei verbotenen KI-Praktiken kann die Obergrenze bis zu 35 Millionen Euro beziehungsweise sieben Prozent des weltweiten Jahresumsatzes betragen.

Für Berliner Betriebe bedeutet die EU-Verordnung im AI Act: Entscheidend ist nicht, ob sie sich als „KI-Unternehmen“ verstehen. Sie müssen wissen, wo KI eingesetzt wird, welche Regeln greifen und wer intern die Verantwortung trägt.