KI-Verordnung umsetzen
Von Redaktion techport.ai, IT-Beratung · Zuletzt aktualisiert am
Die KI-Verordnung betrifft mittelständische Unternehmen häufiger, als sie erwarten, und meist in einer anderen Rolle als angenommen. Die wenigsten entwickeln KI-Systeme. Fast alle setzen sie ein, häufig ohne es zu wissen, weil KI-Funktionen in Standardsoftware eingebaut sind und mit einem Update dazukommen.
Die Verordnung ist kein Grund, auf KI zu verzichten. Sie verlangt, dass Sie wissen, was Sie einsetzen, in welcher Risikoklasse es liegt und welche Pflichten sich daraus ergeben. Für die meisten Anwendungsfälle im Mittelstand ist das mit überschaubarem Aufwand zu erfüllen.
Woran Sie es merken
- Niemand kann sagen, welche KI-Funktionen in den eingesetzten Systemen aktiv sind.
- Es ist unklar, ob Sie als Anbieter oder als Betreiber gelten.
- Beschäftigte nutzen KI-Werkzeuge, ohne dass eine Schulung stattgefunden hat.
- Bei Kundenanfragen zur KI-Nutzung fehlt eine belastbare Auskunft.
Warum das passiert
Die Verordnung ist umfangreich, ihre Fristen wurden mehrfach angepasst, und die Zuordnung zu einer Risikoklasse ist im Einzelfall auslegungsbedürftig. Dazu kommt, dass KI-Funktionen nicht als Projekt ins Haus kommen, sondern als Bestandteil von Software, die längst im Einsatz ist. Es gibt also keinen Zeitpunkt, an dem jemand eine Entscheidung trifft, und damit auch keinen Anlass für eine Prüfung.
So gehen wir vor
- Inventur durchführen. Wir erfassen alle KI-Funktionen und KI-Werkzeuge im Unternehmen, einschließlich der Funktionen in bestehender Software, und beschreiben je Anwendung Zweck, verarbeitete Daten, Nutzergruppe und Auswirkung auf Personen.
- Rolle und Risikoklasse bestimmen. Wir klären je Anwendung, ob Sie Anbieter oder Betreiber sind, und ordnen sie einer Risikoklasse zu: verbotene Praktik, hohes Risiko, begrenztes Risiko mit Transparenzpflichten oder minimales Risiko. Das Ergebnis wird mit Begründung dokumentiert.
- Pflichten umsetzen. Wir setzen um, was sich daraus ergibt: Kennzeichnung KI-erzeugter Inhalte und Chatbots, menschliche Aufsicht bei relevanten Entscheidungen, Information betroffener Personen, Protokollierung und, bei Hochrisiko-Anwendungen, die weitergehenden Anforderungen.
- Kompetenz und Freigabe verankern. Wir schulen die Beschäftigten, die mit diesen Systemen arbeiten, und richten einen Freigabeprozess ein, der neue Werkzeuge und neue Funktionen erfasst, bevor sie produktiv genutzt werden.
Was Sie davon haben
- Eine dokumentierte Einordnung, die Sie Kunden und Behörden vorlegen können.
- Klarheit darüber, welche Anwendungen unproblematisch sind und welche Aufmerksamkeit brauchen.
- Erfüllung der Schulungspflicht, die unabhängig von der Risikoklasse gilt.
Aus unseren Projekten
Die Inventur bringt regelmäßig KI-Funktionen zum Vorschein, die niemand bewusst aktiviert hat, weil sie mit einer neuen Version der Software kamen. Besonders häufig betrifft das Assistenzfunktionen in Büroanwendungen, Vorschlagsfunktionen in ERP- und CRM-Systemen sowie Auswertungen im Personalbereich. Der zweite regelmäßige Befund: Die meisten Anwendungsfälle im Mittelstand fallen nicht in die Hochrisikoklasse, sondern unter Transparenzpflichten. Diese Erkenntnis entspannt die Diskussion erheblich, sie setzt aber voraus, dass die Einordnung tatsächlich gemacht und dokumentiert wurde. Ausnahmen gibt es besonders im Personalbereich, wo Auswahl und Bewertung ausdrücklich als Hochrisiko gelten.
Gut zu wissen
Die KI-Verordnung (EU) 2024/1689 ist seit dem 1. August 2024 in Kraft und gilt seit dem 2. August 2026 grundsätzlich. Die Verbote bestimmter Praktiken gelten bereits seit dem 2. Februar 2025, ebenso die Pflicht zur KI-Kompetenz nach Artikel 4. Für allgemeine KI-Modelle gelten Pflichten seit dem 2. August 2025. Die Digital-Omnibus-Verordnung (EU) 2026/1744 ist am 27. Juli 2026 in Kraft getreten und hat die Pflichten für eigenständige Hochrisiko-Systeme nach Anhang III auf den 2. Dezember 2027 sowie für in Produkte eingebettete Systeme nach Anhang I auf den 2. August 2028 verschoben. Zuständig für die Marktüberwachung in Deutschland ist die Bundesnetzagentur. Die Verschiebung betrifft die Hochrisiko-Pflichten, nicht die bereits geltenden Verbote und Transparenzanforderungen.
Häufige Fragen
Sind wir Anbieter oder Betreiber?
Betreiber sind Sie, wenn Sie ein KI-System einsetzen, das jemand anderes bereitstellt, was auf die meisten mittelständischen Unternehmen zutrifft. Anbieter werden Sie, wenn Sie ein System entwickeln oder unter Ihrem Namen in Verkehr bringen. Aufpassen sollten Sie bei wesentlichen Änderungen an einem eingekauften System oder wenn Sie ein System für einen anderen Zweck einsetzen als vorgesehen, weil Sie dadurch in die Anbieterrolle rutschen können.
Was gilt für Chatbots auf unserer Website?
Nutzer müssen erkennen können, dass sie mit einem System und nicht mit einem Menschen sprechen, sofern das nicht offensichtlich ist. Künstlich erzeugte oder bearbeitete Inhalte sind entsprechend zu kennzeichnen. Dazu kommen die üblichen Anforderungen aus dem Datenschutz an die Verarbeitung der Eingaben, insbesondere Speicherdauer und Weitergabe an den Anbieter.
Sprechen wir über KI-Verordnung umsetzen
Im Erstgespräch klären wir in dreißig Minuten, wo bei Ihnen der größte Hebel liegt und ob wir die Richtigen dafür sind.
Weiterführend
Zurück zum Feld IT-Governance und Recht