Was bedeutet der EU AI Act konkret für unser Unternehmen?

Der EU AI Act unterscheidet unannehmbares Risiko (verboten, z. B. Social Scoring), hohes Risiko (u. a. Personalauswahl, Kreditwürdigkeitsprüfung, kritische Infrastruktur), begrenztes Risiko (z. B. Chatbots mit Kennzeichnungspflicht) und minimales Risiko (die meisten internen Produktivitätswerkzeuge).

Die meisten typischen Mittelstands-Anwendungsfälle wie Rechnungsprüfung, interne Dokumentensuche oder E-Mail-Zusammenfassung fallen in die Kategorie minimales Risiko und haben keine besonderen Auflagen.

Vorher wird ein KI-System zur automatisierten Vorsortierung von Bewerbungen ohne Risikoeinstufung eingeführt — es fällt unter Hochrisiko-Anwendungen und verlangt Dokumentation, menschliche Aufsicht und ein Risikomanagement, was bei Übersehen zu nachträglichem Compliance-Nachholbedarf führt.

Nachher wird der gleiche Anwendungsfall vor dem Rollout eingeordnet, ein Risikomanagement dokumentiert und eine menschliche Prüfstufe eingebaut — im Gegensatz dazu betrifft ein KI-System, das Eingangsrechnungen gegen Bestellungen abgleicht, keine Hochrisiko-Kategorie und braucht nur die allgemeine Sorgfaltspflicht, KI-Beteiligung transparent zu machen.

Die rechtliche Einordnung und Dokumentation eines einzelnen Hochrisiko-Anwendungsfalls (Risikomanagement, technische Dokumentation, Protokollierungspflichten) kostet häufig 3-6 Beratertage; bei 900-1.200 Euro Tagessatz sind das grob 2.700-7.200 Euro einmaliger Prüfaufwand pro Anwendungsfall.

Ein Anwendungsfall mit minimalem Risiko verursacht dagegen meist nur wenige Stunden Aufwand für eine Transparenzhinweis-Formulierung — der Unterschied liegt an der Risikoklasse, nicht an der Unternehmensgröße, und sollte vor der Einführung grob eingeschätzt werden.

Viele Anwendungsfälle liegen nicht eindeutig in einer Kategorie — etwa wenn ein Assistent sowohl interne Dokumente durchsucht als auch am Rande Empfehlungen zu Mitarbeitereinsatz gibt.

Eine kurze Einordnung jedes neuen Anwendungsfalls vor dem Start (Was macht das System konkret? Betrifft es Personen unmittelbar in ihren Rechten?) verhindert, dass eine Hochrisiko-Nutzung übersehen wird.

Betrifft die KI-Entscheidung unmittelbar Menschen in Beschäftigung, Kreditvergabe, Bildung oder Strafverfolgung? Werden Bewerbungen, Leistungsbeurteilungen oder Kreditwürdigkeit automatisiert bewertet? Wird die KI Endkunden gegenüber ohne Kennzeichnung als Mensch dargestellt?

Wird mindestens eine Frage mit Ja beantwortet, lohnt sich eine rechtliche Prüfung vor dem breiten Rollout — bei durchgängig Nein reicht meist die übliche Transparenz- und Sorgfaltspflicht.

Sobald ein Anwendungsfall Personalentscheidungen, Kreditvergabe oder andere unmittelbare Rechtsfolgen für einzelne Personen berührt, sollte vor dem Rollout eine rechtliche Einschätzung eingeholt werden, statt sich allein auf eine interne Einschätzung zu verlassen.