Der EU AI Act folgt einem risikobasierten Ansatz: KI-Systeme mit unannehmbarem Risiko werden verboten, für Hochrisiko-Systeme gelten strenge Auflagen. Erste Abschnitte der Verordnung sind seit Februar 2025 verbindlich in Kraft. Für kleine und mittlere Unternehmen, die KI-Modelle entwickeln oder einsetzen, bedeutet das konkreten Handlungsdruck: Die KI-Verordnung tritt zwar zeitversetzt in Kraft, doch wer Vorbereitung auf die Konformitätsbewertung und Zertifizierungspflichten aufschiebt, riskiert regulatorische Verstöße. Unternehmen müssen ihre Systeme anhand der Risikokategorien einordnen und gegebenenfalls Dokumentations- sowie Transparenzpflichten erfüllen, bevor weitere Abschnitte greifen.

EU AI Act 2025: Konformitätsbewertung für Small Language Models – Was KMU jetzt wissen müssen

Seit Februar 2025 gelten erste Abschnitte des EU AI Act verbindlich. Für kleine und mittlere Unternehmen, die Small Language Models (SLM) einsetzen oder entwickeln, bedeutet das: Die Vorbereitung auf Zertifizierungspflichten und Übergangfristen kann nicht länger aufgeschoben werden.

Risikobasierter Ansatz als Ausgangspunkt

Die KI-Verordnung der Europäischen Union folgt einem risikobasierten Ansatz. KI-Systeme werden in Risikokategorien eingeteilt, die unterschiedliche Pflichten nach sich ziehen. Am oberen Ende stehen Systeme mit unannehmbarem Risiko für Grundrechte, etwa solche zur Verhaltensmanipulation oder zum Social Scoring. Diese sind verboten. Für sogenannte Hochrisiko-Systeme, zu denen unter anderem Anwendungen in den Bereichen Bildung und Gesichtserkennung zählen, gelten strenge Auflagen wie Risikomanagementpflichten, Dokumentationsanforderungen und in bestimmten Fällen eine externe Konformitätsbewertung durch notifizierte Stellen.

SLMs fallen je nach Einsatzzweck in unterschiedliche Kategorien. Ein SLM, das im Personalauswahlverfahren genutzt wird, kann als Hochrisiko-System eingestuft werden. Ein SLM für interne Textzusammenfassungen ohne Entscheidungswirkung unterliegt dagegen voraussichtlich nur begrenzten Transparenzpflichten. Die Einstufung ist damit keine technische, sondern primär eine anwendungsbezogene Frage.

Weiterführende Informationen zu den Risikoklassen finden Sie in unserer Übersicht zur EU AI Act Risikoklassifizierung.

Vier praktische Implikationen für Unternehmen

1. Frühzeitige Einstufung des eigenen SLM-Einsatzes

Unternehmen müssen für jede KI-Anwendung prüfen, ob sie in den Anwendungsbereich des AI Act fällt und welcher Risikokategorie sie zuzuordnen ist. Diese Einstufung entscheidet über den Umfang der Dokumentations-, Transparenz- und Konformitätspflichten. Wer SLMs für Hochrisiko-Anwendungen einsetzt, muss unter Umständen eine Konformitätsbewertung durch eine notifizierte Stelle durchlaufen lassen. Wer dies versäumt, riskiert empfindliche Sanktionen.

Einen Überblick zu Konformitätsbewertungsverfahren und notifizierten Stellen bietet unser Bericht zur EU AI Act Konformitätsbewertung für generative KI.

2. Übergangfristen kennen und nutzen

Der AI Act tritt gestaffelt in Kraft. Erste Verbote und Grundregeln gelten seit Februar 2025, weitere Anforderungen folgen bis 2026 und 2027. KMU sollten die verbleibenden Übergangsfristen aktiv zur Vorbereitung nutzen: Dokumentation aufbauen, interne Zuständigkeiten klären und gegebenenfalls externe Rechts- und Technikexpertise hinzuziehen. Details zu den Phasen und Fristen finden Sie in unserem Artikel zu den Übergangsfristen für kleine Sprachmodelle und Hochrisiko-Systeme.

3. Konformitätskosten realistisch einplanen

Für KMU können Konformitätsbewertungen, Dokumentationspflichten und externe Audits erhebliche Kosten verursachen. Die EU-Verordnung sieht zwar Erleichterungen für kleinere Unternehmen vor, doch die konkreten Auswirkungen auf KMU-Budgets sind von der jeweiligen Risikokategorie der eingesetzten Systeme abhängig. Wer frühzeitig plant, vermeidet teure Nachbesserungen. Unsere Analyse zu Konformitätskosten für KMU gibt einen strukturierten Überblick.

4. Sandbox-Programme als Einstieg prüfen

Die EU-Kommission und nationale Behörden können regulatorische Sandboxen einrichten, in denen Unternehmen KI-Systeme unter kontrollierten Bedingungen testen können. Für KMU und Startups bieten diese Programme die Möglichkeit, Konformitätsanforderungen praxisnah kennenzulernen, ohne sofort allen Vollpflichten zu unterliegen. Informationen zu verfügbaren Programmen finden Sie in unserem Beitrag zu EU AI Act Sandbox-Programmen und Innovationsausnahmen.

Einordnung: Ziel der Verordnung

Das erklärte Ziel der KI-Verordnung ist es, vertrauenswürdige KI-Systeme zu fördern, ohne Innovationen strukturell zu behindern. Für Unternehmen bedeutet das eine doppelte Anforderung: Compliance sicherstellen und gleichzeitig den eigenen Handlungsspielraum verstehen. Wer die Kategorisierung seiner SLM-Anwendungen frühzeitig vornimmt und die gestaffelten Fristen konsequent nutzt, ist klar im Vorteil gegenüber Unternehmen, die erst bei Ablauf der Übergangfristen aktiv werden.

Ergänzend empfehlen sich die BSI-Richtlinien zur sicheren Gestaltung von KI-Systemen, die wir in unserem Artikel zu BSI-Richtlinien für KI-Evaluierung und Monitoring zusammengefasst haben.

Quellen

• EU AI Act – Plattform Lernende Systeme, KI Kompakt 2024
• EU AI Act: Neue Regeln für den Einsatz von KI verstehen und umsetzen – heise online

Häufige Fragen

Was versteht der EU AI Act unter einem risikobasierten Ansatz und warum ist das für Unternehmen mit SLMs relevant?

Die KI-Verordnung stuft KI-Systeme nach ihrem Risikopotenzial ein. Systeme mit unannehmbarem Risiko, etwa zur Verhaltensmanipulation oder für Social Scoring, sind verboten. Hochrisiko-Systeme unterliegen strengen Auflagen, darunter Risikomanagement und Dokumentationspflichten. Für Unternehmen, die Small Language Models einsetzen, ist entscheidend, in welche Risikokategorie ihr konkreter Anwendungsfall fällt. Erst diese Einordnung bestimmt den Umfang der Konformitätspflichten.

Seit wann gelten erste Regelungen des EU AI Act, und welche Fristen müssen KMU einplanen?

Erste Abschnitte der KI-Verordnung sind bereits seit Februar 2025 anwendbar. Da die Regeln zeitversetzt in Kraft treten, gelten für unterschiedliche Anforderungen verschiedene Übergangsfristen. KMU sollten ihre KI-Systeme daher jetzt klassifizieren und prüfen, welche Pflichten bereits gelten und welche noch folgen. Frühzeitige Vorbereitung reduziert das Risiko von Compliance-Lücken erheblich.

Welche konkreten Pflichten entstehen für Unternehmen, die ein Hochrisiko-KI-System betreiben?

Für Hochrisiko-Systeme, zu denen etwa KI in den Bereichen Gesichtserkennung oder Bildung zählen können, schreibt der AI Act strenge Auflagen vor. Dazu gehören ein nachweisbares Risikomanagement, technische Dokumentation, Transparenzpflichten und in bestimmten Fällen eine Konformitätsbewertung durch Dritte. Betreiber und Anbieter tragen dabei unterschiedliche Verantwortung, weshalb die vertragliche Rollenklärung im Projektalltag zentral ist.

Zielt die KI-Verordnung auch auf die Förderung von Innovationen, oder schränkt sie KI-Entwicklung grundsätzlich ein?

Das erklärte Ziel der EU-Kommission ist es, vertrauenswürdige KI-Systeme zu fördern, ohne Innovationen zu bremsen. Der risikobasierte Ansatz soll sicherstellen, dass regulatorische Anforderungen proportional zum tatsächlichen Risiko eines Systems sind. Anwendungen mit minimalem oder keinem erkennbaren Risiko unterliegen kaum zusätzlichen Pflichten, während nur Hochrisiko- und verbotene Systeme strengen Vorgaben folgen müssen.

Was sollten KMU als ersten praktischen Schritt zur Vorbereitung auf den EU AI Act tun?

Der erste Schritt ist eine strukturierte Bestandsaufnahme aller eingesetzten und geplanten KI-Systeme, einschließlich SLMs. Jedes System muss anhand der Risikokategorien des AI Act eingeordnet werden. Auf dieser Basis lassen sich die konkreten Pflichten ableiten und priorisieren. Da erste Regelungen seit Februar 2025 gelten, ist rasches Handeln geboten, um Bußgeldrisiken zu vermeiden.

Dieser Artikel wurde von einem KI-System automatisiert erstellt. Kennzeichnung gemäß Art. 50 der EU-KI-Verordnung.