Der EU AI Act, seit 1. August 2024 in Kraft, stuft KI-Anwendungen in vier Risikoklassen ein; Systeme der höchsten Klasse sind seit Februar 2025 verboten, während für alle anderen Kategorien abgestufte Übergangspflichten gelten. Für Unternehmen, die Foundation Models entwickeln oder einsetzen, bedeutet der risikobasierte Ansatz des AI Act konkrete Handlungspflichten: Je nach Einstufung in “Hohes Risiko”, “Besondere Transparenzverpflichtungen” oder “Minimales Risiko” greifen unterschiedliche Konformitätsnachweise, Dokumentationspflichten und Audit-Anforderungen. Wer die Fristen verpasst oder Systeme falsch klassifiziert, riskiert laut Verordnung empfindliche Bußgelder. Eine strukturierte Risikobewertung der eingesetzten KI-Systeme ist daher für Entscheider 2025 keine Option, sondern Pflicht.
EU AI Act: Was Unternehmen bei Konformitätsbewertungen für Foundation Models 2025 beachten müssen
Seit dem 1. August 2024 ist der EU AI Act in Kraft. Er gilt als weltweit erstes umfassendes Gesetz zur Regulierung von künstlicher Intelligenz. Für Unternehmen, die KI-Systeme einsetzen, entwickeln oder in den Verkehr bringen, läuft die Zeit: Bestimmte Pflichten greifen bereits, andere folgen gestaffelt mit Übergangsfristen.
Der risikobasierte Rahmen als Ausgangspunkt jeder Bewertung
Der AI Act unterteilt KI-Anwendungen in vier Risikoklassen. Laut dem Leitfaden von heise Business Services sind das: „Unannehmbares Risiko“ (etwa Social-Scoring-Systeme), „Hohes Risiko“ (etwa medizinische Software), „Systeme mit besonderen Transparenzverpflichtungen“ (etwa Chatbots) sowie „Minimales Risiko“ (etwa Videospiele). Anwendungen der höchsten Risikoklasse sind seit Februar 2025 verboten. Alle anderen Klassen werden abgestuft und mit Übergangsfristen reguliert.
Diese Klassifizierung ist der erste praktische Schritt jeder Konformitätsbewertung: Unternehmen müssen zunächst einordnen, in welche Klasse ihre eingesetzten oder entwickelten KI-Systeme fallen, bevor sie konkrete Compliance-Maßnahmen ableiten können.
Praktische Implikationen für Unternehmen
1. Bestandsaufnahme aller eingesetzten KI-Systeme ist Pflicht
Bevor ein Konformitätsbewertungsverfahren eingeleitet werden kann, braucht jedes Unternehmen eine vollständige Übersicht seiner KI-Anwendungen. Nur wer weiß, welche Systeme intern genutzt oder angeboten werden, kann die korrekte Risikoklasse zuordnen und daraus den jeweiligen Prüfaufwand ableiten. Wer diesen Schritt überspringt, riskiert laut dem Leitfaden von heise Business Services hohe Bußgelder.
2. Für Hochrisiko-Systeme gelten besondere Prüfanforderungen
KI-Anwendungen der Klasse „Hohes Risiko“, zu denen beispielsweise medizinische Software zählt, unterliegen strengeren Anforderungen. Unternehmen müssen für diese Systeme Dokumentations-, Transparenz- und Überwachungspflichten erfüllen. Das betrifft auch den Einsatz von Foundation Models, sofern diese in Hochrisiko-Anwendungen integriert sind. Audits und technische Dokumentation sind keine optionalen Maßnahmen, sondern gesetzliche Voraussetzungen.
3. Transparenzpflichten gelten bereits für viele Standardanwendungen
Systeme mit besonderen Transparenzverpflichtungen, darunter Chatbots, müssen Nutzer klar darüber informieren, dass sie mit einer KI interagieren. Diese Anforderung trifft viele Unternehmen, die entsprechende Tools bereits produktiv einsetzen, ohne dass bislang eine förmliche Konformitätsprüfung stattgefunden hat. Hier besteht unmittelbarer Handlungsbedarf.
4. Rechtssichere KI-Strategie erfordert interne Governance-Strukturen
Eine einmalige Prüfung genügt nicht. Der AI Act verlangt fortlaufende Überwachung und Dokumentation, insbesondere für Hochrisiko-Systeme. Unternehmen sollten daher interne Verantwortlichkeiten klar regeln: Wer ist für die Klassifizierung neuer KI-Systeme zuständig? Wer koordiniert externe Audits? Wer dokumentiert Änderungen an bestehenden Modellen? Ohne klare Governance-Strukturen lassen sich die gestaffelten Fristen des AI Act kaum einhalten.
Weiterführende Themen auf ecompanion.ai
Quellen
- Leitfaden: EU AI Act rechtssicher umsetzen – heise Business Services
- Leitfaden: EU AI Act rechtssicher umsetzen – heise IT-Management (Daten-Management)
- Leitfaden: EU AI Act rechtssicher umsetzen – heise IT-Management (Digitalisierung)
Häufige Fragen
Wann ist der EU AI Act in Kraft getreten und welche Fristen gelten 2025 für Unternehmen?
Der EU AI Act ist am 1. August 2024 in Kraft getreten. Er sieht abgestufte Übergangsfristen je nach Risikoklasse vor. KI-Anwendungen der höchsten Risikoklasse “Unannehmbares Risiko” sind seit Februar 2025 verboten. Für Anwendungen der übrigen Klassen gelten gestaffelte Fristen, die Unternehmen Zeit zur Anpassung geben.
Welche Risikoklassen unterscheidet der EU AI Act, und wie wirken sie sich auf Konformitätsbewertungen aus?
Der EU AI Act teilt KI-Systeme in vier Klassen ein: “Unannehmbares Risiko” (z. B. Social-Scoring-Systeme), “Hohes Risiko” (z. B. medizinische Software), “Systeme mit besonderen Transparenzverpflichtungen” (z. B. Chatbots) sowie “Minimales Risiko” (z. B. Videospiele). Je höher die Risikoklasse, desto strenger sind die Anforderungen an Dokumentation, Transparenz und Konformitätsnachweise. Für Hochrisiko-Systeme sind besonders aufwändige Bewertungsverfahren vorgesehen.
Welche konkreten Pflichten entstehen für Unternehmen, die Foundation Models oder Hochrisiko-KI einsetzen?
Unternehmen, die KI-Systeme der Kategorie “Hohes Risiko” einsetzen oder entwickeln, müssen unter anderem Transparenz- und Dokumentationspflichten erfüllen sowie nachweisen, dass ihre Systeme den Anforderungen des AI Act entsprechen. Wer diesen Verpflichtungen nicht nachkommt, riskiert laut der Verordnung hohe Bußgelder. Eine rechtssichere KI-Strategie, die die eigene Systemlandschaft systematisch nach Risikoklassen bewertet, ist daher für Entscheider unverzichtbar.
Gilt der EU AI Act nur für KI-Anbieter oder auch für Unternehmen, die KI lediglich nutzen?
Der EU AI Act richtet sich sowohl an Entwickler als auch an Betreiber und Nutzer von KI-Systemen. Das bedeutet: Auch Unternehmen, die KI-Anwendungen nicht selbst entwickeln, sondern nur in ihrem Geschäftsbetrieb einsetzen, unterliegen den jeweils geltenden Pflichten der zutreffenden Risikoklasse. Die Einordnung des genutzten Systems bestimmt, welche Compliance-Anforderungen konkret zu erfüllen sind.
Wie lässt sich der Prozess der Risikoklassifizierung im Unternehmen praktisch angehen?
Der AI Act verfolgt einen risikobasierten Ansatz, der sich an bewährten EU-Regulierungsmodellen orientiert. Unternehmen sollten zunächst alle eingesetzten und geplanten KI-Systeme inventarisieren und anhand der vier Risikoklassen des AI Act einordnen. Auf dieser Grundlage lassen sich die jeweils geltenden Pflichten ableiten und in einer strukturierten KI-Strategie verankern. Da erste Verbote seit Februar 2025 gelten, besteht für viele Unternehmen unmittelbarer Handlungsbedarf.
Dieser Artikel wurde von einem KI-System automatisiert erstellt. Kennzeichnung gemäß Art. 50 der EU-KI-Verordnung.
