Alexander Gottstein
Die EU-KI-Verordnung verändert den Umgang mit künstlicher Intelligenz in Unternehmen nicht nur auf technischer Ebene. In der Praxis bedeutet das: Wer KI einsetzt, braucht nicht nur funktionierende Technik — sondern eine klare Antwort auf die Frage, wer im Unternehmen dafür verantwortlich ist. Für Geschäftsführungen, Rechtsabteilungen und Compliance-Verantwortliche stellt sich daher weniger die Frage, ob KI reguliert wird, sondern wie Unternehmen ihre bestehenden Prozesse strukturiert auf den neuen Rechtsrahmen ausrichten können.
Der EU AI Act folgt einem risikobasierten Ansatz. Je nach Art des KI-Systems, Einsatzzweck und Rolle des Unternehmens können unterschiedliche Anforderungen relevant werden. Für den Unternehmensalltag bedeutet das: Eine Vorbereitung beginnt nicht erst bei der technischen Implementierung, sondern bereits bei der Bestandsaufnahme, Bewertung und Governance.
Warum die EU-KI-Verordnung für Unternehmen mehr ist als ein IT-Thema
Viele Unternehmen betrachten künstliche Intelligenz zunächst als Frage der IT-Abteilung oder einzelner Fachbereiche. In der Praxis greift dieser Ansatz zu kurz. KI-Systeme können in Recruiting, Kundenservice, Vertragsmanagement, Produktion, Risikobewertung, Marketing, Compliance-Prüfungen oder internen Entscheidungsprozessen eingesetzt werden. Das berührt Datenschutz, Arbeitsrecht, Haftung und andere sensible internen Bereiche — und damit Felder, auf denen Fehler teuer werden können.
Die KI-Verordnung knüpft nicht allein daran an, welche Technologie verwendet wird. Entscheidend ist auch, zu welchem Zweck ein System eingesetzt wird, welche Auswirkungen es auf Personen oder Geschäftsprozesse haben kann und welche Rolle das Unternehmen innerhalb der KI-Wertschöpfungskette einnimmt. Unternehmen können etwa Anbieter, Betreiber beziehungsweise Nutzer, Importeur, Händler oder Produktverantwortliche sein. Diese Einordnung ist für die weitere Prüfung zentral.
Gerade deshalb sollte die Vorbereitung auf die EU-KI-Verordnung nicht isoliert in der IT stattfinden. Erforderlich ist ein Zusammenspiel aus Geschäftsführung, Rechtsabteilung, Compliance, Datenschutz, Informationssicherheit, Einkauf, HR und den operativen Fachbereichen. Nur so lässt sich erkennen, wo KI tatsächlich genutzt wird, welche Risiken entstehen können und welche internen Steuerungsmechanismen erforderlich sind.
Welche Rolle Geschäftsführung, Legal und Compliance jetzt einnehmen sollten
Für Geschäftsführungen stellt sich die EU-KI-Verordnung vor allem als Organisationsaufgabe dar. Sie müssen nicht jedes technische Detail eines KI-Systems selbst bewerten. Sie sollten aber sicherstellen, dass im Unternehmen klare Zuständigkeiten, Entscheidungswege und Kontrollmechanismen bestehen. Dazu gehört insbesondere die Frage, wer KI-Anwendungen freigibt, wer Risiken bewertet, wer Dokumentationen pflegt und wer bei rechtlichen oder technischen Änderungen nachsteuert.
Legal und Compliance übernehmen dabei eine Schnittstellenfunktion. Sie können helfen, KI-Anwendungen rechtlich einzuordnen, Rollen zu bestimmen, Risikokategorien zu prüfen und interne Prozesse aufzusetzen. Gerade bei der AI Act Compliance geht es nicht nur um einzelne Dokumente. Auch ein belastbares System aus Zuständigkeit, Prüfung, Nachvollziehbarkeit und laufender Kontrolle spielt eine entscheidende Rolle.
Auch die Rechtsabteilung sollte früh eingebunden werden, wenn neue KI-Tools beschafft, getestet oder in Geschäftsprozesse integriert werden. Das gilt besonders dann, wenn KI-Systeme personenbezogene Daten verarbeiten, Beschäftigte betreffen, Entscheidungen vorbereiten oder in regulierten Bereichen eingesetzt werden. In solchen Fällen können sich neben der EU-KI-Verordnung weitere rechtliche Anforderungen ergeben, etwa aus Datenschutzrecht, Vertragsrecht, Arbeitsrecht oder branchenspezifischer Regulierung.
Compliance-Verantwortliche sollten zudem darauf achten, dass KI-Governance nicht nur auf dem Papier besteht. Entscheidend ist, ob Fachbereiche wissen, welche KI-Anwendungen erlaubt sind, welche Prüfungen vor Nutzung erforderlich werden können und welche Risiken intern zu melden sind. Eine strukturierte KI-Policy kann dabei helfen, einheitliche Standards zu schaffen.
EU AI Act im Unternehmensalltag: Welche Strukturen früh aufgebaut werden sollten
Unternehmen sollten zunächst Transparenz über den tatsächlichen KI-Einsatz schaffen. In vielen Organisationen werden KI-Systeme bereits genutzt, ohne dass dies zentral dokumentiert ist. Dazu können frei verfügbare generative KI-Tools ebenso gehören wie Softwaremodule in bestehenden Anwendungen, automatisierte Analysefunktionen, Chatbots, Scoring-Modelle oder entscheidungsunterstützende Systeme.
Ein sinnvoller erster Schritt ist daher ein internes KI-Inventar. Ein solches Verzeichnis muss nicht von Anfang an perfekt sein. Wichtig ist zunächst, dass es einen belastbaren Überblick gibt: Welche KI-Systeme nutzt das Unternehmen bereits oder plant es? In welchen Fachbereichen kommen sie zum Einsatz? Welchem Zweck dienen sie, welche Daten verarbeiten sie und welche internen oder externen Anbieter sind beteiligt? Auf dieser Grundlage lässt sich prüfen, ob ein System unter die EU-KI-Verordnung fällt und ob besondere Risikofragen bestehen.
Für die KI-Verordnung in Unternehmen ist außerdem relevant, ob bestehende Beschaffungsprozesse angepasst werden sollten. Wenn Fachbereiche KI-Tools eigenständig einkaufen oder testen, können rechtliche Risiken entstehen, bevor Legal oder Compliance eingebunden werden. Unternehmen können dem vorbeugen, indem sie verbindliche Prüfprozesse für neue KI-Anwendungen etablieren.
Auch Vertragsmanagement spielt eine wichtige Rolle. Bei externen KI-Anbietern sollten Unternehmen prüfen, welche Informationen zur Funktionsweise, zum Einsatzzweck, zu Datenquellen, Dokumentation, Sicherheit, Verantwortlichkeiten und Support bereitgestellt werden. Gerade bei komplexen KI-Systemen kann es entscheidend sein, ob der Anbieter ausreichende Informationen für eine interne Bewertung liefert.
Governance, Zuständigkeiten und Dokumentation: Wo Unternehmen zuerst ansetzen sollten
Eine tragfähige KI-Governance beginnt mit klaren Rollen. Unternehmen sollten festlegen, welche Stelle für die zentrale Koordination verantwortlich ist und welche Fachbereiche eingebunden werden. Häufig bietet sich ein interdisziplinäres Modell an, in dem Legal, Compliance, Datenschutz, IT-Sicherheit, Einkauf und betroffene Fachbereiche zusammenarbeiten.
Zentral ist außerdem die Dokumentation. Unternehmen sollten nachvollziehen können, warum ein KI-System eingeführt wurde, welche Zwecke verfolgt werden, welche Risiken geprüft wurden und welche Kontrollmaßnahmen bestehen. Eine solche Dokumentation kann regulatorisch relevant werden und gleichzeitig intern helfen, Entscheidungen überprüfbar zu machen.
Dabei geht es nicht darum, jedes KI-Tool mit maximalem Aufwand zu behandeln. Der risikobasierte Ansatz der EU-KI-Verordnung spricht gerade dafür, Prüfprozesse nach Bedeutung und Risikopotenzial zu strukturieren. Ein einfaches internes Hilfstool kann anders zu behandeln sein als ein System, das Entscheidungen über Beschäftigte vorbereitet oder Kunden automatisiert bewertet.
Unternehmen sollten zudem Verantwortlichkeiten für laufende Überwachung und Aktualisierung definieren. KI-Systeme verändern sich, Anbieter entwickeln Modelle weiter, Einsatzkontexte wandeln sich und neue Funktionen können hinzukommen. Eine einmalige Prüfung bei Einführung reicht daher häufig nicht aus. Sinnvoll ist ein Prozess, der auch spätere Änderungen erfasst.
Welche praktischen Fragen sich bei Risiko, Einsatz und Kontrolle von KI-Systemen stellen
Im Unternehmensalltag stehen meist sehr konkrete Fragen im Vordergrund. Dazu gehört zunächst: Welche KI-Systeme werden überhaupt eingesetzt? Viele Unternehmen unterschätzen hier die Breite möglicher Anwendungen. KI kann in Standardsoftware, Cloud-Diensten, Analysewerkzeugen, HR-Systemen, CRM-Anwendungen oder Dokumentenmanagement-Lösungen enthalten sein.
Eine weitere Frage betrifft den Zweck des Einsatzes. Wird ein System nur zur internen Textunterstützung genutzt oder beeinflusst es Entscheidungen über Personen? Wird es im Kundenkontakt eingesetzt? Werden Beschäftigtendaten verarbeitet? Hat das Ergebnis des Systems wirtschaftliche oder rechtliche Bedeutung? Solche Fragen sind wichtig, um das Risiko angemessen einzuschätzen.
Auch die Risikokategorien der EU-KI-Verordnung sollten nicht abstrakt betrachtet werden. Für Unternehmen besonders relevant sind Konstellationen, in denen KI-Systeme in sensiblen Bereichen eingesetzt werden, etwa bei Personalentscheidungen, Bildung, Kreditwürdigkeit, Zugang zu Leistungen, kritischer Infrastruktur oder sicherheitsrelevanten Produkten. Ob ein konkretes System als Hochrisiko-KI einzustufen ist, hängt jedoch von den gesetzlichen Kriterien und dem jeweiligen Einsatzkontext ab.
Praktisch bedeutsam ist zudem die Kontrolle der Ergebnisse. Unternehmen sollten klären, ob KI-Ausgaben menschlich überprüft werden, wer für Korrekturen verantwortlich ist und wie fehlerhafte oder diskriminierende Ergebnisse erkannt werden können. Auch Schulungen können eine wichtige Rolle spielen, damit Mitarbeitende die Grenzen von KI-Systemen verstehen und Ergebnisse nicht ungeprüft übernehmen.
Typische Fehlannahmen bei der Umsetzung der KI-Verordnung im Unternehmen
Eine häufige Fehlannahme lautet, die EU-KI-Verordnung betreffe nur große Technologieunternehmen. Zwar stehen Anbieter und Entwickler bestimmter KI-Systeme besonders im Fokus. Dennoch können auch Unternehmen betroffen sein, die KI-Systeme lediglich im eigenen Geschäftsbetrieb einsetzen. Entscheidend ist nicht allein die Branche, sondern auch die konkrete Rolle und Nutzung.
Ebenso problematisch ist die Annahme, KI-Compliance beginne erst, wenn alle Anwendungstermine erreicht sind. Die Verordnung gilt gestaffelt; einzelne Teile sind bereits anwendbar, während andere Regelungen später greifen. Unternehmen sollten deshalb nicht nur auf finale Fristen blicken, sondern frühzeitig prüfen, welche Vorbereitungen organisatorisch erforderlich sind. Die EU-KI-Verordnung ist am 1. August 2024 in Kraft getreten. Sie gilt grundsätzlich ab 2. August 2026, wobei einzelne Regelungsbereiche bereits früher Anwendung finden.
Eine weitere Fehlannahme besteht darin, KI-Governance mit einer einmaligen Richtlinie gleichzusetzen. Eine Policy ist wichtig, ersetzt aber keine gelebten Prozesse. Ohne Inventar, Zuständigkeiten, Freigabewege, Schulungen und Kontrollmechanismen bleibt die Umsetzung häufig lückenhaft.
Auch die Vorstellung, generative KI sei automatisch unproblematisch, greift zu kurz. Selbst wenn ein Tool nicht als Hochrisiko-System einzuordnen ist, können Datenschutz, Urheberrecht, Geschäftsgeheimnisse, Vertraulichkeit, Arbeitsorganisation und Qualitätskontrolle betroffen sein. Unternehmen sollten deshalb auch vermeintlich einfache Anwendungen in eine interne KI-Governance einbeziehen.
Fazit: Warum frühe Strukturierung unter der EU-KI-Verordnung entscheidend ist
Die EU-KI-Verordnung zwingt Unternehmen zu einer rechtlichen Einordnung einzelner KI-Systeme. Sie fordert zudem eine strukturierte Auseinandersetzung mit Einsatz, Risiko, Verantwortlichkeiten und Kontrolle. Für Geschäftsführungen, Legal und Compliance liegt die zentrale Aufgabe darin, KI nicht als isoliertes IT-Projekt zu behandeln, sondern als Bestandteil der Unternehmensorganisation.
Wer früh Transparenz über eingesetzte KI-Systeme schafft, Zuständigkeiten definiert und Prüfprozesse etabliert, kann regulatorische Anforderungen besser einordnen und operative Risiken reduzieren. Dabei geht es nicht um übermäßige Bürokratie, sondern um nachvollziehbare Strukturen, die zum jeweiligen Unternehmen und zum konkreten KI-Einsatz passen.
Für Unternehmen ist jetzt der richtige Zeitpunkt, interne Grundlagen zu schaffen: etwa ein KI-Inventar, klare Freigabeprozesse, Rollenverteilung, Dokumentationsstandards, Schulungen und Schnittstellen zwischen Fachbereichen, Legal und Compliance. So wird die Umsetzung der EU-KI-Verordnung nicht erst zur Reaktion auf neue Pflichten, sondern zu einem gesteuerten Governance-Prozess.