EU AI Act umsetzen — das Vishnu-Whitepaper

Warum jetzt

Der EU AI Act ist am 1. August 2024 in Kraft getreten, gilt aber gestaffelt. Seit dem 2. August 2026 greift der Hauptteil: die Pflichten für Hochrisiko-Systeme nach Anhang III und die Transparenzpflichten nach Artikel 50. Wer bis hierher gewartet hat, ist nicht zu spät dran — aber die Zeit der Beobachtung ist vorbei.

Datum	Was gilt
01.08.2024	Verordnung tritt in Kraft
02.02.2025	Verbotene Praktiken (Art. 5) und die Pflicht zu ausreichender KI-Kompetenz (Art. 4)
02.08.2025	Pflichten für Modelle mit allgemeinem Verwendungszweck (GPAI), Aufsichtsstrukturen, Sanktionen
02.08.2026	Allgemeine Geltung — Hochrisiko nach Anhang III, Transparenzpflichten nach Art. 50
02.08.2027	Hochrisiko-Systeme in regulierten Produkten (Anhang I), Übergangsfrist für ältere GPAI-Modelle

Was auf dem Spiel steht. Artikel 99 sieht bei verbotenen Praktiken bis zu 35 Mio. € oder 7 % des weltweiten Jahresumsatzes vor, bei Verstößen gegen sonstige Pflichten bis zu 15 Mio. € oder 3 %, bei falschen Angaben gegenüber Behörden bis zu 7,5 Mio. € oder 1 % — je nachdem, welcher Betrag höher ist. Für kleine und mittlere Unternehmen gilt jeweils der niedrigere der beiden Werte.

Schritt 1 — Klärt eure Rolle

Fast alles Weitere hängt an dieser einen Frage, und sie wird überraschend oft falsch beantwortet. Die Verordnung kennt vier Rollen, und eine Organisation kann mehrere gleichzeitig einnehmen.

Anbieter — ihr entwickelt ein KI-System oder lasst es entwickeln und bringt es unter eurem Namen in Verkehr.
Betreiber — ihr setzt ein KI-System in eigener Verantwortung ein. Das ist die Rolle, in der die meisten Unternehmen stecken.
Importeur — ihr bringt ein System aus einem Drittland auf den EU-Markt.
Händler — ihr stellt ein System bereit, ohne Anbieter oder Importeur zu sein.

Die häufigste Falle. Wer ein zugekauftes Hochrisiko-System unter eigenem Namen anbietet, es wesentlich verändert oder seinen Zweck ändert, wird dadurch selbst zum Anbieter — mit deutlich schwereren Pflichten. Ein feinjustiertes Sprachmodell im eigenen Produkt kann genau das auslösen.

Schritt 2 — Baut ein KI-Inventar mit Risikoklassen

Ihr könnt nichts nachweisen, was ihr nicht kennt. Das Inventar ist die Grundlage für alles Weitere und meist die Arbeit, die am meisten Überraschungen zutage fördert — vor allem in Fachabteilungen, die sich Werkzeuge selbst besorgt haben.

Was hinein gehört

System, Zweck, Fachbereich, verantwortliche Person
Eigenentwicklung, Zukauf oder eingebettet in ein anderes Produkt
Rolle nach Schritt 1
Verarbeitete Datenarten, insbesondere personenbezogene und besondere Kategorien
Risikoklasse und die Begründung dafür

Die vier Klassen

Verboten (Art. 5) — unter anderem Social Scoring, das ungezielte Auslesen von Gesichtsbildern aus dem Internet und Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen. Diese Systeme müssen weg, nicht dokumentiert werden.
Hochrisiko (Art. 6 mit Anhang III) — Beschäftigung und Personalauswahl, Kreditwürdigkeit, Zugang zu Bildung, kritische Infrastruktur, bestimmte behördliche Aufgaben. Hier liegt das Gros der Pflichten: Risikomanagement, Datenqualität, technische Dokumentation, Protokollierung, menschliche Aufsicht, Genauigkeit und Robustheit.
Transparenzpflicht (Art. 50) — Systeme, die mit Menschen interagieren oder Inhalte erzeugen.
Minimales Risiko — alles Übrige. Keine besonderen Pflichten, aber der Eintrag im Inventar ist trotzdem euer Nachweis, dass ihr hingeschaut habt.

Aus der Praxis. Ein Tabellenblatt reicht für den Anfang völlig. Wichtiger als das Werkzeug ist, dass die Liste einen Verantwortlichen hat und in einem festen Rhythmus überprüft wird — sonst ist sie in einem Quartal wertlos.

Schritt 3 — AI Literacy ist Pflicht, nicht Kür

Artikel 4 verlangt seit dem 2. Februar 2025 von Anbietern und Betreibern, dass ihr Personal über ausreichende KI-Kompetenz verfügt — gemessen an Vorkenntnissen, Aufgabe und dem Kontext des Einsatzes. Das ist die Pflicht mit dem besten Verhältnis von Aufwand zu Wirkung: Sie ist in Wochen erfüllbar und senkt gleichzeitig das Risiko in allen anderen Bereichen.

Was ein tragfähiges Programm ausmacht

Nach Rollen unterschieden: Führung, Fachbereiche mit KI im Alltag, Entwicklung, Einkauf
Am eigenen Kontext entlang, nicht am allgemeinen Lehrbuch
Grenzen und typische Fehler der eingesetzten Systeme ausdrücklich behandelt
Teilnahme dokumentiert — Datum, Inhalt, Personenkreis
Ein Auffrischungsrhythmus, weil sich die Werkzeuge schneller ändern als die Verordnung

Schritt 4 — Transparenz nach Artikel 50

Diese Pflichten treffen fast jeden, der KI im Kundenkontakt einsetzt, und sie sind vergleichsweise einfach zu erfüllen. Übersehen werden sie trotzdem regelmäßig.

Interaktion: Wer mit einem KI-System spricht, muss das erkennen können — es sei denn, es ist aus dem Zusammenhang offensichtlich.
Erzeugte Inhalte: Synthetische Bilder, Ton, Video und Text müssen in maschinenlesbarer Form als künstlich erzeugt gekennzeichnet sein.
Deepfakes: Bild-, Ton- oder Videomaterial, das echten Personen oder Ereignissen ähnelt, muss als solches offengelegt werden.
Emotionserkennung und biometrische Kategorisierung: Betroffene sind zu informieren.

Der pragmatische Weg. Legt eine Kennzeichnungsregel fest, die für alle Kanäle gilt, statt jeden Einzelfall zu diskutieren. Eine Seite Regel, an der sich Marketing, Produkt und Support gleichermaßen orientieren, ist mehr wert als zehn Seiten Ausnahmen.

Schritt 5 — Governance und Nachweise

Der Unterschied zwischen „wir halten uns daran“ und „wir können es zeigen“ entscheidet im Ernstfall. Governance heißt hier nicht Gremium, sondern: Es gibt eine benannte Person, einen festen Rhythmus und eine Ablage, die jemand anders versteht.

Eine verantwortliche Person mit Mandat und Zeitbudget — kein Nebenher
Menschliche Aufsicht dort, wo Entscheidungen Menschen betreffen: wer darf widersprechen, und wie?
Technische Dokumentation und Protokolle für Hochrisiko-Systeme
Ein Meldeweg für schwerwiegende Vorfälle, bevor der erste eintritt
Lieferantenprüfung: Was sagt der Anbieter zu, und steht es im Vertrag?
Ein Überprüfungstermin im Kalender, nicht im Vorsatz

Der 30-60-90-Tage-Plan

Tag 1–30 · Sehen

Rolle klären. Inventar aufsetzen und in zwei Runden durch die Fachbereiche schicken. Verbotene Praktiken sofort prüfen und abstellen. Verantwortliche Person benennen.

Tag 31–60 · Einordnen

Risikoklassen vergeben und begründen. Transparenz-Kennzeichnung als Regel festlegen und ausrollen. AI-Literacy-Programm nach Rollen starten.

Tag 61–90 · Nachweisen

Dokumentation für Hochrisiko-Systeme aufbauen. Meldeweg und menschliche Aufsicht festschreiben. Lieferantenzusagen einsammeln. Überprüfungsrhythmus setzen.

Fünf verbreitete Irrtümer

„Wir entwickeln keine KI, also betrifft es uns nicht.“ Die Betreiberpflichten treffen auch, wer nur einkauft und einsetzt.
„Die DSGVO deckt das ab.“ Überschneidungen gibt es, aber der AI Act regelt anderes: Produktsicherheit, Risikomanagement, Transparenz über die Maschine selbst.
„Hochrisiko betrifft nur Medizin und Verkehr.“ Anhang III nennt ausdrücklich Personalauswahl und Kreditwürdigkeit — Themen, die in fast jedem Unternehmen vorkommen.
„Wir warten auf die Normen.“ Die harmonisierten Normen erleichtern den Nachweis, sie verschieben die Geltung nicht.
„Schulung machen wir, wenn Zeit ist.“ Artikel 4 gilt seit Februar 2025.

Rechtlicher Hinweis. Dieses Whitepaper gibt den Stand von August 2026 wieder und dient der Orientierung. Es ersetzt keine Rechtsberatung und keine Prüfung des Einzelfalls. Für verbindliche Aussagen zu eurer Situation zieht bitte rechtlichen Beistand hinzu — gern gemeinsam mit uns.

Wie wir unterstützen

Wir sind keine Kanzlei. Wir sind die, die mit euch das Inventar aufbauen, die Schulung halten und dafür sorgen, dass die Governance den ersten Monat überlebt. Am häufigsten gefragt:

AI-Act-Standortbestimmung — zwei Wochen bis zum belastbaren Inventar mit Risikoklassen.
AI Literacy für Führungskräfte und AI-Transformation Foundations — die beiden Trainings, mit denen Artikel 4 abgedeckt ist. Beide in der Academy.
Governance-Begleitung — vier Wochen bis zu Rollen, Meldeweg und Dokumentation, die tragen.

Beratungstermin vereinbaren → Zum 5-Schritte-Check Passende Trainings

EU AI Act umsetzen — vom Inventar zum Nachweis