VishnuArtistsEU AI Act umsetzen — vom Inventar zum Nachweis
Fünf Schritte, die in jeder Organisation funktionieren — mit Fristen, Checklisten und einem 30-60-90-Tage-Plan. Ausgelegt auf Unternehmen ohne eigene Rechtsabteilung.
Warum jetzt
Der EU AI Act ist am 1. August 2024 in Kraft getreten, gilt aber gestaffelt. Seit dem 2. August 2026 greift der Hauptteil: die Pflichten für Hochrisiko-Systeme nach Anhang III und die Transparenzpflichten nach Artikel 50. Wer bis hierher gewartet hat, ist nicht zu spät dran — aber die Zeit der Beobachtung ist vorbei.
| Datum | Was gilt |
|---|---|
| 01.08.2024 | Verordnung tritt in Kraft |
| 02.02.2025 | Verbotene Praktiken (Art. 5) und die Pflicht zu ausreichender AI-Kompetenz (Art. 4) |
| 02.08.2025 | Pflichten für Modelle mit allgemeinem Verwendungszweck (GPAI), Aufsichtsstrukturen, Sanktionen |
| 02.08.2026 | Allgemeine Geltung — Hochrisiko nach Anhang III, Transparenzpflichten nach Art. 50 |
| 02.08.2027 | Hochrisiko-Systeme in regulierten Produkten (Anhang I), Übergangsfrist für ältere GPAI-Modelle |
Was auf dem Spiel steht. Artikel 99 sieht bei verbotenen Praktiken bis zu 35 Mio. € oder 7 % des weltweiten Jahresumsatzes vor, bei Verstößen gegen sonstige Pflichten bis zu 15 Mio. € oder 3 %, bei falschen Angaben gegenüber Behörden bis zu 7,5 Mio. € oder 1 % — je nachdem, welcher Betrag höher ist. Für kleine und mittlere Unternehmen gilt jeweils der niedrigere der beiden Werte.
Schritt 1 — Klärt eure Rolle
Fast alles Weitere hängt an dieser einen Frage, und sie wird überraschend oft falsch beantwortet. Die Verordnung kennt vier Rollen, und eine Organisation kann mehrere gleichzeitig einnehmen.
- Anbieter — ihr entwickelt ein AI-System oder lasst es entwickeln und bringt es unter eurem Namen in Verkehr.
- Betreiber — ihr setzt ein AI-System in eigener Verantwortung ein. Das ist die Rolle, in der die meisten Unternehmen stecken.
- Importeur — ihr bringt ein System aus einem Drittland auf den EU-Markt.
- Händler — ihr stellt ein System bereit, ohne Anbieter oder Importeur zu sein.
Die häufigste Falle. Wer ein zugekauftes Hochrisiko-System unter eigenem Namen anbietet, es wesentlich verändert oder seinen Zweck ändert, wird dadurch selbst zum Anbieter — mit deutlich schwereren Pflichten. Ein feinjustiertes Sprachmodell im eigenen Produkt kann genau das auslösen.
Schritt 2 — Baut ein AI-Inventar mit Risikoklassen
Ihr könnt nichts nachweisen, was ihr nicht kennt. Das Inventar ist die Grundlage für alles Weitere und meist die Arbeit, die am meisten Überraschungen zutage fördert — vor allem in Fachabteilungen, die sich Werkzeuge selbst besorgt haben.
Was hinein gehört
- System, Zweck, Fachbereich, verantwortliche Person
- Eigenentwicklung, Zukauf oder eingebettet in ein anderes Produkt
- Rolle nach Schritt 1
- Verarbeitete Datenarten, insbesondere personenbezogene und besondere Kategorien
- Risikoklasse und die Begründung dafür
Die vier Klassen
- Verboten (Art. 5) — unter anderem Social Scoring, das ungezielte Auslesen von Gesichtsbildern aus dem Internet und Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen. Diese Systeme müssen weg, nicht dokumentiert werden.
- Hochrisiko (Art. 6 mit Anhang III) — Beschäftigung und Personalauswahl, Kreditwürdigkeit, Zugang zu Bildung, kritische Infrastruktur, bestimmte behördliche Aufgaben. Hier liegt das Gros der Pflichten: Risikomanagement, Datenqualität, technische Dokumentation, Protokollierung, menschliche Aufsicht, Genauigkeit und Robustheit.
- Transparenzpflicht (Art. 50) — Systeme, die mit Menschen interagieren oder Inhalte erzeugen.
- Minimales Risiko — alles Übrige. Keine besonderen Pflichten, aber der Eintrag im Inventar ist trotzdem euer Nachweis, dass ihr hingeschaut habt.
Aus der Praxis. Ein Tabellenblatt reicht für den Anfang völlig. Wichtiger als das Werkzeug ist, dass die Liste einen Verantwortlichen hat und in einem festen Rhythmus überprüft wird — sonst ist sie in einem Quartal wertlos.
Schritt 3 — AI Literacy ist Pflicht, nicht Kür
Artikel 4 verlangt seit dem 2. Februar 2025 von Anbietern und Betreibern, dass ihr Personal über ausreichende AI-Kompetenz verfügt — gemessen an Vorkenntnissen, Aufgabe und dem Kontext des Einsatzes. Das ist die Pflicht mit dem besten Verhältnis von Aufwand zu Wirkung: Sie ist in Wochen erfüllbar und senkt gleichzeitig das Risiko in allen anderen Bereichen.
Was ein tragfähiges Programm ausmacht
- Nach Rollen unterschieden: Führung, Fachbereiche mit AI im Alltag, Entwicklung, Einkauf
- Am eigenen Kontext entlang, nicht am allgemeinen Lehrbuch
- Grenzen und typische Fehler der eingesetzten Systeme ausdrücklich behandelt
- Teilnahme dokumentiert — Datum, Inhalt, Personenkreis
- Ein Auffrischungsrhythmus, weil sich die Werkzeuge schneller ändern als die Verordnung
Schritt 4 — Transparenz nach Artikel 50
Diese Pflichten treffen fast jeden, der AI im Kundenkontakt einsetzt, und sie sind vergleichsweise einfach zu erfüllen. Übersehen werden sie trotzdem regelmäßig.
- Interaktion: Wer mit einem AI-System spricht, muss das erkennen können — es sei denn, es ist aus dem Zusammenhang offensichtlich.
- Erzeugte Inhalte: Synthetische Bilder, Ton, Video und Text müssen in maschinenlesbarer Form als künstlich erzeugt gekennzeichnet sein.
- Deepfakes: Bild-, Ton- oder Videomaterial, das echten Personen oder Ereignissen ähnelt, muss als solches offengelegt werden.
- Emotionserkennung und biometrische Kategorisierung: Betroffene sind zu informieren.
Der pragmatische Weg. Legt eine Kennzeichnungsregel fest, die für alle Kanäle gilt, statt jeden Einzelfall zu diskutieren. Eine Seite Regel, an der sich Marketing, Produkt und Support gleichermaßen orientieren, ist mehr wert als zehn Seiten Ausnahmen.
Schritt 5 — Governance und Nachweise
Der Unterschied zwischen „wir halten uns daran“ und „wir können es zeigen“ entscheidet im Ernstfall. Governance heißt hier nicht Gremium, sondern: Es gibt eine benannte Person, einen festen Rhythmus und eine Ablage, die jemand anders versteht.
- Eine verantwortliche Person mit Mandat und Zeitbudget — kein Nebenher
- Menschliche Aufsicht dort, wo Entscheidungen Menschen betreffen: wer darf widersprechen, und wie?
- Technische Dokumentation und Protokolle für Hochrisiko-Systeme
- Ein Meldeweg für schwerwiegende Vorfälle, bevor der erste eintritt
- Lieferantenprüfung: Was sagt der Anbieter zu, und steht es im Vertrag?
- Ein Überprüfungstermin im Kalender, nicht im Vorsatz
Der 30-60-90-Tage-Plan
Tag 1–30 · Sehen
Rolle klären. Inventar aufsetzen und in zwei Runden durch die Fachbereiche schicken. Verbotene Praktiken sofort prüfen und abstellen. Verantwortliche Person benennen.
Tag 31–60 · Einordnen
Risikoklassen vergeben und begründen. Transparenz-Kennzeichnung als Regel festlegen und ausrollen. AI-Literacy-Programm nach Rollen starten.
Tag 61–90 · Nachweisen
Dokumentation für Hochrisiko-Systeme aufbauen. Meldeweg und menschliche Aufsicht festschreiben. Lieferantenzusagen einsammeln. Überprüfungsrhythmus setzen.
Fünf verbreitete Irrtümer
- „Wir entwickeln keine AI, also betrifft es uns nicht.“ Die Betreiberpflichten treffen auch, wer nur einkauft und einsetzt.
- „Die DSGVO deckt das ab.“ Überschneidungen gibt es, aber der AI Act regelt anderes: Produktsicherheit, Risikomanagement, Transparenz über die Maschine selbst.
- „Hochrisiko betrifft nur Medizin und Verkehr.“ Anhang III nennt ausdrücklich Personalauswahl und Kreditwürdigkeit — Themen, die in fast jedem Unternehmen vorkommen.
- „Wir warten auf die Normen.“ Die harmonisierten Normen erleichtern den Nachweis, sie verschieben die Geltung nicht.
- „Schulung machen wir, wenn Zeit ist.“ Artikel 4 gilt seit Februar 2025.
Rechtlicher Hinweis. Dieses Whitepaper gibt den Stand von August 2026 wieder und dient der Orientierung. Es ersetzt keine Rechtsberatung und keine Prüfung des Einzelfalls. Für verbindliche Aussagen zu eurer Situation zieht bitte rechtlichen Beistand hinzu — gern gemeinsam mit uns.
Wie wir unterstützen
Wir sind keine Kanzlei. Wir sind die, die mit euch das Inventar aufbauen, die Schulung halten und dafür sorgen, dass die Governance den ersten Monat überlebt. Am häufigsten gefragt:
- AI-Act-Standortbestimmung — zwei Wochen bis zum belastbaren Inventar mit Risikoklassen.
- AI Literacy für Führungskräfte und AI-Transformation Foundations — die beiden Trainings, mit denen Artikel 4 abgedeckt ist. Beide in der Academy.
- Governance-Begleitung — vier Wochen bis zu Rollen, Meldeweg und Dokumentation, die tragen.
Wo unsere Haltung herkommt. Der AI Act regelt, was erlaubt ist — er beantwortet nicht, was man tun sollte. Diese zweite Frage verhandelt Benedikt Irsch seit 2026 ehrenamtlich im dvct e.V.: Er ist Mitglied der Fachgruppe „KI-Ethik im Coaching & Training“ und leitet sie gemeinsam mit Dr. Franz Korbinian Hütter. Deren Themen — Transparenz, Autorschaft, die Grenze des Delegierbaren — sind dieselben, die in eurer Kennzeichnungsregel und in eurer menschlichen Aufsicht landen. Mehr zur Fachgruppe →