Die EU-KI-Verordnung (AI Act) ist das weltweit erste umfassende KI-Gesetz – und sie betrifft nicht nur Tech-Konzerne: Auch das mittelständische Unternehmen, das ChatGPT im Kundenservice, KI im Bewerbungs-Screening oder ein Analyse-Tool mit KI-Komponente einsetzt, ist als Betreiber in der Pflicht.
Die Verordnung gilt gestuft seit 2025: Verbote und die Pflicht zur KI-Kompetenz der Mitarbeitenden greifen bereits, die Regeln für Hochrisiko-Systeme folgen schrittweise. Dieser Ratgeber ordnet ein, welche Rolle Ihr Unternehmen einnimmt, welche Pflichten daraus folgen – und wie ein pragmatischer Einstieg in die KI-Compliance aussieht.
1. Das Grundprinzip: Vier Risikoklassen
Die KI-Verordnung reguliert nicht „die KI“, sondern konkrete Anwendungsfälle – je riskanter, desto strenger:
| Risikoklasse | Beispiele | Rechtsfolge |
|---|---|---|
| Verbotene Praktiken | Social Scoring, manipulative Techniken, bestimmte biometrische Massenüberwachung | Vollständig untersagt (seit Februar 2025) |
| Hochrisiko-KI | KI im Recruiting, bei Kreditvergabe, kritischer Infrastruktur, Bildung | Umfassende Anforderungen: Risikomanagement, Datenqualität, Aufsicht, Dokumentation |
| Begrenztes Risiko | Chatbots, Deepfakes, Emotionserkennung | Transparenzpflichten: KI-Einsatz muss erkennbar sein |
| Minimales Risiko | Spamfilter, KI in Videospielen | Keine besonderen Pflichten |
Quer dazu gelten eigene Regeln für KI-Modelle mit allgemeinem Verwendungszweck (GPAI wie GPT oder Claude) – diese treffen primär die Modellanbieter.
2. Anbieter oder Betreiber? Ihre Rolle entscheidet
Die Pflichten hängen an der Rolle: Anbieter ist, wer ein KI-System entwickelt und unter eigenem Namen in Verkehr bringt; Betreiber, wer es in eigener Verantwortung beruflich verwendet. Der Mittelstand ist meist Betreiber – doch Vorsicht: Wer ein KI-System wesentlich verändert oder unter eigener Marke anbietet, kann in die strengeren Anbieterpflichten hineinrutschen. Das betrifft etwa Software-Häuser, die GPT-Funktionen in ihr Produkt integrieren und als eigenes Feature vermarkten.
3. Was bereits jetzt gilt: KI-Kompetenz und Transparenz
Sofortpflichten für praktisch jedes Unternehmen mit KI-Einsatz
- KI-Kompetenz (Art. 4): Mitarbeitende, die KI einsetzen, müssen über ausreichende Kenntnisse verfügen – Schulungen dokumentieren!
- Verbotene Praktiken ausschließen: Interne Prüfung, dass keine untersagten Anwendungen laufen
- Transparenz bei Chatbots: Nutzer müssen erkennen können, dass sie mit einer KI interagieren
- Kennzeichnung synthetischer Inhalte: Deepfakes und KI-generierte Inhalte sind als solche auszuweisen
- Bestandsaufnahme: Welche KI-Systeme sind im Einsatz – offiziell und als „Schatten-KI“ der Fachabteilungen?
Unterschätztes Risiko „Schatten-KI“: In vielen Unternehmen nutzen Mitarbeitende KI-Tools ohne Freigabe – mit Kundendaten in fremden Clouds. Das ist nicht nur ein AI-Act-Thema, sondern vor allem ein Datenschutz- und Geheimnisschutzproblem. Eine interne KI-Richtlinie ist der erste, wichtigste Compliance-Schritt.
4. Hochrisiko-KI: Wenn es ernst wird
Setzt Ihr Unternehmen KI in sensiblen Bereichen ein – etwa beim Bewerber-Screening, bei Beförderungsentscheidungen oder der Kreditwürdigkeitsprüfung –, gelten gestaffelt die Hochrisiko-Anforderungen: menschliche Aufsicht, Protokollierung, Information der Betroffenen, Verwendung gemäß Betriebsanleitung des Anbieters. Parallel bleibt die DSGVO voll anwendbar: Automatisierte Einzelentscheidungen (Art. 22 DSGVO), Datenschutz-Folgenabschätzung und Informationspflichten kommen hinzu. Wer beides zusammen denkt, spart doppelte Arbeit.
5. Ihr pragmatischer Compliance-Fahrplan
Inventur
Alle KI-Einsätze erfassen – inklusive der KI-Funktionen in Bestandssoftware (CRM, HR-Tools, Microsoft/Google-Suiten).
Einordnung
Je System: Risikoklasse und Rolle (Anbieter/Betreiber) bestimmen; Hochrisiko-Kandidaten priorisieren.
Richtlinie & Schulung
KI-Richtlinie einführen (erlaubte Tools, Datenregeln, Freigabeprozess) und Art.-4-Schulungen dokumentieren.
Verträge anpassen
KI-Klauseln in Einkaufs- und Kundenverträgen: Zusicherungen der Anbieter, Haftungsverteilung, Datenschutz.
Bei Verstößen drohen empfindliche Bußgelder – bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes bei verbotenen Praktiken. Realistischer für den Mittelstand ist aber das operative Risiko: Kunden und Auftraggeber verlangen AI-Act-Konformität zunehmend vertraglich.
Das Wichtigste in Kürze
Der AI Act betrifft fast jedes Unternehmen, das KI beruflich nutzt – meist in der Rolle des Betreibers. Schon heute gelten die Pflicht zur KI-Kompetenz, Transparenzregeln und die Verbote; Hochrisiko-Anwendungen wie KI im Recruiting brauchen besondere Aufmerksamkeit. Der Einstieg ist unspektakulär: Inventur, Einordnung, Richtlinie, Schulung. Genau dieses Paket setzen wir mit Mandanten in wenigen Wochen um.
KI im Einsatz – Compliance ungeklärt?
Betroffenheitsanalyse, KI-Richtlinie und Schulungskonzept als Festpreis-Paket: pragmatisch, dokumentiert, prüfungsfest.
Beratung anfragen →6. Häufige Fragen (FAQ)
Gilt die KI-Verordnung auch, wenn wir nur ChatGPT nutzen?
Ja – als Betreiber. Die Pflichten sind dann überschaubar: KI-Kompetenz der Mitarbeitenden sicherstellen, Transparenz wahren, keine verbotenen Anwendungen. Kritischer sind meist Datenschutz und Geheimnisschutz: Welche Daten fließen in das Tool? Eine interne KI-Richtlinie löst beides.
Ab wann gelten welche Pflichten?
Gestuft: Verbote und KI-Kompetenz seit Februar 2025, die Regeln für GPAI-Modelle seit August 2025, der Großteil der Hochrisiko-Pflichten ab August 2026 mit weiteren Übergangsfristen. Wer jetzt mit Inventur und Richtlinie startet, ist rechtzeitig vorbereitet.
Ist KI im Bewerbungsverfahren jetzt verboten?
Nein, aber sie ist regelmäßig Hochrisiko-KI: Es gelten strenge Anforderungen an Aufsicht, Information und Dokumentation – und parallel Art. 22 DSGVO für automatisierte Entscheidungen. Ein KI-gestütztes Vorscreening ist machbar, aber nur mit sauberem Setup.
Was bedeutet die Pflicht zur „KI-Kompetenz“ konkret?
Unternehmen müssen sicherstellen, dass Personal, das KI-Systeme einsetzt, über ausreichendes Verständnis von Funktionsweise, Grenzen und Risiken verfügt. Praktisch heißt das: rollenbezogene Schulungen, dokumentiert und wiederholt – vergleichbar mit Datenschutzschulungen.
Müssen wir KI-generierte Inhalte kennzeichnen?
Deepfakes und bestimmte synthetische Inhalte: ja. Bei normalen Marketing-Texten aus dem KI-Tool besteht keine generelle Kennzeichnungspflicht nach dem AI Act – wohl aber Transparenzpflichten bei Chatbots und je nach Kontext lauterkeitsrechtliche Grenzen. Details in unserem Ratgeber zu KI-Inhalten.
Wer kontrolliert die Einhaltung in Deutschland?
Die Marktüberwachung wird national organisiert; zentrale Zuständigkeiten liegen bei der Bundesnetzagentur. Unabhängig davon prüfen Datenschutzbehörden KI-Einsätze bereits heute unter der DSGVO – das praktisch relevanteste Aufsichtsrisiko.
7. Ihre Kanzlei für KI-Compliance-Beratung (AI Act) in Essen und ganz NRW
Die Kanzlei MANDATI in Essen berät Unternehmen, Start-ups und Verbraucher im IT-Recht – von der DSGVO-Compliance über IT-Verträge bis zur Abwehr von Abmahnungen. Persönlich in Essen oder vollständig digital, bundesweit.
MANDATI Rechtsanwälte – Ihr Anwalt für KI-Compliance-Beratung (AI Act) in Essen und dem gesamten Ruhrgebiet. Persönliche Beratung vor Ort oder mandatsbezogen bundesweit.
Hindenburgstr. 23, 45127 Essen, Nordrhein-Westfalen
Telefon: 0201 – 890 722 40 · E-Mail: [email protected]
Öffnungszeiten: Mo–Fr 9–18 Uhr
Einzugsgebiete / „in der Nähe":
- Essen
- Bochum
- Dortmund
- Düsseldorf
- Duisburg
- Mülheim a. d. Ruhr
- Oberhausen
- Gelsenkirchen
- Köln
Kanzlei MANDATI
Hindenburgstr. 23
45127 Essen
Nordrhein-Westfalen
Telefon: 0201 – 890 722 40
E-Mail: [email protected]
Beratung im IT-Recht: vor Ort in Essen · bundesweit digital per Video und Telefon
KI-Produkt geplant?
Wir begleiten Anbieter von der Rollenklärung über die Transparenzpflichten bis zum KI-Vertragswerk – Kanzlei MANDATI, Essen.
Beratung anfragen →Quellen und redaktionelle Verantwortung
Herausgeber: MANDATI Rechtsanwaltskanzlei & Steuerberatung in Essen. Verantwortlich für den Internetauftritt: Rechtsanwalt Uğur Demirel.
Die aufgeführten Gesetzestexte helfen beim Nachlesen. Welche Fassung und welche Vorschriften auf Ihren Fall anwendbar sind, hängt vom Sachverhalt ab. Konkrete Gerichtsentscheidungen und weitere Nachweise stehen, soweit vorhanden, im Beitrag.
- Datenschutz-Grundverordnung (EU) 2016/679Im Beitrag genannt
Allgemeine Rechtsinformation mit KI-Unterstützung. Der Bearbeitungsstand ist kein Nachweis einer individuellen anwaltlichen Prüfung. Quellen & Redaktion · Unsere Anwälte · Kontakt in Essen