Der EU AI Act (Ver­ord­nung (EU) 2024⁄1689) ist seit dem 1. August 2024 in Kraft und gilt stu­fen­wei­se: Ver­bo­te­ne KI-Prak­ti­ken ab Febru­ar 2025, Anfor­de­run­gen an Hoch­ri­si­ko-Sys­te­me ab August 2026. Er gilt für alle Unter­neh­men, die KI-Sys­te­me in der EU ent­wi­ckeln, ver­trei­ben oder ein­set­zen — unab­hän­gig vom Unternehmenssitz.

Der Act klas­si­fi­ziert KI-Sys­te­me in vier Risi­koklas­sen: Inak­zep­ta­bles Risi­ko (ver­bo­ten, z. B. Mani­pu­la­ti­on des Unter­be­wusst­seins), Hohes Risi­ko (stren­ge Anfor­de­run­gen, z. B. KI in Medi­zin­pro­duk­ten, Ein­stel­lungs­pro­zes­sen, kri­ti­scher Infra­struk­tur), Begrenz­tes Risi­ko (Trans­pa­renz­pflich­ten, z. B. Chat­bots müs­sen sich als KI zu erken­nen geben) und Mini­ma­les Risi­ko (kei­ne spe­zi­fi­schen Anfor­de­run­gen, z. B. KI-Spamfilter).

Für KI-Sys­te­me im Hoch­ri­si­ko-Bereich schreibt der Act vor: voll­stän­di­ge Doku­men­ta­ti­on, Nach­voll­zieh­bar­keit von Ent­schei­dun­gen, mensch­li­che Auf­sicht und Ein­griffs­mög­lich­keit, Daten­schutz by Design und Maß­nah­men zur Risi­ko­mi­ni­mie­rung. Unter­neh­men, die KI für HR, Kre­dit­ver­ga­be, Straf­ver­fol­gung oder medi­zi­ni­sche Dia­gno­se ein­set­zen, fal­len typi­scher­wei­se in die­se Kategorie.

Silent AI ist für den unter­neh­mens­in­ter­nen Wis­sens­ma­nage­ment-Ein­satz kon­zi­piert und fällt in der Regel nicht in die Hoch­ri­si­ko-Kate­go­rie. Die voll­stän­dig loka­le Archi­tek­tur (kein Daten­trans­fer, AD-Rech­te­kon­trol­le, voll­stän­dig pro­to­kol­lier­bar) ver­ein­facht die Com­pli­ance-Nach­wei­se für Unter­neh­men, die intern KI ein­set­zen wollen.

Fragen und Antworten

Verbotene KI-Praktiken sind ab Februar 2025 untersagt. Anforderungen an Hochrisiko-KI-Systeme gelten ab August 2026. Anforderungen an KI-Modelle mit allgemeinem Verwendungszweck (GPAI, wie große Foundation Models) gelten ab August 2025. Unternehmen sollten die Klassifikation ihrer eingesetzten KI-Systeme jetzt vornehmen.
Ein interner KI-Assistent, der Mitarbeitern Fragen beantwortet und Dokumente recherchiert, fällt in der Regel in die Kategorie 'begrenztes Risiko' oder 'minimales Risiko'. Transparenzpflichten (der Nutzer muss wissen, dass er mit KI interagiert) sind einzuhalten. Für Hochrisiko-Anwendungen — etwa KI-gestützte Personalentscheidungen — gelten strengere Anforderungen.
Ja. Der EU AI Act hat extraterritorialen Geltungsbereich: Er gilt für jedes Unternehmen, das KI-Systeme in der EU anbietet oder einsetzt — unabhängig davon, wo das Unternehmen seinen Sitz hat. US-amerikanische Anbieter wie OpenAI, Microsoft und Google sind vollständig gebunden.