Die Schonfrist ist vorbei. Der EU AI Act ist seit heute in der Phase der strikten Durchsetzung (Enforcement). Das bedeutet: Wer jetzt noch verbotene KI-Praktiken einsetzt oder Hochrisiko-Systeme nicht registriert hat, macht sich sofort strafbar.
Dies ist keine Übung. Deutsche Aufsichtsbehörden haben angekündigt, ab dieser Woche unangekündigte Audits durchzuführen.
🚫Welche KIs sind JETZT verboten?
Der AI Act unterscheidet nach Risiko. Kategorie 1 (Unannehmbares Risiko) ist ab sofort illegal. Prüfen Sie, ob Ihre Software auf dieser Liste steht.
Kategorie: Unannehmbares Risiko (Illegal)
Der Einsatz dieser Systeme muss heute gestoppt werden:
- Social Scoring: Bewertung von Menschen durch Behörden basierend auf Verhalten.
- Biometrische Fernidentifizierung: Echtzeit-Gesichtserkennung im öffentlichen Raum (mit wenigen Ausnahmen für Polizei).
- Emotionserkennung: Am Arbeitsplatz oder in Schulen (z.B. KI überwacht, ob Schüler aufmerksam sind).
- Manipulation: Subliminale Techniken, die das Verhalten von Menschen unbewusst steuern (Dark Patterns).
Kategorie: Hochrisiko (Strenge Pflichten)
Erlaubt, aber nur mit CE-Kennzeichnung und Registrierung:
- Recruiting: KI, die Lebensläufe sortiert oder Bewerber filtert.
- Kreditwürdigkeit: KI-Scoring für Bankkredite.
- Kritische Infrastruktur: KI in Wasser-, Strom- oder Verkehrssteuerung.
- Aktion: Sie benötigen eine Konformitätsbewertung und müssen im EU-Register gelistet sein.
Kategorie: General Purpose AI (GenAI)
Für ChatGPT, Midjourney und Co. gilt die Transparenzpflicht:
- Kennzeichnung: Nutzer müssen wissen, dass sie mit einer Maschine sprechen.
- Deepfakes: KI-generierte Bilder/Videos müssen als künstlich markiert werden.
- Urheberrecht: Trainingsdaten müssen offengelegt werden (Zusammenfassung).
💣Wer haftet? (CEO & Entwickler)
35 Millionen Euro
Das ist das maximale Bußgeld für Verstöße gegen verbotene KI-Praktiken. Alternativ: 7% des weltweiten Jahresumsatzes. Für Hochrisiko-KI-Verstöße sind es immerhin noch 15 Mio. € oder 3%.
CEO-Haftung
Geschäftsführer müssen sicherstellen, dass KI-Governance implementiert ist. Unwissenheit schützt nicht vor Strafe.
Entwickler & Importeure
Nicht nur der Hersteller haftet. Wer ein KI-System in die EU importiert oder wesentlich verändert (“Finetuning”), gilt als Hersteller.
Versteckte Risiken im Code
Wo lauert die Gefahr in Ihrer IT? 👇 Klicken Sie auf die Warnsymbole.
Legacy Systeme
Alte Algorithmen, die im HR-Bereich eingesetzt werden (z.B. automatisches Aussortieren), sind oft Hochrisiko-KI, ohne dass es jemand merkt.
Trainingsdaten
Sind Ihre Daten “bias-frei”? Wenn Ihre KI Frauen oder Minderheiten benachteiligt, verstoßen Sie gegen Grundrechte (Artikel 10 AI Act).
Logs & Doku
Hochrisiko-Systeme müssen JEDE Entscheidung protokollieren. Keine Logs = Bußgeld.
✅Sofort-Maßnahmen (Action Plan)
1. Inventur
KI-Audit durchführen
Erstellen Sie eine Liste ALLER Software-Systeme, die KI-Komponenten enthalten. Kategorisieren Sie diese nach Risiko (Verboten, Hoch, Gering).
2. Kennzeichnung
Labeling prüfen
Stellen Sie sicher, dass jeder Chatbot und jedes Deepfake-System den Nutzer informiert: “Ich bin eine KI”.
3. Registrierung
EU-Datenbank
Für Hochrisiko-KI: Haben Sie das System in der Geprüften EU-Datenbank registriert? Wenn nicht, sofort nachholen.
4. Kill Switch
Menschliche Aufsicht
Jedes Hochrisiko-System muss einen “Not-Aus-Knopf” haben oder von einem Menschen überstimmt werden können (Human-in-the-loop).
⚠️Kritische Warnung: Die “API-Falle”
🚫 API-Nutzer haften als “Deployer”
Wenn Sie ChatGPT oder Claude über eine API in Ihre HR-Software oder Kreditprüfung einbinden, werden Sie zum Deployer (Betreiber) eines Hochrisiko-Systems.
Konsequenz: Sie müssen die menschliche Aufsicht, Protokollierung und Genauigkeit garantieren. Sie können die Schuld nicht auf den API-Anbieter schieben!
Überprüfen Sie sofort Ihre AGBs und Verträge mit KI-Anbietern. Fordern Sie Zusicherungen zur “AI Act Compliance” an.
🧮Bußgeld-Simulator (Risiko-Analyse)
Stufe 3: Einsatz verbotener Praktiken (z.B. Social Scoring).
*Schätzung basierend auf Artikel 71 AI Act. Behörden können je nach Fall entscheiden.
📌Notfall-Plan & Zusammenfassung
ACTION PLAN (HEUTE)
- Inventur sofort starten: Identifizieren Sie alle KI-Systeme im Unternehmen. Stoppen Sie sofort alles, was nach “Social Scoring” oder “Biometrischer Überwachung” aussieht.
- Hochrisiko registrieren: Wenn Sie KI für HR (Recruiting) oder Kredite nutzen, müssen Sie in der EU-Datenbank stehen.
- Mitarbeiter schulen: Jeder, der KI bedient, muss wissen, dass er eine Aufsichtspflicht hat. “Die KI hat das entschieden” ist keine gültige Ausrede mehr.
❓Häufige Fragen (FAQ)
Ja. Der AI Act macht keine generelle Ausnahme für KMU. Zwar sind die Bußgelder für KMU gedeckelt, aber die Pflichten (besonders bei Hochrisiko-KI) bleiben bestehen. Es gibt jedoch “Regulatory Sandboxes” für Startups.
Reine Open-Source-Modelle sind teilweise ausgenommen, ABER: Sobald sie kommerziell genutzt oder in ein Hochrisiko-System integriert werden, greift das Gesetz voll. Vorsicht bei der Nutzung von HuggingFace-Modellen im Produktivbetrieb.
Es gibt Übergangsfristen für “General Purpose AI”, die vor 2024 auf dem Markt war. Aber für verbotene Praktiken (Kat. 1) gibt es keinen Bestandsschutz. Diese müssen sofort abgeschaltet werden.
Die Aufsicht liegt voraussichtlich bei einer Kombination aus dem Bundesdatenschutzbeauftragten (BfDI) und der Bundesnetzagentur, unterstützt vom neuen europäischen “AI Office”.
Neben den hohen Bußgeldern (bis 35 Mio. €) droht die Anordnung, das KI-Modell sofort vom Markt zu nehmen oder zu löschen. Das kann für KI-Startups das Aus bedeuten.
🛡️ HAFTUNGSAUSSCHLUSS: Dieser Artikel ist eine Eilmeldung und dient Informationszwecken. Er ersetzt keine Rechtsberatung. Die Auslegung des AI Act entwickelt sich dynamisch. Konsultieren Sie sofort einen IT-Fachanwalt für eine Compliance-Prüfung.