Die Europäische Union hat mit dem AI Act (KI-Verordnung) einen weltweit ersten, umfassenden Rechtsrahmen für die Entwicklung und Anwendung von künstlicher Intelligenz beschlossen. Ähnlich wie durch die DSGVO beim Datenschutz positioniert sich Europa damit erneut als globaler Vorreiter bei der Regulierung von Zukunftstechnologien. Das Gesetz schafft nicht nur neue unternehmerische Pflichten, sondern definiert auch die Spielregeln für einen innovationsfreundlichen und zugleich wertebasierten KI-Markt. 

Die Entwicklung künstlicher Intelligenz schreitet in rasantem Tempo voran und durchdringt zunehmend alle Lebens- und Wirtschaftsbereiche. Mit den enormen Chancen gehen jedoch auch Risiken für Grundrechte, Sicherheit und demokratische Werte einher. Um diesen Risiken proaktiv zu begegnen und einen klaren, einheitlichen Rahmen für den europäischen Binnenmarkt zu schaffen, hat die EU den AI Act entwickelt. Das Ziel ist es, Vertrauen in KI-Technologie zu fördern und klare rechtliche Leitplanken zu setzen, die sowohl Entwickler als auch Anwender in die Verantwortung nehmen. 

Im Zentrum der Verordnung steht ein Ansatz, der KI-Systeme nicht pauschal reguliert, sondern sie nach ihrem potenziellen Risiko für die Gesellschaft einstuft. Diese Risikopyramide ist das zentrale Steuerungselement und definiert vier Stufen: 

• Inakzeptables Risiko: KI-Anwendungen, die den Werten der EU fundamental widersprechen, werden verboten. Dazu gehören beispielsweise Social-Scoring-Systeme durch staatliche Stellen, die unbemerkte Verhaltensmanipulation oder die Ausnutzung von schutzbedürftigen Personengruppen.
• Hohes Risiko: Dies ist der am breitesten regulierte Bereich. Systeme, die in kritischen Sektoren wie dem Personalwesen (z.B. bei der Bewerberauswahl), der kritischen Infrastruktur, der Strafverfolgung oder bei der Kreditwürdigkeitsprüfung eingesetzt werden, gelten als Hochrisikosysteme. Sie müssen strenge Anforderungen an Risikomanagement, Datenqualität, Transparenz und menschliche Aufsicht erfüllen.
• Begrenztes Risiko: Bei Systemen mit begrenztem Risiko, wie Chatbots oder Deepfakes, stehen Transparenzpflichten im Vordergrund. Anwender müssen klar darüber informiert werden, dass sie mit einer KI interagieren, um Täuschung zu vermeiden.
• Minimales Risiko: Die überwiegende Mehrheit der KI-Anwendungen, wie KI-gestützte Videospiele oder Spam-Filter, fällt in diese Kategorie. Sie bleiben weitgehend unreguliert, da von ihnen nur ein geringes oder kein Risiko für Rechte oder Sicherheit der Bürger:innen ausgeht. 

Die Pflichten aus dem AI Act treffen Unternehmen je nach ihrer Rolle in der Wertschöpfungskette unterschiedlich. Die umfangreichsten Verpflichtungen liegen bei den Anbietern (Developern) von Hochrisiko-KI-Systemen. Sie müssen unter anderem robuste Qualitäts- und Risikomanagementsysteme implementieren, für eine hohe Qualität ihrer Trainings-, Validierungs- und Testdatensätze sorgen und eine umfassende technische Dokumentation erstellen. 

Anwender (Deployer), die Hochrisiko-Systeme im beruflichen Kontext einsetzen, haben ebenfalls Pflichten. Sie müssen sicherstellen, dass sie die Systeme gemäß der Gebrauchsanweisung nutzen, eine menschliche Aufsicht gewährleisten und die Funktionsweise der Systeme überwachen. 

Eine besondere Neuerung sind die Regeln für KI-Modelle für allgemeine Zwecke (General Purpose AI, GPAI), also die Basistechnologie hinter Anwendungen wie ChatGPT. Alle Anbieter solcher Modelle müssen künftig technische Dokumentationen vorhalten, das EU-Urheberrecht respektieren und die für das Training genutzten Inhalte zusammenfassend veröffentlichen. Für Modelle, die als besonders wirkmächtig mit „systemischem Risiko“ eingestuft werden, gelten nochmals strengere Regeln, etwa zur Durchführung von Tests und zur Meldung schwerwiegender Vorfälle. 

Der EU AI Act (KI-Verordnung) ist bereits am 1. August 2024 in Kraft getreten. Die konkreten Regelungen und Pflichten für Unternehmen und Entwickler werden jedoch schrittweise angewandt. 

Die wichtigsten Stichtage im Überblick: 

• 2. Februar 2025: Verbot von KI-Systemen mit inakzeptablem Risiko und Pflicht zur KI-Kompetenzvermittlung für Mitarbeitende.
• 2. August 2025: Neue Vorschriften greifen, insbesondere für KI-Modelle mit allgemeinem Verwendungszweck (wie General Purpose AI).
• 2. August 2026: Der Großteil des Gesetzes (inklusive Pflichten für Hochrisiko-KI) wird voll anwendbar.  

 Die Zeiten bis zur Anwendung sollten Unternehmen nutzen, um ihre internen Prozesse zu analysieren, ihre eingesetzten und entwickelten KI-Systeme zu klassifizieren und eine Strategie für die Umsetzung der neuen Anforderungen zu entwickeln. 

Der AI Act markiert einen Wendepunkt in der Digitalisierungsdebatte und verankert unternehmerische Sorgfaltspflichten fest im digitalen Raum. Scholz & Friends Reputation unterstützt Unternehmen dabei, diesen Sorgfaltspflichten nachzukommen und gleichzeitig ausgewählte Prozesse des Nachhaltigkeitsmanagement an die verfügbare KI-Infrastruktur anzupassen. Dieses betrifft zum Beispiel die Auditierung von Lieferanten, Klimaszenarioanalysen, Reporting-Prozesse oder das Echtzeit-Monitoring von menschenrechtlichen Risiken. Hier gilt es nun, gemeinsam mit den Fachabteilungen die Vorgehensweisen KI-basiert wirksam und rechtssicher zu verändern oder neu aufzubauen, immer mit Blick auf die Anforderungen des EU AI Acts.  

Sie möchten erfahren, wie Sie Künstliche Intelligenz für Ihr Nachhaltigkeitsmanagement wirksam und rechtssicher nutzen können? Unsere KI-Expert:innen Annett Arnold und Joris-Johann Lenssen stehen Ihnen für ein erstes Gespräch gerne zur Verfügung. Wir freuen uns auf Ihre Kontaktaufnahme über reputation@s-f.com.