EU AI Act für den Mittelstand: welche Pflichten wirklich greifen

Beitrag

Der EU AI Act wird in vielen Gesprächen als diffuse Bedrohung gehandelt: irgendetwas mit Dokumentationspflichten, irgendwann, mit unklaren Konsequenzen. Für ein mittelständisches Unternehmen, das ein einzelnes System zur Dokumentenprüfung oder Postfachbearbeitung einführt, lohnt sich ein nüchterner Blick darauf, welche Pflichten tatsächlich greifen und welche nicht. Dieser Beitrag beschreibt die Einordnung, wie sie in der eigenen Governance-Arbeit angewendet wird, und ist ausdrücklich keine Rechtsberatung.

Wer welche Rolle trägt

Der AI Act unterscheidet vor allem zwei Rollen: den Anbieter, der ein KI-System entwickelt und in Verkehr bringt, und den Betreiber, der es im eigenen Betrieb einsetzt. Diese Rollen sind nicht an eine Unternehmensgröße gebunden, sondern an das, was tatsächlich getan wird. Baut ein Dienstleister ein kundenspezifisches System, ist der Dienstleister in der Regel Anbieter und übernimmt Pflichten wie eine System- oder Modelldokumentation; der Kunde, der das System nutzt, ist Betreiber und trägt die Pflichten, die sich aus dem laufenden Einsatz ergeben, etwa eine angemessene menschliche Aufsicht. Wird ein System zusätzlich im laufenden Betrieb technisch verwaltet, kommt für den Dienstleister eine zusätzliche, vertraglich abzugrenzende technische Rolle hinzu. Diese Aufteilung gehört in den Vertrag, nicht in eine allgemeine Annahme.

Für ein internes System, das ein Unternehmen ausschließlich für sich selbst baut und betreibt, fallen beide Rollen im selben Unternehmen zusammen. Das befreit nicht von Pflichten, es bedeutet nur, dass niemand extern die Anbieterpflichten übernimmt.

Welche Pflichten von der Risikoeinstufung abhängen

Der Großteil der praktischen Pflichten hängt an der Risikoeinstufung des jeweiligen Anwendungsfalls, nicht an der Technologie an sich. Anwendungsfälle wie das Vorsortieren von Anfragen, das Extrahieren von Informationen aus Dokumenten, das Erstellen von Entwürfen oder die Suche in internem Wissen gelten typischerweise als begrenztes oder minimales Risiko. Als hochriskant gelten dagegen Bereiche wie Beschäftigungsentscheidungen, Kreditwürdigkeitsprüfung oder kritische Infrastruktur; solche Einsatzfelder liegen außerhalb dessen, was in der eigenen Angebotsarchitektur vorgesehen ist. Die Einstufung wird für jeden Anwendungsfall einzeln dokumentiert und bei einer Änderung des Zwecks neu geprüft, weil sich die Einstufung mit dem Zweck ändern kann, nicht nur mit der eingesetzten Technik.

Aus dieser Einstufung folgt, welche Pflichten konkret zu erfüllen sind: bei begrenztem Risiko vor allem Transparenzpflichten, bei minimalem Risiko im Wesentlichen freiwillige Selbstverpflichtungen. Eine pauschale Aussage wie „KI-Systeme sind grundsätzlich hochriskant” trifft für die typischen Anwendungsfälle im Mittelstand meist nicht zu, muss aber für jeden konkreten Fall neu geprüft werden.

Was Transparenz in der Praxis bedeutet

Eine der greifbarsten Pflichten betrifft die Kennzeichnung: KI-generierte Entwürfe werden als solche gekennzeichnet, und Endkundinnen und -kunden erhalten keine ungekennzeichnete KI-Kommunikation ohne menschliche Freigabe. Diese Regel lässt sich unmittelbar in einem Prozess umsetzen, etwa indem ein Entwurf klar als Entwurf markiert ist, bis eine Person ihn freigegeben hat, und die endgültige Kommunikation unter der Verantwortung dieser Person steht. Das ist derselbe Mechanismus, der ohnehin für die interne Freigabestelle gebraucht wird; die Transparenzpflicht verlangt hier keine zusätzliche Struktur, sondern nutzt eine bestehende.

Was sich verschieben kann

Ein Punkt, der in vielen Darstellungen zu kurz kommt: Anwendungsfristen im AI Act sind nicht für alle Zeit fixiert, sie können sich durch laufende Gesetzgebungsverfahren verschieben. Wer sich auf ein einmal recherchiertes Datum verlässt, riskiert, mit einer veralteten Annahme zu arbeiten. Deshalb gehört zur eigenen Prüfroutine, die offizielle Zeitleiste vor jeder Vertragsunterzeichnung erneut zu prüfen und das Datum dieser Prüfung im Vertragsordner festzuhalten. Diese Routine ersetzt keine juristische Prüfung, sie stellt nur sicher, dass die eigene Einschätzung nicht auf einem veralteten Stand beruht.

Was ein Unternehmen selbst prüfen sollte

Für ein Unternehmen, das über eine Automatisierung nachdenkt, sind drei Fragen ein sinnvoller erster Schritt: Fällt der geplante Anwendungsfall in einen der explizit hochriskanten Bereiche? Ist klar geregelt, wer welche Pflichten aus Anbieter- und Betreiberrolle trägt, insbesondere wenn ein externer Dienstleister beteiligt ist? Und ist sichergestellt, dass KI-generierte Inhalte, die nach außen gehen, gekennzeichnet und vor dem Versand von einem Menschen freigegeben werden? Wer diese drei Punkte für den eigenen Anwendungsfall beantworten kann, hat die praktisch relevantesten Pflichten bereits im Blick.

Dieser Beitrag beschreibt eine unternehmensinterne Einordnung und ersetzt keine anwaltliche Prüfung. Vor einer verbindlichen vertraglichen Zusage wird die Einordnung im Einzelfall rechtlich geprüft.