Was ist die EU-KI-Verordnung, und wen bindet sie wirklich?

Die EU-KI-Verordnung ist das erste umfassende Gesetz zur Regelung künstlicher Intelligenz, und sie ordnet KI-Systeme nach Risiko: eine kleine Gruppe verbotener Anwendungen, eine regulierte Stufe von Hochrisiko-Systemen, leichtere Transparenzpflichten und Anwendungen mit minimalem Risiko. Sie wirkt zudem extraterritorial. Wenn Ihre KI auf dem europäischen Markt in Verkehr gebracht wird oder ihre Ergebnisse in der Union verwendet werden, erfasst die Verordnung Sie, ob Sie nun in Frankfurt, London oder San Francisco sitzen.

Warum ist die Frist näher, als sie scheint?

Weil sie in Phasen kommt, und diese Phasen haben begonnen. Bestimmte verbotene Praktiken gelten bereits, die Pflichten für KI-Modelle mit allgemeinem Verwendungszweck haben eingesetzt, und die wesentlichen Pflichten für Hochrisiko-Systeme greifen 2026, weitere Anforderungen folgen. Die Bußgelder reichen bis zu 7 Prozent des weltweiten Jahresumsatzes. Die Arbeit, die Konformität schafft, das Einstufen von Systemen, das Dokumentieren von Daten und Tests, das Aufbauen menschlicher Aufsicht, dauert Monate. Ein Unternehmen, das erst beginnt, wenn der Prüfer anruft, hat den Zeitplan bereits verloren.

Was verlangt echte Bereitschaft?

Vier Dinge, in dieser Reihenfolge. Erstens ein Bestandsverzeichnis: kennen Sie jedes KI-System, das Sie entwickeln oder einkaufen, und stufen Sie jedes nach seiner Risikoklasse unter der Verordnung ein. Zweitens die Dokumentation: halten Sie die Daten, Tests, Leistung und menschliche Aufsicht hinter jedem Hochrisiko-System fest, denn die Verordnung belohnt, was Sie nachweisen können, nicht, was Sie behaupten. Drittens die Governance: legen Sie klare Verantwortlichkeiten, Änderungskontrolle und die Fähigkeit fest, automatisierte Entscheidungen zu erklären und anzufechten. Viertens die Konformitätsbereitschaft: bereiten Sie jedes Hochrisiko-System auf die Bewertung und die technische Dokumentation vor, die die Verordnung erwartet. Das ist ein Programm auf Vorstandsebene, kein Häkchen auf einer Liste.

Wo sollte ein Unternehmen beginnen?

Beginnen Sie mit dem Bestandsverzeichnis und der Einstufung, denn Sie können nicht steuern, was Sie nicht erfasst haben. Von dort ist der Weg konkret: schließen Sie die Lücken in der Dokumentation, bauen Sie die Governance auf und bereiten Sie die Hochrisiko-Systeme auf die Konformitätsbewertung vor. Früh angegangen, wird die Frist 2026 zu einem Datum, für das Sie bereit sind. Spät angegangen, wird sie zu einem Hauruck vor einer Aufsichtsbehörde. Der Unterschied sind Monate, und diese Monate laufen jetzt.

Weiterlesen: Ist Ihr Unternehmen bereit für das erste echte KI-Gesetz der USA?  ·  Ist eine einzige fehlkonfigurierte Datei Ihr größtes KI-Risiko?