Seit gestern gilt eine neue Stufe des EU AI Act. In den letzten Wochen habe ich dazu so viel Panikmache gelesen, dass ich mir die Sache selbst angeschaut habe. Das Ergebnis ist beruhigender als der Ton der meisten Beiträge, aber nicht so beruhigend, dass man es ignorieren kann.
Vorweg: Ich bin kein Anwalt, und dieser Artikel ersetzt keine Rechtsberatung. Was hier steht, ist der Stand nach meiner Recherche, und an einigen Stellen ist dieser Stand ehrlich gesagt unübersichtlich.
Was seit dem 2. August greift
Zwei Dinge sind konkret.
Transparenzpflichten. Wer einen Chatbot einsetzt, muss dafür sorgen, dass Nutzer erkennen können, dass sie mit einer Maschine sprechen. Und maschinell erzeugte Inhalte brauchen eine maschinenlesbare Kennzeichnung.
Marktüberwachung. Die nationalen Behörden dürfen ab jetzt offiziell kontrollieren und Sanktionen verhängen. In Deutschland regelt das ein eigenes Durchführungsgesetz, das das Bundeskabinett im Februar beschlossen hat.
Dazu kommt: Die Durchsetzung der KI-Kompetenzpflicht beginnt. Die Pflicht selbst gilt schon seit Februar 2025, aber jetzt kann sie auch geprüft werden.
Die Sache mit der Schulungspflicht
Hier wird es interessant, weil sich die Quellen widersprechen.
Der Grundsatz: Wer im Unternehmen KI einsetzt, muss dafür sorgen, dass die Leute, die damit arbeiten, ausreichend Kompetenz haben. Eine Ausnahme für kleine Betriebe gibt es nicht. Auch ein Fünf-Personen-Unternehmen mit einem ChatGPT-Nutzer fällt darunter.
Die Intensität muss dabei zur Nutzung passen. Wer Texte zusammenfassen lässt, braucht weniger als jemand, der ein System für Personalentscheidungen bedient.
Jetzt der Teil, der selten dabeisteht: Ein Verstoß gegen diese Pflicht allein löst kein Bußgeld aus. Es ist eine Bemühenspflicht ohne eigenen Bußgeldtatbestand. Das entschärft die Sache erheblich.
Was es nicht entschärft: Wenn tatsächlich ein Schaden entsteht, etwa weil jemand Kundendaten in ein ungeeignetes Werkzeug getippt hat, wird fehlende Unterweisung als Verletzung der Sorgfaltspflicht gewertet. Und dafür haftet die Geschäftsführung im Zweifel persönlich. Das ist der Grund, warum ich das Thema trotzdem ernst nehme.
Zusätzlich soll der sogenannte Digital Omnibus vom Mai die Schulungspflicht zu einer Förderpflicht abgeschwächt haben. Ob und wie das final gilt, konnte ich nicht eindeutig klären. Meine Einschätzung: Wer seine Leute vernünftig einweist, ist in jeder Auslegung auf der sicheren Seite.
Die gute Nachricht: Hochrisiko wurde verschoben
Bis vor Kurzem war die Erwartung, dass ab dem 2. August die vollen Pflichten für Hochrisiko-Anwendungen greifen. Also für KI in Personalentscheidungen, Kreditwürdigkeitsprüfung oder Qualitätskontrolle.
Der Digital Omnibus hat das nach übereinstimmenden Darstellungen verschoben: auf Dezember 2027 für den einen Teil, auf August 2028 für den anderen. Wer also gerade ein Bewerbungs-Vorauswahlsystem einführt, hat mehr Zeit als gedacht.
Ich würde diese Zeit trotzdem nicht als Freifahrtschein lesen. Die Anforderungen kommen, sie kommen nur später.
Was du diese Woche machen solltest
Zwei Dinge, die zusammen einen Nachmittag kosten.
Ein KI-Inventar anlegen. Eine Tabelle mit vier Spalten: Werkzeug, Zweck, verarbeitete Daten, verantwortliche Person. Und zwar nicht nur ChatGPT und Copilot, sondern auch die KI-Funktionen, die längst in deinem CRM, deiner Buchhaltung, deiner HR-Software und deinem Ticketsystem stecken. Diese Liste ist die Grundlage für alles Weitere, und die meisten Unternehmen sind überrascht, wie lang sie wird.
Die Lizenzstufen prüfen. Kostenlose und Standard-Zugänge der großen Anbieter sind für personenbezogene Daten in der Regel nicht geeignet, weil kein Auftragsverarbeitungsvertrag existiert. Für berufliche Nutzung heißt das: Team- oder Enterprise-Zugang, Vertrag unterschreiben, fertig.
Wenn beides steht, fehlt noch ein interner Leitfaden. Zwei Seiten reichen: Welche Werkzeuge sind freigegeben, was darf hinein, was nicht, wer ist Ansprechpartner. Das ist gleichzeitig die einfachste Form, die Kompetenzpflicht zu erfüllen.
Was in eine Schulung gehört
Wenn du deine Leute einweist, muss das kein Zertifikatskurs sein. Inhaltlich zählen fünf Punkte: dass Modelle Dinge erfinden können, was mit eingegebenen Daten passiert, wo Verzerrungen entstehen, wie es um Urheberrecht steht und was als vertrauliche Information nicht in ein Werkzeug gehört.
Wer das strukturiert und mit praktischen Übungen aufsetzen will, statt eine PDF zu verteilen, die niemand liest: Genau dafür ist unser KI-Workshop gebaut.
Fazit
Der 2. August ist kein Stichtag, an dem etwas explodiert. Die dramatischsten Pflichten sind verschoben, die Kompetenzpflicht hat keinen eigenen Bußgeldrahmen.
Was bleibt, ist eine Sorgfaltsfrage: Weißt du, welche KI in deinem Unternehmen läuft, mit welchen Daten, und wissen deine Leute, was sie damit dürfen? Wer das beantworten kann, hat den relevanten Teil erledigt. Wer es nicht kann, hat ein Problem, das älter ist als jede EU-Verordnung.
Dein Markus vom KI Club
