Wenn Ihr Selbstcheck ergeben hat, dass Sie Hochrisiko-KI einsetzen oder anbieten, kommen konkrete Pflichten auf Sie zu. Die gute Nachricht: Sie sind klar definiert und mit System abarbeitbar – Sie müssen nur jetzt damit anfangen.
Die zentralen Anforderungen werden ab dem 2. August 2026 vollständig durchsetzbar. Das BSI in Deutschland hat angekündigt, dann aktiv zu prüfen.
Der EU AI Act unterscheidet streng zwischen denen, die ein KI-System bauen und auf den Markt bringen, und denen, die es im Unternehmen einsetzen. Ihre Pflichten unterscheiden sich grundlegend.
Sie kaufen oder lizenzieren eine KI-Lösung und setzen sie ein. Sie haben weniger, aber dennoch ernste Pflichten – vor allem rund um Aufsicht, Dokumentation und Information der Betroffenen.
Typisch: Unternehmen mit gekaufter Recruiting-Software, Banken mit Scoring-Tools
Pflichten als BetreiberSie programmieren das System, lassen es entwickeln oder bringen es unter Ihrem Namen in den Verkehr. Hier liegt der Großteil der Pflichten – von der technischen Dokumentation bis zur CE-Kennzeichnung.
Typisch: Software-Entwickler, KI-Startups, Unternehmen mit eigenen KI-Produkten
Pflichten als AnbieterWer Hochrisiko-KI nur einsetzt, muss zwar weniger, aber konkrete Pflichten erfüllen – und steht im Falle eines Schadens auch in der Verantwortung.
Das System nur gemäß der Gebrauchsanweisung des Anbieters einsetzen. Eine zweckwidrige Nutzung kann Sie selbst zum Anbieter machen – mit allen daraus folgenden Pflichten.
Personen mit der nötigen Kompetenz, Schulung und Befugnis zur Aufsicht zuweisen. Die Aufsicht muss real wirksam sein – nicht nur auf dem Papier.
Sicherstellen, dass die in das System eingespeisten Daten relevant und für den vorgesehenen Zweck geeignet sind.
Das System im laufenden Betrieb beobachten. Bei Auffälligkeiten oder Risiken: Einsatz aussetzen und den Anbieter informieren.
Die automatisch erzeugten Protokolle des Systems mindestens sechs Monate aufbewahren – sofern keine längeren gesetzlichen Fristen gelten.
Wenn personenbezogene Daten verarbeitet werden, ist eine DSFA durchzuführen. Die Pflichten aus DSGVO und AI Act greifen ineinander – nutzen Sie die Synergie.
Personen, die einer Hochrisiko-KI-Entscheidung unterliegen (z. B. Bewerber, Kreditantragsteller), müssen darüber informiert werden – inklusive Recht auf Erklärung.
Vor dem Einsatz von Hochrisiko-KI am Arbeitsplatz müssen Beschäftigte und ihre Vertretungen (z. B. Betriebsrat) informiert werden.
Diese Anforderungen müssen erfüllt sein, bevor das System auf den Markt kommt – und während des gesamten Lebenszyklus aufrechterhalten werden.
Ein dokumentiertes System zur fortlaufenden Identifikation, Bewertung und Minderung von Risiken über den gesamten Lebenszyklus des KI-Systems.
Trainings-, Validierungs- und Testdaten müssen geeignet, repräsentativ und so weit wie möglich fehlerfrei sein.
Vollständige Dokumentation des Systems, die vor Inverkehrbringen vorliegen und auf Verlangen von Behörden vorgelegt werden muss.
Das System muss Eingaben, Ausgaben und Entscheidungen automatisch aufzeichnen, um die Nachvollziehbarkeit zu gewährleisten.
Klare, verständliche Gebrauchsanweisung für die Betreiber des Systems – damit diese ihrerseits ihre Pflichten erfüllen können.
Das System muss so gestaltet sein, dass Menschen es wirksam überwachen, eingreifen und im Notfall stoppen können.
Das System muss ein angemessenes Maß an Genauigkeit, Robustheit gegen Fehler und Schutz gegen Cyberangriffe gewährleisten.
Vor Inverkehrbringen muss eine Konformitätsbewertung durchgeführt und das System mit CE gekennzeichnet werden – je nach Anwendungsfall durch Selbstbewertung oder durch eine benannte Stelle.
Auch nach dem Marktstart muss das System aktiv überwacht werden – inklusive Meldepflicht bei schwerwiegenden Vorfällen.
Der EU AI Act tritt nicht auf einen Schlag in Kraft – er wird stufenweise scharfgeschaltet. Diese Termine sollten Sie kennen.
Mit einer guten Struktur und in der richtigen Reihenfolge ist Hochrisiko-Compliance kein Hexenwerk. Gerne unterstütze ich Sie dabei – mit dem Aufbau eines AI-Management-Systems nach ISO 42001, mit Schulungen für Ihr Team oder mit einer ehrlichen Bestandsaufnahme: Wo stehen Sie, was fehlt, was ist als Erstes dran?