Ob für Texte, Bilder oder interne Abläufe: Künstliche Intelligenz wird in immer mehr Betrieben eingesetzt. Der europäische AI Act regelt den Einsatz von KI nach einem risikobasierten Prinzip. Das bedeutet: Je größer die möglichen Auswirkungen einer KI-Anwendung sind, desto strenger sind die Vorgaben.
Der AI Act unterscheidet dabei verschiedene Risikostufen. Manche besonders problematischen Anwendungen sind verboten. Besonders problematische und verbotene Anwendungen betreffen etwa Social Scoring oder manipulative KI-Systeme – für gewöhnliche Betriebe spielen sie in der Praxis keine Rolle. Für sogenannte Hochrisiko-KI gelten strengere Anforderungen. Bei bestimmten KI-Inhalten stehen wiederum Transparenz und Kennzeichnung im Mittelpunkt. Anwendungen mit geringem Risiko unterliegen dagegen keinen umfangreichen zusätzlichen Pflichten.
Für die meisten Betriebe, die Programme wie ChatGPT, Copilot oder Bildgeneratoren für Texte, Ideen, Übersetzungen oder einfache Werbegrafiken nutzen, bedeutet der AI Act daher keine umfassenden Genehmigungs- oder Meldeverfahren.
Betriebe sollten vor allem drei Fragen klären: Können die Mitarbeitenden sicher und verantwortungsvoll mit KI umgehen? Wird KI in einem besonders sensiblen Bereich eingesetzt? Und können veröffentlichte KI-Inhalte von Kundinnen und Kunden für echt gehalten werden?
Mitarbeitende müssen KI richtig einsetzen können
Unternehmen müssen dafür sorgen, dass ihre Mitarbeitenden über eine angemessene KI-Kompetenz verfügen. Eine bestimmte Ausbildung, ein verpflichtendes Zertifikat oder eine gesetzlich vorgeschriebene Standardschulung gibt es dafür nicht.
Wie umfangreich die Maßnahmen sein müssen, hängt davon ab, wie KI im Betrieb eingesetzt wird. Bei einfachen Anwendungen reichen meist klare interne Regeln und eine kurze Einschulung. Mitarbeitende sollten vor allem wissen, dass KI Fehler machen kann und Ergebnisse vor der Verwendung geprüft werden müssen. Auch vertrauliche, betriebsinterne oder personenbezogene Daten sollten nicht unbedacht in ein KI-System eingegeben werden.
Wann spricht man von Hochrisiko-KI?
Nicht jede KI-Anwendung gilt als Hochrisiko-KI. Entscheidend ist nicht, welches Programm verwendet wird, sondern für welchen Zweck es eingesetzt wird.
Relevant kann Hochrisiko-KI etwa im Personalbereich werden. Dazu zählen Systeme, die Bewerbungen bewerten, Ranglisten erstellen oder Entscheidungen über Einstellungen, Beförderungen, Kündigungen, Aufgabenverteilungen oder Leistungsbeurteilungen beeinflussen. Auch KI-Systeme zur Kreditwürdigkeits- oder Bonitätsprüfung natürlicher Personen können darunterfallen. Gleiches gilt für bestimmte Risiko- und Preisbewertungen bei Lebens- und Krankenversicherungen.
Ein weiterer Bereich sind sicherheitsrelevante Funktionen. Dabei geht es nicht pauschal um jedes Produkt, jede Maschine oder jede Infrastruktur. Entscheidend ist, ob die KI selbst eine Sicherheitsfunktion steuert oder als Sicherheitsbestandteil eingesetzt wird. Ein Fehler der KI müsste also Menschen oder Eigentum gefährden können. Das kann beispielsweise bei bestimmten Maschinen oder bei der Wasser-, Gas-, Wärme- oder Stromversorgung relevant sein. Solche Anwendungen sind nicht grundsätzlich verboten. Sie dürfen aber nicht ungeprüft eingesetzt werden.
Die umfangreichen Pflichten für eigenständige Hochrisiko-KI gelten ab 2. Dezember 2027. Für KI, die als Sicherheitsbestandteil in bestimmte Produkte eingebaut ist, gelten sie ab 2. August 2028. Die technische Konformitätsbewertung und die Registrierung des Systems liegen grundsätzlich beim Anbieter. Ein privater Betrieb muss das System daher nicht selbst registrieren.
Wer Hochrisiko-KI nutzt, muss aber die Vorgaben und die Betriebsanleitung des Anbieters einhalten. Außerdem muss eine fachkundige Person für die menschliche Kontrolle bestimmt werden. Eingabedaten und Ergebnisse müssen kontrolliert und der Betrieb des Systems überwacht werden. Treten Risiken oder schwerwiegende Fehler auf, muss das Unternehmen reagieren und die Nutzung gegebenenfalls stoppen. Wird Hochrisiko-KI am Arbeitsplatz eingesetzt, müssen die betroffenen Beschäftigten und ihre Vertretung vorab darüber informiert werden.
Wann müssen KI-Inhalte gekennzeichnet werden?
Für viele Betriebe ist die Transparenzpflicht der praktisch wichtigste Teil des AI Acts. Sie gilt seit 2. August 2026.
Entscheidend ist, ob ein KI-Inhalt für echt gehalten werden kann. Eine reine Werbegrafik aus Text, Symbolen, Linien und Formen muss nicht als KI-generiert gekennzeichnet werden. Auch normale Bildkorrekturen wie Schärfen, Farbkorrekturen oder Anpassungen der Belichtung benötigen keine Kennzeichnung, solange der eigentliche Inhalt nicht wesentlich verändert wird.
Anders sieht es bei realistisch wirkenden KI-Inhalten aus. Ein Beispiel: Eine Dachdeckerei veröffentlicht ein KI-generiertes Bild von einem fertig gedeckten Dach. Auf dem Bild ist außerdem ein echt wirkender Mitarbeiter zu sehen. Tatsächlich hat der Betrieb dieses Dach nie gedeckt und die dargestellte Person arbeitet dort nicht oder existiert überhaupt nicht. Das Bild könnte von Kundinnen und Kunden für eine echte Referenz des Unternehmens gehalten werden. Deshalb muss klar erkennbar sein, dass es mit KI erstellt wurde.
Gleiches gilt für realistisch wirkende Bilder von Produkten oder Personen, die nicht existieren, für Fotos von Ereignissen, die nie stattgefunden haben, oder für künstlich erzeugte Interviews, Reden und Stimmen. Auch veränderte Aufnahmen, die einer realen Person Aussagen oder Handlungen zuschreiben, können kennzeichnungspflichtig sein.
Als Kennzeichnung eignen sich beispielsweise Hinweise wie „KI-generiert“, „Mit KI erstellt“ oder „KI-generierte Darstellung“. Der Hinweis muss für Menschen erkennbar sein. Eine versteckte Information in den Metadaten reicht für den veröffentlichenden Betrieb nicht aus. Als einfache Faustregel gilt: Könnte ein KI-Inhalt für ein echtes Foto, eine echte Person, ein echtes Produkt oder ein tatsächliches Ereignis gehalten werden, muss die Kennzeichnung geprüft werden.
Was gilt für KI-generierte Texte?
Auch KI-generierte oder wesentlich veränderte Texte können von der Transparenzpflicht betroffen sein. Das gilt vor allem dann, wenn sie veröffentlicht werden und die Öffentlichkeit über Themen von öffentlichem Interesse informieren sollen. Dazu zählen beispielsweise Politik, Wirtschaft, Gesundheit, Sicherheit oder gesellschaftliche Entwicklungen.
Eine Kennzeichnung ist in der Regel nicht notwendig, wenn eine fachkundige Person den Inhalt tatsächlich geprüft hat, der Text redaktionell bearbeitet wurde und eine Person oder ein Unternehmen die Verantwortung für die Veröffentlichung übernimmt.
Für einen betrieblichen Website-Beitrag bedeutet das: Wird ein KI-Entwurf inhaltlich kontrolliert, überarbeitet und freigegeben, muss er in der Regel nicht als KI-Text gekennzeichnet werden.
Was sollten Betriebe jetzt tun?
Für die meisten Unternehmen ist kein kompliziertes Prüfverfahren notwendig. Sie sollten sich aber einen Überblick darüber verschaffen, welche KI-Programme im Betrieb verwendet werden und wofür sie eingesetzt werden. Klare interne Regeln helfen, Fehler zu vermeiden. Mitarbeitende sollten wissen, welche Daten sie eingeben dürfen, wie KI-Ergebnisse kontrolliert werden und in welchen Bereichen besondere Vorsicht notwendig ist. Bei Anwendungen im Personal-, Kredit- oder Sicherheitsbereich sollte genau geprüft werden, ob Hochrisiko-KI vorliegt. Bei Bildern, Videos und Audioinhalten ist entscheidend, ob sie für echt gehalten werden können.
Der AI Act verbietet den Einsatz von KI im Betrieb also nicht. Er verlangt aber, dass Unternehmen die Verantwortung behalten, Risiken erkennen und bei veröffentlichten KI-Inhalten für die notwendige Transparenz sorgen.