Mit der EU-weiten KI-Verordnung (AI Act) kommt eine umfassende Regulierungswelle auf Unternehmen in Europa zu. Für den deutschen Mittelstand wird dies nun ganz konkret: Im aktuellen Referentenentwurf zum KI-Marktüberwachungsgesetz (KIMÜG) definiert der nationale Gesetzgeber, wer in Deutschland die Einhaltung der Verordnung überwacht und welche Konsequenzen die Ignorierung von Compliance-Anforderungen hat.
Für Entscheider ist damit der Zeitpunkt gekommen, mit der Risikoanalyse und dem Aufbau einer belastbaren KI-Governance zu beginnen.
Risiko-Check: Welche Pflichten betreffen Ihr Unternehmen?
Der zentrale Ansatz des AI Act ist risikobasiert. Bevor Sie handeln können, müssen Sie wissen, in welche Rolle (Anbieter, Betreiber oder Importeur) Ihr Unternehmen fällt und in welche Risikokategorie Ihre KI-Systeme eingestuft werden.
Die Verordnung unterscheidet hierbei drei wesentliche Kategorien von KI-Systemen, die unmittelbare Pflichten auslösen:
- KI-Systeme mit unannehmbarem Risiko
Diese Systeme sind strengstens verboten und müssen umgehend vom Markt genommen werden. Dazu zählen Praktiken wie systematisches Social Scoring oder KI zur Emotionserkennung am Arbeitsplatz. Hier gilt die Kernpflicht: Verbot und Abbau dieser Systeme. - KI-Systeme mit hohem Risiko
Diese Kategorie ist für den deutschen Mittelstand von besonderer Relevanz. Hierzu zählen alle KI-Anwendungen, die in sensiblen Bereichen wie HR-Tools (z.B. für die Bewerberauswahl), in der kritischen Infrastruktur (z.B. Energie, Logistik), im Gesundheitswesen oder bei der Vergabe von Krediten zum Einsatz kommen. Für diese Systeme gelten strenge Regulierungspflichten.
Unter anderem müssen sie ein umfassendes Risikomanagementsystem einführen, eine detaillierte technische Dokumentation erstellen, die Einhaltung hoher Datenqualitätsstandards gewährleisten und eine Konformitätsbewertung durchführen, bevor die KI in Verkehr gebracht wird. - KI-Systeme mit begrenztem Risiko
Diese Systeme bergen nur ein geringes Risiko, lösen jedoch klare Transparenzpflichten aus. Dies ist vor allem beim Einsatz von Chatbots oder bei der Generierung von Inhalten (Texte, Bilder) für Kunden relevant. Die Kernpflicht lautet hier: Kennzeichnung. Nutzer müssen eindeutig darüber informiert werden, dass sie mit einer KI interagieren. Synthetische Inhalte (z.B. Deepfakes) müssen entsprechend als künstlich erstellt gekennzeichnet werden.
Ihre erste Aufgabe besteht darin, eine Inventur aller eingesetzten KI-Systeme durchzuführen und diese einer Risikoklasse zuzuordnen. Nur so können Sie den erforderlichen Aufwand abschätzen.
Die derzeit wichtigsten Aspekte
Unabhängig von der Risikoklasse Ihrer KI-Anwendungen sollten Sie sich mit zwei universellen Themen befassen, die bereits heute rechtlich relevant sind:
A. Die Pflicht zur KI-Kompetenz (Art. 4 KI-VO)
Dies ist eine der frühesten Pflichten und gilt seit Februar 2025 für alle Anbieter und Betreiber.
Unternehmen sind verpflichtet, dafür zu sorgen, dass ihr Personal, das KI-Systeme nutzt oder bedient, über ausreichende Kenntnisse verfügt. Dies betrifft nicht nur die technische Bedienung, sondern auch das Verständnis für die Chancen, Risiken und rechtlichen Implikationen der KI.
Erarbeiten Sie daher interne Schulungspläne und Nutzungsrichtlinien. Im Zweifel müssen Sie nachweisen können, dass Ihre Mitarbeiter im Umgang mit KI geschult wurden. Unsere Online-Kurse zu KI sind hierfür das richtige Werkzeug.
B. Das große Bußgeldrisiko
Die Sanktionen nach dem AI Act sind ähnlich drastisch wie die der Datenschutz-Grundverordnung und stellen ein existentielles Risiko dar. Das KIMÜG schafft die hierfür erforderlichen nationalen Vollstreckungsmechanismen.
- Verstöße gegen die Verbote (unannehmbares Risiko) können mit bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes des Unternehmens im vorangegangenen Geschäftsjahr geahndet werden.
- Verstöße gegen die Kernpflichten (z.B. bei Hochrisiko-KI) können bis zu 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes kosten.
KI-Compliance ist damit kein rein IT-internes Thema mehr, sondern gehört zwingend in das operative Risikomanagement der Geschäftsführung.
Wer überwacht Sie in Deutschland?
Der Gesetzgeber muss klare Strukturen für die Marktüberwachung schaffen. Der Referentenentwurf des KIMÜG sieht die Bundesnetzagentur (BNetzA) in einer zentralen Rolle. Die BNetzA wird voraussichtlich die zentrale Marktüberwachungsbehörde sein und ist dann Ihre primäre Ansprechpartnerin für die Durchsetzung der KI-Verordnung. Dies gilt insbesondere für Bereiche ohne spezifische sektorielle Aufsicht, beispielsweise KI am Arbeitsplatz oder in kritischen Infrastrukturen.
Die BNetzA wird auch ein Koordinierungs- und Kompetenzzentrum (UKIM) einrichten, um die Zusammenarbeit mit anderen Behörden (z.B. Datenschutz, sektorspezifische Aufsicht) sicherzustellen.
Damit erhält die Behörde umfassende Befugnisse, Konformität zu prüfen, Audits durchzuführen und im Falle von Verstößen Sanktionen zu verhängen.
Fazit: Jetzt handeln, Governance aufbauen
Der AI Act ist mehr als nur ein Gesetz – er ist ein Qualitätssiegel für vertrauenswürdige KI. Für den deutschen Mittelstand ist es von entscheidender Bedeutung, vom passiven Beobachter zum aktiven Gestalter der KI-Compliance zu werden.
Ihre nächsten Schritte als Entscheider:
- Rollenklärung & Inventur: Identifizieren Sie Ihre Rolle und das Risikoprofil aller KI-Systeme.
- Ressourcen & Kompetenz: Stellen Sie finanzielle und personelle Ressourcen bereit, um die Pflicht zur KI-Kompetenz im Unternehmen zu erfüllen.
- Governance-Struktur: Beginnen Sie mit der Implementierung eines Risikomanagement-Prozesses für Hochrisiko-KI-Systeme.
Dabei müssen Sie nicht auf sich allein gestellt sein. Wir unterstützen Sie dabei, Ihre KI-Systeme rechtssicher zu inventarisieren, ein Risikomanagementsystem aufzubauen und Ihre Mitarbeiter auf die KI-Kompetenzpflicht vorzubereiten. Sprechen Sie uns an, um Ihre KI-Governance jetzt belastbar zu gestalten und Risiken in Wettbewerbsvorteile umzuwandeln.
