Der EU AI Act (Artificial Intelligence Act) ist das weltweit erste umfassende Regelwerk für Künstliche Intelligenz. Er wurde am 13. März 2024 vom Europäischen Parlament verabschiedet und tritt schrittweise ab 2024/2025 in Kraft.

Der EU AI Act ist das weltweit erste umfassende KI-Regelwerk. Sein Prinzip: Je höher das Risiko für Grundrechte und Sicherheit, desto strenger die Regeln.

Der EU AI Act ist eine EU-Verordnung, die direkt in allen 27 EU-Mitgliedstaaten gilt, ohne dass nationale Umsetzungsgesetze erforderlich sind. Er umfasst 180 Artikel und 13 Anhänge und reguliert die Entwicklung, das Inverkehrbringen und die Nutzung von KI-Systemen.

Wichtigste Ziele des EU AI Act: • Schutz der Grundrechte und der Sicherheit der EU-Bürger • Förderung vertrauenswürdiger KI durch klare Regeln • Rechtssicherheit für Unternehmen und Innovationsförderung • Einheitlicher EU-Binnenmarkt für KI-Systeme • Risikoorientierter Ansatz: Je höher das Risiko, desto strenger die Regeln • Transparenz bei der Nutzung von KI-Systemen

Warum ist der EU AI Act wichtig? KI durchdringt immer mehr Lebensbereiche: von Bewerbungssystemen über medizinische Diagnosen bis hin zu Kreditentscheidungen. Ohne Regulierung könnten diskriminierende oder gefährliche KI-Systeme unkontrolliert eingesetzt werden.

Verstöße gegen den EU AI Act können zu erheblichen Bußgeldern führen! Die höchsten Strafen: • Verbotene KI-Systeme: Bis zu 35 Mio. € oder 7% des weltweiten Jahresumsatzes • Nichteinhaltung von Anforderungen: Bis zu 15 Mio. € oder 3% des Jahresumsatzes • Falsche Informationen an Behörden: Bis zu 7,5 Mio. € oder 1% des Jahresumsatzes

Auch für KMUs gibt es Strafen - bereits ab 40.000 € bei kleineren Verstößen![/WARNING]

Für Sie als Mitarbeiter bedeutet das: Sie arbeiten möglicherweise täglich mit KI-Systemen - ob ChatGPT für E-Mails, automatisierte Bewerbungssoftware, KI-gestützte Kundenanalysen oder Chatbots. Der falsche Einsatz kann rechtliche Konsequenzen haben.

Praxisfall: Diskriminierende KI-Rekrutierung Ein Unternehmen setzt eine KI ein, die Bewerbungen automatisch vorselektiert. Die KI bevorzugt systematisch männliche Bewerber, weil sie auf historischen Daten trainiert wurde, in denen überwiegend Männer eingestellt wurden.

Folgen: ✗ Verstoß gegen den AI Act (diskriminierende KI) ✗ Verstoß gegen Gleichbehandlungsgesetze ✗ Mögliches Bußgeld bis zu 15 Mio. € oder 3% des Umsatzes ✗ Reputationsschaden[/EXAMPLE]

Best Practice für den Alltag: ✓ Prüfen Sie, ob die von Ihnen genutzte KI den AI Act-Anforderungen entspricht ✓ Dokumentieren Sie, welche KI-Systeme Sie einsetzen ✓ Bei Hochrisiko-KI: Besondere Vorsicht und Rücksprache mit Vorgesetzten ✓ Transparenz: Informieren Sie Betroffene, wenn KI-Entscheidungen getroffen werden

Wer ist vom EU AI Act betroffen?

Anbieter

Entwickeln oder vertreiben KI-Systeme in der EU.

Betreiber/Nutzer

Setzen KI-Systeme in der EU ein.

Importeure

Bringen KI-Systeme aus Drittländern in die EU.

Händler

Vertreiben KI-Systeme.

Hersteller von Produkten

Integrieren KI in ihre Produkte.

Der EU AI Act gilt auch für Unternehmen außerhalb der EU, wenn ihre KI-Systeme in der EU genutzt werden (extraterritoriale Wirkung)!

Zeitplan für das Inkrafttreten:

1. 6 Monate nach Inkrafttreten (ca. Februar 2025) – Verbot bestimmter KI-Praktiken.
2. 12 Monate (ca. August 2025) – Regeln für KI-Modelle mit allgemeinem Verwendungszweck.
3. 36 Monate (ca. August 2027) – Vollständige Anwendung aller Vorschriften.

Was ist ein KI-System nach EU AI Act? Ein "System", das auf der Grundlage automatisierter Verfahren aus den ihm zur Verfügung gestellten Eingabedaten Schlussfolgerungen ableitet, mit dem Ziel, Inhalte, Vorhersagen, Empfehlungen oder Entscheidungen zu generieren, die Umgebungen beeinflussen können.

Der AI Act kennt vier Risikoklassen: verboten, hochriskant, begrenztes Risiko (Transparenzpflicht) und minimales Risiko. Je höher das Risiko, desto strenger die Regeln.

Wichtig: Die Definition ist bewusst weit gefasst! Auch einfache Algorithmen können als KI-System gelten, wenn sie automatisiert Entscheidungen treffen oder Vorhersagen erstellen.

Beispiele für KI-Systeme: • Machine Learning: Systeme, die aus Daten lernen (z.B. Spam-Filter, Empfehlungsalgorithmen) • Computer Vision: Bild- und Gesichtserkennung, Objekterkennung • Natural Language Processing: ChatGPT, Übersetzungssoftware, Sprachassistenten • Generative AI: DALL-E, Midjourney, Text-Generatoren • Robotik: Autonome Fahrzeuge, Industrieroboter • Empfehlungssysteme: YouTube-Algorithmen, Amazon-Produktempfehlungen

Die vier Risikoklassen des EU AI Act:

Der EU AI Act verwendet einen risikobasierten Ansatz: Je höher das Risiko für Grundrechte und Sicherheit, desto strenger die Anforderungen.

1. Unzulässig (Verboten)

Verletzen fundamentale Grundrechte und sind grundsätzlich verboten – z.B. Social Scoring.

2. Hochrisiko

Erhebliches Risiko für Gesundheit, Sicherheit oder Grundrechte – nur unter strengen Auflagen erlaubt.

3. Begrenztes Risiko

Transparenzpflichten – Nutzer müssen z.B. wissen, dass sie mit einem Chatbot sprechen.

4. Minimales Risiko

Die meisten KI-Systeme – keine speziellen Pflichten, nur allgemeine EU-Gesetze.

1. UNZULÄSSIGE KI (Verboten): Diese KI-Systeme sind grundsätzlich verboten, weil sie fundamentale Grundrechte verletzen.

Verboten sind: • Soziale Bewertungssysteme (Social Scoring) durch Behörden • Biometrische Echtzeitidentifizierung im öffentlichen Raum durch Strafverfolgung (mit Ausnahmen) • Emotionserkennung am Arbeitsplatz oder in Bildungseinrichtungen • Manipulation von Verhalten durch unterschwellige Techniken • Ausnutzung von Schutzbedürftigkeit (Kinder, Behinderte, ältere Menschen) • Predictive Policing basierend auf Profiling • Scraping biometrischer Daten aus dem Internet für Gesichtserkennungsdatenbanken

Achtung: Ausnahmen bei biometrischer Echtzeiterkennung! Strafverfolgungsbehörden dürfen unter strengen Voraussetzungen biometrische Echtzeitidentifizierung nutzen: • Gezielte Suche nach vermissten Personen oder Opfern • Abwehr konkreter Gefahren (Terroranschläge) • Verfolgung schwerer Straftaten → Aber nur mit richterlicher Genehmigung und zeitlicher/räumlicher Begrenzung!

2. HOCHRISIKO-KI: KI-Systeme, die ein erhebliches Risiko für Gesundheit, Sicherheit oder Grundrechte darstellen. Sie dürfen nur unter strengen Auflagen eingesetzt werden.

Hochrisiko-KI-Systeme sind: • Sicherheitskomponenten in kritischer Infrastruktur (Verkehr, Energie, Wasser) • Bildung und Beruf: KI zur Bewertung von Lernenden, Prüfungsaufsicht, Bewerberauswahl • Arbeitsverwaltung: Personalverwaltung, Bewerberauswahl, Leistungsüberwachung • Zugang zu öffentlichen Leistungen: Kreditscoring, Sozialleistungen, Notdienste • Strafverfolgung: Vorhersagesysteme, Profiling, Lügendetektion, Bewertung von Beweisen • Migration und Grenzschutz: Visaprüfung, Authentifizierung, Risikobewertung • Rechtspflege: Unterstützung bei Rechtsrecherche, Auslegung von Gesetzen

Praxisbeispiele für Hochrisiko-KI:

Bewerbermanagement-System: Ein Unternehmen nutzt eine KI, die aus 10.000 Bewerbungen die "besten 50" automatisch auswählt. → HOCHRISIKO, weil es Grundrechte auf Gleichbehandlung betrifft.

Gesichtserkennung am Flughafen: Automatische biometrische Authentifizierung beim Grenzübertritt. → HOCHRISIKO, weil es Sicherheit und Grundrechte betrifft.

KI-gestützte Kreditvergabe: Algorithmus entscheidet automatisch über Kreditwürdigkeit. → HOCHRISIKO, weil es Zugang zu Finanzdienstleistungen betrifft.[/EXAMPLE]

3. KI MIT BEGRENZTEM RISIKO (Transparenzpflichten): Diese KI-Systeme müssen Transparenzanforderungen erfüllen, damit Nutzer informierte Entscheidungen treffen können.

Betroffen sind: • Chatbots und Konversationssysteme: Nutzer müssen wissen, dass sie mit KI interagieren • Emotionserkennungssysteme: Nutzer müssen informiert werden • Biometrische Kategorisierung: Nutzer müssen informiert werden • Deepfakes: Müssen als KI-generiert gekennzeichnet sein

Pflichten bei Chatbots: ✓ Nutzer muss klar erkennen können, dass er mit KI spricht ✓ Am Anfang des Gesprächs deutlicher Hinweis ✓ Erkennbare Kennzeichnung im Interface (z.B. "KI-Assistent") ✓ Bei sensiblen Themen: Option zum menschlichen Kontakt anbieten

4. MINIMALES RISIKO (Keine speziellen Pflichten): Die meisten KI-Systeme fallen in diese Kategorie. Es gelten nur die allgemeinen EU-Gesetze (DSGVO, Produktsicherheit, etc.).

Beispiele: • Spam-Filter in E-Mail-Programmen • Rechtschreibkorrektur und Grammatikprüfung • Spiele-KI (Computer-Gegner in Videospielen) • Empfehlungssysteme bei Netflix oder Spotify • Bildbearbeitungs-KI (Hintergrundentfernung, Filter)

Freiwillige Verhaltenskodizes: Auch für Minimal-Risiko-KI können Unternehmen freiwillige Verhaltenskodizes anwenden, um Vertrauen zu schaffen und Best Practices zu etablieren.

Hochrisiko-KI-Systeme müssen strenge Anforderungen erfüllen, bevor sie in Verkehr gebracht oder in Betrieb genommen werden dürfen. Diese Anforderungen sind in Artikel 8-15 des EU AI Act festgelegt.

Hochrisiko-KI muss sieben Kernanforderungen erfüllen: Risikomanagement, Daten-Governance, Dokumentation, Logging, Transparenz, menschliche Aufsicht sowie Genauigkeit/Robustheit/Cybersicherheit.

Risikomanagement (Art. 9)

Risiken systematisch identifizieren, bewerten und mindern – laufend aktualisiert.

Daten-Governance (Art. 10)

Trainingsdaten müssen relevant, repräsentativ, fehlerfrei und verzerrungsfrei sein.

Technische Dokumentation (Art. 11)

Vollständige, aktuelle Beschreibung von System, Daten und Risiken.

Logging (Art. 12)

Automatische Aufzeichnung von Ereignissen und Nutzungen.

Transparenz (Art. 13)

Verständliche Nutzerinformationen zu Funktionsweise, Grenzen und Leistung.

Menschliche Aufsicht (Art. 14)

Menschen können KI-Entscheidungen überwachen, übersteuern und stoppen.

Genauigkeit & Sicherheit (Art. 15)

Genau, robust gegen Manipulation und gegen Cyberangriffe geschützt.

1. Risikomanagement-System (Art. 9) Anbieter müssen ein umfassendes Risikomanagementsystem etablieren und dokumentieren.

Anforderungen: • Identifizierung und Analyse bekannter und vorhersehbarer Risiken • Bewertung von Risiken bei vernünftigerweise vorhersehbarer Fehlanwendung • Bewertung von Risiken aufgrund möglicher biometrischer Fehler • Bewertung von Risiken aus der Interaktion mit anderen Systemen • Maßnahmen zur Risikominderung • Kontinuierliche Überwachung und Aktualisierung

Praktische Umsetzung des Risikomanagements: ✓ Risikoregister anlegen und pflegen ✓ Regelmäßige Risikobewertungen (mindestens jährlich) ✓ Tests mit verschiedenen Nutzergruppen ✓ Post-Market-Monitoring: Was passiert in der Praxis? ✓ Incident-Response-Plan für den Fall von Problemen

2. Daten-Governance (Art. 10) Die Qualität der Trainingsdaten ist entscheidend für die Qualität der KI.

Anforderungen: • Datenqualität: Relevant, repräsentativ, fehlerfrei, vollständig • Verzerrungsfreiheit: Vermeidung von Bias und Diskriminierung • Datenschutz: DSGVO-Konformität • Dokumentation: Herkunft, Eigenschaften, Einschränkungen der Daten • Geeignete Datenverwaltungsverfahren: Datensammlung, Aufbereitung, Kennzeichnung

Häufige Fehler bei Trainingsdaten:

Unterrepräsentation: Eine Gesichtserkennungs-KI wird nur mit Bildern hellhäutiger Menschen trainiert. → Schlechte Erkennung bei dunkelhäutigen Menschen = Diskriminierung!

Veraltete Daten: Ein Bewerbungs-KI trainiert auf Daten aus den 1980er Jahren. → Benachteiligung von Frauen, weil historisch weniger Frauen eingestellt wurden!

Fehlende Datenqualität: Medizinische Diagnose-KI trainiert auf ungenauen oder falsch beschrifteten Daten. → Falsche Diagnosen = Gesundheitsgefahr![/WARNING]

3. Technische Dokumentation (Art. 11) Vollständige und aktuelle technische Dokumentation muss erstellt und gepflegt werden.

Inhalte: • Allgemeine Beschreibung des KI-Systems • Entwicklungsprozess und -methoden • Beschreibung der Daten (Trainings-, Validierungs-, Testdaten) • Leistungsmetriken des Systems • Risikobewertung und Maßnahmen zur Risikominderung • Spezifikationen des Systems • Änderungshistorie

4. Aufzeichnungspflichten (Logging) (Art. 12) Hochrisiko-KI-Systeme müssen so gestaltet sein, dass eine automatische Aufzeichnung von Ereignissen möglich ist.

Was muss aufgezeichnet werden: • Zeitpunkt der einzelnen Nutzungen • Referenzdatenbank, die genutzt wurde • Eingabedaten, die zu einer Übereinstimmung geführt haben • Identifikation der natürlichen Personen, die an der Überprüfung beteiligt waren • Ergebnisse und Vertrauensscores

Praxisbeispiel - Logging bei KI-Bewerbungssystem:

Das System muss protokollieren: ✓ Wann wurde eine Bewerbung verarbeitet? ✓ Welche Eingabedaten wurden verwendet? (Lebenslauf, Zeugnisse, etc.) ✓ Welche Entscheidung wurde getroffen? (Ablehnung, Vorauswahl, etc.) ✓ Welcher Score wurde vergeben? ✓ Wer hat das Ergebnis überprüft? (menschliche Überprüfung) ✓ Wurde die Entscheidung geändert? Wenn ja, warum?

Aufbewahrungsdauer: Mindestens 6 Monate, ggf. länger je nach nationalen Gesetzen.[/EXAMPLE]

5. Transparenz und Informationspflichten (Art. 13) Nutzer müssen klar und verständlich über die KI informiert werden.

Anforderungen: • Benutzerhandbuch: Verständlich, vollständig, aktuell • Funktionsweise: Wie trifft die KI Entscheidungen? • Fähigkeiten und Grenzen: Was kann die KI, was nicht? • Leistung: Wie genau ist die KI? (Fehlerraten, Genauigkeit) • Sicherheitsmaßnahmen: Welche Schutzmaßnahmen gibt es? • Erwartete Lebensdauer: Wie lange ist die KI nutzbar?

Best Practice für Nutzerinformationen: ✓ Verwenden Sie einfache, nicht-technische Sprache ✓ Geben Sie konkrete Zahlen zur Genauigkeit an (z.B. "95% Erkennungsrate") ✓ Nennen Sie bekannte Grenzen und Risiken ✓ Bieten Sie Schulungen für Nutzer an ✓ Stellen Sie einen Ansprechpartner für Rückfragen bereit

6. Menschliche Aufsicht (Art. 14) Hochrisiko-KI-Systeme müssen so gestaltet sein, dass sie von natürlichen Personen wirksam überwacht werden können.

Anforderungen: • Verständlichkeit: Ausgaben der KI müssen interpretierbar sein • Eingriffsmöglichkeiten: Menschen können KI-Entscheidungen übersteuern • Stop-Funktion: System kann jederzeit gestoppt werden • Alarmfunktion: Bei Anomalien oder Problemen werden Menschen alarmiert

Human-in-the-Loop vs. Human-on-the-Loop:

Human-in-the-Loop (Mensch IM Prozess): KI schlägt vor → Mensch entscheidet → Erst dann wird gehandelt Beispiel: Kreditentscheidung wird von KI empfohlen, aber von Bankmitarbeiter final entschieden.

Human-on-the-Loop (Mensch AUF dem Prozess): KI entscheidet → Mensch überwacht → Kann bei Bedarf eingreifen Beispiel: Autonomes Fahrzeug fährt selbst, aber Fahrer kann jederzeit übernehmen.

Beide Modelle sind zulässig, je nach Risiko und Kontext![/EXAMPLE]

7. Genauigkeit, Robustheit und Cybersicherheit (Art. 15)

Genauigkeit: • System muss so genau wie möglich sein • Genauigkeitsmetriken müssen dokumentiert sein • Fehlerraten müssen bekannt und akzeptabel sein

Robustheit: • System muss auch bei ungewöhnlichen Eingaben stabil sein • Widerstandsfähig gegen Manipulation (Adversarial Attacks) • Fehlertoleranz bei technischen Problemen

Cybersicherheit: • Schutz vor Hackerangriffen • Verschlüsselung sensibler Daten • Regelmäßige Security-Updates • Incident-Response-Planung

Achtung bei Adversarial Attacks!

Angreifer können KI-Systeme gezielt täuschen: • Gesichtserkennung durch spezielle Muster auf Kleidung austricksen • Spam-Filter durch geschickte Formulierungen umgehen • Autonome Fahrzeuge durch manipulierte Verkehrsschilder verwirren

Gegenmaßnahmen: ✓ Adversarial Training (Training mit "feindlichen" Beispielen) ✓ Input-Validierung und Anomalie-Erkennung ✓ Regelmäßige Penetrationstests ✓ Logging und Monitoring für ungewöhnliche Muster[/WARNING]

Der EU AI Act definiert klare Rollen und Pflichten für verschiedene Akteure in der KI-Wertschöpfungskette.

Jede Rolle hat eigene Pflichten. Merken Sie sich vor allem: Wer eine KI erheblich verändert (z.B. Nachtraining), wird selbst zum Anbieter – mit allen strengen Anbieter-Pflichten.

Anbieter (Provider)

Entwickelt die KI und bringt sie unter eigenem Namen in Verkehr – trägt die Hauptlast der Pflichten.

Betreiber/Nutzer (Deployer)

Setzt die KI unter eigener Autorität ein – muss Anweisungen befolgen und Aufsicht sicherstellen.

Importeur

Bringt KI aus Drittländern in die EU – prüft Konformität des Anbieters.

Händler

Vertreibt KI im EU-Markt – prüft CE-Kennzeichnung und Dokumente.

Bevollmächtigte

In der EU ansässige Kontaktperson des Anbieters gegenüber Behörden.

1. ANBIETER (Provider) Ein Anbieter entwickelt ein KI-System oder lässt es entwickeln und bringt es unter eigenem Namen oder eigener Marke in Verkehr oder nimmt es in Betrieb.

Hauptpflichten für Anbieter von Hochrisiko-KI:

• Konformitätsbewertung durchführen (Art. 43)

• CE-Kennzeichnung anbringen (Art. 49)

• Registrierung in EU-Datenbank (Art. 51)

• Post-Market-Monitoring (Art. 72)

• Meldung schwerwiegender Zwischenfälle (Art. 73)

Praxisbeispiel - Pflichten eines KI-Anbieters:

Ein Softwareunternehmen entwickelt ein KI-System zur automatischen Bewertung von Kreditanträgen (= Hochrisiko-KI).

Pflichten: ✓ Technische Dokumentation erstellen (200+ Seiten) ✓ Risikobewertung durchführen und dokumentieren ✓ Konformitätsbewertungsverfahren durchlaufen ✓ CE-Kennzeichnung anbringen ✓ In EU-Datenbank registrieren ✓ Benutzerhandbuch in allen relevanten Sprachen bereitstellen ✓ Post-Market-Monitoring-System aufbauen ✓ Supportkanal für Kunden einrichten ✓ Qualitätsmanagementsystem etablieren ✓ Bei Vorfällen: Meldung innerhalb von 15 Tagen[/EXAMPLE]

2. BETREIBER / NUTZER (Deployer) Ein Betreiber ist eine natürliche oder juristische Person, die ein KI-System unter ihrer Autorität nutzt.

Hauptpflichten für Betreiber von Hochrisiko-KI:

• Anweisungen des Anbieters befolgen (Art. 26)

• Menschliche Aufsicht sicherstellen (Art. 26)

• Eingabedaten überwachen (Art. 26)

• Logging und Aufzeichnungen nutzen (Art. 26)

• Folgenabschätzung bei Grundrechtsrisiken (Art. 27)

Achtung: Betreiber können zu Anbietern werden!

Wenn ein Betreiber ein KI-System erheblich verändert, wird er zum Anbieter mit allen entsprechenden Pflichten!

Beispiele für "erhebliche Veränderung": • Nachtraining der KI mit eigenen Daten • Änderung des Verwendungszwecks • Wesentliche Änderung der Architektur oder Algorithmen

→ Dann gelten ALLE Anbieter-Pflichten (Konformitätsbewertung, CE-Kennzeichnung, etc.)![/WARNING]

3. IMPORTEURE Bringen KI-Systeme aus Drittländern in die EU.

Pflichten: • Überprüfung der Konformität des Anbieters • Name und Kontaktdaten auf System anbringen • Bei Nicht-Konformität: Anbieter informieren, System nicht in Verkehr bringen • Behörden bei Prüfungen unterstützen

4. HÄNDLER Vertreiben KI-Systeme im EU-Markt.

Pflichten: • Überprüfung der CE-Kennzeichnung • Überprüfung der Konformitätserklärung • Überprüfung der Begleitdokumente • Bei Nicht-Konformität: System nicht in Verkehr bringen • Rückverfolgbarkeit sicherstellen

Praktische Checkliste für Betreiber:

Vor Einführung einer Hochrisiko-KI: □ Risikobewertung durchführen □ Folgenabschätzung für Grundrechte erstellen □ Technische Dokumentation vom Anbieter anfordern und prüfen □ Benutzerhandbuch sorgfältig lesen □ Personal schulen □ Aufsichtsmechanismen etablieren □ Logging-System einrichten □ Datenschutz-Folgenabschätzung (DSGVO) durchführen □ Betriebsrat informieren (falls vorhanden) □ Interne Richtlinien anpassen

Nach Einführung: □ Regelmäßige Qualitätskontrollen □ Monitoring der KI-Entscheidungen □ Feedback von Nutzern sammeln □ Protokolle regelmäßig prüfen □ Vorfälle dokumentieren □ Bei Problemen: Anbieter kontaktieren[/TIP]

5. BEVOLLMÄCHTIGTE In der EU ansässige Person, die vom Anbieter mit bestimmten Aufgaben beauftragt wird.

Pflichten: • Ansprechpartner für Behörden sein • Kopie der Konformitätserklärung bereithalten • Technische Dokumentation bereithalten • Behörden bei Anfragen unterstützen

Zusätzliche Pflichten bei General Purpose AI (GPAI):

"Foundation Models" (große KI-Modelle mit allgemeinem Verwendungszweck wie GPT-4, Claude, Gemini) haben zusätzliche Pflichten:

• Technische Dokumentation erstellen
• Informationen für nachgelagerte Anbieter bereitstellen
• Urheberrechts-Compliance (Trainingsdaten)
• Risikomanagement und Evaluation
• Bei "systemischem Risiko" (sehr mächtige Modelle):

Zusammenarbeit zwischen Anbieter und Betreiber:

Eine erfolgreiche KI-Implementierung erfordert enge Zusammenarbeit:

Anbieter muss liefern: • Vollständige und verständliche Dokumentation • Schulungsunterlagen • Technischer Support • Updates und Patches • Informationen über erkannte Probleme

Betreiber muss kommunizieren: • Feedback aus der Praxis • Erkannte Probleme oder Risiken • Zwischenfälle oder Beinahe-Unfälle • Wünsche für Verbesserungen • Änderungen im Nutzungskontext

Der EU AI Act sieht umfassende Transparenzpflichten vor, damit Betroffene erkennen können, wann sie mit KI-Systemen interagieren.

Grundregel der Transparenz: Menschen müssen erkennen können, wann sie mit KI interagieren oder KI-generierte Inhalte sehen – Chatbots, Deepfakes und Emotionserkennung müssen gekennzeichnet werden.

1. Transparenz bei KI-generierten Inhalten

Deepfakes und synthetische Inhalte (Art. 50)

Wenn Bild-, Audio- oder Videoinhalte KI-generiert oder KI-manipuliert sind, müssen sie klar als solche gekennzeichnet werden.

Anforderungen: • Erkennbare Kennzeichnung: Für Menschen leicht erkennbar • Maschinenlesbare Kennzeichnung: Technische Metadaten für automatische Erkennung • Ausnahmen: Wenn offensichtlich satirisch, künstlerisch oder fiktional

Besonders streng bei "Deepfakes":

Ein Deepfake ist eine KI-manipulierte Darstellung einer existierenden Person, die: • Täuschend echt wirkt • Den Eindruck erweckt, echt zu sein • Die Person Dinge sagen oder tun lässt, die sie nicht gesagt/getan hat

Pflichten: ✓ SEHR deutliche Kennzeichnung erforderlich ✓ Kann nicht "versteckt" werden ✓ Muss für Durchschnittsnutzer sofort erkennbar sein

Ausnahme: Mit ausdrücklicher Zustimmung der dargestellten Person[/WARNING]

Praxisbeispiele für Kennzeichnung:

KI-generiertes Werbevideo: "Dieses Video wurde vollständig durch Künstliche Intelligenz erstellt. Es zeigt keine realen Aufnahmen." + Wasserzeichen: "AI-Generated"

KI-manipuliertes Politikerfoto: "Warnung: Dieses Bild wurde durch KI verändert und zeigt nicht die Originalsituation." + Rahmen mit Warnfarbe + Metadaten: "AI-Modified: Yes, Original-Source: None"

Sprachsynthese in Hörbuch: "Diese Stimme wurde durch KI generiert und basiert nicht auf einer echten Aufnahme." + Im Audio-Player: Symbol für "Synthetische Stimme"[/EXAMPLE]

2. Chatbots und Konversationssysteme (Art. 50)

Wenn Nutzer mit einem KI-System interagieren, müssen sie darüber informiert werden.

Anforderungen: • Klare Information zu Beginn: "Sie chatten mit einem KI-Assistenten" • Kontinuierliche Erkennbarkeit: Durchgehend klar, dass es KI ist • Ausnahmen: Wenn offensichtlich (z.B. bei Spielen)

Best Practices für Chatbot-Kennzeichnung:

Zu Beginn: ✓ "Hallo! Ich bin ein KI-Assistent von [Firma] und helfe Ihnen gerne weiter." ✓ "Hinweis: Dies ist ein automatisiertes System. Für komplexe Anliegen verbinde ich Sie mit einem menschlichen Mitarbeiter."

Während des Gesprächs: ✓ KI-Symbol im Interface (z.B. Roboterkopf statt Profilfoto) ✓ Farbmarkierung (z.B. KI-Nachrichten in anderer Farbe) ✓ Ständig sichtbarer Hinweis: "KI-Chat"

Bei kritischen Entscheidungen: ✓ "Als KI-System kann ich diese Entscheidung nicht allein treffen. Ich verbinde Sie mit unserem Team." ✓ Eskalationsoption zu menschlichem Mitarbeiter[/TIP]

3. Emotionserkennung und biometrische Kategorisierung (Art. 50)

Wenn KI-Systeme Emotionen erkennen oder Personen biometrisch kategorisieren, müssen die Betroffenen informiert werden.

Pflichten: • Vor der Verarbeitung: Information über Zweck und Funktionsweise • Klare Sprache: Verständlich für Laien • Opt-Out-Option: Wenn rechtlich möglich

Praxisfall - Emotionserkennung im Kundenservice:

Ein Callcenter nutzt eine KI, die anhand der Stimme die Stimmung des Anrufers analysiert.

Erforderliche Information: "Hinweis: In diesem Gespräch verwenden wir eine KI-gestützte Stimmungsanalyse, um Ihnen besser helfen zu können. Ihre Stimme wird analysiert, um Zufriedenheit, Frustration oder andere Emotionen zu erkennen. Diese Analyse dient ausschließlich der Verbesserung unseres Service. Sie können der Analyse widersprechen, ohne dass Ihnen Nachteile entstehen."[/EXAMPLE]

4. Transparenz bei Hochrisiko-KI-Systemen

Über die allgemeinen Transparenzpflichten hinaus müssen Hochrisiko-KI-Systeme zusätzliche Informationen bereitstellen:

Für Betreiber (die die KI einsetzen): • Detaillierte technische Dokumentation • Benutzerhandbuch mit klaren Anweisungen • Informationen über Genauigkeit und Fehlerraten • Bekannte Einschränkungen und Risiken • Anforderungen an menschliche Aufsicht

Für Betroffene (deren Daten verarbeitet werden): • Information, dass KI eingesetzt wird • Zweck und Funktionsweise der KI • Logik der Entscheidungsfindung (soweit möglich) • Kontaktstelle für Fragen • Rechte der Betroffenen (Widerspruch, Überprüfung, etc.)

Verbindung zur DSGVO:

Der AI Act ergänzt die DSGVO, ersetzt sie aber nicht!

Bei Verarbeitung personenbezogener Daten durch KI gelten BEIDE Regelwerke:

DSGVO erfordert: • Rechtsgrundlage für Datenverarbeitung • Informationspflichten (Art. 13/14 DSGVO) • Recht auf Auskunft, Löschung, Widerspruch • Recht auf menschliche Entscheidung (Art. 22 DSGVO) • Datenschutz-Folgenabschätzung bei hohem Risiko

AI Act erfordert ZUSÄTZLICH: • Technische Anforderungen an das KI-System • Konformitätsbewertung und CE-Kennzeichnung • Risikomanagement für das KI-System • Post-Market-Monitoring • Meldung von Zwischenfällen

→ Beide Regelwerke müssen gleichzeitig erfüllt werden![/INFO]

5. Dokumentationspflichten

Alle Transparenzmaßnahmen müssen dokumentiert werden:

Was muss dokumentiert werden: • Wann und wie wurden Betroffene informiert? • Welche Informationen wurden bereitgestellt? • In welcher Form (schriftlich, mündlich, digital)? • Wurde die Information verstanden? (bei kritischen Systemen) • Gab es Rückfragen oder Beschwerden? • Wurden Informationen aktualisiert? Wann und warum?

Aufbewahrungsdauer: • Mindestens 5 Jahre nach Ende der Nutzung • Bei kritischen Systemen: Länger (z.B. medizinische KI: 10 Jahre) • Bei Rechtsstreitigkeiten: Bis zur endgültigen Klärung

Praktische Umsetzung der Dokumentationspflichten:

✓ Zentrales Register für alle KI-Systeme führen ✓ Standardisierte Vorlagen für Informationen erstellen ✓ Checklisten für Transparenzmaßnahmen verwenden ✓ Schulungen dokumentieren (wer, wann, was) ✓ Feedback von Nutzern und Betroffenen sammeln ✓ Regelmäßige Audits der Transparenzmaßnahmen ✓ Externe Expertise bei komplexen Systemen einbeziehen[/TIP]

Der EU AI Act schafft ein umfassendes Governance-System zur Überwachung und Durchsetzung der Vorschriften.

Der AI Act wird streng durchgesetzt: Nationale Aufsichtsbehörden kontrollieren, und Bußgelder reichen bis 35 Mio. € oder 7% des weltweiten Jahresumsatzes.

1. Aufsichtsstruktur in der EU

European Artificial Intelligence Board (Art. 65-68) • Koordiniert die nationalen Aufsichtsbehörden • Gibt Leitlinien und Best Practices heraus • Fördert einheitliche Anwendung des AI Act • Berät die EU-Kommission

Nationale Aufsichtsbehörden (Art. 70) Jeder Mitgliedstaat muss mindestens eine zuständige Behörde benennen.

Aufgaben: • Überwachung der Einhaltung des AI Act • Marktüberwachung (Stichproben, Kontrollen) • Untersuchung von Beschwerden • Verhängung von Sanktionen • Zusammenarbeit mit anderen Behörden

In Deutschland wird voraussichtlich die Bundesnetzagentur (BNetzA) als Hauptaufsichtsbehörde für den AI Act fungieren, unterstützt von anderen Behörden je nach Sektor (z.B. BfArM für Medizinprodukte, Bundesamt für Sicherheit in der Informationstechnik (BSI) für Cybersicherheit).

Benannte Stellen (Notified Bodies) (Art. 43) Unabhängige Organisationen, die Konformitätsbewertungen für Hochrisiko-KI-Systeme durchführen.

Aufgaben: • Prüfung der technischen Dokumentation • Prüfung des Qualitätsmanagementsystems • Ausstellung von Zertifikaten • Überwachung zertifizierter Systeme

2. Marktüberwachung und Kontrollen

Proaktive Überwachung: • Stichprobenartige Kontrollen bei Anbietern • Überprüfung der EU-Datenbank-Einträge • Analyse von öffentlich verfügbaren Informationen • Zusammenarbeit mit Verbraucherschutzorganisationen

Reaktive Überwachung: • Untersuchung von Beschwerden • Nachverfolgung von Zwischenfällen • Medienberichterstattung und Hinweise • Whistleblower-Meldungen

Ablauf einer Marktüberwachungskontrolle:

Phase 1 - Erstprüfung: Aufsichtsbehörde erhält Hinweis auf problematische KI.

Phase 2 - Dokumentenanforderung: Behörde fordert technische Dokumentation, Konformitätserklärung, etc. Frist: 10-30 Tage

Phase 3 - Vor-Ort-Kontrolle (falls nötig): Inspektoren besuchen das Unternehmen, prüfen Systeme, befragen Mitarbeiter.

Phase 4 - Bewertung: Sind Verstöße feststellbar? Welche Risiken bestehen?

Phase 5 - Maßnahmen: • Bei leichten Verstößen: Aufforderung zur Abhilfe • Bei schweren Verstößen: Bußgeld, Nutzungsverbot • Bei akuter Gefahr: Sofortiges Verbot, Rückruf

Phase 6 - Nachkontrolle: Wurde das Problem behoben? Weitere Kontrolle nach 3-6 Monaten.[/EXAMPLE]

3. Sanktionen und Bußgelder (Art. 99)

Der AI Act sieht abgestufte Sanktionen vor, je nach Schwere des Verstoßes.

Bußgeld-Kategorien:

Kategorie 1 – Verbotene KI-Praktiken

Bis zu 35 Mio. € oder 7% des weltweiten Jahresumsatzes. Beispiel: Social Scoring durch Unternehmen.

Kategorie 2 – Nichteinhaltung von Anforderungen

Bis zu 15 Mio. € oder 3% des Jahresumsatzes. Beispiel: Hochrisiko-KI ohne CE-Kennzeichnung.

Kategorie 3 – Falsche Informationen

Bis zu 7,5 Mio. € oder 1% des Jahresumsatzes. Beispiel: Falsche Angaben in der Dokumentation.

Sonderregelungen für KMUs und Start-ups: • Kleinunternehmen (<50 Mitarbeiter, <10 Mio. € Umsatz): Gedeckelte Bußgelder - Kategorie 1: Max. 6% des Umsatzes oder 10 Mio. € (je nachdem, was niedriger ist) - Kategorie 2: Max. 3% des Umsatzes oder 6 Mio. € (je nachdem, was niedriger ist) - Kategorie 3: Max. 1,5% des Umsatzes oder 2,5 Mio. € (je nachdem, was niedriger ist) • Start-ups: Mildernde Umstände werden berücksichtigt • Sehr kleine Unternehmen (<10 Mitarbeiter): Weitere Erleichterungen möglich

Zusätzliche Konsequenzen bei Verstößen:

Neben Bußgeldern drohen weitere Sanktionen: • Verbot des Inverkehrbringens: KI-System darf nicht mehr verkauft werden • Rückruf: Bereits verkaufte Systeme müssen zurückgerufen werden • Reputationsschaden: Öffentliche Bekanntmachung der Verstöße • Strafrechtliche Verfolgung: Bei vorsätzlichen schweren Verstößen • Zivilrechtliche Haftung: Schadensersatzansprüche Geschädigter • Ausschluss von öffentlichen Aufträgen: In einigen Mitgliedstaaten

Folgekosten können Bußgeld deutlich übersteigen![/WARNING]

4. Beschwerderechte und Rechtsbehelfe

Für Betroffene: • Beschwerde bei der nationalen Aufsichtsbehörde • Beschwerde beim Betreiber der KI • Schadensersatzansprüche bei nachgewiesenem Schaden • Verbandsklagerecht (durch Verbraucherschutzorganisationen)

Für Unternehmen: • Widerspruch gegen Entscheidungen der Aufsichtsbehörde • Klage vor nationalen Gerichten • Berufung gegen Bußgeldbescheide • Antrag auf Aussetzung von Maßnahmen

Praktische Tipps bei behördlichen Kontrollen:

Vorbereitung (präventiv): ✓ Compliance-Dokumentation vollständig und aktuell halten ✓ Interne Audits regelmäßig durchführen ✓ Mitarbeiter schulen ✓ Ansprechpartner für Behörden definieren ✓ Rechtsbeistand/Compliance-Experten haben

Bei Kontrolle: ✓ Kooperativ sein, aber nur das liefern, was gefordert wird ✓ Fristen einhalten ✓ Verständnisfragen klären ✓ Wenn unsicher: Rechtsbeistand hinzuziehen ✓ Alles dokumentieren (wer, wann, was gefragt) ✓ Intern keine voreiligen Schlüsse oder Geständnisse

Nach Kontrolle: ✓ Beanstandungen ernst nehmen und schnell beheben ✓ Interne Analyse: Wie konnte das passieren? ✓ Präventivmaßnahmen einleiten ✓ Bei Bußgeld: Prüfen, ob Widerspruch sinnvoll ist ✓ Aus Fehlern lernen und Prozesse verbessern[/TIP]

5. Selbstregulierung und Verhaltenskodizes

Der AI Act ermutigt zur freiwilligen Selbstregulierung:

Verhaltenskodizes für Minimal-Risiko-KI: • Freiwillige Verpflichtung zu hohen Standards • Branchenspezifische Best Practices • Transparenz über Selbstverpflichtungen

Sandbox-Regelungen (Art. 57): • Regulatorische Sandboxes für Innovation • Kontrolliertes Testen neuer KI-Systeme • Enge Begleitung durch Aufsichtsbehörden • Befristete Erprobung unter realen Bedingungen

AI Pact - Freiwillige Verpflichtungen:

Bereits vor vollständigem Inkrafttreten des AI Act haben sich über 100 Unternehmen im "AI Pact" verpflichtet, die Anforderungen freiwillig umzusetzen:

Teilnehmer verpflichten sich u.a. zu: • Risikomanagementsystemen • Governance-Strukturen für KI • Transparenz und Rechenschaftspflicht • Förderung von KI-Kompetenz • Nachhaltige und inklusive KI

Vorteile: ✓ Wettbewerbsvorteil durch Vertrauensvorsprung ✓ Frühzeitige Vorbereitung auf regulatorische Anforderungen ✓ Mitgestaltung von Standards und Best Practices[/INFO]

Die Implementierung des EU AI Act erfordert systematisches Vorgehen und Einbindung aller relevanten Abteilungen.

Der Weg zur Compliance folgt vier Schritten: KI-Inventar erstellen → Risiko klassifizieren → Roadmap umsetzen → dauerhaft überwachen. Ohne vollständiges Inventar ist keine Compliance möglich.

1. AI Act Compliance-Programm aufbauen

1. KI-Inventar erstellen – ALLE eingesetzten KI-Systeme erfassen: Wer ist Anbieter, wer Betreiber? In welchen Prozessen wird KI genutzt, welche Daten verarbeitet, welche externen Tools (auch privat beschaffte)?
2. Risikoklassifizierung – Jedes System einer Risikoklasse zuordnen: Welchen Zweck erfüllt es, welche Entscheidungen trifft es, wer ist betroffen, welche Grundrechte sind berührt?
3. Compliance-Roadmap – Für jedes Hochrisiko-System Maßnahmen mit Fristen festlegen – von Sofortmaßnahmen bis zur kontinuierlichen Verbesserung.
4. Laufende Überwachung – Regelmäßige Qualitätskontrollen, Monitoring der KI-Entscheidungen, Re-Assessments und Audits.

Schritt 1: AI-Inventar erstellen Erfassen Sie ALLE KI-Systeme im Unternehmen.

Checkliste: □ Welche KI-Systeme werden eingesetzt? □ Wer ist Anbieter, wer ist Betreiber? □ In welchen Prozessen wird KI genutzt? □ Welche Daten werden verarbeitet? □ Gibt es externe KI-Dienstleister? □ Wird KI in Produkten verbaut? □ Nutzen Mitarbeiter KI-Tools (auch privat beschaffte)?

Typisches AI-Inventar eines mittelständischen Unternehmens:

Abteilung HR: • Bewerbermanagement-System mit KI-Vorauswahl • KI-gestütztes Onboarding-Tool • Leistungsanalyse-Software

Abteilung Marketing: • Chatbot auf der Website • KI-gestützte E-Mail-Marketing-Plattform • Social Media Analyse-Tool • Content-Generator (ChatGPT, Jasper.ai)

Abteilung Kundenservice: • Telefonbot für Erstanfragen • KI-gestütztes Ticket-Routing • Sentiment-Analyse-Tool

Abteilung IT: • Cybersecurity-KI für Bedrohungserkennung • Netzwerk-Monitoring mit KI • Code-Analyse-Tools

Produktion: • Qualitätskontrolle mit Computer Vision • Predictive Maintenance • Roboter mit KI-Steuerung[/EXAMPLE]

Schritt 2: Risikoklassifizierung Ordnen Sie jedes KI-System einer Risikokategorie zu.

Bewertungskriterien: • Welchen Zweck erfüllt die KI? • Welche Entscheidungen trifft sie? • Wer ist betroffen (Mitarbeiter, Kunden, Öffentlichkeit)? • Welche Grundrechte könnten betroffen sein? • Wie hoch ist der Automatisierungsgrad?

Risikoklassifizierungs-Matrix:

VERBOTEN: → Social Scoring-Systeme → Manipulation von Verhalten durch unterschwellige Techniken → Echtzeit-Gesichtserkennung im öffentlichen Raum (außer gesetzliche Ausnahmen)

HOCHRISIKO: → Bewerbungsmanagement und Mitarbeiterbewertung → Kreditentscheidungen → Zugang zu Bildung und Ausbildung → Kritische Infrastruktur-Komponenten → Strafverfolgung und Migration (für Behörden)

TRANSPARENZPFLICHT: → Chatbots und virtuelle Assistenten → Emotionserkennung → Biometrische Kategorisierung → Deepfake-Generatoren

MINIMALES RISIKO: → Spam-Filter → Empfehlungssysteme (nicht manipulativ) → Spiele-KI → Einfache Automatisierung[/TIP]

Schritt 3: Compliance-Roadmap erstellen

Für jedes Hochrisiko-System:

Sofortmaßnahmen (0-3 Monate): □ Anbieterinformationen anfordern □ Technische Dokumentation prüfen □ Nutzung pausieren, wenn Compliance unklar □ Datenschutz-Folgenabschätzung (DSGVO) durchführen □ Stakeholder informieren (Betriebsrat, etc.)

Kurzfristig (3-6 Monate): □ Vollständige technische Dokumentation beschaffen □ Schulungen für Anwender durchführen □ Aufsichtsmechanismen etablieren □ Logging und Monitoring implementieren □ Beschaffungsverträge anpassen

Mittelfristig (6-12 Monate): □ Risikomanagement-System aufbauen □ Post-Market-Monitoring einrichten □ Incident-Response-Prozess definieren □ Qualitätssicherung implementieren □ Compliance-Audits durchführen

Langfristig (12+ Monate): □ Kontinuierliche Verbesserung □ Regelmäßige Re-Assessments □ Weiterentwicklung interner Standards □ Branchenaustausch und Best Practices

2. Organisation und Verantwortlichkeiten

AI Governance Board etablieren: • Zusammensetzung: Geschäftsführung, IT, Legal, Compliance, Fachbereiche • Aufgaben: Strategische KI-Entscheidungen, Risikobewertung, Freigabe neuer KI-Systeme • Frequenz: Mindestens quartalsweise

AI Compliance Officer / DPO: • Verantwortlich für Überwachung der AI Act Compliance • Ansprechpartner für Behörden • Schulungen und Awareness • Kann mit Datenschutzbeauftragtem kombiniert werden

Fachbereichs-Verantwortliche: • Kennen die eingesetzten KI-Systeme in ihrem Bereich • Melden neue KI-Vorhaben • Schulen Mitarbeiter • Überwachen Compliance im Tagesgeschäft

Typische organisatorische Fehler:

✗ Zu wenig Ressourcen: Compliance "nebenbei" erledigen lassen ✗ Silodenken: Jede Abteilung macht ihr eigenes Ding ✗ Fehlende Expertise: Keine Schulungen, kein externes Know-how ✗ Dokumentationsmangel: Prozesse nicht schriftlich festgehalten ✗ Mangelnde Kommunikation: Mitarbeiter wissen nichts von neuen Regeln

Besser: ✓ Dedizierte Ressourcen (mindestens Teilzeitstelle) ✓ Zentrale Koordination mit klaren Verantwortlichkeiten ✓ Regelmäßige Schulungen und Updates ✓ Strukturierte Dokumentation aller Prozesse ✓ Offene Kommunikationskultur[/WARNING]

3. Schulung und Sensibilisierung

Zielgruppen-spezifische Schulungen:

Führungskräfte (½ Tag): • Strategische Bedeutung des AI Act • Haftungsrisiken • Business-Impact • Governance-Anforderungen

Entwickler und IT (1-2 Tage): • Technische Anforderungen im Detail • Daten-Governance und Qualitätssicherung • Testing und Validierung • Dokumentationspflichten

Einkauf und Beschaffung (½ Tag): • Worauf beim KI-Einkauf achten? • Vertragliche Absicherung • Lieferantenmanagement • Red Flags erkennen

Endanwender (2-4 Stunden): • Welche KI nutze ich? • Dos and Don'ts im Umgang mit KI • Wann muss ich eskalieren? • Betroffenenrechte

Praktische Trainingsformate:

✓ E-Learning-Module (asynchron, jederzeit verfügbar) ✓ Workshops mit Fallbeispielen aus dem eigenen Unternehmen ✓ "Lunch & Learn" Sessions (1 Stunde, informell) ✓ Webinare mit externen Experten ✓ Interne Wiki mit FAQs und Checklisten ✓ Simulation von Behördenkontrollen ✓ Jährliche Auffrischungsschulungen[/TIP]

4. Technische und organisatorische Maßnahmen

Technische Maßnahmen: • Logging-Systeme: Automatische Protokollierung aller KI-Entscheidungen • Monitoring-Dashboards: Echtzeit-Überwachung der KI-Performance • Versionskontrolle: Nachvollziehbarkeit von KI-Updates • Testing-Frameworks: Automatisierte Tests für Bias und Fairness • Rollback-Mechanismen: Schnelle Rückkehr zu vorheriger Version bei Problemen

Organisatorische Maßnahmen: • Richtlinien und Prozesse: Schriftlich dokumentierte Abläufe • Freigabeverfahren: Neue KI-Systeme müssen genehmigt werden • Incident-Management: Klare Prozesse bei Problemen • Vertragsmanagement: Standardklauseln für KI-Verträge • Externe Audits: Regelmäßige Überprüfung durch Dritte

5. Langfristige Strategien

Innovation vs. Compliance: • Regulatorische Sandboxes nutzen • Frühe Einbindung von Compliance in Innovationsprojekte • "Privacy/AI by Design" als Standard • Zusammenarbeit mit Behörden suchen

Wettbewerbsvorteil durch Compliance: • "AI Act Certified" als Marketingargument • Vertrauensvorsprung bei Kunden • Reduzierung von Haftungsrisiken • Zukunftssicherheit der Lösungen

Zusammenfassung - Key Takeaways:

1. Handeln Sie JETZT: Der AI Act kommt schrittweise, aber die Zeit für Vorbereitung ist begrenzt.

2. Wissen Sie, was Sie haben: Ein vollständiges AI-Inventar ist die Basis jeder Compliance.

3. Risiken richtig einschätzen: Nicht jede KI ist Hochrisiko, aber Hochrisiko-KI erfordert besondere Maßnahmen.

4. Organisation ist key: Klare Verantwortlichkeiten, ausreichend Ressourcen, strukturierte Prozesse.

5. Schulung, Schulung, Schulung: Compliance funktioniert nur, wenn alle Mitarbeiter wissen, worauf es ankommt.

6. Dokumentation ist Pflicht: Was nicht dokumentiert ist, ist nicht nachweisbar.

7. Compliance als Chance: Wer jetzt vorausdenkt, hat einen Wettbewerbsvorteil.

Der EU AI Act ist komplex, aber umsetzbar - mit der richtigen Strategie und systematischem Vorgehen![/INFO]