Sobald das Thema aufkommt, entstehen zwei falsche Reaktionen: „betrifft uns nicht, wir bauen keine KI" und „wir dürfen jetzt nichts mehr". Beide sind falsch. Die Verordnung unterscheidet nach Rolle und nach Risiko — und beide Fragen lassen sich für einen konkreten Betrieb ziemlich schnell beantworten.
Anbieter oder Betreiber — die erste Weiche
Wer ein KI-System entwickelt und unter eigenem Namen bereitstellt, ist Anbieter und trägt den größten Teil der Pflichten. Wer ein fremdes System im eigenen Betrieb einsetzt, ist Betreiber und hat deutlich weniger, aber nicht keine Pflichten.
Wichtig ist eine Ausnahme, die im Mittelstand häufig übersehen wird: Wer ein fremdes System wesentlich verändert oder unter eigenem Namen anbietet, kann selbst in die Anbieterrolle rutschen. Wer also ein Modell in ein eigenes Produkt einbettet und dieses verkauft, sollte diese Frage nicht überspringen.
Die Risikoklassen in der Praxis
- Verbotene Praktiken: unter anderem Bewertung von Personen nach sozialem Verhalten, gezielte Ausnutzung von Schwächen, bestimmte Formen biometrischer Auswertung. Hier gibt es keinen Abwägungsspielraum.
- Hochrisiko: insbesondere Einsatz in Personalauswahl, Kreditvergabe, kritischer Infrastruktur oder als Sicherheitsbauteil. Diese Klasse bringt umfangreiche Anforderungen mit.
- Begrenztes Risiko: vor allem Transparenzpflichten — etwa dass Nutzer erkennen, dass sie mit einer Maschine sprechen, und dass erzeugte Inhalte gekennzeichnet werden.
- Minimales Risiko: der weitaus größte Teil betrieblicher Anwendungen, von der Textzusammenfassung bis zur Dokumentenauswertung.
Die praktische Konsequenz für die meisten Betriebe: Der überwiegende Teil des KI-Einsatzes fällt in die unteren Klassen. Kritisch wird es dort, wo eine KI-Ausgabe über Menschen entscheidet — Bewerbungen, Verträge, Zugang zu Leistungen. Genau diese Anwendungen gehören zuerst geprüft.
Personalauswahl: der häufigste Stolperstein
Bewerbungen mit KI vorsortieren zu lassen, ist naheliegend und fällt in einen sensiblen Bereich. Das bedeutet nicht, dass Unterstützung unmöglich wäre. Es bedeutet, dass zwischen unterstützender Auswertung und tatsächlicher Auswahlentscheidung sauber getrennt werden muss — und dass ein Mensch die Entscheidung nicht nur formal, sondern inhaltlich trifft.
Wer die Auswahlkriterien und die menschliche Prüfung dokumentiert, ist nicht nur besser aufgestellt, sondern trifft auch bessere Entscheidungen. Das dahinterliegende Prinzip beschreibt der Beitrag zu Human-in-the-Loop-Freigaben.
KI-Kompetenz ist eine Anwenderpflicht
Ein Punkt, der viele überrascht: Unternehmen, die KI einsetzen, müssen dafür sorgen, dass die damit befassten Personen über ausreichende Kenntnisse verfügen. Gemeint ist keine Zertifizierung, sondern ein realistisches Verständnis: Was kann das System, wo erfindet es, welche Daten dürfen hinein, wer prüft die Ausgabe.
Praktisch erfüllbar ist das mit einer kurzen internen Unterweisung und einer schriftlichen Nutzungsregel. Beides ist ohnehin sinnvoll, weil es die häufigsten Fehler im Alltag verhindert — vertrauliche Daten in fremde Systeme zu geben und ungeprüfte Ausgaben weiterzuverwenden.
Dokumentation, die ohnehin sinnvoll ist
Für den überwiegenden Teil der Anwendungen reicht eine schlanke Ablage: welches System, für welchen Zweck, mit welchen Daten, wer prüft die Ausgabe, wer ist verantwortlich. Fünf Zeilen je Anwendung. Diese Ablage erfüllt nicht nur einen Nachweiszweck, sie beantwortet auch die Frage, die intern viel häufiger gestellt wird — nämlich welches Werkzeug für welchen Fall überhaupt vorgesehen ist.
Zweiter Punkt, der unabhängig von der Verordnung Bestand hat: Kennzeichnung nach außen. Wo Kunden mit einem automatisch erzeugten Text, einer Sprachausgabe oder einem Chat in Berührung kommen, gehört das erkennbar gemacht. Das ist nicht nur eine Anforderung, sondern in der Praxis ein Vertrauensfaktor — Kunden reagieren deutlich gelassener auf einen als solchen erkennbaren Assistenten als auf die spätere Entdeckung, dass sie mit einer Maschine geschrieben haben.
Was konkret zu tun ist
Ein realistischer Ablauf für einen mittelständischen Betrieb: Erst ein Verzeichnis der eingesetzten KI-Anwendungen erstellen, inklusive der Werkzeuge, die Mitarbeiter eigenständig nutzen. Dann je Anwendung Rolle und Risikoklasse einordnen. Danach die Anwendungen im sensiblen Bereich gesondert prüfen. Anschließend Nutzungsregeln und Unterweisung festhalten und schließlich Transparenzhinweise dort ergänzen, wo Kunden mit KI-Ausgaben in Berührung kommen.
Der erste Schritt ist dabei der aufschlussreichste. In fast jedem Betrieb ist die Liste länger als erwartet, weil einzelne Abteilungen Werkzeuge eingeführt haben, von denen die Geschäftsführung nichts weiß.
Die Perspektive, die hilft
Der AI Act verlangt im Kern, was ein sauber geführter KI-Einsatz ohnehin braucht: zu wissen, welche Systeme laufen, wofür sie zuständig sind, wer die Ausgaben prüft und wann ein Mensch entscheidet. Wer das für den eigenen Betrieb beantworten kann, hat den größten Teil erledigt — und nebenbei die Grundlage dafür, KI überhaupt verlässlich einzusetzen.