Mit dem EU AI Act (KI-Verordnung) hat die Europäische Union einen einheitlichen Rechtsrahmen für künstliche Intelligenz geschaffen. Die Vorgaben treten schrittweise in Kraft. Seit dem 2. August 2026 gelten nun auch zentrale Transparenzpflichten.
Damit wird das Thema für Unternehmen konkret. Denn KI wird längst nicht mehr nur von IT-Abteilungen eingesetzt. Mitarbeitende nutzen sie für Texte, Präsentationen, Bilder, Recherchen oder Kundenkommunikation. In manchen Unternehmen kommen bereits KI-gestützte Systeme in Personalprozessen, Analysen oder automatisierten Abläufen zum Einsatz. Die entscheidende Frage lautet deshalb nicht mehr, ob ein Unternehmen KI nutzt, sondern wie.
Je höher das Risiko, desto höher die Anforderungen
Der AI Act verfolgt einen risikobasierten Ansatz. Vereinfacht gesagt: Je größer die möglichen Auswirkungen einer KI-Anwendung, desto höher die regulatorischen Anforderungen. Eine KI, die bei der Formulierung einer Präsentation unterstützt, ist anders zu beurteilen als ein System, das Bewerber bewertet oder Entscheidungen über Menschen vorbereitet.
Unternehmen müssen daher zunächst wissen, welche KI-Systeme überhaupt im Einsatz sind und wofür sie genutzt werden. Erst dann lässt sich beurteilen, welche Anforderungen tatsächlich relevant sind. Gerade im Mittelstand ist diese Bestandsaufnahme häufig der wichtigste erste Schritt.
Transparenz wird Pflicht, nicht Kür
Besonders sichtbar wird der AI Act beim Thema Transparenz. Nutzer sollen in bestimmten Situationen erkennen können, wenn sie mit KI interagieren oder wenn Inhalte künstlich erzeugt beziehungsweise wesentlich verändert wurden.
Das bedeutet allerdings nicht, dass künftig jeder Text oder jedes Bild, das mithilfe von KI entstanden ist, pauschal gekennzeichnet werden muss. Entscheidend sind unter anderem die Art des Inhalts, der konkrete Anwendungsfall und die Frage, ob eine menschliche Prüfung stattgefunden hat. Genau hier entsteht eine typische Compliance-Aufgabe: Wer entscheidet im Unternehmen, wann gekennzeichnet werden muss? Und nach welchen Kriterien? Solche Entscheidungen sollten nicht jedes Mal neu und spontan getroffen werden. Sie sollten intern geregelt sein.
Ratisbona Compliance hat hierzu eine praxisnahe Richtlinie zur Kennzeichnung KI-generierter und KI-bearbeiteter Inhalte entwickelt, die Unternehmen hier kostenfrei herunterladen können. Sie unterstützt dabei, Kennzeichnungsfragen im Unternehmensalltag einheitlich und nachvollziehbar zu regeln.
KI-Kompetenz: Die Pflicht ist bereits da
Ein weiterer wichtiger Punkt betrifft die Mitarbeitenden. Bereits seit dem 2. Februar 2025 verpflichtet die KI-Verordnung Anbieter und Betreiber von KI-Systemen dazu, Maßnahmen zur Förderung von KI-Kompetenz zu ergreifen.
Dabei geht es nicht einfach darum, Mitarbeitenden zu zeigen, wie man gute Prompts schreibt. Sie sollten vielmehr verstehen, welche KI-Systeme eingesetzt werden dürfen, welche Risiken bestehen, welche Informationen nicht eingegeben werden sollten und wann Ergebnisse überprüft werden müssen.
Wie umfangreich entsprechende Maßnahmen ausfallen müssen, hängt von der jeweiligen Nutzung ab. Für viele mittelständische Unternehmen können klare interne Vorgaben, Sensibilisierung und nachvollziehbar dokumentierte Schulungsmaßnahmen bereits ein sinnvoller Ansatz sein.
Governance: Wer ist eigentlich verantwortlich?
Mit der Nutzung von KI entstehen automatisch Zuständigkeitsfragen. Wer darf neue KI-Tools freigeben? Wer prüft Datenschutz und Informationssicherheit? Wer entscheidet über Kennzeichnungspflichten? Und an wen wenden sich Mitarbeitende bei Unsicherheiten?
Verantwortlichkeiten sollten eindeutig geregelt sein. Gerade für mittelständische Unternehmen muss daraus keine neue komplizierte Organisationsstruktur entstehen. Die Position eines AI-Officers wäre hierfür eine geeignete Option.
Problematisch ist weniger eine schlanke Struktur als eine ungeklärte.
Aus KI-Nutzung wird KI-Governance
KI bietet Unternehmen große Chancen. Genau deshalb sollte sie weder pauschal verboten noch unkontrolliert eingesetzt werden. Ein pragmatischer Einstieg besteht darin, die vorhandenen KI-Anwendungen zu erfassen, Risiken zu bewerten, Verantwortlichkeiten festzulegen und klare interne Spielregeln zu schaffen. Dazu gehören auch Vorgaben für sensible Daten, menschliche Kontrolle, Kennzeichnung und den Umgang mit neuen KI-Tools.
Der EU AI Act macht damit vor allem eines deutlich: KI ist nicht mehr nur ein Technologie- oder Innovationsthema. Sie ist auch eine Frage guter Unternehmensorganisation und Compliance.
Ratisbona Compliance unterstützt mittelständische Unternehmen dabei, rechtliche Anforderungen in praktikable interne Strukturen zu übersetzen. Beim Thema KI beginnt das häufig nicht mit einem großen Compliance-Projekt, sondern mit drei einfachen Fragen: Welche KI nutzen wir? Welche Risiken entstehen daraus? Und haben wir dafür bereits klare Regeln? Wer koordiniert das Thema intern?