Wir nutzen Cookies um unsere Website und Services zu optimieren. Sie können der Verwendung zustimmen oder sie ablehnen. In unserer Datenschutzerklärung finden Sie weitere Informationen.
KI-Verordnung: Die einzelnen Stufen zur EU-Vorgabe
· IT-Security · IT-Sicherheit · KI · EU AI Act · KI-Verordnung
KI-Verordnung der EU: So betrifft der EU AI Act mittelständische Unternehmen
Mit dem EU AI Act hat die EU erstmals einen rechtsverbindlichen Rahmen für Künstliche Intelligenz geschaffen. Seit 1. August 2024 ist die KI-Verordnung wirksam, ihre Pflichten greifen stufenweise. Für den Mittelstand zählt vor allem eins: Welche Vorgaben gelten wirklich und was ist jetzt zu tun?
KI steckt im Mittelstand längst überall: im CRM, im Einkauf, in Texten und der Bewerbungsauswahl. Laut Bitkom nutzen bereits rund 57 Prozent der deutschen Unternehmen KI im Marketing oft ohne Governance und ohne Bewusstsein für die regulatorischen Folgen. Wer sich jetzt orientiert, vermeidet spätere Haftungsrisiken.
Es gibt vier Risikoklassen: Der EU AI Act (Verordnung (EU) 2024/1689) reguliert KI risikobasiert
Inakzeptables Risiko: Anwendungen wie Social Scoring durch Behörden oder manipulative Systeme, die gezielt Schwächen ausnutzen, sind grundsätzlich verboten.
Hohes Risiko: KI in schutzrelevanten oder grundrechtsbezogenen Sektoren wie Recruiting, Kreditwürdigkeitsprüfung oder wesentlicher Infrastruktur unterliegt rigorosen Vorgaben.
Eingeschränktes Gefährdungsniveau: Chatbots, Sprachassistenten und KI-generierte Beiträge müssen transparent gekennzeichnet werden.
Geringfügiges Gefährdungsniveau: Konventionelle Anwendungen wie Spam-Filter oder Empfehlungssysteme bleiben größtenteils unreguliert.
Die Risikoklassen beim EU AI Act
Die meisten KMU-Anwendungen fallen in die beiden unteren Risikoklassen. Hochrisiko-Systeme sind die Ausnahme, tauchen aber schneller auf als gedacht, wie etwa bei automatisierter Bewerberbewertung oder Kreditentscheidungen.
KI-Kompetenz nach Artikel 4 ist schon jetzt Pflicht im Alltag
Seit Februar 2025 gilt die KI-Kompetenzpflicht unabhängig von Risikoklasse oder Unternehmensgröße. Anbieter und Betreiber müssen sicherstellen, dass Mitarbeitende ausreichend KI-Kompetenz haben, auch bei Tools wie ChatGPT oder Copilot. Drei Bereiche sollten Schulungen abdecken: technisches Verständnis, rechtliches Wissen (DSGVO, Branchen-Compliance) und Praxiswissen zu Prompts, Fehlerquellen und nötiger Kontrolle.
Ein Verstoß ist aktuell nicht direkt bußgeldbewehrt, kann im Schadensfall aber als Sorgfaltspflichtverletzung gewertet werden mit Haftungsfolgen für die Geschäftsführung. Besser ein pragmatisches, nachweisbares Schulungskonzept als gar keines.
Weitere Pflichten
Ab voraussichtlich 2. August 2026 gilt: Chatbots und KI-Assistenten müssen als solche erkennbar sein, KI-Inhalte maschinenlesbar markiert, Deepfakes deutlich sichtbar gekennzeichnet werden. Meist reichen ein Hinweis am Chatbot sowie Ergänzungen in Impressum und Datenschutzerklärung.
Bei Hochrisiko-KI (z. B. Recruiting-Software, Kreditwürdigkeitsprüfung) sind Konformitätsbewertung, Risikomanagementsystem, technische Dokumentation, mindestens sechsmonatige Protokollierung und menschliche Überwachung Pflicht unabhängig von der Unternehmensgröße. Bußgelder: bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes.
Ihr Fahrplan für die Umsetzung
KI-Inventur: alle genutzten Systeme erfassen, inklusive externer Tools und Shadow-IT
Risikoklassifizierung: jedes System einer Klasse zuordnen
Verantwortlichkeiten benennen: Zuständigkeit für KI-Compliance festlegen
Schulungskonzept umsetzen: Basistraining plus vertiefende Schulungen für Fachbereiche
Der EU AI Act ist kein Bedrohungsszenario, aber auch keine Nebensächlichkeit. Er greift über die KI-Kompetenzpflicht bereits heute und wird mit Transparenzregeln und Hochrisiko-Pflichten zunehmend konkreter. Strukturierter KI-Einsatz schafft Vertrauen bei Kund*innen und Partner*innen und die Basis, KI rechtssicher und gewinnbringend zu nutzen.
Sie möchten wissen, wo Ihr Unternehmen beim EU AI Act steht? Kontaktieren Sie uns – wir begleiten Sie von der KI-Inventur bis zur Schulung Ihrer Mitarbeitenden!
NIS-2 (auch NIS 2 Richtlinie genannt) ist da und betrifft mehr Unternehmen, als viele denken. Seit Dezember 2025 ist die Umsetzung Pflicht und stellt klare Anforderungen an Ihre IT-Sicherheit, Prozesse und Meldewege.
Wer jetzt nicht handelt, riskiert nicht nur Bußgelder als persönlich haftender Geschäftsführer, sondern auch ernsthafte Sicherheitslücken.
Wir unterstüzen Sie bei der Umsetzung mit einem klar strukturierten Maßnahmenplan.
Cyberangriffe gehören längst zum Alltag. Erpressungssoftware, Betrugs-E-Mails oder der Diebstahl von Zugangsdaten treffen heute nicht mehr nur vereinzelt Betroffene, sondern ganze Wirtschaftssektoren. Traditionelle Sicherheitsmaßnahmen stoßen dabei an ihre Limitierungen. Red Teaming geht weiter: Es simuliert reale Angriffe und zeigt, wie widerstandsfähig die eigene Sicherheitsarchitektur wirklich ist.
Die Angriffsfläche wächst, die Reaktionszeit verkürzt sich. Traditionelle Update-Rhythmen passen nicht mehr in eine Welt, in der Schwachstellen in Sekundenschnelle attackiert werden. Automatisiertes Patch-Management gilt daher als nächster logischer Schritt. Ein Werkzeug, das Tempo, Priorisierung und Nachvollziehbarkeit vereint. Wer es beherrscht, verschiebt den Schutzvorsprung zurück auf die Seite der Verteidiger.
