Was der AI Act regelt – und was nicht

Stellen Sie sich einen Maschinenbauer mit sechzig Beschäftigten vor. Der Vertrieb formuliert Angebote mit ChatGPT, die Buchhaltung lässt Eingangsrechnungen automatisch auslesen, auf der Website beantwortet ein Chatbot Fragen zu Ersatzteilen, und die Angebotskalkulation läuft seit Jahren über ein ausgeklügeltes Excel-Makro. Der Geschäftsführer hat vom AI Act gehört und stellt die naheliegende Frage: Was davon betrifft uns?

Die ehrliche Antwort lautet: nicht alles, und nicht alles gleich. Genau das ist der Kern dieser Verordnung. Der AI Act reguliert nicht „die KI“ als Technik. Er knüpft an bestimmte Systeme, bestimmte Rollen und bestimmte Verwendungen an – und behandelt sie sehr unterschiedlich. Wer das einmal verstanden hat, verliert die Angst vor dem Gesetz und gewinnt einen klaren Blick darauf, wo tatsächlich Handlungsbedarf besteht. Am Ende dieser Lektion lösen wir den Fall des Maschinenbauers auf.

1. Wozu das Gesetz? Zwei Ziele in einem

Die Verordnung (EU) 2024/1689, im Alltag AI Act oder KI-Verordnung genannt, ist am 1. August 2024 in Kraft getreten. Als Verordnung gilt sie unmittelbar in allen Mitgliedstaaten, ohne dass der Bundestag ein eigenes Gesetz beschließen müsste. Deutschland regelt lediglich, welche Behörden die Aufsicht übernehmen.

Art. 1 benennt zwei Ziele, die auf den ersten Blick in Spannung zueinander stehen. Die Verordnung soll das Funktionieren des Binnenmarkts verbessern und die Einführung vertrauenswürdiger KI fördern. Zugleich soll sie ein hohes Schutzniveau für Gesundheit, Sicherheit und Grundrechte gewährleisten. Es geht also ausdrücklich nicht darum, KI zu bremsen, sondern darum, einheitliche Spielregeln zu schaffen, damit Unternehmen KI in der ganzen EU nach denselben Maßstäben anbieten und nutzen können – und Menschen dieser Technik vertrauen können.

Handwerklich folgt der AI Act dem Vorbild des europäischen Produktsicherheitsrechts. Wer Spielzeug, Maschinen oder Medizinprodukte auf den Markt bringt, kennt die Logik: Anforderungen an das Produkt, Pflichten für Hersteller und Nutzer, Konformitätsbewertung, Marktüberwachung. Die KI-Verordnung überträgt dieses bewährte Muster auf eine neue Technologie. Das erklärt, warum so viele Begriffe vertraut klingen – „Inverkehrbringen“, „Inbetriebnahme“, „Anbieter“ – und warum die Pflichten stark davon abhängen, welche Rolle man einnimmt.

2. Die erste Weiche: Ist es überhaupt ein KI-System?

Bevor irgendeine Pflicht greift, muss ein KI-System im Sinne von Art. 3 Nr. 1 vorliegen. Entscheidend ist dabei das Merkmal des Ableitens: Ein KI-System leitet aus Eingaben ab, wie es Ausgaben erzeugt, statt nur Regeln zu befolgen, die ein Mensch vollständig vorgegeben hat. Klassische Software, Formeln und Makros fallen deshalb in aller Regel nicht darunter, Sprachmodelle, Bilderkennung und lernende Prognosemodelle dagegen schon.

Diese Weiche wird oft übersprungen, weil sie so selbstverständlich wirkt. Dabei trennt sie in vielen Unternehmen bereits die Hälfte der vermeintlichen KI-Anwendungen ab. Wie Sie die Definition im Detail prüfen und Grenzfälle einordnen, zeigt die Lektion Ist unser Werkzeug überhaupt ein KI-System? in Modul 3.

3. Die zweite Weiche: Wen erfasst der AI Act?

Art. 2 regelt, für wen die Verordnung gilt. Erfasst sind vor allem Anbieter, die KI-Systeme in der EU in Verkehr bringen oder in Betrieb nehmen, und Betreiber, die KI-Systeme in der EU verwenden. Dazu kommen Einführer, Händler, Produkthersteller und Bevollmächtigte.

Bemerkenswert ist die Reichweite über die Grenzen der Union hinaus. Auch Anbieter und Betreiber mit Sitz in einem Drittland fallen unter die Verordnung, wenn die vom System erzeugte Ausgabe in der EU verwendet wird. Man spricht vom Marktortprinzip, das schon die DSGVO bekannt gemacht hat. Ein amerikanischer Hersteller kann sich also nicht darauf zurückziehen, dass seine Server in Kalifornien stehen, wenn sein System in Deutschland Bewerbungen sortiert.

Ebenso wichtig sind die Ausnahmen. Sie sind eng gefasst, und gerade deshalb lohnt es sich, sie genau zu kennen.

Der häufigste Irrtum betrifft die private Nutzung. Nutzt ein Mitarbeiter seinen privaten ChatGPT-Zugang, um eine Kundenanfrage zu beantworten, ist das keine private Tätigkeit, sondern eine berufliche – und dem Unternehmen zuzurechnen. Die Ausnahme schützt die Urlaubsplanung am Wochenende, nicht die Schatten-KI im Büro.

4. Was der AI Act bewusst nicht regelt

Ein Gesetz verstehen heißt auch, seine Grenzen zu kennen. Der AI Act ist kein Rundum-Gesetz für alles, was mit KI zu tun hat. Drei Themen, die in Unternehmen regelmäßig mit ihm verwechselt werden, regelt er ausdrücklich nicht oder nur am Rand.

Datenschutz. Art. 2 Abs. 7 stellt klar, dass die DSGVO unberührt bleibt. Ein KI-Einsatz kann den AI Act vollständig erfüllen und trotzdem gegen den Datenschutz verstoßen – etwa wenn Kundendaten ohne Rechtsgrundlage in ein Chatfenster kopiert werden. Beide Regelwerke gelten nebeneinander, und in der Praxis ist die DSGVO oft die strengere Hürde. Modul 7 widmet sich diesem Zusammenspiel.

Urheberrecht. Wem ein KI-generierter Text gehört und ob Trainingsdaten genutzt werden durften, beantwortet das Urheberrecht. Der AI Act verpflichtet lediglich die Anbieter großer KI-Modelle, eine Strategie zur Einhaltung des Urheberrechts vorzuhalten und eine Zusammenfassung der Trainingsdaten zu veröffentlichen.

Haftung. Wer zahlen muss, wenn eine KI einen Schaden verursacht, regelt der AI Act nicht. Hier greifen das allgemeine Zivilrecht und die überarbeitete europäische Produkthaftungsrichtlinie, die Software ausdrücklich einbezieht. Eine eigene KI-Haftungsrichtlinie hatte die EU-Kommission zwar vorgeschlagen, das Vorhaben aber nicht weiterverfolgt.

5. Auflösung: Was betrifft den Maschinenbauer?

Mit den beiden Weichen lässt sich der Fall vom Anfang nun sauber auflösen. Schätzen Sie jedes Werkzeug zuerst selbst ein, bevor Sie die Karte aufdecken.

Das Ergebnis ist typisch für den Mittelstand. Ein Werkzeug fällt ganz heraus, zwei lösen kaum mehr als die allgemeine Pflicht zur KI-Kompetenz aus, und eines verlangt eine konkrete Maßnahme auf der Website. Das Gesetz ist also weniger bedrohlich, als die Schlagzeilen vermuten lassen – aber es verlangt, dass man hinschaut. Welche Rolle ein Unternehmen jeweils einnimmt, vertieft Modul 3. In welche Risikoklasse ein System fällt und warum das über den Umfang der Pflichten entscheidet, klärt die nächste Lektion.

Stand: September 2026, Rechtsstand nach dem AI Omnibus (VO (EU) 2026/1744). Kursmaterial der Klarwerk Akademie, keine Rechtsberatung. Abbildungen sind vereinfachte, schematische Darstellungen.