Jemand in Ihrem Team hat gerade Artikel 6 gelesen, eines Ihrer Systeme in Anhang III wiedergefunden und die Frage gestellt, mit der jedes AI-Act-Projekt beginnt: Betrifft uns das?

Dieser Leitfaden ist für genau diesen Moment geschrieben. Er richtet sich an deutsche Industrie-, Automobil- und Gesundheitsunternehmen, die KI entwickeln oder einsetzen, und nimmt das Gesetz in sinnvoller Reihenfolge durch: wie die Risikostufen funktionieren, was ein Hochrisiko-System nachweisen muss, was Sie aus der DSGVO weiterverwenden können und was in diesem Monat zu tun ist.

Erst die Stufe klären, denn alles Weitere hängt daran

Der EU AI Act teilt KI-Systeme in vier Stufen ein:

Inakzeptables Risiko: vollständig verboten. Dazu gehören Social Scoring durch Behörden, biometrische Echtzeit-Fernidentifizierung in öffentlich zugänglichen Räumen (mit engen Ausnahmen) und manipulative KI, die Schaden verursachen könnte.
Hohes Risiko: die Stufe mit den schweren Pflichten. Sie umfasst die in Anhang III genannten Einsatzbereiche, etwa Personalauswahl, kritische Infrastruktur und Strafverfolgung, sowie KI, die als Sicherheitsbauteil in einem regulierten Produkt steckt, darunter Medizinprodukte nach der MDR.
Begrenztes Risiko: Transparenzpflichten. Ein Chatbot muss zum Beispiel erkennbar machen, dass man mit einer KI spricht.
Minimales Risiko: die meisten Systeme, etwa Spam-Filter oder KI in Videospielen. Das Gesetz stellt hier keine eigenen Pflichten auf, freiwillige Verhaltenskodizes werden aber ausdrücklich gefördert.

Bei der Einstufung kostet ein Fehler am meisten. Stufen Sie ein System zu hoch ein, tragen Sie Dokumentationsaufwand, den es nie gebraucht hätte. Stufen Sie es zu niedrig ein, drohen Bußgelder für Pflichten, von denen Sie nicht wussten, dass sie für Sie gelten.

Was ein Hochrisiko-System nachweisen muss

Wenn Sie ein Hochrisiko-KI-System entwickeln oder einsetzen, verlangt das Gesetz sechs Dinge:

Risikomanagementsystem: Ein kontinuierlicher, iterativer Prozess zur Identifizierung, Analyse und Minderung von Risiken über den gesamten Lebenszyklus des KI-Systems.
Daten-Governance: Sicherstellung, dass Trainings-, Validierungs- und Testdatensätze von hoher Qualität, relevant und frei von Verzerrungen (Bias) sind.
Technische Dokumentation: Eine umfassende Dokumentation muss erstellt werden, bevor das System auf den Markt kommt. Sie umfasst den Zweck, die Fähigkeiten, die Grenzen des Systems und die Ergebnisse der Konformitätsbewertung.
Aufzeichnungs- und Protokollierungspflichten: Ereignisse müssen automatisch protokolliert werden, um die Nachverfolgbarkeit der Funktionsweise des KI-Systems zu gewährleisten.
Transparenz & menschliche Aufsicht: Systeme müssen so gestaltet sein, dass sie für die Betreiber transparent sind und eine wirksame menschliche Aufsicht ermöglichen, um Risiken zu verhindern oder zu minimieren.
Genauigkeit, Robustheit und Cybersicherheit: Hochrisiko-Systeme müssen konsistent funktionieren und widerstandsfähig gegenüber Fehlern und Manipulationsversuchen sein.

Ab wann diese Pflichten gelten, steht im Gesetz, und auf EU-Ebene wird über Anpassungen gesprochen. Klären Sie den für Ihren Systemtyp geltenden Termin mit Ihrer Rechtsberatung, bevor Sie einen Plan darauf bauen. An der Reihenfolge ändert das nichts: Ein System, das nicht eingestuft ist, lässt sich nicht dokumentieren.

Was Sie aus der DSGVO schon mitbringen

Wer die DSGVO ordentlich umgesetzt hat, fängt nicht bei null an. Sie wissen, welche personenbezogenen Daten Sie verarbeiten, Sie führen Verzeichnisse, und vermutlich haben Sie mindestens eine Datenschutz-Folgenabschätzung geschrieben. Der AI Act verlangt Verwandtes: eine Risikobewertung (für bestimmte Betreiber zusätzlich zur DSFA eine Grundrechte-Folgenabschätzung), Daten von guter Qualität und eine Dokumentation, die auch jemand verstehen kann, der sie nicht geschrieben hat.

Neu ist die Produktseite: technische Dokumentation vor dem Inverkehrbringen, automatische Protokollierung, menschliche Aufsicht, die ins System eingebaut ist, und für Anbieter eine Konformitätsbewertung.

Wo Marsstein heute steht

Marsstein ist für die DSGVO live. Die Unterstützung für den EU AI Act ist in Vorbereitung: ein Inventar Ihrer KI-Systeme, die Risikoklassifizierung und die technische Dokumentation. Als live bezeichnen wir sie erst, wenn sie es ist.

Was Sie jetzt schon tun können, ist die DSGVO-Hälfte in Ordnung zu bringen, denn auf ihr baut der AI Act auf. Der Agent liest Ihre öffentliche Website und die Dokumente, die Sie hochladen, listet die Lücken gegenüber der DSGVO Artikel für Artikel auf und entwirft Verzeichnisse von Verarbeitungstätigkeiten, Datenschutz-Folgenabschätzungen und die Auftragsverarbeitungsverträge mit den Anbietern hinter Ihren KI-Werkzeugen. Jedes Dokument wartet auf die Entscheidung Ihres Teams, bevor es gilt.

Ein Plan für diesen Monat

Listen Sie jedes KI-System auf, das Sie entwickeln, zukaufen oder nutzen, auch die, die in anderer Software stecken.
Ordnen Sie jedes einer Stufe zu und notieren Sie, warum.
Geben Sie jedem Hochrisiko-System eine verantwortliche Person und einen Ordner für seine Dokumentation.

Wenn Sie die DSGVO-Hälfte an Ihrem eigenen Unternehmen sehen möchten oder uns erzählen wollen, wie Ihr KI-Inventar aussieht: Gespräch vereinbaren.