Ein Werkzeug bauen kann heute fast jeder. Es so zu betreiben, dass es einer Prüfung standhält, braucht zusätzlich ein paar Regeln. Die stehen vor allem im EU AI Act, dem KI-Gesetz der EU. Es sortiert jedes KI-System in eine Risikoklasse, und an der Klasse hängen die Pflichten.
In welche Klasse fällt Ihr Werkzeug?
Verboten sind Systeme, die Menschen bewerten oder manipulieren, etwa Social Scoring. Hochrisiko ist KI, die über Menschen entscheidet, zum Beispiel in der Personalauswahl oder bei der Kreditvergabe. Begrenztes Risiko heißt Transparenzpflicht, ein Chatbot muss sich als Maschine zu erkennen geben. Alles andere gilt als minimales Risiko, ohne besondere Pflichten. Helfer wie der Rechnungsbau oder die Tagesübersicht aus unseren Beispielen liegen fast immer in dieser letzten Klasse. Sobald Ihr Werkzeug über Bewerber, Kredite oder Gesundheit mitentscheidet, sind Sie in der Hochrisiko-Klasse und holen sich Beratung, bevor Sie bauen.
Wie sicher ist Programmcode aus der KI?
Die Prüffirma Veracode hat 2025 gemessen, dass rund 45 Prozent des KI-geschriebenen Programmcodes bekannte Sicherheitslücken enthält. Ein Benchmark der Carnegie Mellon University wertet nur 10,5 Prozent des funktionierenden Codes als sicher. Funktioniert und sicher sind zwei verschiedene Dinge. Für einen Helfer, der Ihre eigenen Notizen sortiert, ist das verkraftbar. Für alles mit Kundendaten oder Zahlungen gehört eine Prüfung dazwischen, so wie sie die Bauordnung beim Bautag vorsieht.
Welche Fristen laufen schon?
Zwei Regeln gelten seit Februar 2025, die Pflicht zu Maßnahmen für KI-Kompetenz aus Artikel 4 und die Verbote aus Artikel 5. Seit dem 2. August 2026 gelten die Transparenzpflichten, Chatbots und KI-Inhalte müssen gekennzeichnet sein. Die strengen Hochrisiko-Pflichten folgen ab Dezember 2027. Bei Verstößen gegen die Verbote reichen die Bußgelder bis 35 Millionen Euro oder 7 Prozent des Weltumsatzes. Alle Termine im Zusammenhang stehen in Was der EU AI Act von Ihnen will.
Wessen Daten berührt Ihr Werkzeug?
Vor dem Bau brauchen Sie zwei Antworten. Wessen Daten fließen hinein, und entscheidet das Werkzeug über Menschen? Entscheidet es über Menschen, holen Sie sich Beratung. Bleiben die Daten im Haus und lautet die zweite Antwort nein, steht Ihrem Bau meist nichts im Weg.
Ihr erster Schritt heute
Schreiben Sie für Ihr Vorhaben drei Sätze auf. Erstens, was das Werkzeug tut. Zweitens, welche Daten hineinfließen und wo sie liegen. Drittens, wer im Haus es betreibt und abschalten kann. Mit diesen drei Sätzen beantworten Sie die Fragen Ihres Datenschutzbeauftragten, bevor er sie stellt. Und sie sind eine gute Grundlage für das Vorgespräch zum Bautag.
Die ausführliche Fassung mit Prüfkatalog und allen Quellen lesen Sie bei Convios: KI-Agenten, Vibe Coding und der EU AI Act.