Ein Werkzeug bauen kann heute fast jeder. Es so zu betreiben, dass es einer Prüfung standhält, braucht zusätzlich ein paar Regeln. Die stehen vor allem im EU AI Act, dem KI-Gesetz der EU. Es sortiert jedes KI-System in eine Risikoklasse, und an der Klasse hängen die Pflichten.
In welche Klasse fällt dein Werkzeug?
Verboten sind Systeme, die Menschen bewerten oder manipulieren, etwa Social Scoring. Hochrisiko ist KI, die über Menschen entscheidet, zum Beispiel in der Personalauswahl oder bei der Kreditvergabe. Begrenztes Risiko heißt Transparenzpflicht, ein Chatbot muss sich als Maschine zu erkennen geben. Alles andere gilt als minimales Risiko, ohne besondere Pflichten. Helfer wie der Rechnungsbau oder die Tagesübersicht aus unseren Beispielen liegen fast immer in dieser letzten Klasse. Sobald dein Werkzeug über Bewerber, Kredite oder Gesundheit mitentscheidet, bist du in der Hochrisiko-Klasse und holst dir Beratung, bevor du baust.
Wie sicher ist Programmcode aus der KI?
Die Prüffirma Veracode hat 2025 gemessen, dass rund 45 Prozent des KI-geschriebenen Programmcodes bekannte Sicherheitslücken enthält. Ein Benchmark der Carnegie Mellon University wertet nur 10,5 Prozent des funktionierenden Codes als sicher. Funktioniert und sicher sind zwei verschiedene Dinge. Für einen Helfer, der deine eigenen Notizen sortiert, ist das verkraftbar. Für alles mit Kundendaten oder Zahlungen gehört eine Prüfung dazwischen, so wie sie die Bauordnung beim Bautag vorsieht.
Welche Fristen laufen schon?
Zwei Pflichten gelten seit Februar 2025, die Schulungspflicht aus Artikel 4 und die Verbote aus Artikel 5. Seit dem 2. August 2026 gelten die Transparenzpflichten, Chatbots und KI-Inhalte müssen gekennzeichnet sein. Die strengen Hochrisiko-Pflichten folgen ab Dezember 2027. Bei Verstößen reichen die Bußgelder bis 35 Millionen Euro oder 7 Prozent des Weltumsatzes. Alle Termine im Zusammenhang stehen in Was der EU AI Act von dir will.
Wessen Daten berührt dein Werkzeug?
Vor dem Bau brauchst du zwei Antworten. Wessen Daten fließen hinein, und entscheidet das Werkzeug über Menschen? Entscheidet es über Menschen, hol dir Beratung. Bleiben die Daten im Haus und lautet die zweite Antwort nein, steht deinem Bau meist nichts im Weg.
Dein erster Schritt heute
Schreib für dein Vorhaben drei Sätze auf. Erstens, was das Werkzeug tut. Zweitens, welche Daten hineinfließen und wo sie liegen. Drittens, wer im Haus es betreibt und abschalten kann. Mit diesen drei Sätzen beantwortest du die Fragen deines Datenschutzbeauftragten, bevor er sie stellt. Und sie sind eine gute Grundlage für das Vorgespräch zum Bautag.
Die ausführliche Fassung mit Prüfkatalog und allen Quellen liest du bei Convios: KI-Agenten, Vibe Coding und der EU AI Act.