Der EU AI Act ist seit dem 1. August 2024 in Kraft. Die ersten Verbote gelten seit Februar 2025, die Hochrisiko-Anforderungen greifen gestaffelt bis 2026. Wer das als Compliance-Projekt behandelt und an die Rechtsabteilung delegiert, hat die eigentliche Frage bereits falsch gestellt. Denn die Kernentscheidungen, die der Act erzwingt, sind keine juristischen – sie sind strategische. Welche KI-Systeme setzt das Unternehmen ein? Welche Risiken trägt es bewusst? Wer trägt Verantwortung, wenn ein Modell einen Kunden falsch bewertet oder einem Mitarbeitenden eine Beförderung verwehrt? Diese Fragen lassen sich nicht an ein Team delegieren. Sie gehören auf die Agenda der Führungsebene.

Risikokategorien sind keine Formalie, sondern Geschäftsentscheidungen

Der EU AI Act unterscheidet vier Risikostufen: unakzeptables Risiko, Hochrisiko, begrenztes Risiko und minimales Risiko. Was nach Bürokratie klingt, ist in Wirklichkeit ein Klassifikationsrahmen, der Unternehmen zwingt, ihre KI-Anwendungen systematisch zu durchleuchten. Eine KI, die Kreditwürdigkeit bewertet, fällt in den Hochrisikobereich. Eine KI, die Lebensläufe vorfiltern, ebenfalls. Wer solche Systeme betreibt – ob selbst entwickelt oder eingekauft –, ist als Betreiber (Deployer) in der Pflicht.

Die Risikobewertung ist damit keine einmalige Aufgabe zum Projektstart, sondern ein kontinuierlicher Prozess: Modelle ändern sich, Nutzungsszenarien verschieben sich, neue Integrationen entstehen. Entscheidend ist, dass das Unternehmen weiß, was es einsetzt – und warum die gewählte Risikostufe vertretbar ist. Das setzt voraus, dass die Führungsebene einen vollständigen Überblick über das eigene KI-Portfolio hat. Viele Organisationen stellen in solchen Inventuren überrascht fest, wie viele KI-Komponenten bereits produktiv laufen, die sich niemand formal genehmigt hat.

Governance ist kein Bremsklotz, sondern Betriebsvoraussetzung

Ein häufiger Einwand lautet: Zu viel Governance verlangsamt Innovation. Das Gegenteil ist richtig. Governance ist die Voraussetzung, damit KI überhaupt skalieren kann – intern wie gegenüber Kunden, Partnern und Behörden. Systeme, die ohne dokumentierte Risikobewertung, ohne Prozesse für Datendrift und ohne definierte Freigabestrukturen laufen, sind nicht schneller. Sie sind nur unbemerkt riskanter.

Die EU-Kommission hat mit dem AI Act einen Rahmen geschaffen, der – bei allem bürokratischem Aufwand – genau diesen Zusammenhang operationalisiert. Technische Dokumentation, Konformitätsbewertungen, Transparenzpflichten gegenüber Nutzern: All das erzwingt eine Klarheit über die eigene KI-Nutzung, die in vielen Organisationen bislang fehlte. KI-Compliance als Wettbewerbsvorteil entsteht nicht dadurch, dass man Checklisten abhakt, sondern dadurch, dass man Prozesse aufbaut, die dauerhaft funktionieren.

Wer diese Strukturen früh implementiert, hat einen faktischen Marktvorteil gegenüber Wettbewerbern, die erst reagieren, wenn Aufsichtsbehörden nachfragen. Das gilt besonders in B2B-Kontexten, wo Kunden zunehmend fragen, welche KI-Systeme in Dienstleistungen stecken – und ob diese regelkonform betrieben werden.

Die Lücke zwischen Modell und Verantwortung schließen

Eines der praktisch schwierigsten Felder ist die Zuordnung von Verantwortung. Der EU AI Act unterscheidet zwischen Anbietern (Providers), die KI-Systeme entwickeln und auf den Markt bringen, und Betreibern (Deployers), die diese Systeme in ihrer Organisation einsetzen. Viele Unternehmen sind beides gleichzeitig: Sie kaufen Grundmodelle ein und bauen darauf eigene Anwendungen.

In dieser Konstellation entsteht eine Verantwortungslücke, wenn unklar bleibt, wer welche Pflichten trägt. Der Anbieter haftet für das Modell – aber nicht für den spezifischen Einsatzkontext. Der Betreiber kennt den Kontext – aber nicht immer die technischen Eigenschaften des Modells. Diese Lücke ist keine theoretische: Sie führt in der Praxis dazu, dass bei Fehlern niemand sofort sagen kann, wo das Problem liegt und wer zuständig ist.

Human in the Loop: Wer freigeben, urteilen und haften muss ist kein philosophisches Konzept, sondern eine Designanforderung an jeden Prozess, der KI-gestützte Entscheidungen produziert. Die Frage, an welcher Stelle ein Mensch eine Entscheidung prüft, freigibt oder übersteuern kann, muss vor dem Go-live beantwortet sein – nicht nachher.

Was Unternehmen jetzt operativ brauchen

Die praktische Umsetzung des EU AI Acts lässt sich auf vier Handlungsfelder verdichten:

Erstens: KI-Inventar anlegen. Welche Systeme mit KI-Komponenten sind im Einsatz? Das schließt eingekaufte SaaS-Produkte ein, die KI-Features nutzen. Viele Unternehmen sind überrascht, wie umfangreich diese Liste ist.

Zweitens: Risikostufen zuweisen. Für jedes System muss die zutreffende Risikokategorie gemäß EU AI Act bewertet werden. Das erfordert eine Kombination aus rechtlichem Know-how und technischem Verständnis – keine Abteilung kann das allein.

Drittens: Verantwortlichkeiten definieren. Wer ist für den Betrieb eines Systems verantwortlich? Wer gibt Outputs frei? Wer entscheidet bei Anomalien über den Weiterbetrieb? Qualitätsgates in KI-Workflows sind keine optionalen Ergänzungen, sondern konstitutive Bestandteile jedes produktionsreifen KI-Systems.

Viertens: Dokumentation aufbauen. Technische Dokumentation, Risikofolgenabschätzungen und Protokolle zu menschlicher Aufsicht sind gesetzliche Anforderungen für Hochrisikosysteme. Wer hier erst bei einer Prüfung anfängt, verliert wertvolle Monate.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat eigene Leitlinien zur KI-Sicherheit veröffentlicht, die den technischen Rahmen für den sicheren Betrieb von KI-Systemen konkretisieren – ein nützliches Gegenstück zu den rechtlichen Anforderungen des Acts. Die EU-Kommission selbst stellt über das AI Office fortlaufend aktualisierte Orientierungshilfen bereit, die für Betreiber handhabbarer sind als der Gesetzestext allein.

Führung heißt: die richtigen Fragen nicht delegieren

Der EU AI Act ist kein Endpunkt. Er ist der Beginn einer Regulierungsarchitektur, die sich über Jahre weiterentwickeln wird – parallel zu den Modellen, die sie reguliert. Unternehmen, die jetzt Strukturen aufbauen, schaffen keine bürokratische Last. Sie bauen Anpassungsfähigkeit auf.

Die eigentliche Führungsaufgabe in diesem Zusammenhang ist nicht, den Act im Detail zu kennen. Sie ist, die richtigen Fragen zu stellen und sicherzustellen, dass die Antworten in der Organisation verankert sind: Welche KI-Risiken tragen wir bewusst? Wo sind unsere Qualitätsgates? Wer haftet wofür? Und wie stellen wir sicher, dass das auch in zwei Jahren noch gilt, wenn Modelle und Anwendungsszenarien sich verändert haben?

Wer diese Fragen heute beantwortet, führt. Wer sie delegiert, riskiert, irgendwann mit den Konsequenzen konfrontiert zu werden – ohne die nötige Struktur, um darauf zu reagieren.