KI-Gesetz für Unternehmen : Die europäische Verordnung zur künstlichen Intelligenz (KI) gilt nicht nur für Unternehmen, die KI-Tools entwickeln. Auch Unternehmen, die KI-Systeme im Rahmen ihrer Geschäftstätigkeit vermarkten, importieren, integrieren oder nutzen, können unter das KI-Gesetz fallen. Seit dem 2. August 2026 ist der Kern der Verordnung anwendbar, die Pflichten und Fristen variieren jedoch je nach Rolle des Unternehmens und Risikostufe des jeweiligen Systems.

Von Morgan Jamet und Haia El Zufari, Anwälte – ARST Avocats

Dieser Artikel ist eine erweiterte und aktualisierte Version unserer Analyse, die ursprünglich in Village de la Justice veröffentlicht wurde.

Gilt das KI-Gesetz für alle Unternehmen?

Die Verordnung (EU) 2024/1689 über künstliche Intelligenz, bekannt als „KI-Gesetz“, trat am 1. August 2024 in Kraft. Sie ist in Frankreich unmittelbar anwendbar und wurde durch die Verordnung (EU) 2026/1744, bekannt als „KI-Omnibus“, angepasst, die am 27. Juli 2026 in Kraft trat.

Der Anwendungsbereich hängt weder von der Unternehmensgröße noch prinzipiell von der Branche ab. Kleinstunternehmen, kleine und mittlere Unternehmen (KMU), Vereine, Freiberufler, mittelständische Betriebe oder Großkonzerne können daher betroffen sein. Die entscheidende Frage lautet nicht einfach: „Nutzen wir KI?“, sondern vielmehr: „Welche Rolle spielen wir im Hinblick auf die einzelnen KI-Systeme, und welche Risiken birgt deren Einsatz?“

KI-Gesetz für Unternehmen: Welche Unternehmen sind betroffen?

Unternehmenssituation	Qualifikationsgesetz für KI	Konkretes Beispiel
Sie nutzt KI in ihrem Unternehmen	Bereitsteller	Generativer Assistent, Vertragsanalyse, Inhaltserstellung
Es vermarktet eine KI unter eigenem Namen oder eigener Marke	Anbieter	Software zur Anwendungssortierung, die intern oder extern entwickelt wurde
Es bietet ein Generalistenmodell	Anbieter allgemeiner KI-Modelle	Großes Sprachmodell, das für mehrere Aufgaben verwendbar ist
Es führt KI von einem Nicht-EU-Lieferanten in die EU ein	Importeur	Amerikanische oder asiatische Lösung, die in Frankreich weiterverkauft wird
Sie vertreibt KI weiter, ohne selbst Lieferant oder Importeur zu sein	Vertriebspartner	Europäischer Wiederverkäufer von KI-Lösungen
Es integriert Sicherheits-KI in ein reguliertes Produkt	Der Hersteller wird dem Lieferanten gleichgestellt	Medizinprodukt, Spielzeug, Aufzug oder persönliche Schutzausrüstung mit integrierter KI

DaherUnternehmen genau bestimmen, welche Rolle jedes der verwendeten oder vermarkteten Systeme spielt.

Ein einzelnes Unternehmen kann mehrere Eigenschaften besitzen. Beispielsweise kann es einen generativen Assistenten als Bereitstellungswerkzeug einsetzen und unter seiner eigenen Marke ein anderes Werkzeug vermarkten, für das es zum Lieferanten wird.

Welche Verpflichtungen legt das KI-Gesetz Unternehmen auf?

Die professionelle Nutzung eines KI-Systems unter der Aufsicht des Unternehmens verleiht diesem in der Regel den Status eines Anwenders. Dies bedeutet jedoch nicht, dass die gelegentliche Nutzung eines Schreibassistenten denselben Beschränkungen unterliegt wie ein System zur Beurteilung der Kreditwürdigkeit von Personen oder zur Auswahl von Bewerbern.

Im alltäglichen Gebrauch ergeben sich im Allgemeinen folgende Hauptherausforderungen:

• die tatsächlich verwendeten Werkzeuge identifizieren, einschließlich nicht offiziell genehmigter Verwendungen;
• Mitarbeiter über ihre Fähigkeiten, Grenzen und Risiken schulen;
• Verbotene Praktiken beseitigen;
• den Transparenzpflichten nachkommen, wenn das Werkzeug oder der Inhalt unter die in Artikel 50 genannten Fälle fällt;
• um das KI-Gesetz mit der DSGVO, der Vertraulichkeit, Geschäftsgeheimnissen, dem geistigen Eigentum und den internen Sicherheitsbestimmungen in Einklang zu bringen.

KI-Gesetz für Unternehmen: Welche Verpflichtungen gelten ab 2026?

1. Entwicklung von KI-Kompetenz innerhalb des Unternehmens

Seit dem 2. Februar 2025 sind Anbieter und Anwender verpflichtet, Maßnahmen zu ergreifen, um die Entwicklung ausreichender KI-Kompetenzen bei ihren Mitarbeitern und anderen Nutzern dieser Systeme in ihrem Auftrag zu fördern. Mit der KI-Omnibusrichtlinie vom Juli 2026 müssen Unternehmen nicht mehr für jeden Einzelnen ein einheitliches Kompetenzniveau garantieren; die Maßnahmen müssen vielmehr auf dessen Kenntnisse, Erfahrungen, Ausbildung und Nutzungskontext abgestimmt sein.

In der Praxis bilden eine Nutzungsrichtlinie, gezielte Sensibilisierungsmaßnahmen, eine leicht zugängliche Dokumentation und angemessene Schulungen die ersten Bausteine ​​eines Compliance-Systems.

2. Verbotene KI-Praktiken nicht anwenden

Die wichtigsten verbotenen Praktiken sind seit dem 2. Februar 2025 in Kraft: schädliche Manipulation, Ausnutzung bestimmter Schwächen, soziale Bewertung, bestimmte Formen der vorausschauenden Polizeiarbeit, nicht zielgerichtete Erstellung von Gesichtserkennungsdatenbanken, Erkennung von Emotionen am Arbeitsplatz oder in der Ausbildung außer in Ausnahmefällen, bestimmte biometrische Kategorisierungen und biometrische Echtzeit-Fernidentifizierung zu repressiven Zwecken außer in streng geregelten Fällen.

Zwei weitere Verbote aus dem AI-Omnibus treten am 2. Dezember 2026 in Kraft. Sie betreffen Systeme, die dazu verwendet werden, nicht einvernehmliche intime Inhalte oder Inhalte, die sexuellen Kindesmissbrauch darstellen, zu generieren oder zu manipulieren.

3. Einhaltung der Transparenzverpflichtungen

Ab dem 2. August 2026 müssen bestimmte Personen darüber informiert werden, dass sie mit KI interagieren, es sei denn, dies ist aus den Umständen eindeutig ersichtlich. Besondere Verpflichtungen gelten auch für Emotionserkennung, biometrische Kategorisierung, Deepfakes und bestimmte Texte, die von KI generiert oder manipuliert werden, wenn sie veröffentlicht werden, um die Öffentlichkeit über ein Thema von allgemeinem Interesse zu informieren.

Welcher Zeitplan gilt für das KI-Gesetz für Unternehmen?

Datum	Wichtigste anwendbare Regeln
2. Februar 2025	Die Beherrschung der KI und die ersten verbotenen Praktiken
2. August 2025	Governance und Verpflichtungen im Zusammenhang mit neuen universellen KI-Modellen
2. August 2026	Allgemeine Anwendungs-, Transparenz- und Kontrollbefugnisse
2. Dezember 2026	Zwei neue verbotene Praktiken; bestimmte Übergangsregelungen für Kennzeichnungen
2. August 2027	Konformität von allgemeinen KI-Modellen, die bereits vor dem 2. August 2025 auf dem Markt sind
2. Dezember 2027	Verpflichtungen in Bezug auf Hochrisikosysteme gemäß Anhang III
2. August 2028	Verpflichtungen in Bezug auf Hochrisikosysteme, die in regulierte Produkte des Anhangs I integriert sind

Wann gilt ein KI-System als risikoreich?

Es sind zwei Hauptkategorien zu unterscheiden. Erstens fallen bestimmte sensible Anwendungen gemäß Anhang III unter die Kategorie „Hohes Risiko“: Biometrie, kritische Infrastrukturen, Bildung, Beschäftigung, Zugang zu grundlegenden Dienstleistungen, Zahlungsfähigkeit, Lebens- und Krankenversicherung, Strafverfolgung, Migration, Justiz und demokratische Prozesse. Zweitens fallen auch bestimmte Systeme, die als Sicherheitskomponenten in Produkte integriert sind, die europäischen Verordnungen unterliegen, wie beispielsweise Medizinprodukte, persönliche Schutzausrüstung, Spielzeug oder Aufzüge, unter die Kategorie „Hohes Risiko“.

Der Betreiber eines Hochrisikosystems muss insbesondere die Anweisungen des Lieferanten befolgen, eine wirksame personelle Überwachung gewährleisten, den Betrieb überwachen, bestimmte Protokolle führen, gegebenenfalls die relevanten Parteien informieren und mit den Behörden zusammenarbeiten. Zusätzliche Pflichten können für Arbeitgeber, öffentliche Einrichtungen, öffentliche Dienstleister sowie Kredit- oder Versicherungsunternehmen gelten.

Vorsicht vor einer Umklassifizierung als Lieferant

Ein Unternehmen, das anfänglich nur als Nutzer, Importeur oder Händler auftritt, kann rechtlich zum Lieferanten eines risikoreichen KI-Systems werden. Dies kann geschehen, wenn es seinen Namen oder seine Marke mit dem System verbindet, wesentliche Änderungen daran vornimmt oder dessen Verwendungszweck so ändert, dass es in die Kategorie der Hochrisikosysteme fällt.

Die Klassifizierung hängt daher nicht allein vom Vertrag oder der vom Verlag gewählten kommerziellen Terminologie ab. Sie ergibt sich aus der Realität der durchgeführten Geschäftstätigkeit.

Wie kann Ihr Unternehmen die Einhaltung des AI Act sicherstellen?

Für Unternehmen, die vom AI-Gesetz betroffen sind, besteht der erste Schritt darin, die tatsächlich verwendeten Tools zu identifizieren, einschließlich derjenigen, die direkt von den Mitarbeitern eingesetzt werden.

Ein verhältnismäßiges Vorgehen kann in sieben Schritten erfolgen:

1. Erfassen Sie die KI-Tools und -Modelle, die verwendet, entwickelt, integriert oder kommerzialisiert werden.
2. Definieren Sie die Rolle des Unternehmens für jedes System: Implementierer, Lieferant, Importeur, Vertriebshändler oder Hersteller.
3. Die Nutzungen sind nach ihrem Risikograd zu klassifizieren und verbotene Praktiken zu identifizieren.
4. Prüfen Sie die bereits bestehenden Verpflichtungen, einschließlich der KI-Governance und Transparenz.
5. Die Nutzung soll durch eine Charta, Verfahren und entsprechende Schulungen geregelt werden.
6. Prüfung von Verträgen mit Verlagen, Systemintegratoren, Subunternehmern, Kunden und Vertriebspartnern.
7. Organisation von Nachweisen zur Einhaltung der Vorschriften: Entscheidungen, Schulungen, Mitteilungen, Kontrollen, Vorfälle und Korrekturmaßnahmen.

KI-Gesetz und Verträge über künstliche Intelligenz: Welche Klauseln sollten überprüft werden?

Das KI-Gesetz legt jedem Betreiber spezifische Pflichten fest, deren praktische Umsetzung jedoch durch Verträge ermöglicht werden muss. Diese sollten insbesondere die Qualifikation der Vertragsparteien, die zulässige Systemnutzung, die bereitzustellenden Informationen und Dokumentationen, die Zusammenarbeit im Falle einer Prüfung oder eines Vorfalls, Systemänderungen, Eingabe- und Ausgabedaten, Cybersicherheit, geistiges Eigentum, Vertraulichkeit, Verantwortlichkeiten und die Bedingungen für die Rückgängigmachung regeln.

Eine Klausel kann die regulatorische Verantwortung der Behörden nicht aufheben. Sie kann jedoch Aufgaben verteilen, den Rechtsweg zwischen den Parteien regeln und operative Unsicherheiten verringern.

FAQ – KI-Gesetz und Unternehmen

Gilt das KI-Gesetz auch für KMU und Kleinstunternehmen?

Ja. Die Größe schließt die Anwendung der Verordnung nicht aus. Sie kann jedoch bei bestimmten Verhältnismäßigkeits- oder Vereinfachungsmaßnahmen berücksichtigt werden.

Kann auch ein Unternehmen ohne IT-Abteilung betroffen sein?

Ja. Allein die professionelle Nutzung eines KI-Systems kann einem den Status eines Anwenders verleihen.

Ist die Nutzung von ChatGPT in einem Unternehmen verboten?

Nein. Das KI-Gesetz verbietet nicht die allgemeine Nutzung eines generativen Assistenten. Unternehmen müssen jedoch dessen Nutzung regulieren und die geltenden Vorschriften einhalten, insbesondere in Bezug auf KI-Governance, Transparenz, Datenschutz und Vertraulichkeit.

Wann ist das KI-Gesetz anwendbar?

Der allgemeine Stichtag ist der 2. August 2026, einige Regeln gelten jedoch bereits seit 2025, und die wichtigsten Verpflichtungen in Bezug auf Hochrisikosysteme wurden auf Dezember 2027 oder August 2028 verschoben.

Was ist der erste Schritt?

Erstellen Sie eine Übersicht über KI-Tools und deren Einsatzmöglichkeiten, einschließlich derjenigen, die direkt von Mitarbeitern genutzt werden, und bewerten Sie anschließend die Rolle des Unternehmens sowie das Risikoniveau jeder einzelnen Anwendung.

ARST Avocats wird Ihnen helfen

Die Anwaltskanzlei ARST Avocats unterstützt Unternehmen bei der Ermittlung ihrer Verpflichtungen gemäß dem AI-Gesetz, der Kartierung und Qualifizierung ihrer Nutzungen, der Ausarbeitung interner Statuten, der Schulung von Teams sowie der Prüfung und Verhandlung ihrer Verträge im Zusammenhang mit künstlicher Intelligenz.

Möchten Sie prüfen, ob Ihr Unternehmen betroffen ist oder einen auf Ihre Geschäftspraktiken zugeschnittenen Compliance-Plan entwickeln? Kontaktieren Sie uns.