Der EU AI Act für IT-Leiter – die Pflichten in 10 Minuten

Einleitung

Der EU AI Act ist kein Thema nur für Legal und Compliance. Für IT-Leiter geht es vor allem darum, Transparenz über eingesetzte KI zu schaffen, die eigene Rolle zu bestimmen und daraus die konkreten Pflichten abzuleiten.

Denn bevor ein KI-System regulatorisch eingeordnet werden kann, muss überhaupt klar sein, wo und wofür KI im Unternehmen eingesetzt wird.

Problemstellung

KI kommt heute nicht nur über große, zentral gesteuerte Projekte ins Unternehmen.

SaaS-Anwendungen erhalten neue KI-Funktionen, Fachbereiche nutzen generative KI, Entwickler integrieren Modelle per API und Mitarbeiter bauen eigene Automatisierungen.

So entsteht schnell Schatten-KI.

Die zentrale Managementfrage lautet deshalb:

Wie soll AI-Act-Compliance funktionieren, wenn niemand vollständig weiß, welche KI-Systeme und Use Cases eingesetzt werden?

Analyse

Für IT-Leiter sind insbesondere diese Fragen entscheidend:

Anwendungsbereich: Fällt der konkrete Use Case überhaupt unter den AI Act?
Rolle: Ist das Unternehmen Anbieter, Betreiber oder übernimmt es eine andere Rolle?
Einordnung: Liegt eine verbotene Praktik, Hochrisiko-KI oder eine besondere Transparenzpflicht vor?
GPAI: Ist ein General-Purpose-AI-Modell relevant?
Betrieb: Welche Anforderungen gelten für Human Oversight, Logging, Monitoring und Vorfälle?
AI Literacy: Welche Personen benötigen welche KI-Kompetenz?

Wichtig: Die bekannte Einteilung in „unzulässig, Hochrisiko, begrenzt und minimal“ ist als Orientierung hilfreich, reicht für die konkrete Compliance-Prüfung aber nicht aus.

Lösungsansatz

AI Inventory aufbauen – KI-Systeme und konkrete Use Cases erfassen.
Eigene Rolle bestimmen – beispielsweise Anbieter oder Betreiber.
Pflichtregime prüfen – Verbot, Hochrisiko, Transparenzpflichten und gegebenenfalls GPAI.
Governance etablieren – Verantwortlichkeiten und Entscheidungswege festlegen.
Nachweise organisieren – Provider-Unterlagen, Freigaben, Logs und Dokumentation.
Lifecycle integrieren – neue Modelle, Funktionen und Changes regelmäßig neu bewerten.

Ein eigener „AI Officer“ ist dabei nicht gesetzlich vorgeschrieben. Entscheidend ist, dass Verantwortung eindeutig geregelt ist.

Praxisbeispiel

Ein typisches illustratives Szenario:

Die IT kennt den zentral eingeführten KI-Assistenten. Bei einer strukturierten Bestandsaufnahme zeigen sich zusätzlich KI-Funktionen im Recruiting, Marketing, Kundenservice und mehreren SaaS-Anwendungen.

Technisch gehören alle zum Thema KI.

Regulatorisch können sie jedoch völlig unterschiedlich einzuordnen sein.

Genau deshalb sollte nicht nur das verwendete Modell, sondern der konkrete Use Case betrachtet werden.

Handlungsempfehlungen

Führen Sie ein AI Register für Systeme und Use Cases ein.
Verknüpfen Sie dieses bei Bedarf mit Ihrer CMDB, statt sämtliche Compliance-Informationen direkt dort abzulegen.
Integrieren Sie AI-Act-Prüfungen in Beschaffung, Architektur und Change Management.
Beziehen Sie die Fachbereiche aktiv in die Inventarisierung ein.
Entwickeln Sie rollenbasierte AI Literacy für IT, Fachbereiche, Einkauf, Security, Datenschutz und Management.
Betrachten Sie AI Governance als Lifecycle-Prozess, nicht als einmalige Freigabe.

Häufige Fehler

Nur selbst entwickelte KI erfassen. Auch SaaS-Funktionen und externe Services sind relevant.
Nur Modelle statt Use Cases betrachten. Der konkrete Einsatzzweck ist häufig entscheidend.
Die Risikoeinstufung vor der eigenen Rolle bestimmen.
Generative KI pauschal als Hochrisiko behandeln.
AI Governance ausschließlich der IT überlassen.
AI Literacy mit einer einmaligen Awareness-Schulung abhaken.
Nur die Einführung prüfen und den laufenden Betrieb vergessen.

Fazit

AI-Act-Compliance beginnt nicht mit einer Risikoklasse.

Sie beginnt mit fünf einfachen Fragen:

Welche KI-Systeme und Use Cases haben wir? Welche Rolle nehmen wir ein? Welche regulatorische Einordnung gilt? Welche Pflichten folgen daraus? Welche Nachweise fehlen?

Der ausführliche Leitfaden „Der EU AI Act für IT-Leiter – die Pflichten in 10 Minuten“ zeigt, wie daraus ein strukturierter und dauerhaft steuerbarer AI-Governance-Prozess entsteht.