Der EU AI Act erklärt für Website-Betreiber

Der AI Act gilt für jeden, der ein KI-System auf dem EU-Markt bereitstellt oder in der EU in Betrieb nimmt, unabhängig davon, wo das Unternehmen ansässig ist — dieselbe extraterritoriale Logik wie bei der DSGVO. Sowohl ein US-amerikanisches SaaS-Unternehmen mit EU-Kunden als auch eine slowenische E-Commerce-Website mit einem KI-Chatbot fallen in den Anwendungsbereich.

Der Anwendungsbereich hängt von der Nutzung ab, nicht von der Unternehmensgröße oder der Absicht, KI zu entwickeln. Wenn Ihre Website einen KI-gestützten Chatbot betreibt, KI zur Erstellung oder Moderation von Inhalten für Besucher nutzt oder eine KI-Funktion eines Drittanbieters einbindet (eine Empfehlungs-Engine, eine KI-gestützte Suche, einen automatisierten Support-Assistenten), sind Sie nach dem Gesetz ein Betreiber.

Der Act unterteilt KI-Systeme in vier Risikostufen: unannehmbares Risiko (grundsätzlich verboten — z. B. Social Scoring), hohes Risiko (strenge Pflichten — z. B. KI bei Einstellungen, Bonitätsbewertung oder medizinischen Entscheidungen), begrenztes Risiko (Transparenzpflichten — z. B. Chatbots, KI-generierte Inhalte) und minimales Risiko (keine besonderen Pflichten).

Die meisten Websites fallen in die Kategorie begrenztes Risiko: Ein Kundenservice-Chatbot oder ein KI-geschriebener Blogbeitrag löst typischerweise Offenlegungspflichten aus, nicht das deutlich strengere Hochrisiko-Regime. Hochrisiko-Pflichten werden vor allem für Websites relevant, die KI nutzen, um Entscheidungen über Einzelpersonen zu treffen oder wesentlich zu beeinflussen — etwa bei der Vorauswahl von Bewerbern oder der Bonitätsbewertung.

Grundsätzlich ja, bei Inhalten, die mit authentischen menschlichen Inhalten oder Kommunikation verwechselt werden könnten — das ist eine der zentralen Transparenzpflichten des Acts für Systeme mit begrenztem Risiko. Praktisch bedeutet das: KI-generierten Text, Bilder, Audio oder Video, die veröffentlicht oder Besuchern gezeigt werden, kennzeichnen und Besucher darauf hinweisen, wenn sie mit einem Chatbot statt mit einer Person sprechen.

Der Act trat im August 2024 in Kraft, die Pflichten werden jedoch über mehrere Jahre gestaffelt eingeführt. Zuerst galten die Regeln zu verbotenen Praktiken und die Pflichten zur KI-Kompetenz. Die Transparenzpflichten für Systeme mit begrenztem Risiko — die für den Chatbot oder die KI-generierten Inhalte einer typischen Website am relevantesten sind — gelten bereits. Pflichten für Betreiber von Hochrisiko-KI-Systemen gelten vollständig ab August 2026, was die am häufigsten genannte Frist für Unternehmen zur Vorbereitung ist.

DSGVO und AI Act ergänzen sich, statt sich zu überschneiden. Die DSGVO regelt die Verarbeitung personenbezogener Daten — ihre Frage lautet: "Werden diese Daten rechtmäßig verarbeitet?" Der AI Act regelt die Sicherheit und Transparenz von KI-Systemen — seine Frage lautet: "Wird das Risiko dieses KI-Systems korrekt gesteuert und offengelegt?" Eine einzelne KI-Funktion, etwa ein Chatbot, der Besuchernachrichten verarbeitet, kann Pflichten nach beiden auslösen: nach der DSGVO, weil er personenbezogene Daten verarbeitet, und nach dem AI Act, weil es sich um ein KI-System handelt, das mit einer Person interagiert, die das wissen muss.

Formale Sanktionen für Verstöße gegen den AI Act können erheblich sein, mit Höchstbeträgen, die in manchen Kategorien über denen der DSGVO liegen. In der Praxis ist das unmittelbare Risiko für die meisten kleinen und mittleren Unternehmen, die vorgefertigte KI-Tools nutzen, geringer, als die Schlagzeilen-Bußgelder vermuten lassen — die Durchsetzung nimmt erst Fahrt auf, während nationale Marktüberwachungsbehörden ihre Prozesse aufbauen. Das konkretere kurzfristige Risiko betrifft den Ruf: Besucher bemerken zunehmend nicht offengelegte KI-Nutzung, und Beschaffungsprozesse fragen zunehmend nach KI-Governance, so wie sie bereits nach DSGVO-Compliance fragen.

Da die Pflichten des AI Act stark davon abhängen, wie KI intern eingesetzt wird — Governance-Richtlinien, Risikobewertungen, menschliche Aufsicht — statt davon, was im gerenderten HTML einer Seite sichtbar ist, eignet sich dafür eher ein Selbsteinschätzungs-Fragebogen als ein browserbasierter Scan. Die kostenlose Einschätzung von GetGDPRScan deckt Unternehmensprofil, KI-Nutzung, Auswirkungen auf Entscheidungen, Transparenzpraxis und Governance ab und liefert einen Risikowert plus eine priorisierte Maßnahmen-Checkliste.