Gilt der EU-KI-Act für KI-gestützte Geschäftsentscheidungen?

Das Gesetz reguliert KI nach Anwendungsfall, nicht danach, wie wichtig eine Entscheidung erscheint.

Der KI-Verordnung, Verordnung (EU) 2024/1689 ordnet KI-Anwendungen in verbotene Praktiken, Hochrisiko-Anwendungen, Transparenzpflichten und alles Übrige ein. Eine Entscheidung auf Vorstandsebene über den Eintritt in einen neuen Markt oder die Übernahme eines Wettbewerbers kann für Ihr Unternehmen existenziell sein und dennoch unter „alles Übrige“ fallen, weil die Hochrisiko-Liste Anwendungen betrifft, die die Rechte von Einzelpersonen berühren: Bonitätsbewertung, Bildung, Zugang zu wesentlichen Dienstleistungen und Beschäftigung. Als „Einsatzverantwortlicher“ – so bezeichnet das Gesetz ein Unternehmen, das ein KI-System unter eigener Verantwortung nutzt – hängen Ihre Pflichten davon ab, in welche Kategorie der jeweilige Anwendungsfall fällt. Dieser Artikel dient nur allgemeinen Informationen und stellt keine Rechtsberatung dar; für einen konkreten Anwendungsfall wenden Sie sich bitte an qualifizierten Rechtsbeistand.

Zwei Dinge gelten bereits heute: KI-Kompetenz und die Verbote.

Seit dem 2. Februar 2025 verlangt Artikel 4 von Anbietern und Betreibern Maßnahmen zur KI-Kompetenz, und bestimmte Praktiken, etwa Emotionserkennung am Arbeitsplatz, sind verboten. Das im Juli 2026 als Verordnung (EU) 2026/1744 veröffentlichte Digital Omnibus zu KI lockerte die Pflicht zur KI-Kompetenz: Unternehmen müssen nun Maßnahmen ergreifen, „um die Entwicklung von KI-Kompetenz zu unterstützen“, statt für jede Person ein ausreichendes Niveau sicherzustellen. In der Praxis ist eine kurze schriftliche Richtlinie dazu, welche Tools Mitarbeitende wofür und mit welchen Daten verwenden dürfen, plus eine grundlegende Schulung für alle, die sich auf KI-Ergebnisse verlassen, ein sinnvoller Mindeststandard.

Bei Personalentscheidungen darf man die Grenze nicht leichtfertig überschreiten.

Anhang III, Punkt 4 des Gesetzes nennt KI, die für Rekrutierung und Auswahl eingesetzt wird, einschließlich der Filterung von Bewerbungen und der Bewertung von Kandidaten, sowie KI, die für Entscheidungen über Beförderung oder Beendigung von Beschäftigungsverhältnissen, zur Aufgabenverteilung auf der Grundlage persönlicher Merkmale oder des Verhaltens oder zur Überwachung und Bewertung von Beschäftigten eingesetzt wird. Für diese Verwendungen gelten ab dem 2. Dezember 2027 die Pflichten des Einsatzverantwortlichen; der Digital Omnibus hat das Datum von August 2026 verschoben (Zusammenfassung des Future of Privacy Forum). Dazu gehört, das System gemäß seiner Anweisungen zu verwenden, die menschliche Aufsicht Personen mit der Kompetenz und Befugnis zum Eingreifen zuzuweisen, Protokolle zu führen und Arbeitnehmervertreter sowie betroffene Beschäftigte vor dem Einsatz am Arbeitsplatz zu informieren. Der Aufschub verschafft Zeit; die Richtung ändert er nicht. Umstrukturierungen und Entscheidungen über Schlüsselpositionen sind genau die Fälle, in denen Führungskräfte versucht sind, „einfach die KI zu fragen“; deshalb sollte diese Grenze zuerst gezogen werden.

Die Unsicherheit selbst verursacht Kosten.

In derselben Destatis-Umfrage nannten unter den Unternehmen, die KI in Betracht gezogen, sie aber nicht genutzt hatten, 58 % unklare rechtliche Folgen und 53 % Datenschutzbedenken als Gründe (Mehrfachnennungen möglich). Am anderen Ende des Spektrums ergab eine Gartner-Umfrage unter 699 Führungskräften in den USA, Deutschland und dem Vereinigten Königreich, die Ende 2021 durchgeführt und 2022 berichtet wurde, dass 80 % glaubten, Automatisierung könne auf jede Geschäftsentscheidung angewendet werden – ein Enthusiasmus, den das Recht nicht teilt, wenn es um Entscheidungen über Menschen geht. Beide Gruppen verlieren: Die eine lässt nützliche Analysen ungenutzt, die andere driftet ohne Kontrollen in risikoreiche Bereiche ab. Die Lösung ist kein großes Compliance-Programm, sondern eine klare Karte Ihrer eigenen Anwendungsfälle.

Eine Fünf-Schritte-Prüfung, bevor Sie KI für eine weitreichende Entscheidung einsetzen.

1) Einordnen: Betrifft die Entscheidung bestimmte Personen, etwa Bewerber, Beschäftigte oder den Zugang eines Kunden zu Kredit oder wesentlichen Dienstleistungen? Wenn ja, behandeln Sie sie als potenziell risikoreich und holen Sie Rat ein. 2) Analyse und Bewertung trennen: Lassen Sie KI Optionen, Risiken und Annahmen strukturieren, aber halten Sie die Entscheidung und ihre Begründung bei benannten Personen. 3) Daten kontrollieren: Geben Sie keine personenbezogenen Daten oder HR-Akten in ein Tool ein, ohne einen Auftragsverarbeitungsvertrag und einen klaren Zweck; die DSGVO gilt unabhängig vom KI-Gesetz. 4) Dokumentieren: Halten Sie fest, was die KI erstellt hat, was Sie akzeptiert oder abgelehnt haben und wer es freigegeben hat. 5) Schulen: Stellen Sie sicher, dass die Personen, die die Ergebnisse nutzen, ihre Grenzen verstehen; auch das ist Ihr Nachweis für Artikel 4.

Hypothetisches Beispiel.

Ein Softwareunternehmen mit 120 Beschäftigten muss nach einer verzögerten Finanzierungsrunde die Kosten um 15 % senken. Die CEO nutzt KI, um drei Szenarien zu vergleichen: Schließung eines Büros, Aussetzung einer Produktlinie oder Reduzierung des Personalbestands über mehrere Teams hinweg. Die Analyse der Szenarien, ihrer Auswirkung auf den Cashflow und ihrer Folgerisiken ist gewöhnliche Entscheidungsunterstützung. In dem Moment, in dem das Team das Tool bittet, einzelne Beschäftigte auf Grundlage von Leistungsdaten nach Freisetzung zu ordnen, bewegt sich der Einsatz in den Bereich von Anhang III. Ein vertretbarer Ansatz belässt die KI auf Szenarioebene, überlässt jede individuelle Auswahl der Personalabteilung und der Rechtsabteilung nach dem geltenden Arbeitsrecht und den Regeln der Betriebsverfassung und dokumentiert, wo die Grenze gezogen wurde.

Das ist die Logik, die in unserem Council eingebaut ist: Bis zu 16 KI-Berater diskutieren die Geschäftsentscheidung, ein unabhängiger Mandate-&-Boundary-Auditor prüft das Ergebnis anhand der von Ihnen gesetzten Vorgaben, zum Beispiel „keine Personalentscheidungen auf Einzelpersonenebene“, und ohne menschliche Freigabe geht nichts in die Umsetzung. Wenn eine Restrukturierung, Einstellung oder Marktentscheidung bei Ihnen ansteht, können Sie kostenlos ohne Konto testen oder ein Decision Sprint nutzen, um ein dokumentiertes, entscheidungsreifes Briefing zu erhalten.