Die EU-KI-Verordnung in einfacher Sprache: Was Luxemburger KMU wirklich wissen müssen
Die meisten KI-Anwendungsfälle kleiner Unternehmen fallen in die Kategorie mit minimalem Risiko. Hier erfahren Sie, was die Risikostufen der EU-KI-Verordnung in der Praxis bedeuten, was Sie dokumentieren sollten und warum Ihre Hosting-Wahl eine Rolle spielt.
Die EU-KI-Verordnung ist mittlerweile in Kraft, und der offizielle Gesetzestext liest sich, als wäre er absichtlich unlesbar geschrieben worden. Dies ist keine Rechtsberatung. Es ist eine Orientierungshilfe: in welcher Risikostufe Sie sich wahrscheinlich befinden, was Sie dokumentieren sollten und warum Ihre Hosting-Wahl eine Rolle spielt.
Die Risikostufen, einfach erklärt
Die Verordnung teilt KI-Systeme in vier Risikostufen ein. Je höher die Stufe, desto umfangreicher die Pflichten.
- Unannehmbares Risiko: vollständig verboten. Echtzeit-Gesichtserkennung im öffentlichen Raum, Social Scoring, unterschwellige Manipulation. Luxemburger KMU bauen so etwas nicht.
- Hohes Risiko: KI im Einsatz bei Einstellungsentscheidungen, Bonitätsprüfung, medizinischer Diagnose, kritischen Infrastrukturen, Strafverfolgung. Es gelten umfangreiche Dokumentations- und Konformitätsbewertungspflichten. Manche KMU fallen in diese Stufe, wenn sie KI zur Vorauswahl von Bewerbern einsetzen oder damit die Bonität bewerten.
- Begrenztes Risiko: vor allem Transparenzpflichten. Wenn Ihre KI mit Kunden interagiert (ein Chatbot, ein WhatsApp-Assistent), müssen Sie offenlegen, dass die Nutzer mit einem System sprechen, nicht mit einer Person.
- Minimales Risiko: alles andere. Spamfilter, KI-gestütztes Verfassen von Texten, Dokumentenzusammenfassung, interne Berichterstellung, automatisierte Terminplanung. Keine Pflichten über die normale DSGVO-Konformität hinaus.
Die meisten Anwendungsfälle von KMU liegen in der minimalen oder begrenzten Stufe. Eine E-Mail verfassen, ein PDF zusammenfassen, einen Rechnungsworkflow automatisieren: Nichts davon löst Hochrisiko-Pflichten aus.
Was Sie trotzdem dokumentieren sollten
Selbst bei minimalem Risiko lohnt sich eine schlanke Dokumentation. Nicht weil die Verordnung es verlangt, sondern weil sie zu Klarheit zwingt und Sie absichert, falls jemals eine Frage aufkommt.
Halten Sie in einfacher Sprache fest: was das System tut, welche Daten es verarbeitet, wer die Ergebnisse prüft, bevor sie eine Entscheidung beeinflussen, und wie Sie einen Fehler korrigieren würden. Ein internes Dokument reicht aus. Sie brauchen keine Compliance-Abteilung. Sie brauchen eine klare Beschreibung der Realität.
Die Unternehmen, die mit der KI-Regulierung kämpfen werden, sind nicht die, die etwas Komplexes gebaut haben. Es sind die, die nicht erklären konnten, was sie gebaut haben oder wohin die Daten geflossen sind.
Wenn Sie einen kundenseitigen Chatbot betreiben, kommt ein weiterer Punkt hinzu: Stellen Sie sicher, dass Ihre Oberfläche oder Ihre Nutzungsbedingungen klar machen, dass der Nutzer mit einem automatisierten System spricht. Damit ist die Transparenzpflicht für begrenztes Risiko abgedeckt.
Warum Hosting und Datenverarbeitung wichtig sind
EU-gehostete Infrastruktur ist kein Marketing-Argument. Wenn Ihre Daten auf EU-Servern bleiben und nie ohne angemessene Garantien über einen Anbieter aus einem Drittland laufen, sinkt Ihr DSGVO-Risiko, und Ihre Konformität mit der KI-Verordnung wird nachvollziehbarer. Sie können genau benennen, wo die Daten liegen, wer Zugriff hat und auf welcher Rechtsgrundlage sie verarbeitet werden.
Wenn Ihr KI-Workflow Kundendaten ohne Auftragsverarbeitungsvertrag und ohne gültigen Übermittlungsmechanismus an eine US-amerikanische API sendet, haben Sie ein Problem, das älter ist als die KI-Verordnung. Die Verordnung setzt dem ohnehin wackligen Fundament nur noch eine weitere Ebene obendrauf.
Bei Focus AI läuft jedes System, das wir bauen, auf EU-Infrastruktur, nutzt selbst gehostete Datenbanken, wo Datenresidenz eine Rolle spielt, und wird mit einer Dokumentation übergeben, die der Kunde tatsächlich nutzen kann. Nicht um ein Kästchen abzuhaken, sondern weil genau das nötig ist, damit das System in einem regulierten Umfeld überlebt.
Das praktische Fazit
Wenn Sie interne Workflows automatisieren, Dokumente zusammenfassen oder einen kundenseitigen Assistenten betreiben, befinden Sie sich fast sicher in der minimalen oder begrenzten Stufe. Dokumentieren Sie es einfach, kennzeichnen Sie den Bot, wo es vorgeschrieben ist, und behalten Sie die Daten in der EU. Das ist die Checkliste für die meisten Luxemburger KMU. Bauen Sie keine Hochrisiko-Anwendungen ohne fundierte Rechtsberatung.
