EU-KI-Verordnung

Definition

Die EU-KI-Verordnung, auch AI Act genannt, regelt den Einsatz künstlicher Intelligenz in der EU. Sie verpflichtet Anbieter und Betreiber von KI-Systemen je nach Risiko zu unterschiedlichen Maßnahmen. Für die Geschäftsleitung kann es als Sorgfaltsverstoß gelten, wenn sie gebotene Maßnahmen unterlässt.

Erklärung / Hintergrund

Viele Planungsbüros nutzen inzwischen KI, etwa für Texte, Bildgenerierung, Ausschreibungen, Variantenstudien oder die Auswertung von Unterlagen. Die KI-Verordnung unterscheidet zwischen Anbietern, die KI-Systeme entwickeln, und Betreibern, die sie im eigenen Unternehmen einsetzen. Die meisten Büros sind Betreiber.

Die Verordnung ordnet KI-Systeme nach Risiko:

• Verbotene Praktiken: Bestimmte Anwendungen sind seit Februar 2025 untersagt, etwa manipulative Systeme oder die Bewertung von Personen nach ihrem Sozialverhalten.
• Hochrisiko-Systeme: Dazu gehört zum Beispiel KI zur Auswahl von Bewerbern. Betreiber müssen solche Systeme bestimmungsgemäß einsetzen, menschlich beaufsichtigen und Protokolle aufbewahren. Die Pflichten wurden durch den sogenannten Digital Omnibus verschoben und gelten ab Dezember 2027.
• Transparenzpflichten: Seit August 2026 müssen bestimmte KI-Inhalte gekennzeichnet werden, etwa Deepfakes oder KI-Texte zu Angelegenheiten von öffentlichem Interesse. Für Texte gilt das nicht, wenn ein Mensch sie redaktionell geprüft hat und verantwortet. Fotorealistische KI-Visualisierungen realer Orte können als Deepfake gelten.
• KI-Kompetenz: Anbieter und Betreiber müssen seit Februar 2025 dafür sorgen, dass ihre Mitarbeiter ausreichend mit KI umgehen können. Mit dem Digital Omnibus wurde das zu einer Pflicht abgeschwächt, Maßnahmen zur Förderung dieser Kompetenz zu ergreifen.

Verstöße können mit hohen Geldbußen gegen das Unternehmen geahndet werden, bei verbotenen Praktiken bis zu 35 Mio. Euro oder 7 Prozent des weltweiten Umsatzes. Für Betreiber gilt meist ein Rahmen bis zu 15 Mio. Euro oder 3 Prozent, für kleine und mittlere Unternehmen jeweils der niedrigere Betrag. In Deutschland überwacht vor allem die Bundesnetzagentur die Einhaltung. Für die Geschäftsleitung ist vor allem die haftungsrechtliche Seite wichtig. Sie muss dafür sorgen, dass das Unternehmen die Pflichten einhält (Legalitätspflicht). Setzt das Büro KI ohne Regeln ein und entsteht dadurch ein Schaden, etwa durch fehlerhafte Ausschreibungsunterlagen oder Verstöße gegen den Datenschutz, kann das als Organisationsmangel gelten.

Abgrenzung:

• KI-Verordnung vs. Datenschutz: Die KI-Verordnung regelt die Systeme. Die DSGVO regelt die Verarbeitung personenbezogener Daten. Beide gelten nebeneinander (Datenschutzverstoß (Organhaftung)).
• KI-Verordnung vs. Haftung für Planungsfehler: Fehler in der Planung, die durch KI entstehen, sind Fehler des Büros. Dafür ist die Berufshaftpflicht zuständig.

Synonyme: AI Act, KI-VO; integriert ist die KI-Kompetenz.

Praxisrelevanz

Erfassen Sie, welche KI-Werkzeuge in Ihrem Büro genutzt werden. Legen Sie Regeln fest, wofür KI eingesetzt werden darf und wer Ergebnisse prüft. Schulen Sie Ihre Mitarbeiter. Prüfen Sie bei Software zur Personalauswahl, ob sie als Hochrisiko-System gilt. KI-Risiken überschneiden sich oft mit Cyberrisiken. Ob Ihre Cyberversicherung und Ihre D&O hier zusammen Schutz bieten, sollten Sie gemeinsam prüfen lassen.

Praxisbeispiel

In einem Ingenieurbüro nutzen Mitarbeiter ein frei verfügbares KI-Werkzeug, um Leistungsverzeichnisse zu erstellen. Regeln gibt es nicht. Ein Mitarbeiter lädt dabei vertrauliche Unterlagen eines Auftraggebers hoch. Der Auftraggeber kündigt den Vertrag und verlangt Schadenersatz von 120.000 Euro wegen Verletzung der Vertraulichkeit.

Haftungsseite: Gegenüber dem Auftraggeber haftet das Büro aus dem Vertrag. Der Geschäftsführer hat den KI-Einsatz nicht geregelt und die Mitarbeiter nicht geschult. Das kann ein Organisationsverschulden sein. Er kann der GmbH nach § 43 Abs. 2 GmbHG haften. Die Gesellschafter müssen die Geltendmachung beschließen (§ 46 Nr. 8 GmbHG).

Deckungsseite: Der Innenanspruch der GmbH kann in der D&O versichert sein. Die GDV-Musterbedingungen schließen aber Schäden aus Leistungen des Büros (A-7.3) sowie Verletzungen von Berufsgeheimnissen und Urheberrechten aus (A-7.9). Gerade bei KI ist das wichtig. Manche Bedingungswerke enthalten zudem Ausschlüsse für Cyber- oder Datenvorfälle. Zahlt die Berufshaftpflicht oder die Cyberversicherung, entsteht der GmbH insoweit kein Schaden. Den Anspruch des Auftraggebers gegen das Büro deckt die D&O nicht. Hier kommen Berufshaftpflicht oder Cyberversicherung in Betracht, je nach Bedingungen. Ist der Geschäftsführer beteiligt, kürzen die GDV-Musterbedingungen den Schutz um seine Quote (A-6.3).

FAQ

Gilt die KI-Verordnung für Planungsbüros?

Ja, wenn sie KI-Systeme einsetzen. Sie gelten dann als Betreiber.

Was ist KI-Kompetenz?

Die Fähigkeit der Mitarbeiter, KI sachgerecht und mit Blick auf ihre Risiken einzusetzen. Unternehmen müssen sie fördern.

Wann gelten die Pflichten für Hochrisiko-Systeme?

Nach der Verschiebung durch den Digital Omnibus ab Dezember 2027.

Haftet der Geschäftsführer für KI-Fehler?

Gegenüber der Gesellschaft, wenn er den Einsatz nicht sorgfältig organisiert hat.

Deckt die D&O KI-Risiken?

Innenansprüche können versichert sein. Ausschlüsse für Cyber- oder Datenvorfälle sollten geprüft werden.

Verwandte Begriffe

• NIS2-Managerhaftung – Pflichten zur Cybersicherheit.
• Sorgfalt eines ordentlichen Geschäftsmanns – der Maßstab für alle Pflichten.
• Compliance-Management-System – wie Pflichten organisiert werden.
• Organisationsverschulden – wenn Regeln fehlen.
• Cyberrisiken in der D&O-Versicherung – Überschneidungen mit Cyber.