Die EU-KI-Verordnung: Was sie für die KI-Funktionen Ihres Startups wirklich bedeutet

Wenn Sie Ihrem Produkt einen Chatbot, ein Empfehlungssystem oder eine andere KI-gestützte Funktion hinzugefügt haben, haben Sie wahrscheinlich schon von der "EU-KI-Verordnung" (EU AI Act) gehört – und dabei ein mulmiges Gefühl bekommen. Das klingt nach der Art von Regulierung, für die man eine Rechtsabteilung braucht, die man als Startup noch gar nicht hat.

Hier der praktischere Ausgangspunkt: Die meisten KI-Funktionen in der Größenordnung eines Startups fallen in den leichteren Teil dieses Gesetzes, nicht in den schweren. Aber Sie müssen wissen, auf welcher Seite Sie stehen, denn die Pflichten unterscheiden sich um Größenordnungen, je nachdem, was Ihre KI tatsächlich tut.

Dieser Leitfaden erklärt die EU-KI-Verordnung in klarer Unternehmenssprache – was sie ist, wie sie KI-Systeme in Risikostufen einteilt, was das für eine typische deutsche oder europäische KMU mit Chatbot oder KI-gestützter Funktion wahrscheinlich bedeutet, und was konkret in diesem Quartal zu tun ist.

Dies ist keine Rechtsberatung. Es ist eine Orientierungshilfe auf Gründer-Ebene, damit Sie wissen, welche Fragen Sie stellen müssen – und wem. Für alles mit echtem regulatorischem oder finanziellem Risiko sollten Sie eine auf europäisches Digitalrecht spezialisierte Kanzlei konsultieren.

Kurzfassung: die vier Risikostufen

Die EU-KI-Verordnung teilt KI-Systeme anhand ihres potenziellen Schadens für Menschen in vier Kategorien ein. Hier die Kurzversion:

• Unannehmbares Risiko – vollständig verboten. Dazu zählen etwa biometrische Massenüberwachung, Social Scoring sowie manipulative oder ausbeuterische KI. Wenn Sie weit von diesem Bereich entfernt sind (und das sind die meisten SaaS- oder E-Commerce-Gründer), können Sie diesen Punkt getrost abhaken.
• Hohes Risiko – streng reguliert. KI, die etwa bei Einstellungsentscheidungen, Bonitätsprüfungen oder in sicherheitskritischen Systemen eingesetzt wird. Diese Stufe bringt umfangreiche Dokumentations-, Test- und Aufsichtspflichten mit sich.
• Begrenztes Risiko – Transparenzpflichten. Chatbots, KI-generierte Inhalte und ähnliche nutzerorientierte KI-Anwendungen. Im Wesentlichen müssen Sie offenlegen, dass Nutzer mit einer KI interagieren.
• Minimales Risiko – faktisch unreguliert. Spamfilter, interne Automatisierung, einfache Empfehlungslogik. Keine formellen Pflichten, auch wenn gute Praxis natürlich weiterhin sinnvoll bleibt.

Wenn Sie einen kundenorientierten Chatbot, ein Produkt-Empfehlungssystem oder ein internes Automatisierungstool entwickeln, liegen Sie mit hoher Wahrscheinlichkeit im Bereich begrenztes oder minimales Risiko – nicht in der Hochrisiko-Kategorie, die die meisten Schlagzeilen macht.

Die EU-KI-Verordnung in einfachen Worten

Die EU-KI-Verordnung ist das Gesetz der Europäischen Union zur Regulierung künstlicher Intelligenz. Es ist der erste breit angelegte, verbindliche Rechtsrahmen dieser Art – und er gilt nicht nur für Unternehmen mit Sitz in der EU, sondern für jedes Unternehmen, dessen KI-Systeme von Menschen in der EU genutzt werden. Das ist relevant, sobald Sie europäische Nutzer haben, unabhängig davon, wo Ihr Unternehmen registriert ist – ein Punkt, der für deutsche Startups mit internationalem Kundenstamm besonders wichtig ist, ebenso wie für Startups außerhalb der EU, die in den deutschen und europäischen Markt verkaufen.

Statt alle KI-Systeme gleich zu behandeln, verfolgt das Gesetz einen risikobasierten Ansatz: Je größer das Potenzial eines KI-Systems, die Rechte, die Sicherheit oder die Lebensgrundlage einer Person zu beeinträchtigen, desto umfangreicher die Pflichten. Ein Spamfilter und ein System zur Vorauswahl von Bewerbern sind beide "KI" – aber sie werden bei Weitem nicht gleich reguliert.

Betrifft das auch Sie?

Wenn Ihr Unternehmen eine KI-gestützte Funktion entwickelt, verkauft oder einsetzt – ein KI-Chatbot auf Ihrer Website, ein KI-basiertes Empfehlungstool, ein automatisierter Content-Generator – und Sie Nutzer oder Kunden in der EU haben, ist die Verordnung für Sie relevant. Dabei spielt es keine Rolle, ob Sie ein Fünf-Personen-Startup oder ein Konzern sind: Die Pflichten richten sich nach der Risikokategorie, nicht nach Ihrer Mitarbeiterzahl.

Das bedeutet aber nicht, dass jede KI-Funktion denselben Papierkram auslöst. Genau dieser Punkt geht in vielen alarmistischen Compliance-Beiträgen unter: Das Gesetz ist so konzipiert, dass alltägliche KI-Anwendungen mit geringem Risiko leichte Pflichten mit sich bringen, während wirklich folgenreiche Anwendungsfälle strengen Anforderungen unterliegen.

Die vier Risikokategorien, erklärt für Gründer

Unannehmbares Risiko: schlicht nicht erlaubt

Eine kleine Gruppe von KI-Praktiken ist in der EU grundsätzlich verboten, unabhängig davon, wer sie entwickelt. Dazu zählen unter anderem biometrische Massenüberwachung in Echtzeit im öffentlichen Raum, Systeme, die Menschen einen "sozialen Score" zuweisen, KI zur Manipulation durch unterschwellige oder täuschende Techniken sowie Systeme, die verletzliche Gruppen ausnutzen. Wenn Ihre Produktidee auch nur entfernt in diese Richtung geht, gehört das vor die nächste Codezeile in ein Gespräch mit einer Rechtsanwältin oder einem Rechtsanwalt – nicht danach.

Für die überwiegende Mehrheit der KMU-Gründer, die Chatbots, E-Commerce-Tools oder Geschäftsautomatisierung entwickeln, spielt diese Kategorie schlicht keine Rolle.

Hohes Risiko: die streng regulierte Stufe

Hochrisiko-KI-Systeme sind solche, die den Zugang einer Person zu Chancen, ihre Sicherheit oder ihre Grundrechte spürbar beeinflussen können. Typische Beispiele: KI bei Einstellungs- oder Mitarbeiterbewertungen, Bonitäts- oder Kreditentscheidungen, biometrische Identifikation sowie KI in Medizinprodukten oder kritischer Infrastruktur.

Fällt Ihre KI-Funktion in diese Kategorie, sind die Pflichten erheblich: dokumentiertes Risikomanagement, Kontrollen zu Datenqualität und Verzerrungen (Bias), Mechanismen für menschliche Aufsicht, technische Dokumentation und laufende Überwachung nach dem Launch. Hier brauchen Sie tatsächlich fachkundige rechtliche und Compliance-Unterstützung – das ist keine Checkliste zum Selbermachen.

Die meisten kundenorientierten Chatbots, internen Tools und Empfehlungssysteme fallen nicht in diese Kategorie. Aber einige angrenzende Anwendungsfälle können hineinrutschen – etwa ein KI-Tool zur Vorauswahl von Bewerbern oder eines, das Preis- oder Kreditkonditionen individuell festlegt und dadurch den Zugang einer Person zu einer Leistung spürbar beeinflusst. Trifft oder beeinflusst Ihre KI-Funktion maßgeblich eine Entscheidung über Beschäftigung, Kredit, Versicherung oder Zugang zu einer wesentlichen Dienstleistung, lohnt sich eine gezielte rechtliche Prüfung.

Begrenztes Risiko: Transparenz statt Bürokratie

Hier landen die meisten kundenorientierten KI-Funktionen von KMU – Chatbots, virtuelle Assistenten, KI-generierte Marketingtexte oder -bilder und ähnliche Tools, die direkt mit Nutzern interagieren, ohne folgenschwere Entscheidungen über deren Leben zu treffen.

Die Pflicht ist hier vergleichsweise gering: Transparenz. Nutzer müssen wissen, dass sie mit einer KI und nicht mit einem Menschen interagieren, und KI-generierte Inhalte (insbesondere synthetische Bilder, Audio oder Video) müssen in der Regel als solche erkennbar sein. Das ist deutlich mehr eine Frage von UX und klarer Kennzeichnung als von juristischer Systementwicklung – ein einfacher Hinweis wie "Sie chatten mit unserem KI-Assistenten" oder eine Kennzeichnung, dass ein Text KI-generiert wurde, reicht in der Regel aus.

Minimales Risiko: Business as usual

Die größte Kategorie nach Volumen ist minimales Risiko: Spamfilter, interne Workflow-Automatisierung, einfache Empfehlungsalgorithmen, Tools zur Bestandsprognose und ähnliche Systeme, die nicht in risikorelevanter Weise mit der Öffentlichkeit interagieren. Für diese gelten keine formellen Pflichten aus der Verordnung. Freiwillige gute Praxis – Transparenz, Tests auf offensichtliche Verzerrungen, Dokumentation der Systemfunktion – bleibt sinnvoll, ist aber keine rechtliche Vorgabe.

Was das für Ihr Startup wahrscheinlich bedeutet

Wenn Sie ein typisches KMU sind und einen Chatbot, ein Empfehlungssystem, einen KI-Schreibassistenten oder eine ähnliche kundenorientierte Funktion entwickeln, ist die realistische Ausgangsannahme: Sie liegen wahrscheinlich im Bereich begrenztes oder minimales Risiko, mit leichten Transparenzpflichten statt schwerem Compliance-Aufwand.

"Wahrscheinlich" ist hier allerdings das entscheidende Wort, und einige Situationen sollten Ihre Aufmerksamkeit wecken:

• Ihre KI-Funktion trifft oder beeinflusst stark Entscheidungen über Beschäftigung, Kredit, Versicherungstarife oder den Zugang zu wesentlichen Dienstleistungen.
• Sie verarbeiten biometrische Daten (Gesichtserkennung, Stimmerkennung) über einfache Barrierefreiheitsfunktionen hinaus.
• Sie sind in einer regulierten Branche tätig – Gesundheitswesen, Finanzwesen, Bildung, öffentliche Dienste –, wo KI-Einsatz eher als Hochrisiko eingestuft wird, unabhängig davon, wie "einfach" die Funktion wirkt.
• Sie entwickeln das zugrunde liegende KI-Modell selbst (statt eine Drittanbieter-API wie die von OpenAI oder Anthropic zu nutzen), was einige Pflichten zu Ihnen als "Anbieter" statt als weniger streng regulierten "Betreiber" verschieben kann.

Trifft nichts davon zu, ist Ihre To-do-Liste kurz und gut zu bewältigen. Trifft ein Punkt zu, ist das der Anlass, vor dem Launch eine fundierte rechtliche Einschätzung einzuholen.

Konkrete erste Schritte

Sie brauchen keine Compliance-Abteilung, um hier richtig anzufangen. Ein sinnvoller erster Durchgang sieht so aus:

1. Erfassen Sie Ihre KI-Funktionen. Listen Sie jede KI-gestützte Funktion in Ihrem Produkt auf – Chatbot, Empfehlungen, generierte Inhalte, automatisierte Entscheidungen – und notieren Sie, was jede tatsächlich tut und wen sie betrifft.
2. Klassifizieren Sie ehrlich. Fragen Sie sich bei jeder Funktion: Könnte sie den Zugang einer Person zu einem Job, Kredit, einer Versicherung oder einer wesentlichen Dienstleistung spürbar beeinflussen? Wenn ja, markieren Sie sie für eine rechtliche Prüfung. Wenn nein, liegt sie sehr wahrscheinlich im begrenzten oder minimalen Risikobereich.
3. Ergänzen Sie fehlende Transparenz. Haben Sie einen Chatbot oder generieren KI-Inhalte, ohne dies gegenüber Nutzern offenzulegen, ist das die einfachste und wirksamste Korrektur – meist eine UI-Anpassung, kein technischer Umbau.
4. Führen Sie ein einfaches internes Dokument. Ein kurzes Papier, das festhält, was jede KI-Funktion tut, welche Daten sie nutzt und warum Sie sie so eingestuft haben – kostet jetzt wenig und ist wirklich nützlich, falls ein Kunde, Investor oder eine Behörde einmal nachfragt.
5. Prüfen Sie vor jeder Entscheidung die offizielle Quelle. Die Europäische Kommission veröffentlicht offizielle Leitlinien zur KI-Verordnung, einschließlich Fristen und Pflichten, unter digital-strategy.ec.europa.eu. Die Anforderungen werden schrittweise eingeführt – bestätigen Sie aktuelle Fristen dort oder bei einer Rechtsberatung, statt sich auf einen einzelnen Blogbeitrag zu verlassen, auch nicht auf diesen.
6. Ziehen Sie bei Unklarheiten eine Fachperson hinzu. Liegt Ihre Funktion nahe an der Hochrisiko-Grenze, ist eine kurze Beratung durch eine auf europäisches Digitalrecht spezialisierte Kanzlei deutlich günstiger, als Compliance nachträglich einzubauen.

Keine Rechtsberatung – aber eine klare erste Orientierung

Um es klar zu sagen: Nichts in diesem Artikel ist als Rechtsberatung zu verstehen, und wir werden keine präzisen Fristen oder Schwellenwerte erfinden, nur um diesen Beitrag autoritativer wirken zu lassen, als er ist. Die EU-KI-Verordnung ist ein reales, verbindliches Gesetz, dessen Pflichten schrittweise in Kraft treten, und welche Details für Ihr Unternehmen gelten, hängt genau davon ab, was Ihr Produkt tut. Die offiziellen EU-Leitlinien und eine auf diesen Bereich spezialisierte Rechtsberatung sind die richtigen Quellen für alles, was Sie demnächst launchen oder final abzeichnen.

Was wir aus unserer Erfahrung mit KI-Funktionen für KMU-Kunden sagen können, die auf den europäischen Markt verkaufen: Der Angstfaktor rund um dieses Gesetz ist meist größer als der tatsächliche Aufwand für einen typischen Chatbot oder ein Empfehlungssystem. Der Großteil der Arbeit betrifft Kennzeichnung und Dokumentation, keinen Neubau.

KI-Funktionen von Anfang an richtig bauen

P2C entwickelt KI-gestützte Funktionen – Chatbots, Empfehlungssysteme, Automatisierungstools – für KMU und nicht-technische Gründer, auch für Teams, die von unseren Standorten in Deutschland und darüber hinaus auf den europäischen Markt verkaufen. Wir konzipieren KI-Funktionen mit Transparenz und Dokumentation von Anfang an, damit Sie nach dem Launch keine Kennzeichnungen nachrüsten oder raten müssen, in welche Risikostufe Ihre Funktion fällt.

Planen Sie eine KI-Funktion und möchten eine zweite Einschätzung, wie sie wahrscheinlich eingestuft wird – wir sprechen gerne mit Ihnen darüber.