Das EU-KI-Gesetz und generative KI: Was Nutzer von ChatGPT und Chatbots wissen müssen

Nahezu jedes europäische KMU nutzt inzwischen generative KI: ChatGPT zum Verfassen von Texten, Copilot in der Office-Suite, einen Chatbot auf der Website. Die gute Nachricht ist, dass die Nutzung des KI-Tools eines anderen Sie nicht zu dessen Anbieter macht, und das EU-KI-Gesetz stuft das meiste davon als risikoarm ein. Hier erfahren Sie in klaren Worten, was Sie tatsächlich tun müssen.

Sie sind (in der Regel) Betreiber, nicht Anbieter

Das Gesetz teilt die Pflichten nach Rolle auf. Ein Anbieter entwickelt ein KI-System und bringt es unter seinem eigenen Namen auf den Markt, etwa OpenAI, Microsoft, Anthropic oder Google (Artikel 3(3)). Ein Betreiber nutzt ein KI-System schlicht im Rahmen seiner Tätigkeit (Artikel 3(4)). Wenn Sie ChatGPT, Copilot oder einen Chatbot eines Drittanbieters nutzen, sind Sie Betreiber, und die aufwändigen Gestaltungs- und Kennzeichnungspflichten liegen vorgelagert beim Anbieter, nicht bei Ihnen.

Die Transparenzvorschriften (Artikel 50)

Artikel 50 ist eine leichte Transparenzebene, die für bestimmte KI-Systeme unabhängig von ihrer Risikostufe gilt. Er legt vier Pflichten fest und achtet sorgfältig darauf, wem welche obliegt:

• Chatbot-Offenlegung (50(1)), eine Anbieterpflicht. KI-Systeme, die mit Menschen kommunizieren, müssen ihnen mitteilen, dass sie es mit einer KI zu tun haben, es sei denn, dies ist offensichtlich. Der Anbieter gestaltet dies bereits ein, sodass ein Betreiber, der ein konformes Tool nutzt, dies erbt.
• Kennzeichnung KI-generierter Inhalte (50(2)), eine Anbieterpflicht. Systeme, die synthetische Audio-, Bild-, Video- oder Textinhalte erzeugen, müssen die Ausgabe so kennzeichnen, dass sie maschinenlesbar und als künstlich erkennbar ist. Auch dies baut der Anbieter ein.
• Emotionserkennung und biometrische Kategorisierung (50(3)), eine Betreiberpflicht. Wenn Sie ein System betreiben, das Emotionen ausliest oder Menschen biometrisch kategorisiert, müssen Sie die betroffenen Personen darüber informieren und die DSGVO einhalten.
• Deepfakes und Texte von öffentlichem Interesse (50(4)), eine Betreiberpflicht. Wenn Sie ein Deepfake-Bild, -Audio oder -Video oder KI-generierten Text zu einer Angelegenheit von öffentlichem Interesse veröffentlichen, müssen Sie offenlegen, dass es KI-erzeugt ist, mit Ausnahmen für Strafverfolgung, eindeutig künstlerische oder satirische Werke sowie Texte, die einer echten menschlichen redaktionellen Prüfung unterzogen wurden.

In jedem Fall muss der Hinweis klar sein und spätestens zum Zeitpunkt der ersten Interaktion oder Exposition erfolgen (Artikel 50(5)).

Was schuldet ein typisches KMU also tatsächlich?

Wenn Sie generative KI intern einsetzen oder einen Kunden-Chatbot betreiben, der auf einem konformen Tool aufbaut, ist Ihre eigene Exposition nach Artikel 50 gering und beschränkt sich im Wesentlichen darauf, sicherzustellen, dass die Offenlegungen zu Emotionen, Biometrie oder Deepfakes vorhanden sind, falls Sie solche Dinge tun. Die eine Pflicht, die Sie heute bereits bindet, ist die KI-Kompetenz: Seit dem 2. Februar 2025 verlangt Artikel 4 sowohl von Anbietern als auch von Betreibern, den Mitarbeitenden, die KI nutzen, ein ausreichendes Maß an Verständnis zu vermitteln. Siehe unseren Leitfaden zur KI-Kompetenz.

Zwei Wege, auf denen die gewöhnliche Nutzung zu einer schwerwiegenderen Pflicht wird

Die Position „Ich nutze es doch nur" ist kein dauerhafter sicherer Hafen:

1. Sie benennen ein System um oder verändern es wesentlich. Nach Artikel 25 wird ein Betreiber, der ein hochriskantes System unter seinem eigenen Namen versieht, dessen Zweckbestimmung ändert oder es wesentlich verändert, zum Anbieter und erbt die Pflichten des Anbieters.
2. Ihre Nutzung fällt unter einen Hochrisiko-Anwendungsfall. Artikel 50 macht ein System nicht von sich aus hochriskant. Aber wenn Sie generative KI für etwas einsetzen, das in Anhang III aufgeführt ist, etwa Personalbeschaffung, Personalmanagement, Kredit- oder Versicherungs-Scoring, Bildung oder wesentliche Dienste, ist es nach Artikel 6 hochriskant, mit weitaus schwerwiegenderen Pflichten. Die Einstufung ist einzelfallabhängig: Prüfen Sie Ihren tatsächlichen Anwendungsfall.

Sie bauen auf einem Modell auf? Möglicherweise sind Sie GPAI-Anbieter

Wenn Sie über die bloße Nutzung eines Modells hinausgehen und beginnen, es feinabzustimmen oder wesentlich zu verändern, können Sie zum Anbieter eines KI-Modells mit allgemeinem Verwendungszweck (GPAI) werden, wobei Ihre Pflichten dann auf Ihre Änderung beschränkt sind (Erwägungsgrund 109). Der Leitfaden der Kommission vom Juli 2025 behandelt Sie nur dann als eigenständigen GPAI-Anbieter, wenn die Rechenleistung für Ihre Änderungen etwa ein Drittel der Trainings-Rechenleistung des ursprünglichen Modells übersteigt, sodass eine leichte Feinabstimmung Sie zum Betreiber macht. Siehe unseren Leitfaden zu den GPAI-Pflichten dazu, was sich ändert, wenn Sie diese Grenze überschreiten.

Fristen

Die KI-Kompetenz gilt bereits jetzt (2. Februar 2025). Die Transparenzpflichten nach Artikel 50 gelten ab dem 2. August 2026. Die maschinenlesbare Kennzeichnung synthetischer Inhalte für bereits auf dem Markt befindliche Systeme wurde durch die Digital-Omnibus-Verordnung (angenommen, Veröffentlichung im Amtsblatt ausstehend) auf den 2. Dezember 2026 verschoben. Unser Fristen-Leitfaden enthält die vollständige Tabelle.

Prüfen Sie, wo Sie stehen

Sie sind sich nicht sicher, ob Ihre Nutzung generativer KI risikoarm ist oder unter einen Hochrisiko-Anwendungsfall fällt? Das kostenlose EU AI Act Snapshot klärt das in zwei Minuten, ohne Anmeldung, und unsere 9-stufige Compliance-Checkliste macht aus dem Ergebnis einen Plan. Die Tarife beginnen bei EUR 0.