Was gilt beim EU AI Act für bereits eingesetzte KI?

Das Problem

In Ihrem Betrieb läuft schon seit zwei Jahren ein KI-Werkzeug: eine Software, die Lebensläufe vorsortiert, ein Chatbot auf der Website oder eine Kreditprüfung im Hintergrund. Nun hören Sie vom EU AI Act. Muss das alte System jetzt neu bewertet werden, oder gilt «Bestandsschutz»?

Die Antwort ist nicht ein einfaches Ja oder Nein. Der AI Act enthält Übergangsvorschriften, die in bestimmten Fällen Erleichterungen bringen, etwa für Hochrisiko-Systeme, die vor einem bestimmten Stichtag in Verkehr gebracht wurden. Diese Erleichterungen sind jedoch an Bedingungen geknüpft, und sie gelten nicht für alle Pflichten. Ausserdem wurden Termine geändert, siehe Fristen des EU AI Act.

Für Sie bedeutet das: Weder «alles Alte ist ausgenommen» noch «alles muss sofort neu» stimmt. Entscheidend sind Einstufung, Zeitpunkt und Änderungen.

Was ist zu unterscheiden?

Grundsätzlich gilt: Verbotene Praktiken sind nicht erst bei neuen Systemen verboten, und Pflichten wie die Förderung von KI-Kompetenz knüpfen an die Nutzung an, nicht daran, wann das System angeschafft wurde. Prüfen Sie das anhand der aktuellen Fassung.

So lösen Sie es mit KI – Schritt für Schritt

1. Erstellen Sie ein KI-Inventar. Listen Sie alle eingesetzten KI-Anwendungen auf: Name, Anbieter, Zweck, seit wann im Einsatz, wer nutzt sie. Siehe KI-Inventar.
2. Klären Sie den EU-Bezug. Betrifft die Anwendung Personen oder Märkte in der EU? Wenn nein, ist der AI Act meist nicht direkt Thema, andere Regeln (DSG) gelten trotzdem.
3. Ordnen Sie jede Anwendung einer Risikoklasse zu. Beginnen Sie mit denen, die Menschen beurteilen oder über Zugang zu Leistungen mitentscheiden. Eine Hilfe ist die Risikoeinstufungs-Vorlage.
4. Notieren Sie den Zeitpunkt. Wann wurde das System erstmals in Verkehr gebracht oder in Betrieb genommen? Fragen Sie beim Anbieter nach Versions- und Lieferdaten.
5. Klären Sie wesentliche Änderungen. Gab es seither grössere Änderungen des Zwecks oder der Funktionen? Diese können die Einordnung verändern, siehe Wann macht eine KI-Änderung zum Anbieter?.
6. Fragen Sie den Anbieter. Welche Einstufung nimmt er vor? Welche Unterlagen und Zusicherungen gibt es? Schriftlich anfragen (Vorlage unten).
7. Lassen Sie die Einordnung prüfen. Bei Hochrisiko oder Unklarheit durch eine Fachperson, die die aktuelle amtliche Fassung und mögliche Übergangsregeln kennt.
8. Planen Sie und überprüfen Sie jährlich. Halten Sie Massnahmen, Verantwortliche und Termine fest und überprüfen Sie das Inventar regelmässig.

Vorlage zum Kopieren

Mit diesem Auftrag bereiten Sie die Anfrage an einen KI-Anbieter vor. Geben Sie keine vertraulichen Angaben ein:

Wir setzen seit [Jahr] das KI-System [Name] ein, zum Zweck [z. B. Vorsortierung von Bewerbungen]. Wir sind [Betrieb, Branche, Land].
Formuliere eine höfliche schriftliche Anfrage an den Anbieter mit diesen Fragen:
1. Wie stufen Sie das System nach dem EU AI Act ein (verboten, hohes Risiko, Transparenzpflicht, übrige)? Mit welcher Begründung?
2. Seit wann ist die aktuelle Version im Einsatz, und welche wesentlichen Änderungen gab es seit [Datum]?
3. Welche Unterlagen (Dokumentation, Gebrauchsanweisung, Konformitätsangaben) können Sie uns zur Verfügung stellen?
4. Welche Pflichten sehen Sie bei uns als Betreiber?
5. Wie werden Sie uns über künftige Änderungen informieren?
Schreibe sachlich, in Schweizer Schreibweise, höchstens 200 Wörter. Erfinde keine Gesetzesartikel.

Die Antworten des Anbieters ersetzen keine eigene Prüfung. Halten Sie die Antworten schriftlich fest.

Worauf Sie achten müssen

• Keine Pauschalannahme: Weder «gilt nicht für alte Systeme» noch «alles muss sofort neu». Die Einordnung braucht Klasse, Datum und Änderungsstand.
• Verbote: Bei möglichen verbotenen Praktiken stoppen Sie den Einsatz bis zur Klärung, siehe Verbotene KI-Praktiken.
• Termine ändern sich: Fristen und Übergangsregeln wurden angepasst. Prüfen Sie immer die aktuelle amtliche Quelle.
• Anbieterangaben nicht ungeprüft übernehmen: Anbieter können Systeme aus Eigeninteresse tiefer einstufen. Plausibilisieren Sie die Aussagen.
• Datenschutz und Schulung gelten ohnehin: Unabhängig vom AI Act brauchen Sie eine datenschutzkonforme Nutzung und geschulte Mitarbeitende.
• Rechtsberatung: Das ist eine Rechtsfrage im Einzelfall. Ziehen Sie eine Fachperson bei.

Ein Beispiel aus der Praxis

Ein Beispiel: Ein Personaldienstleister in Zürich mit Kundschaft in Deutschland nutzt seit drei Jahren eine Software, die Bewerbungen nach Eignung bewertet. Der Anbieter hat in dieser Zeit mehrere Funktionen ergänzt.

Vorher: Der Geschäftsführer sagt: «Das System läuft seit Jahren, das ist Bestand, wir müssen nichts tun.»

Nachher: Das Team erstellt ein Inventar und merkt: Die Software bewertet Menschen im Bewerbungsprozess, ein Bereich, der als Hochrisiko gelten kann, siehe KI bei der Personalauswahl. Es fragt den Anbieter schriftlich nach Einstufung, Versionsständen und Unterlagen und lässt eine Fachperson klären, ob Übergangsregeln greifen und ob die ergänzten Funktionen eine wesentliche Änderung sind. Bis zur Klärung prüft eine Person jede automatische Bewertung.

So hilft Ihnen Alpasana

Der erste Schritt ist ein sauberes Inventar Ihrer KI-Anwendungen und ihrer Einsatzzwecke. Die KI-Beratung und digitale Transformation von Alpasana unterstützt dabei, Prozesse aufzunehmen, KI-Potenziale zu analysieren, Vorhaben zu priorisieren und einen Umsetzungsplan zu erstellen. Das Einführen von KI-Agenten mit Anwendungsfall, Pilot, Einsatzregeln und Skalierung gehört ebenfalls dazu. Projekte werden individuell offeriert.

Die rechtliche Einstufung nach dem EU AI Act ist nicht Teil der beschriebenen Leistung und gehört zu einer Rechtsberatung.

Häufige Fragen

Muss ich ein bereits gekauftes System sofort austauschen?

Nicht automatisch. Entscheidend sind Einstufung, Übergangsregeln und der konkrete Einsatz. Bei verbotenen Praktiken ist ein sofortiger Stopp nötig; sonst planen Sie Massnahmen zusammen mit dem Anbieter und einer Fachperson.

Was, wenn der Anbieter nicht antwortet?

Dokumentieren Sie Ihre Anfrage und setzen Sie eine Frist. Bleibt die Antwort aus, ist das für die Risikobeurteilung relevant. Prüfen Sie Alternativen, siehe Abhängigkeit von einem KI-Anbieter vermeiden.

Gilt die Pflicht zur KI-Kompetenz auch für alte Systeme?

Sie knüpft an den Einsatz von KI-Systemen durch Ihre Mitarbeitenden an, nicht an das Anschaffungsdatum. Zum Inhalt der Regel siehe Artikel 4 des EU AI Act.