EU AI Act Readiness: Warum Unternehmen jetzt handeln müssen

Der EU AI Act ist seit August 2024 in Kraft, Pflichten daraus werden aber erst stufenweise einschlägig. Erste Anforderungen gelten etwa bereits seit Februar 2025 – insbesondere im Hinblick auf verbotene AI-Praktiken und Herstellung der unternehmensinternen „AI Literacy“. Weitere Governance- und Transparenzpflichten folgen schrittweise.

AI wird heute in Chatbots, Analyseplattformen, HR-Anwendungen, Automatisierungslösungen und zunehmend auch eingebettet in Standardsoftware eingesetzt. Was vielerorts dezentral entstanden ist, wird durch den EU AI Act nun zur Governance- und Compliance-Aufgabe auf Unternehmensebene.

Damit verändert sich die zentrale Fragestellung für Unternehmen grundlegend:
Nicht mehr: „Nutzen wir AI?“
Sondern: „Können wir nachvollziehbar dokumentieren, welche AI-Systeme eingesetzt werden, wie diese regulatorisch eingestuft sind und welche Governance- und Compliance-Maßnahmen dafür bestehen?“

Viele Unternehmen stehen damit vor der Herausforderung, AI-Anwendungen strukturiert zu erfassen und regulatorisch einzuordnen.

Der EU AI Act schafft erstmals einen umfassenden regulatorischen Rahmen für den Einsatz von Artificial Intelligence in Europa. Der Ansatz ist risikobasiert: Je höher das Risiko eines AI-Systems, desto umfangreicher die regulatorischen Anforderungen.

Besonders relevant sind dabei:

• Transparenzpflichten für bestimmte AI-Anwendungen wie Chatbots oder AI-generierte Inhalte
• Strenge Anforderungen für Hochrisiko-Systeme, etwa beim Einsatz für Recruiting, Workforce Management oder kritischer Infrastruktur
• Verbotene AI-Praktiken, beispielsweise mit dem Einsatz manipulativer oder täuschender Techniken oder bestimmte biometrischer Kategorisierungssysteme

Verstöße können dazu führen, dass das jeweilige System nicht mehr eingesetzt werden darf und können zudem mit erheblichen Sanktionen verbunden sein – von Bußgeldern bis zu 35 Mio. EUR oder 7 % des weltweiten Jahresumsatzes.

Besonders relevant sind aktuell zwei Themen: Verbotene AI-Praktiken und die Herstellung von "AI-Literacy"

Verbotene AI-Praktiken

Unternehmen müssen sicherstellen, dass bestehende oder geplante AI-Systeme nicht gegen die Verbote des Art. 5 EU AI Act verstoßen – inklusive nachvollziehbarer Dokumentation.

AI Literacy

Seit Februar 2025 verpflichtet Art. 4 des EU AI Act Unternehmen dazu, Mitarbeitende angemessen für den verantwortungsvollen Umgang mit AI zu schulen.

AI Literacy bedeutet mehr als allgemeine „Awareness“. Gefordert sind Kenntnisse und Fähigkeiten für eine informierte und risikobewusste Nutzung von AI.

Für Unternehmen besteht unmittelbarer Handlungsbedarf:

• Transparenz über eingesetzte AI-Systeme schaffen
• Rollen und Verantwortlichkeiten definieren
• Use Cases risikobasiert klassifizieren
• Governance- und Compliance-Strukturen etablieren
• Mitarbeitende zielgruppenspezifisch qualifizieren
• Vorgänge dokumentieren

Die Herausforderung: Fehlende Transparenz über AI im eigenen Unternehmen

In vielen Organisationen ist AI heute deutlich stärker verbreitet, als auf Managementebene sichtbar oder bekannt ist. Fachbereiche testen generative AI-Lösungen, Softwareanbieter integrieren AI-Funktionalitäten in bestehende Tools und Mitarbeitende nutzen AI im Arbeitsalltag – häufig ohne zentrale Governance-Struktur.

Dadurch entstehen zentrale Fragen:

• Welche AI-Use-Cases existieren bereits?
• Welche Systeme fallen unter die Definition des EU AI Act?
• Welche regulatorischen Rollen nimmt das Unternehmen ein?
• Welche Anwendungen könnten Hochrisiko-Systeme sein?
• Welche Nachweise und Dokumentationen werden benötigt?

Ohne ausreichende Transparenz bleibt eine belastbare AI Governance nur eingeschränkt möglich. Ohne tragfähige Dokumentation sind behördliche Prüfungen mit viel ad-hoc Aufwand verbunden.

In der Praxis zeigt sich, dass Unternehmen einen strukturierten Ansatz benötigen, um regulatorische Anforderungen mit bestehenden Governance- und Compliance-Strukturen zu verbinden.

Im Mittelpunkt stehen dabei vier Handlungsfelder:

1. AI-Systeme identifizieren

Zunächst muss geklärt werden, welche Anwendungen überhaupt als relevante AI („KI-Systeme“) im Sinne des EU AI Act einzustufen sind.

2. Rollen und Verantwortlichkeiten klären

Unternehmen müssen bewerten, welche regulatorische Rolle sie einnehmen – etwa als Anbieter (Provider) oder Betreiber (Deployer) von AI.

3. Risiken klassifizieren

Auf Basis der identifizierten Use Cases von AI erfolgt die konkrete regulatorische Einordnung hinsichtlich Transparenzpflichten, Hochrisiko-Anforderungen oder verbotener Praktiken.

4. Governance- und Compliance-Maßnahmen umsetzen

Die Risikoklassifizierung bildet die Grundlage für Maßnahmen wie:

• AI-Inventar
• Governance- und Freigabeprozesse
• Dokumentationspflichten
• Human Oversight und Monitoring
• Vendor Due Diligence
• AI Literacy Programme

Zur Unterstützung eines solchen Vorgehens setzen Unternehmen zunehmend auf strukturierte Assessments, um Transparenz über bestehende AI-Use-Cases zu schaffen und regulatorische Anforderungen systematisch einzuordnen.

Der EU AI Act macht AI Readiness zur unternehmerischen Pflichtaufgabe.

Unternehmen müssen in der Lage sein, ihre AI-Systeme zu identifizieren, regulatorisch einzuordnen und risikobasiert zu steuern. Im Fall einer behördlichen Prüfung müssen Unternehmen einschlägige Entscheidungen außerdem mit relevanter Dokumentation nachweisen können.

Mit dem PwC EU AI Readiness Assessment unterstützen wir Unternehmen dabei, AI Readiness strukturiert aufzubauen – von der Erfassung relevanter Use Cases über die regulatorische Einordnung bis hin zur Entwicklung geeigneter Governance- und Compliance-Strukturen.

Wer frühzeitig entsprechende Strukturen etabliert, reduziert regulatorische Risiken, schafft die Grundlage für einen sicheren und nachvollziehbaren Einsatz von AI und kann behördliche Prüfungen wegen besserer Vorbereitung verhindern oder erheblich beschleunigen.

Mehr erfahren:

In unserem PDF-Dokument „EU AI Act Readiness“ zeigen wir, wie Unternehmen ihre AI Use Cases strukturiert erfassen, nach EU AI Act bewerten und konkrete Maßnahmen für Governance, Dokumentation und operative Compliance ableiten können. Das Assessment bietet einen klaren Einstieg, um aktuelle Pflichten wie den Art. 5 Verbotscheck, das AI-Inventar & Risiko, die Compliance Dokumentation und das Art. 4 AI Literacy Programm gezielt umzusetzen.