Die erste zu verstehende Unterscheidung ist die zwischen Provider und Deployer. Der Provider entwickelt ein KI-System und bringt es auf den Markt; der Deployer nutzt es in seinem eigenen Betrieb. Die meisten KMU sind Deployer: Sie nutzen von anderen gebaute Werkzeuge. Die schwersten Pflichten der Verordnung — technische Dokumentation, Risikomanagement, Produktkonformität — treffen die Provider. Dem Deployer obliegt vor allem, das System gemäß den Anweisungen und mit angemessener menschlicher Aufsicht zu nutzen.
Das zweite Schlüsselkonzept ist die Risikopyramide. Die verbotenen Praktiken (Manipulation, Social Scoring) betreffen den typischen Betrieb eines KMU nicht. Hochrisiko-Systeme berühren klar umrissene Bereiche — Personalauswahl, Kreditzugang, kritische Infrastrukturen — und dort wachsen die Pflichten tatsächlich. Die meisten alltäglichen kommerziellen Anwendungen wie Kundenbetreuung und Marketing fallen dagegen in die Stufen mit begrenztem oder minimalem Risiko, wo die zentrale Pflicht die Transparenz ist: Menschen müssen wissen, wann sie mit einer KI interagieren.
Was heute praktisch zu tun ist: erfassen, wo Sie im Unternehmen bereits KI einsetzen; prüfen, ob Ihre Werkzeuge ihre KI-Natur in den Gesprächen mit Kunden offenlegen; Anbieter wählen, die Ihnen Dokumentation und Nachvollziehbarkeit liefern können — ein Audit-Trail der Agenten-Aktionen hilft auch hier; die Menschen schulen, die diese Werkzeuge nutzen, denn die KI-Kompetenz des Personals gehört zu den ersten bereits geltenden Pflichten.
Disclaimer: Die Fristen und Anwendungsdetails der Verordnung entwickeln sich weiter, und Ihr konkreter Fall kann Besonderheiten aufweisen. Für Entscheidungen mit rechtlicher Tragweite wenden Sie sich an eine qualifizierte Fachkraft.