Der EU AI Act ist die weltweit erste umfassende KI-Regulierung. Für Unternehmen, die ERP-Systeme mit eingebetteten KI-Funktionen nutzen, stellt sich die praktische Frage: Was muss ich als Nutzer tun?
Dieser Artikel gibt einen praxisorientierten Überblick für ERP-Nutzer in DACH und der EU. Für den größeren Kontext siehe den Pillar-Artikel Sicherheit & Compliance in Cloud-ERP 2026. Für den KI-Einsatz im ERP allgemein: KI in ERP-Systemen — praktischer Einsatz 2026.
Grundbegriffe: Wer ist was im AI Act?
Der AI Act unterscheidet zwischen drei Akteuren:
- Anbieter (Provider) — das Unternehmen, das ein KI-System entwickelt und auf den Markt bringt (z. B. Modulario, SAP, Microsoft)
- Betreiber (Deployer) — das Unternehmen, das ein KI-System im eigenen Betrieb einsetzt (z. B. eine GmbH, die Modulario mit KI-Prognosen nutzt)
- Nutzer — der Endnutzer (Mitarbeiter), der mit dem KI-System interagiert
Als DACH-KMU, das ein ERP mit KI-Funktionen kauft, sind Sie Betreiber. Die meisten Pflichten liegen beim Anbieter, aber als Betreiber haben Sie eigene Verantwortlichkeiten.
Risikoklassen nach EU AI Act
Der AI Act teilt KI-Systeme in vier Risikoklassen ein:
Klasse 1: Verbotene KI-Praktiken
Absolut verboten ab Februar 2025:
- Biometrische Echtzeitüberwachung im öffentlichen Raum (für Strafverfolgung)
- Soziale Bewertungssysteme (Social Scoring durch staatliche Stellen)
- Manipulative KI, die Verhalten unbewusst beeinflusst
- KI zur Ausnutzung von Schwächen (Alter, Behinderung)
Diese Verbote betreffen Standard-ERP-Nutzer in der Regel nicht.
Klasse 2: Hochrisiko-KI-Systeme
Umfangreiche Pflichten (CE-Kennzeichnung, Risikomanagementsystem, Daten-Governance, Transparenzdokumentation, menschliche Aufsicht):
In Bezug auf ERP-Systeme:
- KI für Personalentscheidungen — Systeme zur Einstellungsentscheidung, Leistungsbeurteilung, Beförderung, Kündigung
- KI in kritischer Infrastruktur — für die meisten KMU nicht relevant
- KI für Kreditvergabe — automatische Bonitätsentscheidungen
Klasse 3: Begrenzte Risiken — Transparenzpflichten
Für Chatbots und generative KI:
- Der Nutzer muss wissen, dass er mit einer KI interagiert
- KI-generierter Content muss als solcher gekennzeichnet sein
Diese Klasse ist für viele ERP-KI-Features relevant (KI-Assistent im ERP, automatisch generierte E-Mails, KI-Berichte).
Klasse 4: Minimales Risiko
KI-Systeme mit minimalem Risiko unterliegen freiwilligen Verhaltenskodizes. Die meisten ERP-KI-Funktionen fallen in diese Kategorie:
- KI-gestützte Umsatzprognosen
- Lagerbestandsoptimierung
- Anomalieerkennung im Buchhaltungsmodul
- KI-Empfehlungen für Vertriebsaktivitäten
Praktische Pflichten für DACH-ERP-Nutzer (Betreiber)
Bei Hochrisiko-KI (z. B. KI-Personalmodul):
- Sicherstellen, dass der Anbieter konform ist — CE-Kennzeichnung, technische Dokumentation vom Anbieter verlangen
- Grundlegende Risikoabwägung dokumentieren — wer verwendet die KI, für welche Entscheidungen
- Mitarbeiter schulen — Personen, die mit der KI arbeiten, müssen ausreichend informiert sein
- Menschliche Aufsicht sicherstellen — KI-Entscheidungen in Hochrisikobereichen müssen von einer Person überprüft werden können
- Logs aufbewahren — Protokolle der KI-Nutzung für mindestens 6 Monate
Bei KI mit Transparenzpflichten (Chatbots, KI-generierte E-Mails):
- KI-Kennzeichnung — im ERP sichtbar machen, wenn eine Antwort KI-generiert ist
- Opt-out ermöglichen — Nutzer können verlangen, einen menschlichen Ansprechpartner zu erhalten
Für alle KI-Nutzungen:
- Zweckbindung — KI nur für den vorgesehenen Zweck nutzen
- DSGVO-Kompatibilität prüfen — personenbezogene Daten und KI: DPIA ggf. erforderlich (siehe DPIA für ERP/CRM)
Verbotene KI-Praktiken im DACH-Unternehmenskontext
Auch wenn die großen Verbote (Social Scoring, biometrische Massenüberwachung) für gewöhnliche Unternehmen nicht relevant sind, gibt es praktische Grenzfälle:
Grenzfall 1 — Emotionserkennung am Arbeitsplatz: KI-Systeme, die Emotionen von Mitarbeitern (z. B. in Videokonferenzen) analysieren, sind verboten (außer in sehr engen Ausnahmen).
Grenzfall 2 — Automatische Kündigung ohne menschliche Prüfung: Vollautomatisierte Entlassungsempfehlungen durch KI ohne menschliche Überprüfung sind bei Hochrisikosystemen nicht zulässig.
Grenzfall 3 — Manipulative Kundenansprache: KI, die Kunden durch psychologische Manipulation (Ausnutzung von Schwächen, unbewusste Beeinflussung) zur Kaufentscheidung drängt, ist verboten.
Zeitplan: Wann gelten welche Regeln?
| Datum | Regelung |
|---|---|
| August 2024 | AI Act in Kraft getreten |
| Februar 2025 | Verbotene KI-Praktiken (Klasse 1) gelten |
| August 2025 | Verpflichtungen für General Purpose AI (GPAI) gelten |
| August 2026 | Hochrisiko-Pflichten (Klasse 2) gelten vollumfänglich |
| August 2027 | Hochrisiko-Pflichten für bereits bestehende Systeme |
Für ERP-Nutzer ist der August 2026 die wichtigste Deadline für Hochrisikofunktionen.
Wie Modulario die AI-Act-Compliance unterstützt
Modulario adressiert die Anforderungen des AI Acts auf der Anbieterseite:
- Transparenz-Kennzeichnung — alle KI-generierten Inhalte sind im Interface als „KI-generiert” markiert
- Erklärbarkeit — KI-Empfehlungen zeigen die zugrundeliegenden Faktoren
- Menschliche Aufsicht by design — KI-Empfehlungen sind immer Vorschläge, nicht automatische Aktionen
- Keine verbotenen Praktiken — kein Social Scoring, keine biometrische Überwachung
- Audit-Log für KI-Aktionen — vollständige Protokollierung für Compliance-Nachweise
- Daten in der EU — kein Drittland-Transfer von KI-Trainingsdaten
Für Hochrisikofunktionen (KI im Personalmodul) stellt Modulario technische Dokumentation nach Anhang IV des AI Acts bereit.
Checkliste für DACH-ERP-Nutzer
- Inventar aller KI-Funktionen im genutzten ERP erstellt
- Risikoklassifizierung jeder KI-Funktion dokumentiert
- Vom Anbieter bestätigt, dass Hochrisikofunktionen CE-konform sind
- Mitarbeiterschulung zu KI-Nutzung durchgeführt
- KI-Entscheidungen in Hochrisikobereichen haben menschliche Aufsicht
- KI-generierte Inhalte sind für Nutzer erkennbar gekennzeichnet
- DSGVO/DPIA geprüft, wenn personenbezogene Daten + KI
Häufige Fragen
Betrifft der EU AI Act mein Unternehmen, wenn ich nur ein ERP-System kaufe? Ja, aber in begrenztem Umfang. Als Betreiber von KI-Funktionen im ERP sind Sie verantwortlich für deren ordnungsgemäße Nutzung. Der größte Aufwand liegt beim ERP-Anbieter — Modulario stellt die notwendige Dokumentation bereit.
Was ist der Unterschied zwischen EU AI Act und DSGVO bei KI? Die DSGVO schützt personenbezogene Daten; der AI Act reguliert KI-Systeme nach Risikoniveau. Bei KI im Personalbereich greifen beide Regelwerke ineinander.
Welche KI-Funktionen sind im ERP typischerweise Hochrisiko? KI zur Bewerbungsauswahl oder Leistungsbeurteilung von Mitarbeitern sowie KI zur Kreditvergabeentscheidung. KI-gestützte Umsatzprognosen und Lageroptimierung sind in der Regel Niedrigrisiko.