Den Zeitplan richtig lesen
Der AI Act tritt nicht an einem einzigen Datum in Kraft, sondern in Wellen. Seit Februar 2025 sind Anwendungen mit unannehmbarem Risiko verboten, und Unternehmen trifft die Pflicht, dem mit KI arbeitenden Personal die nötige Kompetenz zu vermitteln (KI-Kompetenz). Im August 2025 begannen die Transparenz- und Urheberrechtsregeln für Modelle mit allgemeinem Verwendungszweck (GPAI) zu gelten. Die Hauptwelle ist dagegen auf den 2. Dezember 2027 verschoben worden: Mit der Digital-Omnibus-Regelung gelten die Pflichten zu Qualitätsmanagement, technischer Dokumentation, Protokollierung und menschlicher Aufsicht für eigenständige Hochrisikosysteme nach Anhang III erst ab dem 2. Dezember 2027. Die Termine für verbotene Praktiken (2. Februar 2025) und für KI mit allgemeinem Verwendungszweck (2. August 2025) sind unverändert geblieben.
Praxishinweis
Der erste Schritt ist das Inventar: Welche KI-Systeme werden im Unternehmen zu welchem Zweck und in welcher Rolle eingesetzt? Klassifizierung und Pflichtenkarte bauen auf diesem Inventar auf.
Bringen wir Ihre Vorbereitung auf den AI Act auf einen Zeitplan
Inventar, Risikoklassifizierung und Richtliniensatz bauen wir in einem gemeinsamen Rahmen mit der KVKK- und DSGVO-Compliance auf.
Zuerst die Rolle, dann das Risiko
Ihr Pflichtenkatalog richtet sich nach zwei Fragen: Welche Rolle haben Sie im System (Anbieter, Betreiber – deployer – oder Einführer), und in welche Risikoklasse fällt das System? Dasselbe Unternehmen kann bei verschiedenen Systemen verschiedene Rollen einnehmen: Anbieter beim selbst entwickelten Produkt, Betreiber beim zugekauften Personalwerkzeug. Ohne diese Matrix bleibt jede Compliance-Arbeit in der Luft hängen.
Der Anwendungsbereich aus türkischer Sicht
Die Verordnung ist räumlich weit gefasst: Wer Systeme auf dem EU-Markt bereitstellt, und wer Systeme anbietet oder betreibt, deren Ausgaben in der EU verwendet werden, kann auch mit Sitz in einem Drittstaat in den Anwendungsbereich fallen. Türkische Unternehmen, die SaaS in die EU verkaufen, für Kundschaft in der EU Analyseergebnisse erzeugen oder Produkte mit eingebetteter Software auf den EU-Markt liefern, sind über dieses Tor betroffen; in bestimmten Fällen ist eine bevollmächtigte Vertretung in der EU erforderlich.
Was bis 2026 zu tun ist
1) Systeminventar sowie die Bestimmung von Rolle und Klasse; 2) ein Verbotsscreening (insbesondere für Verwendungen mit Bezug zu Biometrie, Scoring und Emotionserkennung); 3) eine Nutzungsrichtlinie, Schwellen für die menschliche Freigabe und eine Protokollierungsordnung; 4) die Aufnahme von KI-Compliance-Zusagen in die Beschaffungsverträge; 5) die Planung der technischen Dokumentation für Hochrisikokandidaten; 6) die Dokumentation des Schulungsprogramms. Diese Reihenfolge verteilt die Kosten über die Wellen und hinterlässt eine prüfungsfeste Spur.
Schnittmenge mit KVKK und DSGVO
KI-Systeme verarbeiten meist personenbezogene Daten: Die Regeln zu automatisierten Entscheidungen, zum Profiling und zur Datenminimierung gelten unabhängig vom AI Act – nach der DSGVO ebenso wie nach dem türkischen Datenschutzgesetz (KVKK, Nr. 6698). Am wirtschaftlichsten ist es, beide Compliance-Stränge in einem einzigen Governance-Rahmen zusammenzuführen.
Sanktionen: eine gestufte Bußgeldarchitektur
Der Bußgeldrahmen der Verordnung hat drei Stufen: bei verbotenen Praktiken Geldbußen von bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes; bei sonstigen Pflichtverstößen bis zu 15 Millionen Euro beziehungsweise 3 %; und bei irreführenden Angaben gegenüber den Behörden bis zu 7,5 Millionen Euro beziehungsweise 1 %. Für kleine und mittlere Unternehmen werden die Sätze günstiger angepasst. Wie schon in der Erfahrung mit der DSGVO erzeugt diese Architektur die Erwartung einer gestuften, aber abschreckenden Durchsetzung – vor allem bei Verwendungen, die das Verbotsscreening übersprungen haben. Die aktuelle Entwicklung der Durchsetzung verfolgen wir in unserem Radareintrag zum AI Act.
Schnelleinschätzung nach Anwendungsfällen
Chatbot im Kundenservice: begrenztes Risiko; ein Transparenzhinweis und die Steuerung der Haftung für Falschauskünfte genügen – für die Haftungsgestaltung wenden Sie das Modell der Freigabeschwellen aus unserem Schwerpunkt Künstliche Intelligenz an. Werkzeuge für die Vorauswahl von Lebensläufen und für Beförderungen: Kandidat für die Hochrisikoklasse; hier greifen die Betreiberpflichten zusammen mit dem Arbeitsrecht (in der Türkei Arbeitsgesetz Nr. 4857) und den Grenzen der KVKK für automatisierte Entscheidungen. Kreditscoring: hohes Risiko; ein doppelter Rahmen zusammen mit der Finanzaufsicht. Generative Inhaltswerkzeuge: GPAI-Transparenz sowie Richtlinien zum Urheberrecht und zum Datenabfluss. In Produkte eingebettete KI: ab der Welle vom 2. August 2028 eine gemeinsame Bewertung mit dem Produktsicherheitsrecht. In jedem Szenario lautet die erste Frage gleich: Welche Rolle haben Sie, und wo werden die Ausgaben verwendet?
Der Ansatz von Köksal
Unsere Leistung KI-Compliance und Governance baut Inventar, Klassifizierung und Richtliniensatz in einem gemeinsamen Rahmen mit der Compliance nach KVKK und DSGVO auf. Als Team, das KI in den eigenen Arbeitsabläufen einsetzt, schreiben wir die Regeln so, dass sie zur technischen Wirklichkeit passen; für Rechtsabteilungen ist unser Legal-Tech-Fahrplan das Zwillingsstück zu diesem Leitfaden.
Fazit
Beim AI Act ist der Preis des Zuwartens kaufmännischer Natur, bevor er zum Bußgeldrisiko wird: Kundschaft in der EU verlangt von ihren Lieferanten inzwischen eine Compliance-Erklärung. Wer heute mit dem Inventar beginnt, macht die kommende Welle zur Routine – und verwandelt künstliche Intelligenz von einem Risiko in einen Wettbewerbsvorteil.
