EU AI Act: Wieso CFOs jetzt passende Governance und Kontrollstrukturen aufsetzen müssen

Daniel Kub, Frankfurt a. M.

Keyfacts

Der EU AI Act folgt einem risikobasierten Regulierungsansatz.
Bestimmte KI-Anwendungen sind vollständig verboten.
Für Hochrisiko-KI gelten umfangreiche Governance- und Kontrollpflichten.
Transparenz, Dokumentation und KI-Kompetenz werden zu zentralen Governance-Anforderungen.
Verstöße können erhebliche finanzielle und reputationsbezogene Risiken auslösen.

Anwendungsbereich

Der EU AI Act erfasst unterschiedliche Akteure entlang der KI-Wertschöpfungskette, insbesondere Anbieter, Importeure und Betreiber von KI-Systemen in der EU, unabhängig davon, ob das KI-System selbst entwickelt oder als Lösung eines Drittanbieters eingesetzt wird. Entscheidend ist die jeweilige Rolle entlang der KI-Wertschöpfungskette. Dabei tragen Anbieter weitreichende Pflichten; Betreiber müssen insbesondere Transparenz, Dokumentation und Überwachung sicherstellen.

Anforderungen

Kern der Verordnung ist ein risikobasierter Regulierungsansatz. Während KI-Systeme mit minimalem Risiko kaum zusätzlichen Pflichten unterliegen, gelten für KI-Systeme mit begrenztem Risiko Transparenz- und Informationspflichten. Hochrisiko-KI-Systeme müssen deutlich strengere Anforderungen erfüllen, wie etwa die Etablierung eines kontinuierlichen Risikomanagements, belastbare Daten-Governance Strukturen oder Verfahren zur Meldung schwerwiegender Vorfälle.

Umsetzung im Unternehmen

Für CFOs ergeben sich vier zentrale Handlungsfelder:

(1) Eine vollständige Bestandsaufnahme aller KI-Systeme zur Erstellung eines KI-Inventars, um Schatten-KI sichtbar zu machen und Anwendungen nach Risiko zu klassifizieren.

(2) Die Integration von AI Governance in bestehende Strukturen wie das Risikomanagement, Compliance Management System und internes Kontrollsystem zur Gewährleistung von Dokumentationspflichten. Zu beachten ist dabei, dass für alle KI-Systeme eine grundlegende Dokumentationspflicht besteht und für Hochrisiko-Systeme erweiterte Pflichten gelten.

(3) Im Unternehmen müssen Ressourcen und Budgets zur Stärkung der KI-Kompetenz der Belegschaft bereitgestellt und bspw. geeignete Schulungen durchgeführt werden.

(4) Ergänzend sollten Beschaffungsprozesse angepasst werden: Verträge mit Software-Anbietern sollten klare Regelungen zu AI-Act-Compliance, Dokumentationspflichten, Datenqualität und Haftung enthalten.

Fristen

Die Anforderungen des EU AI Act treten gestaffelt in Kraft. Erste Regelungen, darunter Verbote bestimmter KI-Praktiken und Anforderungen an die KI-Kompetenz, gelten bereits (seit Februar 2025). Weitere Anforderungen, insbesondere zu Transparenz und Governance, gelten seit dem 02.08.2026. Die umfassenden Anforderungen für Hochrisiko-KI-Systeme folgen am 02.12.2027 bzw. 02.08.2028 für KI als Bestandteil regulierter Produkte.

Sanktionen

Die finanziellen Risiken sind erheblich. Verstöße gegen das Verbot bestimmter KI-Praktiken können mit Bußgeldern von bis zu 35 Mio. € oder 7 % des weltweiten Jahresumsatzes geahndet werden. Bei sonstigen Verstößen gegen wesentliche Pflichten sowie für GPAI-Anbieter drohen Bußgelder von bis zu 15 Mio. € oder 3 % des weltweiten Jahresumsatzes. Für falsche, unvollständige oder irreführende Angaben können Bußgelder von bis zu 7,5 Mio. € oder 1 % des weltweiten Jahresumsatzes verhängt werden. Maßgeblich ist grundsätzlich der jeweils höhere Betrag, gemessen an dem absoluten oder umsatzabhängigen Höchstbetrag. Für CFOs ist der EU AI Act damit ein Governance-Thema mit unmittelbarer Relevanz.

Unser Ansatz

Wir unterstützen unsere Mandanten dabei, KI-Systeme strukturiert zu identifizieren, vollständig zu erfassen und entlang der Anforderungen des EU AI Act belastbar zu kategorisieren. Darauf aufbauend begleiten wir den Aufbau tragfähiger Prozesse, klarer Verantwortlichkeiten und einer passgenauen AI Governance, die sich in bestehende Risiko-, Compliance- und Kontrollstrukturen integrieren lässt. So schaffen wir die Grundlage für eine praxisnahe, prüfungssichere und effizient umsetzbare AI-Act-Compliance.