Der Anlass der aktuellen Debatte
Nach Diskussionen über leistungsfähige KI-Systeme, die eigenständig Aufgaben und Werkzeuge steuern, verwies Virkkunen auf den bestehenden europäischen Rechtsrahmen. Ihre Aussage ist kein neues Verbot und keine pauschale Bestätigung, dass alle Agenten sicher sind. Sie ist eine Einschätzung zur Reichweite bereits verabschiedeter Vorschriften. Für deutsche Unternehmen ist besonders wichtig, zwischen dem Modell, der darauf aufgebauten Anwendung und dem konkreten Einsatzprozess zu unterscheiden.
Warum autonome Agenten besondere Risiken haben
Ein KI-Agent kann unter Umständen E-Mails bearbeiten, Datenbanken abfragen, Bestellungen vorbereiten oder Softwarewerkzeuge ausführen. Wird er mit zu weitreichenden Berechtigungen ausgestattet, können falsche Annahmen oder manipulierte Eingaben reale Folgen verursachen. Ein normales Chatfenster ohne externe Zugriffe hat andere Risiken als ein Agent mit Schreibrechten im Buchhaltungssystem. Die rechtliche Einordnung lässt sich deshalb nicht allein aus dem Begriff Agent ableiten.
Welche Modellpflichten schon gelten
Die Kommission nennt für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck technische Dokumentation, urheberrechtliche Vorgaben und Informationen über Trainingsinhalte. Bei systemischen Risiken kommen besondere Bewertungen, Risikominderung, Meldung schwerer Vorfälle und Cybersecurity hinzu. Die Anwendung bestimmter anderer Pflichten ist gestaffelt und teilweise von Übergangsregelungen abhängig. Die Behauptung, jede Bestimmung des AI Act gelte seit einem einzigen Termin uneingeschränkt, wäre sachlich ungenau.
Anbieter, Integratoren und Betreiber
Ein Unternehmen, das ein Modell entwickelt und vertreibt, kann andere Pflichten haben als eines, das einen externen Dienst im Personalwesen nutzt. Integrationen, erhebliche Veränderungen und eine Vermarktung unter eigenem Namen können die Verantwortlichkeiten verändern. Auch ausländische Anbieter können in den Geltungsbereich fallen, wenn ihre Systeme in der EU eingesetzt werden. Daher sollten Firmen Verträge, Produktunterlagen, Datenflüsse und die Rolle aller beteiligten Dienstleister festhalten.
Praktische Kontrollen im Arbeitsalltag
Zuerst gehört jedes verwendete KI-System in ein nachvollziehbares Inventar. Danach müssen Zugriffsrechte geprüft und für kritische Änderungen menschliche Freigaben eingerichtet werden. Ein brauchbares Protokoll dokumentiert, welche Daten und Werkzeuge genutzt wurden. Weitere Tests sollten untersuchen, ob ein Agent fremde Anweisungen aus Webseiten übernimmt oder falsche Informationen als Tatsachen behandelt. Bei einem Zwischenfall braucht es klare Verantwortliche und einen technisch wirksamen Abschaltmechanismus.
Datenschutz und Betriebsorganisation
Die Einführung eines Agenten ersetzt keine Prüfung der DSGVO, der betrieblichen Mitbestimmung oder einschlägiger branchenspezifischer Vorgaben. Personaldaten, Kundendaten und Informationen aus sensiblen Betriebsabläufen sollten nur mit klarer Zweckbindung verarbeitet werden. Auch wenn eine Anwendung nicht als Hochrisiko-KI eingestuft wird, bleiben Sicherheits- und Datenschutzmaßnahmen sinnvoll. Ein Werbesiegel eines Zulieferers ersetzt keine konkrete Prüfung der tatsächlichen Verwendung.
Was Unternehmen jetzt überprüfen sollten
Vor neuen Projekten sind Dokumentation, Sicherheitsgrenzen, Updatepolitik, Auftragsverarbeitung und Kosten von unabhängigen Prüfungen zu klären. Nach jedem größeren Modellwechsel sollte die Bewertung erneut stattfinden. Hilfreich ist eine Testumgebung ohne echte Zahlungsrechte, in der typische Fehler absichtlich provoziert werden können. So lassen sich Unterschiede zwischen Verkaufsversprechen und tatsächlichem Verhalten sichtbar machen, bevor ein Agent in der Produktion eingesetzt wird.
Häufige Fragen
Sind autonome Agenten generell verboten? Nein. Ist jeder Agent eine Hochrisiko-Anwendung? Nein, entscheidend ist der konkrete Einsatz. Gibt es bereits europäische Modellpflichten? Ja, für bestimmte Modellanbieter. Ist eine politische Aussage eine behördliche Zulassung? Nein. Wo können Firmen Details prüfen? Im konsolidierten Gesetzestext auf EUR-Lex sowie in den Veröffentlichungen der Europäischen Kommission.