Regulierung
EU AI Act und ERP-KI: Was Fertigungsunternehmen wirklich beachten müssen
Kurz gesagt
Ein KI-Assistent, der Fragen zu ERP-Daten beantwortet, fällt meist nicht unter Hochrisiko-KI, löst aber Pflichten wie KI-Kompetenz (Art. 4) und Transparenz aus. Kritisch wird es bei Personalentscheidungen oder bei KI als Sicherheitsbauteil. Rechtsberatung ersetzt diese Seite nicht.
Die Verordnung (EU) 2024/1689, kurz KI-Verordnung oder EU AI Act, ist seit August 2024 in Kraft und gilt gestaffelt. Verbote und die Pflicht zur KI-Kompetenz gelten seit Februar 2025, Regeln für KI-Modelle mit allgemeinem Verwendungszweck seit August 2025, der Großteil der Hochrisiko-Pflichten ab August 2026 beziehungsweise später. Über Verschiebungen im Zuge des sogenannten Digital-Omnibus wird politisch verhandelt; prüfen Sie den aktuellen Stand bei Ihrer Rechtsberatung.
Für ERP-Verantwortliche stellt sich eine praktische Frage: Ist ein Assistent, der Bestellungen, Aufträge und Lagerbestände abfragt, ein Hochrisiko-System? In aller Regel nein. Trotzdem entstehen Pflichten, und die Einordnung hängt am konkreten Einsatz, nicht am Produktnamen.
Wir sind keine Kanzlei. Diese Seite zeigt, wie die Architektur Ihnen hilft, Ihre Pflichten als Betreiber (in der Verordnung: 'Deployer') zu erfüllen.
Rollen: Anbieter, Betreiber, Nutzer
Die Verordnung unterscheidet Anbieter (wer ein KI-System entwickelt oder unter eigenem Namen in Verkehr bringt) und Betreiber (wer es in eigener Verantwortung nutzt). Ein Fertigungsunternehmen, das ein KI-System intern einsetzt, ist Betreiber. Wer ein Modell wesentlich verändert und unter eigenem Namen bereitstellt, kann zum Anbieter werden.
Bei offenen Modellen wie Llama, Mistral oder Qwen bleibt der ursprüngliche Modellentwickler Anbieter des Modells. Ihr Unternehmen ist Betreiber des konkreten Systems, das auf dem Modell aufsetzt. Bei starker Eigenentwicklung oder Feintuning lohnt eine juristische Prüfung der Rolle.
Risikoklassen aus ERP-Sicht
Die meisten ERP-Szenarien liegen im Bereich 'begrenztes oder minimales Risiko': Fragen zu Beständen, Lieferterminen, Stücklisten, Rechnungen oder Qualitätsmeldungen. Hier gelten vor allem Transparenzpflichten nach Art. 50, etwa dass Nutzer erkennen, mit einer KI zu sprechen.
Hochrisiko nach Anhang III wird es, wenn KI Beschäftigte einstellt, bewertet, befördert oder überwacht, oder wenn Leistung und Verhalten von Personen beurteilt werden. Ein Bedienerranking auf Basis von BDE-Daten wäre ein Beispiel, das Sie vermeiden oder sehr bewusst behandeln sollten. Auch KI als Sicherheitsbauteil in regulierten Produkten (etwa Maschinen oder Medizinprodukte) kann Hochrisiko-Pflichten auslösen.
- Abfrage- und Analyse-Assistent auf ERP-Daten: meist begrenztes Risiko, Transparenz beachten
- Bewertung oder Überwachung von Beschäftigten: potenziell Hochrisiko (Anhang III)
- KI als Sicherheitsfunktion eines regulierten Produkts: gesonderte Prüfung
- Verbotene Praktiken (zum Beispiel Emotionserkennung am Arbeitsplatz): ausgeschlossen
Pflichten, die Sie schon jetzt betreffen
Art. 4 verlangt von Betreibern, dass Mitarbeitende, die KI nutzen, über ausreichende KI-Kompetenz verfügen. Das ist keine Zertifizierung, sondern ein angemessenes Schulungs- und Anweisungsniveau, angepasst an Rolle und Risiko. Dokumentieren Sie, wer was geschult wurde.
Dazu kommen Transparenz (Nutzer wissen, dass sie mit KI interagieren), sinnvolle menschliche Aufsicht und die Pflicht, Eingabedaten in angemessenem Umfang zu kontrollieren, wenn Sie ein Hochrisiko-System betreiben. Parallel bleiben DSGVO-Pflichten bestehen, etwa Art. 35 (Datenschutz-Folgenabschätzung) und Art. 22 bei automatisierten Einzelentscheidungen.
- Inventar aller eingesetzten KI-Systeme führen
- KI-Kompetenz dokumentiert schulen (Art. 4)
- Transparenzhinweis in der Oberfläche
- Betriebsrat frühzeitig beteiligen
Wie Architektur bei der Umsetzung hilft
Eine Architektur, die nur liest, jede Abfrage anzeigt und Schreibaktionen an eine menschliche Freigabe bindet, macht menschliche Aufsicht nachweisbar. Protokolle der Abfragen helfen bei Dokumentation und Auditierbarkeit. Lokaler Betrieb mit offenen Modellen gibt Ihnen Kontrolle über Version und Verhalten des Modells, statt sich auf stille Updates eines Cloud-Anbieters zu verlassen.
Das macht Ihr Unternehmen nicht automatisch konform. Konformität ist Ihre Verantwortung als Betreiber. Die Architektur liefert aber die Belege, die Sie dafür brauchen.
So gehen Sie vor
Beginnen Sie mit einer Bestandsaufnahme: Welche KI-Funktionen laufen bereits, auch eingebettet in ERP, MES und Office-Produkte? Ordnen Sie jeden Anwendungsfall einer Risikoklasse zu und halten Sie die Begründung fest.
Im Assessment bei Netray gehen wir die geplanten Anwendungsfälle durch und markieren die, die eine vertiefte rechtliche Prüfung brauchen. Die endgültige Einordnung treffen Ihre Rechtsabteilung oder externe Berater.
Ehrliche Einordnung
Wenn Sie nur die in Ihrem ERP eingebauten KI-Funktionen eines Herstellers wie SAP (Joule) nutzen, trägt zunächst der Hersteller die Anbieterpflichten, und Sie bleiben Betreiber. Zusätzliche Eigenbauten sind nur dann nötig, wenn Ihre Fragen oder Datenschutzanforderungen darüber hinausgehen.
Rechtslage und Fristen ändern sich. Verlassen Sie sich nicht auf eine Webseite, auch nicht auf diese, sondern auf aktuelle juristische Beratung.
Häufige Fragen
Ist ein ERP-Chatbot Hochrisiko-KI?
Ein Assistent, der nur Daten abfragt und zusammenfasst, ist in der Regel kein Hochrisiko-System. Es kommt auf den Einsatz an: Werden Beschäftigte bewertet oder überwacht, kann Anhang III greifen. Die Einordnung sollten Sie juristisch prüfen lassen.
Was bedeutet KI-Kompetenz nach Art. 4?
Betreiber müssen dafür sorgen, dass Personen, die KI-Systeme nutzen, ausreichende Kenntnisse haben. Gefordert ist ein angemessenes, dokumentiertes Schulungsniveau je Rolle, keine formale Zertifizierung.
Sind wir Anbieter, wenn wir ein offenes Modell einsetzen?
In der Regel sind Sie Betreiber. Anbieter können Sie werden, wenn Sie ein System wesentlich verändern und unter eigenem Namen in Verkehr bringen. Bei Feintuning und Produktisierung lohnt eine Rechtsprüfung.
Hilft lokaler Betrieb bei der Konformität?
Er hilft bei Kontrolle, Protokollierung und Nachweisbarkeit, macht Sie aber nicht automatisch konform. Pflichten wie Schulung, Transparenz und Risikoeinstufung bleiben Ihre Aufgabe.
Gelten die Fristen unverändert?
Die Anwendung ist gestaffelt, und über Verschiebungen einzelner Fristen wird politisch beraten. Prüfen Sie den aktuellen Stand im Amtsblatt der EU und bei Ihrer Rechtsberatung.
Weitere Leitfäden
KI für MES und Shopfloor-Daten: Antworten aus BDE, MDE und Qualität
KI auf MES- und Maschinendaten in der Fertigung: Störungsanalyse, Rückmeldungen, Qualität. Lokal betrieben, mit ERP verknüpft, ohne Cloud-Zwang. So starten Sie.
Betriebsrat und KI im ERPBetriebsrat und KI im ERP: Mitbestimmung und Betriebsvereinbarung
KI im ERP einführen mit dem Betriebsrat: § 87 Abs. 1 Nr. 6 BetrVG, § 90, § 80 Abs. 3, Betriebsvereinbarung und DSGVO. Praxisleitfaden für Geschäftsführung und IT.
ERP für Rüstung und LuftfahrtKI für Rüstungs- und Luftfahrtzulieferer: VS-NfD, on-prem und air-gapped
On-prem und air-gapped KI auf ERP-Daten für Rüstungs- und Luftfahrtzulieferer: VS-NfD, Exportkontrolle, EN 9100. Architektur, Grenzen, Einstieg.
Lokale LLMs (Llama, Mistral) mit ERP-DatenLokale LLMs mit ERP-Daten: Llama, Mistral und Qwen im eigenen Haus
Lokale LLMs wie Llama, Mistral oder Qwen mit ERP-Daten betreiben: Hardware, vLLM und Ollama, Retrieval, SQL-Abfragen, DSGVO. Ehrliche Grenzen inklusive.
SAP S/4HANAKI für SAP S/4HANA on-premise: Antworten aus Ihren Daten, ohne dass etwas das Haus verlässt
KI auf SAP S/4HANA im eigenen Rechenzentrum: lokale Sprachmodelle, Zugriff über CDS Views und OData, Berechtigungen bleiben erhalten, DSGVO-konform und ohne Cloud-Abfluss.
abas ERPKI für abas ERP: Aufträge, Stücklisten und Varianten in Klartext abfragen
KI für abas ERP im Mittelstand: Fragen an Aufträge, Stücklisten und Infosysteme in natürlicher Sprache, mit lokalem Sprachmodell und ohne Daten an externe Dienste.
KI für Ihr ERP, sinnvoll eingesetzt
Buchen Sie ein kostenloses ERP-KI-Assessment. Wir klären Datenweg, Modell und Betriebsort und sagen Ihnen ehrlich, wenn KI nicht das richtige Werkzeug ist.
Kostenloses Assessment buchen