EU AI Act: Alles, was Unternehmen jetzt wissen müssen

Was ist der EU AI Act?

Der EU AI Act ist die europäische KI-Verordnung, offiziell die Verordnung (EU) 2024/1689. Sie schafft einen einheitlichen Rechtsrahmen für Entwicklung, Bereitstellung, Einfuhr, Vertrieb und Nutzung von KI-Systemen in der Europäischen Union. Der Ansatz ist risikobasiert: Je größer die mögliche Gefahr für Gesundheit, Sicherheit oder Grundrechte, desto strenger fallen die Anforderungen aus.

Die Verordnung fragt nicht zuerst, ob eine Software spektakulär oder technisch besonders komplex wirkt. Maßgeblich sind Funktion, Einsatzkontext und mögliche Folgen. Ein Textassistent für interne Ideensammlungen fällt meist in einen anderen Bereich als ein System, das Bewerber vorsortiert, Kreditwürdigkeit bewertet oder Zugang zu Bildung beeinflusst.

Der EU AI Act verfolgt zwei Ziele gleichzeitig. Menschen sollen vor manipulativen, diskriminierenden oder unsicheren KI-Anwendungen geschützt werden. Zugleich soll ein verlässlicher Binnenmarkt entstehen, in dem Unternehmen wissen, welche Regeln gelten. Genau diese Kombination macht den Rechtsrahmen für Geschäftsführung, IT, Datenschutz, Personal, Einkauf, Produktentwicklung und Compliance relevant.

Wer sich mit den gesellschaftlichen Folgen beschäftigt, findet im Themenbereich Ethik und künstliche Intelligenz weitere Hintergründe. Technische Entwicklungen und neue Werkzeuge bündelt die Kategorie Künstliche Intelligenz.

EU AI Act: Aktuelle Fristen und Zeitplan 2026 bis 2028

Der ursprüngliche Zeitplan wurde 2026 durch den Digital Omnibus angepasst. Deshalb kursieren im Netz noch viele Übersichten mit inzwischen überholten Stichtagen. Für die Unternehmensplanung sollte zwischen bereits geltenden Pflichten, den neuen Transparenzfristen und den verschobenen Regeln für Hochrisiko-KI getrennt werden.

Praxis-Hinweis: Eine verschobene Frist ist keine Einladung zum Abwarten. Vertragsnachträge, Lieferantennachweise, Daten-Governance, technische Dokumentation, Protokollierung und menschliche Aufsicht lassen sich selten in wenigen Wochen sauber aufsetzen.

Quelle zum geänderten Zeitplan: Rat der Europäischen Union: endgültige Annahme der vereinfachten KI-Vorschriften.

Welche Risikoklassen kennt der EU AI Act?

Die oft zitierte Einteilung in vier Risikostufen ist ein nützliches Arbeitsmodell. Rechtlich muss jedoch genauer hingeschaut werden: Verbotene Praktiken, Hochrisiko-Systeme und besondere Transparenzpflichten folgen unterschiedlichen Vorschriften. Modelle mit allgemeinem Verwendungszweck bilden zusätzlich einen eigenen Regelungsbereich.

Warum der konkrete Verwendungszweck den Ausschlag gibt

Dasselbe Basismodell kann je nach Einsatz sehr unterschiedlich eingeordnet werden. Ein Sprachmodell, das Produktbeschreibungen entwirft, ist nicht automatisch Hochrisiko-KI. Wird eine darauf aufgebaute Anwendung jedoch für die Vorauswahl von Bewerbern eingesetzt, kann sie in den Hochrisikobereich fallen. Unternehmen müssen deshalb nicht nur den Produktnamen dokumentieren, sondern den tatsächlichen Zweck, die betroffenen Personen und die Entscheidungskette.

Eine gute Klassifizierung beantwortet fünf Fragen: Was macht das System? Wer ist betroffen? Welche Entscheidung wird vorbereitet oder getroffen? Kann ein Mensch wirksam eingreifen? Welche Schäden wären bei Fehlern, Verzerrungen oder Missbrauch realistisch?

Welche KI-Anwendungen sind verboten?

Die Verbote gelten bereits seit dem 2. Februar 2025. Sie richten sich gegen Anwendungen, deren Risiko für Freiheit, Würde, Sicherheit oder Grundrechte als nicht hinnehmbar gilt. Unternehmen sollten diese Prüfung ganz an den Anfang ihres KI-Freigabeprozesses stellen. Ein verbotenes System wird nicht durch eine bessere Datenschutzerklärung oder zusätzliche Schulung legal.

Zu den zentralen verbotenen Praktiken gehören

• gezielt manipulative oder unterschwellig beeinflussende Techniken, wenn dadurch erhebliche Schäden drohen;
• die Ausnutzung besonderer Schutzbedürftigkeit aufgrund von Alter, Behinderung oder sozialer und wirtschaftlicher Lage;
• Social Scoring, das Menschen anhand ihres Verhaltens oder zugeschriebener Eigenschaften unangemessen benachteiligt;
• individuelle Vorhersagen strafbaren Verhaltens, wenn sie allein auf Profiling oder Persönlichkeitsmerkmalen beruhen;
• das ungezielte Auslesen von Gesichtsbildern aus dem Internet oder aus Überwachungskameras zum Aufbau von Gesichtsdatenbanken;
• Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen, soweit keine eng begrenzte medizinische oder sicherheitsbezogene Ausnahme greift;
• biometrische Kategorisierung, mit der besonders sensible Merkmale abgeleitet werden;
• biometrische Echtzeit-Fernidentifizierung in öffentlich zugänglichen Räumen zu Strafverfolgungszwecken, abgesehen von eng definierten Ausnahmefällen.

Mit der 2026 beschlossenen Änderung kommen ab Dezember 2026 weitere Verbote hinzu. Sie betreffen KI-Systeme, die nicht einvernehmliche sexualisierte oder intime Darstellungen echter Menschen sowie Darstellungen sexuellen Missbrauchs von Kindern erzeugen. Für Plattformen, Bilddienste und Anbieter generativer Werkzeuge entsteht damit ein klarer zusätzlicher Prüfbereich.

Eine behördliche Übersicht bietet die Bundesnetzagentur zu verbotenen KI-Praktiken.

Anbieter, Betreiber oder Händler: Welche Rolle hat Ihr Unternehmen?

Viele Fehlbewertungen beginnen mit dem Satz: „Wir entwickeln doch gar keine KI.“ Das greift zu kurz. Die KI-Verordnung verteilt Pflichten entlang der Wertschöpfungskette. Ein Unternehmen kann sogar mehrere Rollen gleichzeitig haben.

Wann ein Betreiber zum Anbieter werden kann

Besonders heikel sind Eigenlabel, wesentliche Änderungen und neue Zweckbestimmungen. Wer ein fremdes System unter eigenem Namen anbietet, es substanziell verändert oder für einen anderen Hochrisiko-Zweck einsetzt, kann rechtlich in die Anbieterrolle rutschen. Dann wachsen die Pflichten erheblich. Diese Frage gehört deshalb in jeden Beschaffungs- und Change-Prozess.

KI-Kompetenz ist seit Februar 2025 Pflicht

Anbieter und Betreiber müssen nach besten Kräften sicherstellen, dass Mitarbeitende und andere beauftragte Personen über ein angemessenes Maß an KI-Kompetenz verfügen. Das gilt unabhängig von Branche und Unternehmensgröße. Auch die Nutzung verbreiteter Chatbots oder KI-Funktionen in Bürosoftware kann darunterfallen.

Was eine belastbare KI-Schulung abdecken sollte

• Funktionsweise und Grenzen der eingesetzten Systeme;
• Halluzinationen, Verzerrungen und typische Fehlanwendungen;
• Umgang mit personenbezogenen, vertraulichen und urheberrechtlich geschützten Daten;
• zulässige und unzulässige Einsatzfälle im Unternehmen;
• menschliche Kontrolle, Eskalation und Meldung von Vorfällen;
• Kennzeichnungspflichten bei künstlich erzeugten Inhalten;
• rollenbezogene Anforderungen für Einkauf, IT, HR, Marketing und Produktteams.

Eine starre Standardschulung schreibt die Verordnung nicht vor. Auch eine externe Zertifizierung oder ein formell benannter KI-Beauftragter ist nicht generell Pflicht. Die Bundesnetzagentur empfiehlt jedoch, Maßnahmen nachvollziehbar zu dokumentieren. Sinnvoll sind Datum, Zielgruppe, Inhalte, Dauer, verantwortliche Person und Teilnehmernachweis. Bei risikoreichen Anwendungen reicht eine allgemeine einstündige Einführung kaum aus.

Offizielle Orientierung: Bundesnetzagentur zur KI-Kompetenz nach Artikel 4.

Hochrisiko-KI: Wann die strengsten Unternehmenspflichten greifen

Hochrisiko-KI ist nicht automatisch „gefährliche KI“. Gemeint sind Systeme, deren Fehler oder Missbrauch besonders schwer auf Menschen, Sicherheit oder Grundrechte wirken können. Die Verordnung unterscheidet produktbezogene Hochrisiko-Systeme und eigenständige Anwendungen in ausdrücklich genannten Lebensbereichen.

Typische Bereiche eigenständiger Hochrisiko-KI

• biometrische Identifizierung und Kategorisierung in geregelten Fällen;
• Verwaltung und Betrieb kritischer Infrastruktur;
• Bildung, Prüfungen und Zugang zu Aus- oder Weiterbildung;
• Beschäftigung, Personalauswahl, Beförderung und Leistungsüberwachung;
• Zugang zu wesentlichen privaten oder öffentlichen Diensten, etwa bestimmte Kredit- oder Versicherungsentscheidungen;
• Strafverfolgung;
• Migration, Asyl und Grenzkontrolle;
• Rechtspflege und demokratische Prozesse.

Kernpflichten für Anbieter von Hochrisiko-Systemen

1. Risikomanagement: Risiken müssen über den gesamten Lebenszyklus ermittelt, bewertet, getestet und reduziert werden.
2. Daten-Governance: Trainings-, Validierungs- und Testdaten müssen für den Zweck geeignet, hinreichend repräsentativ und kontrolliert sein.
3. Technische Dokumentation: Aufbau, Fähigkeiten, Grenzen, Versionen und Prüfungen müssen nachvollziehbar beschrieben werden.
4. Protokollierung: Relevante Vorgänge müssen automatisch aufgezeichnet werden können.
5. Informationen für Betreiber: Bedienung, Leistungsgrenzen, Risiken und Aufsichtsmaßnahmen müssen verständlich dokumentiert sein.
6. Menschliche Aufsicht: Menschen müssen Ausgaben richtig interpretieren, eingreifen und das System gegebenenfalls stoppen können.
7. Genauigkeit, Robustheit und Cybersicherheit: Das System muss dem vorgesehenen Zweck entsprechend zuverlässig und gegen Manipulation geschützt sein.
8. Qualitätsmanagement und Marktbeobachtung: Nach dem Inverkehrbringen sind Leistung, Vorfälle und notwendige Korrekturen systematisch zu überwachen.

Pflichten der Betreiber

Betreiber müssen die Gebrauchsanweisung einhalten, menschliche Aufsicht organisatorisch verankern, Eingabedaten kontrollieren und relevante Protokolle aufbewahren. Je nach Anwendung kommen Informationspflichten gegenüber Beschäftigten oder betroffenen Personen hinzu. Öffentliche Stellen und bestimmte private Betreiber können vor dem Einsatz eine Grundrechte-Folgenabschätzung durchführen müssen. Berührt das System personenbezogene Daten, kann parallel eine Datenschutz-Folgenabschätzung nach der DSGVO erforderlich sein.

Die Bundesnetzagentur erläutert Hochrisiko-KI-Systeme und die betroffenen Einsatzfelder. Fragen zu physischen KI-Systemen vertieft unser Beitrag über rechtliche Regeln für humanoide Roboter.

Transparenzpflichten für Chatbots, Deepfakes und KI-Inhalte

Menschen sollen erkennen können, wenn sie mit einem KI-System interagieren oder künstlich erzeugte Inhalte vor sich haben. Wie die Information aussehen muss, hängt vom Format und vom Kontext ab. Ein pauschaler Hinweis im Impressum reicht nicht immer.

Typische Transparenzfälle

• Chatbots und Sprachassistenten: Nutzer müssen grundsätzlich erfahren, dass sie mit einem KI-System kommunizieren, sofern dies nicht ohnehin offensichtlich ist.
• Deepfakes: Künstlich erzeugte oder manipulierte Bild-, Audio- und Videoinhalte müssen als solche offengelegt werden.
• Synthetische Inhalte: Anbieter generativer Systeme müssen technische Lösungen unterstützen, durch die KI-Ausgaben maschinenlesbar erkennbar werden.
• Texte von öffentlichem Interesse: Bei KI-generierten Texten zu Themen von öffentlichem Interesse kann eine Offenlegung erforderlich sein. Eine redaktionelle Prüfung mit menschlicher Verantwortung kann die Bewertung verändern.
• Emotionserkennung und biometrische Kategorisierung: Betroffene Personen müssen in zulässigen Einsatzfällen informiert werden.

Die Kennzeichnung sollte dort erscheinen, wo der Inhalt wahrgenommen wird. Bei Bildern kann das eine sichtbare Angabe, eine robuste Metadatenlösung oder eine Kombination aus beidem sein. Technische Markierungen allein lösen nicht jedes Transparenzproblem, weil Plattformen Metadaten entfernen können. Mehr dazu erklärt der Beitrag über KI-Wasserzeichen und ihre Grenzen.

Wer generative Werkzeuge auswählt, sollte die Export- und Kennzeichnungsfunktionen schon im Einkauf prüfen. Eine Marktübersicht bietet der Vergleich aktueller KI-Bildgeneratoren.

Behördliche Details finden sich bei der Bundesnetzagentur zu Transparenzpflichten.

GPAI: Was für allgemeine KI-Modelle gilt

GPAI steht für „General Purpose AI“, auf Deutsch KI-Modelle mit allgemeinem Verwendungszweck. Solche Modelle können viele verschiedene Aufgaben erfüllen und bilden häufig die technische Basis für Chatbots, Suchfunktionen, Programmierassistenten, Bildgeneratoren oder branchenspezifische Anwendungen.

Der EU AI Act trennt zwischen dem Modellanbieter und dem Anbieter eines darauf aufbauenden KI-Systems. Wer lediglich eine fertige Schnittstelle nutzt, ist nicht automatisch GPAI-Anbieter. Wer ein Modell tiefgreifend verändert, unter eigenem Namen anbietet oder in ein eigenes Produkt integriert, muss seine Rolle genauer prüfen.

Wesentliche Pflichten für GPAI-Anbieter

• technische Dokumentation über Entwicklung, Fähigkeiten und Grenzen;
• Informationen für Anbieter nachgelagerter KI-Systeme;
• eine Strategie zur Einhaltung des europäischen Urheberrechts;
• eine hinreichend detaillierte Zusammenfassung der für das Training verwendeten Inhalte;
• bei Modellen mit systemischem Risiko zusätzliche Evaluationen, Risikominderung, Vorfallsmeldungen und Cybersicherheitsmaßnahmen.

Unternehmen, die GPAI einkaufen, sollten sich nicht mit Werbeversprechen begnügen. Benötigt werden belastbare Angaben zu Modellversion, Datenverarbeitung, Speicherorten, Trainingsnutzung von Eingaben, Unterauftragnehmern, Sicherheitsmaßnahmen, Ausfallkonzepten und Änderungsmitteilungen. Ohne solche Informationen wird die eigene Risikobewertung schnell zur Rateshow.

Offizielle Erläuterungen: Bundesnetzagentur zu GPAI-Modellen.

EU AI Act und DSGVO gelten häufig gleichzeitig

Der EU AI Act ersetzt die Datenschutz-Grundverordnung nicht. Verarbeitet ein KI-System personenbezogene Daten, gelten beide Regelwerke nebeneinander. Der AI Act bewertet vor allem KI-spezifische Risiken und Marktpflichten. Die DSGVO verlangt unter anderem eine Rechtsgrundlage, Zweckbindung, Datenminimierung, Transparenz, Betroffenenrechte und angemessene Sicherheit.

Vier typische Überschneidungen

1. Beschäftigtendaten: Ein KI-Tool im Recruiting kann Hochrisiko-KI sein und zugleich sensible Personal- oder Bewerberdaten verarbeiten.
2. Profiling: Automatisierte Bewertungen können Informationspflichten und Einschränkungen automatisierter Einzelentscheidungen auslösen.
3. Trainings- und Eingabedaten: Personenbezogene Daten dürfen nicht allein deshalb genutzt werden, weil ein KI-Anbieter technisch dazu in der Lage ist.
4. Folgenabschätzungen: Eine Grundrechte-Folgenabschätzung nach dem AI Act und eine Datenschutz-Folgenabschätzung können parallel nötig sein. Sie sollten aufeinander abgestimmt, aber nicht ungeprüft gleichgesetzt werden.

Praktisch lohnt sich ein gemeinsamer Prüfprozess von Datenschutz, Informationssicherheit, Fachabteilung und Compliance. Das verhindert doppelte Dokumentation und deckt Lücken auf, die bei rein technischer Beschaffung oft unentdeckt bleiben. Bei Robotik und Sensorik zeigt sich diese Überschneidung besonders deutlich, etwa beim Datenschutz für humanoide Haushaltsroboter.

Die datenschutzrechtliche Einordnung erläutert die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit.

Wer kontrolliert den EU AI Act in Deutschland?

Deutschland setzt bei der nationalen Durchführung auf eine zentrale Rolle der Bundesnetzagentur. Nach Angaben der Bundesregierung soll sie im Wesentlichen als Marktüberwachungsbehörde dienen und ein Koordinierungs- und Kompetenzzentrum aufbauen. Für einzelne Sektoren bleiben spezialisierte Behörden beteiligt, damit bestehende Fachaufsicht nicht doppelt aufgebaut wird.

Das deutsche Durchführungsgesetz durchlief 2026 Bundestag und Bundesrat. Der Bundesrat stimmte am 10. Juli 2026 zu. Nach Ausfertigung und Verkündung kann das Gesetz in Kraft treten. Unternehmen erhalten damit klarere nationale Ansprechpartner, während die materiellen Pflichten weiterhin unmittelbar aus der europäischen KI-Verordnung folgen.

Die Bundesnetzagentur soll auch mindestens ein KI-Reallabor einrichten. Solche Reallabore ermöglichen kontrollierte Tests innovativer Systeme unter behördlicher Begleitung. Sie sind kein rechtsfreier Raum, können aber gerade kleinen und mittleren Unternehmen helfen, Anforderungen früher zu verstehen.

Quelle: Bundesregierung zur Umsetzung der KI-Verordnung in Deutschland.

Welche Bußgelder drohen bei Verstößen?

Die Sanktionshöhe richtet sich nach Art, Schwere, Dauer und Folgen des Verstoßes. Auch Unternehmensgröße, Kooperation mit Behörden, frühere Verstöße und wirtschaftlicher Vorteil können eine Rolle spielen. Die Höchstbeträge zeigen dennoch, dass KI-Compliance kein freiwilliges Zusatzprojekt ist.

Bei Unternehmen kann der jeweils höhere Betrag maßgeblich sein. Für kleinere Unternehmen sieht der Rechtsrahmen Verhältnismäßigkeit vor. Trotzdem können bereits Prüfungen, Vertriebsstopps, Rückrufe, Vertragsstreitigkeiten und Reputationsschäden teuer werden, selbst wenn kein maximaler Bußgeldrahmen ausgeschöpft wird.

Haftung bleibt ein eigenes Thema. Der AI Act legt Markt- und Organisationspflichten fest, beantwortet aber nicht jeden zivilrechtlichen Schadensfall. Das wird bei autonomen Systemen schnell praktisch, wie die Beiträge Haftung bei Schäden durch humanoide Roboter und Warum ein Roboter nicht selbst haftet zeigen.

EU-AI-Act-Checkliste: 11 Schritte für Unternehmen

Ein praxistaugliches Compliance-Programm beginnt nicht mit einem hundertseitigen Regelwerk. Es beginnt mit Transparenz über den eigenen Bestand. Danach lassen sich Prioritäten nach Risiko und Frist setzen.

1. KI-Inventar anlegen

   Erfassen Sie jede produktive, getestete oder dezentral beschaffte KI-Anwendung. Notieren Sie Anbieter, Version, Zweck, Nutzergruppe, Datenarten, Schnittstellen, Einsatzland und verantwortliche Fachabteilung. Auch kostenlose Browsertools und integrierte Funktionen in vorhandener Software gehören auf die Liste.

2. Rolle in der Lieferkette bestimmen

   Prüfen Sie, ob das Unternehmen Anbieter, Betreiber, Importeur, Händler oder Produkthersteller ist. Dokumentieren Sie Rollenwechsel durch Eigenlabel, wesentliche Änderungen oder neue Zweckbestimmungen.

3. Verbotene Anwendungen ausschließen

   Führen Sie vor jeder weiteren Bewertung einen Verbotscheck durch. Das spart Aufwand und verhindert, dass Teams eine unzulässige Lösung durch Zusatzmaßnahmen „reparieren“ wollen.

4. Risikoklasse und Spezialrecht prüfen

   Bewerten Sie Einsatzkontext, betroffene Personen und mögliche Folgen. Beziehen Sie Datenschutz-, Arbeits-, Verbraucher-, Urheber-, Produktsicherheits- und Branchenrecht ein.

5. KI-Kompetenz nach Rollen aufbauen

   Schulen Sie nicht alle Beschäftigten identisch. Marketing braucht andere Regeln als HR, IT-Administration, Einkauf oder Geschäftsführung. Halten Sie Maßnahmen und Teilnahme fest.

6. Beschaffung und Verträge nachschärfen

   Verlangen Sie technische Unterlagen, Sicherheitsinformationen, Änderungsmitteilungen und Unterstützung bei Behördenanfragen. Regeln Sie Datenverwendung, Unterauftragnehmer, Auditmöglichkeiten, Haftung, Exit und Datenrückgabe.

7. Datenschutz und Informationssicherheit verbinden

   Prüfen Sie Rechtsgrundlagen, Datenminimierung, Zugriffe, Speicherfristen, Drittlandtransfers, Protokollierung und Schutz vertraulicher Informationen. Nutzen Sie bestehende ISMS- und Datenschutzprozesse statt Parallelwelten zu bauen.

8. Menschliche Aufsicht konkret gestalten

   „Ein Mensch schaut noch einmal drauf“ ist zu ungenau. Legen Sie fest, wer prüft, welche Informationen vorliegen, wann ein Ergebnis verworfen wird und wie Zeitdruck oder Automationsbias verhindert werden.

9. Transparenz und Kennzeichnung umsetzen

   Definieren Sie Hinweise für Chatbots, Deepfakes, synthetische Medien und öffentliche KI-Texte. Prüfen Sie sichtbare Angaben sowie maschinenlesbare Markierungen im realen Veröffentlichungsprozess.

10. Monitoring und Vorfallmanagement einrichten

    Beobachten Sie Fehlerraten, Beschwerden, Verzerrungen, Sicherheitsvorfälle und Modelländerungen. Legen Sie Meldewege, Eskalationsstufen, Abschaltkriterien und Verantwortlichkeiten fest.

11. Nachweise regelmäßig aktualisieren

    KI-Systeme ändern sich durch neue Modelle, Prompts, Datenquellen und Schnittstellen. Wiederholen Sie die Bewertung bei wesentlichen Updates, neuen Nutzergruppen oder verändertem Zweck. Ein einmal ausgefülltes Formular ist kein dauerhafter Compliance-Nachweis.

Minimaldatensatz für ein KI-Register

Diese Fehler bremsen die EU-AI-Act-Umsetzung

Nur die IT wird zuständig gemacht

Die IT kennt Systeme und Schnittstellen, aber nicht jede arbeitsrechtliche, datenschutzrechtliche oder fachliche Folge. Ein tragfähiges Team verbindet IT, Datenschutz, Informationssicherheit, Recht, Einkauf und die jeweilige Fachabteilung.

ChatGPT wird mit dem gesamten KI-Bestand verwechselt

KI steckt längst in CRM, Bewerbersoftware, Übersetzung, Videoanalyse, Betrugserkennung, Suchfunktionen und Automatisierungsplattformen. Wer nur bekannte Chatbots erfasst, übersieht häufig die risikoreicheren Systeme.

Der Anbieter wird ungeprüft als allein verantwortlich betrachtet

Betreiberpflichten bleiben beim nutzenden Unternehmen. Auch ein marktführender Anbieter nimmt Ihnen Zweckfestlegung, Mitarbeiterschulung, Datenschutzprüfung und menschliche Aufsicht nicht ab.

Eine Richtlinie existiert nur auf dem Papier

Eine KI-Policy ohne Freigabeprozess, Schulung und technische Kontrollen ändert den Arbeitsalltag kaum. Regeln müssen dort greifen, wo Tools beschafft, Konten angelegt, Daten eingegeben und Inhalte veröffentlicht werden.

Fristen werden mit Projektstart verwechselt

Der Stichtag markiert den Zeitpunkt, ab dem die Pflicht eingehalten werden muss. Er ist nicht der Tag, an dem das Projekt beginnen sollte. Vor allem Hochrisiko-Systeme brauchen Vorlauf für Dokumentation, Tests und Vertragsanpassungen.

Warum gute KI-Governance mehr als Pflichterfüllung ist

Saubere KI-Governance kann Entscheidungen beschleunigen. Teams wissen, welche Anwendungen freigegeben sind, welche Daten verwendet werden dürfen und wer bei Unsicherheit entscheidet. Das reduziert Schatten-KI und verhindert, dass jedes Projekt bei null beginnt.

Auch im Vertrieb wächst der Nutzen. Geschäftskunden fragen häufiger nach Datenquellen, Sicherheitskonzepten, Modelländerungen und menschlicher Kontrolle. Wer diese Punkte strukturiert beantworten kann, wirkt verlässlicher als ein Anbieter, der nur mit „KI-powered“ wirbt.

Der stärkste Ansatz ist proportional: einfache Assistenzsysteme bekommen schlanke Regeln, sensible oder entscheidungsnahe Anwendungen eine tiefere Prüfung. So wird Compliance nicht zum pauschalen Innovationsstopp, sondern zu einem Filter für tragfähige Einsätze.

Fazit: Beim EU AI Act zählt die Vorbereitung vor dem Stichtag

Der EU AI Act macht aus KI-Nutzung eine nachvollziehbare Managementaufgabe. Verbote und KI-Kompetenz gelten bereits. Transparenzregeln folgen Ende 2026, die umfassenden Hochrisiko-Anforderungen nach dem neuen Zeitplan 2027 und 2028. Unternehmen gewinnen wenig, wenn sie nur auf die letzte Frist schauen.

Der pragmatische Weg beginnt mit einem KI-Inventar. Danach folgen Rollenklärung, Risikoeinstufung, Schulung, Vertragsprüfung und dokumentierte menschliche Kontrolle. Dieser Aufbau schützt nicht nur vor Bußgeldern. Er verbessert Beschaffung, Datenqualität und Verantwortlichkeit – und trennt nützliche KI-Projekte von riskanten Schnellschüssen.

Offizielle Quellen und weiterführende Informationen

• Bundesnetzagentur: KI-Service-Desk und Überblick zur KI-Verordnung
• Bundesnetzagentur: KI-Kompetenz
• Bundesnetzagentur: Verbotene KI-Praktiken
• Bundesnetzagentur: Hochrisiko-KI-Systeme
• Bundesnetzagentur: Transparenzpflichten
• Bundesnetzagentur: GPAI-Modelle
• BfDI: KI-Verordnung und Datenschutz
• Bundesregierung: Nationale Umsetzung der KI-Verordnung
• Rat der Europäischen Union: Digital Omnibus und neue Anwendungstermine

Redaktioneller Hinweis: Der Beitrag bildet den öffentlich dokumentierten Rechtsstand am 24. Juli 2026 ab. Bei konkreten Produkten, Hochrisiko-Anwendungen oder behördlichen Verfahren ist eine individuelle rechtliche Prüfung sinnvoll.

Häufige Fragen zum EU AI Act

Gilt der EU AI Act auch für kleine Unternehmen?

Ja. Die Verordnung gilt grundsätzlich unabhängig von der Unternehmensgröße, wenn ein Unternehmen eine erfasste Rolle einnimmt. Umfang und Priorität der Maßnahmen hängen jedoch stark vom eingesetzten System und seinem Risiko ab; für kleine Unternehmen gelten bei Sanktionen und Unterstützungsangeboten Verhältnismäßigkeitsgrundsätze.

Gilt der EU AI Act, wenn wir nur ChatGPT oder ähnliche Tools nutzen?

Auch die berufliche Nutzung allgemeiner KI-Tools kann Betreiberpflichten auslösen, vor allem bei KI-Kompetenz, Datenschutz und internen Nutzungsregeln. Das Tool ist nicht allein wegen seiner Bekanntheit ein Hochrisiko-System. Maßgeblich ist, wofür es konkret eingesetzt wird und welche Entscheidungen davon abhängen.

Seit wann gilt die Pflicht zur KI-Kompetenz?

Die Pflicht gilt seit dem 2. Februar 2025. Anbieter und Betreiber sollen nach besten Kräften ein angemessenes Kompetenzniveau bei allen Personen sicherstellen, die in ihrem Auftrag KI-Systeme nutzen oder betreiben. Umfang und Inhalte richten sich nach Rolle, Vorkenntnissen, System und Risiko.

Braucht jedes Unternehmen einen KI-Beauftragten?

Nein, der EU AI Act schreibt nicht pauschal einen formellen KI-Beauftragten vor. Eine klare interne Zuständigkeit ist trotzdem sinnvoll. Je nach Größe kann diese Aufgabe bei einem interdisziplinären KI-Governance-Team, der Compliance-Funktion oder einer benannten verantwortlichen Person liegen.

Wann gelten die Hochrisiko-Regeln des EU AI Act?

Nach dem 2026 beschlossenen Digital Omnibus gelten die Regeln für eigenständige Hochrisiko-KI ab dem 2. Dezember 2027. Für Hochrisiko-KI, die in regulierte Produkte eingebettet ist, gilt grundsätzlich der 2. August 2028. Sektorale Sonderregeln und der konkrete Produkttyp müssen zusätzlich geprüft werden.

Ist jede KI im Personalwesen automatisch Hochrisiko-KI?

Nein. Hochriskant sind vor allem Systeme, die Zugang zu Beschäftigung, Auswahl, Beförderung, Kündigung, Aufgabenverteilung oder Leistungsüberwachung maßgeblich beeinflussen. Ein reiner Textassistent ohne Entscheidungsfunktion kann anders einzuordnen sein, wobei Datenschutz und Arbeitsrecht trotzdem gelten.

Müssen KI-generierte Inhalte immer gekennzeichnet werden?

Nicht jeder interne Entwurf braucht einen sichtbaren Hinweis. Kennzeichnungspflichten greifen vor allem bei Interaktion mit KI, Deepfakes, synthetischen Medien und bestimmten veröffentlichten Inhalten von öffentlichem Interesse. Format, redaktionelle Kontrolle und konkrete Nutzung entscheiden über die Ausgestaltung.

Ersetzt der EU AI Act die DSGVO?

Nein. Sobald personenbezogene Daten verarbeitet werden, gilt die DSGVO parallel. Unternehmen müssen daher sowohl KI-spezifische Risiken als auch Rechtsgrundlage, Transparenz, Datenminimierung, Betroffenenrechte und Datensicherheit prüfen.

Wie hoch sind die Bußgelder nach dem EU AI Act?

Bei verbotenen Praktiken sind bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes möglich. Für andere zentrale Verstöße können bis zu 15 Millionen Euro oder 3 Prozent gelten. Die konkrete Höhe hängt unter anderem von Schwere, Dauer, Unternehmensgröße und Kooperation ab.

Was ist der erste sinnvolle Schritt zur Compliance?

Der beste Start ist ein vollständiges KI-Inventar. Es sollte System, Version, Zweck, Anbieter, Unternehmensrolle, Datenarten, betroffene Personen, Risikoeinstufung und Verantwortliche enthalten. Erst mit dieser Übersicht lassen sich Schulungen, Verträge und Kontrollen sinnvoll priorisieren.