Der EU AI Act: Was Ihr Unternehmen jetzt wissen und tun muss

Ziel

Nach diesem Artikel können Sie einschätzen, welche Pflichten des EU AI Act Ihr Unternehmen tatsächlich treffen, bis wann sie gelten und womit Sie die Umsetzung beginnen. Sie kennen die drei Punkte, die praktisch jeden KI-Einsatz betreffen — und die vielen, die es nicht tun.

Der Artikel richtet sich an Verantwortliche in kleinen und mittleren Unternehmen, die KI einsetzen und nicht selbst entwickeln. Für diese Rolle ist der AI Act deutlich schlanker, als sein Umfang von 113 Artikeln vermuten lässt.

Voraussetzungen

Sie brauchen kein juristisches Vorwissen. Hilfreich ist eine grobe Vorstellung davon, welche KI-Werkzeuge in Ihrem Unternehmen im Einsatz sind — Chatassistenten, Übersetzungstools, Bewerbersoftware, Funktionen in bestehenden Programmen.

Worum es geht

Der AI Act (Verordnung (EU) 2024/1689) ist das Regelwerk der EU für den Einsatz künstlicher Intelligenz. Er gilt seit dem 1. August 2024 und wird stufenweise wirksam.

Sein Grundgedanke ist einfach: Nicht jede KI wird gleich behandelt. Ein Spamfilter ist etwas anderes als ein System, das über Kreditvergaben mitentscheidet. Die Verordnung sortiert KI-Systeme nach ihrem Risiko und knüpft die Pflichten daran. Vier Stufen gibt es: verboten, hochriskant, mit Transparenzpflicht, minimal. Für die allermeisten Anwendungen im Mittelstand gilt die unterste Stufe — und damit fast keine Pflichten.

Der aktuelle Stand: August 2026

Bevor wir in die Pflichten gehen, ein wichtiger Hinweis zur Aktualität. Zwei Dinge sind seit Sommer 2026 anders, als die meisten Ratgeber im Netz es beschreiben:

• Die KI-Omnibus-Verordnung (EU) 2026/1744 ist am 27. Juli 2026 in Kraft getreten. Sie verschiebt die Pflichten für Hochrisiko-Systeme deutlich nach hinten und lockert einzelne Formulierungen.
• Die Transparenzpflichten aus Artikel 50 sind davon nicht betroffen. Sie gelten unverändert ab dem 2. August 2026 — das ist der Termin, der aktuell zählt.

Schritt 1: Klären Sie Ihre Rolle

Der AI Act knüpft Pflichten nicht an Unternehmen, sondern an Rollen — und zwar für jedes KI-System einzeln:

• Anbieter — wer ein System entwickelt oder unter eigenem Namen in Verkehr bringt. Trägt den Großteil der Pflichten.
• Betreiber — wer ein System im eigenen Verantwortungsbereich einsetzt. Das ist die Rolle der allermeisten KMU.
• Einführer und Händler — wer Systeme aus Drittstaaten auf den EU-Markt bringt bzw. weitergibt.

Ein Unternehmen kann für verschiedene Systeme verschiedene Rollen haben: Betreiber beim eingekauften Office-Assistenten, Anbieter beim selbst gebauten Kundenchatbot.

Achtung: Die Rolle kippt schneller als gedacht. Wer ein zugekauftes System unter eigenem Namen anbietet, es wesentlich verändert oder für einen anderen Zweck einsetzt als vom Hersteller vorgesehen, wird zum Anbieter — mit allen Pflichten.

Schritt 2: Schließen Sie verbotene Praktiken aus

Acht Anwendungen sind seit Februar 2025 untersagt (Artikel 5). Für Unternehmen praktisch relevant sind vor allem drei:

• Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen — außer aus medizinischen oder Sicherheitsgründen. Betrifft etwa Software, die Stimmung in Bewerbungs- oder Verkaufsgesprächen auswertet.
• Biometrische Kategorisierung nach sensiblen Merkmalen wie ethnischer Herkunft, politischer Meinung oder religiöser Überzeugung.
• Ungezieltes Auslesen von Gesichtsbildern aus dem Internet oder aus Videoüberwachung zum Aufbau von Datenbanken.

Der KI-Omnibus hat die Liste erweitert: Die Erzeugung von Darstellungen sexuellen Kindesmissbrauchs und von nicht einvernehmlichen sexualisierten Inhalten ist ausdrücklich verboten.

Die meisten Unternehmen sind hier nicht betroffen — ein kurzer, dokumentierter Abgleich lohnt sich trotzdem.

Schritt 3: Bauen Sie KI-Kompetenz auf (Artikel 4)

Artikel 4 verlangt, dass Anbieter und Betreiber für ausreichende KI-Kompetenz bei allen Personen sorgen, die in ihrem Auftrag mit KI-Systemen arbeiten. Der KI-Omnibus hat die Formulierung entschärft: Statt Kompetenz sicherzustellen, müssen Unternehmen ihren Aufbau nun fördern — ein bestimmtes Niveau für eine bestimmte Person muss niemand garantieren.

Was das nicht bedeutet: dass die Pflicht entfallen wäre. Sie gilt seit dem 2. Februar 2025, sie gilt unabhängig von der Risikoklasse — und sie ist damit die einzige Pflicht, die praktisch jedes Unternehmen mit KI-Einsatz trifft.

Verlangt sind angemessene Maßnahmen, gemessen am tatsächlichen Einsatz und an den Vorkenntnissen der Beteiligten:

1. Schulung oder Einweisung für alle, die mit KI arbeiten
2. Verständliche interne Regeln, was erlaubt ist und was nicht
3. Dokumentation: Datum, Teilnehmerkreis, Inhalt

Der dritte Punkt wird am häufigsten vergessen. Artikel 4 verlangt Maßnahmen — und Maßnahmen muss man im Zweifel zeigen können.

Schritt 4: Setzen Sie Transparenz um (Artikel 50)

Das ist die Pflicht mit dem nächsten Stichtag: 2. August 2026. Artikel 50 verlangt, dass Menschen erkennen können, wenn sie es mit KI zu tun haben.

Pflicht	Wen trifft sie	Was ist zu tun
Interaktion mit KI	Anbieter	Menschen müssen erkennen, dass sie mit einem KI-System sprechen — Ausnahme: es ist offensichtlich
Synthetische Inhalte	Anbieter	Ausgaben maschinenlesbar als KI-generiert markieren
Deepfakes	Betreiber	Offenlegen, dass Bild, Ton oder Video künstlich erzeugt oder manipuliert wurde
Texte zu öffentlichem Interesse	Betreiber	KI-generierte Texte kennzeichnen — außer bei redaktioneller Kontrolle durch einen Menschen
Emotionserkennung, biometrische Kategorisierung	Betreiber	Betroffene informieren

Für generative Systeme, die bereits vor dem 2. August 2026 auf dem Markt waren, gilt für die maschinenlesbare Markierung eine Übergangsfrist bis zum 2. Dezember 2026.

Für ein typisches KMU heißt das konkret: Chatbot auf der Website mit einem klaren Hinweis versehen, KI-generierte Bilder in Marketingmaterial kennzeichnen, und intern festlegen, wer das prüft.

Schritt 5: Prüfen Sie, ob Hochrisiko Sie betrifft

Hochriskant sind Systeme in sensiblen Anwendungsfeldern (Anhang III) sowie KI als Sicherheitsbauteil regulierter Produkte (Anhang I). Die Fristen liegen jetzt beim 2. Dezember 2027 bzw. 2. August 2028.

Mittelständler berühren Anhang III häufiger, als sie annehmen — vor allem bei:

• Personalauswahl und Personalverwaltung: Software, die Bewerbungen vorsortiert, Lebensläufe bewertet oder Leistung und Beförderung mitbestimmt
• Kreditwürdigkeit und Versicherungstarifierung
• Kritische Infrastruktur, Bildung, Zugang zu Sozialleistungen

Als Betreiber eines Hochrisiko-Systems sind die Pflichten überschaubar, aber real: Einsatz gemäß Anleitung, menschliche Aufsicht durch kompetente Personen, Aufbewahrung der Protokolle, Information der betroffenen Beschäftigten. Die schwere Last — Konformitätsbewertung, technische Dokumentation, CE-Kennzeichnung — liegt beim Anbieter.

Hinweis: Die zusätzliche Zeit ist Vorbereitungszeit, keine Pause. Wer heute eine HR-Software auswählt, sollte vertraglich absichern, dass der Anbieter bis Dezember 2027 konform ist — nachträglich lässt sich das kaum durchsetzen.

Schritt 6: Achten Sie bei der Anbieterauswahl auf Dokumentation

Für Anbieter von Universalmodellen (englisch General Purpose AI, kurz GPAI — die großen Sprachmodelle hinter den bekannten Chatassistenten) gelten seit August 2025 eigene Pflichten: technische Dokumentation, Zusammenfassung der Trainingsdaten, Urheberrechts-Policy, bei besonders leistungsfähigen Modellen zusätzlich eine Risikobewertung. Ab dem 2. August 2026 sind diese Pflichten sanktionsbewehrt.

Für Sie als Anwender ist das mittelbar relevant: Ein Anbieter, der diese Unterlagen vorlegen kann, erspart Ihnen später die Beweisführung. Ein Anbieter ohne EU-Vertretung und ohne Dokumentation verlagert das Risiko zu Ihnen.

Was ein Verstoß kostet

Die Obergrenzen staffeln sich nach Schwere — jeweils der höhere Betrag aus Festbetrag und Umsatzanteil:

• Verbotene Praktiken: bis 35 Mio. € oder 7 % des weltweiten Jahresumsatzes
• Verstöße gegen sonstige Pflichten (Anbieter, Betreiber, Transparenz): bis 15 Mio. € oder 3 %
• Falsche oder unvollständige Angaben gegenüber Behörden: bis 7,5 Mio. € oder 1 %

Für KMU und Start-ups gilt jeweils der niedrigere der beiden Werte — die Prozentgrenze wirkt hier als Deckel, nicht als Aufschlag. Das Europäische KI-Büro hat mit dem Omnibus erweiterte Aufsichtsbefugnisse erhalten, einschließlich Zwangsgeldern bei fortdauernden Verstößen.

Drei verbreitete Missverständnisse

• „Verschoben heißt erledigt." Verschoben wurde ausschließlich das Kapitel zu Hochrisiko-Systemen. Verbote, KI-Kompetenz und Transparenz gelten unverändert.
• „Wir nutzen nur einen Chatassistenten, uns betrifft das nicht." Die Kompetenzpflicht greift ab dem ersten Einsatz, unabhängig von der Risikoklasse. Und sobald KI-Ausgaben nach außen gehen, kommt Artikel 50 hinzu.
• „Der AI Act ersetzt die DSGVO." Er tritt daneben. Wer personenbezogene Daten in KI-Systeme gibt, braucht weiterhin eine Rechtsgrundlage, oft eine Datenschutz-Folgenabschätzung und einen Auftragsverarbeitungsvertrag.

Zusammenfassung

• Drei Pflichten betreffen fast jeden: keine verbotenen Praktiken (seit 02/2025), KI-Kompetenz fördern und dokumentieren (seit 02/2025), Transparenz herstellen (ab 08/2026).
• Alles Weitere hängt an Rolle und Risikoklasse. Als Betreiber einfacher Anwendungen ist Ihr Aufwand klein; als Anbieter oder bei Hochrisiko-Systemen wird er erheblich.
• Der erste praktische Schritt ist eine KI-Inventur: Welche Systeme sind bei uns im Einsatz — auch die, die einzelne Abteilungen auf eigene Faust eingeführt haben? Erst danach lässt sich sinnvoll klassifizieren und priorisieren.

Hinweis: Dieser Artikel gibt den Stand vom August 2026 wieder und ersetzt keine Rechtsberatung. Bei Hochrisiko-Anwendungen und in regulierten Branchen sollten Sie die Einordnung juristisch prüfen lassen.