EU AI Act: Was Unternehmen jetzt wissen müssen

Was regelt der EU AI Act?

Der EU AI Act, offiziell die Verordnung (EU) 2024/1689, legt einheitliche Regeln für Entwicklung, Vertrieb und Einsatz von KI-Systemen in der EU fest. Je höher das Risiko einer Anwendung für Gesundheit, Sicherheit und Grundrechte, desto strenger die Pflichten.

Die Verordnung richtet sich nicht nur an Technologiekonzerne. Sie unterscheidet mehrere Rollen:

• Anbieter entwickeln ein KI-System oder lassen es entwickeln und bringen es unter eigenem Namen auf den Markt.
• Betreiber setzen ein KI-System in eigener Verantwortung beruflich ein. Ausgenommen ist nur die rein private, nicht berufliche Nutzung.
• Einführer und Händler bringen KI-Systeme aus Drittstaaten in die EU oder vertreiben sie weiter.

Die meisten mittelständischen Unternehmen, Kanzleien und Handwerksbetriebe sind Betreiber: Sie nutzen Werkzeuge wie ChatGPT, Microsoft Copilot oder eine KI-Funktion in ihrer Buchhaltungssoftware. Wer dagegen eine eigene KI-Anwendung baut und Kunden anbietet, kann zusätzlich Anbieter sein.

Welche Risikostufen unterscheidet der AI Act?

Der AI Act teilt KI-Anwendungen in vier Gruppen ein: verbotene Praktiken, Hochrisiko-Systeme, Systeme mit Transparenzpflichten und alle übrigen Anwendungen. Für die große Mehrheit der Anwendungen im Büroalltag gelten nur die allgemeinen Pflichten.

Hinzu kommen eigene Regeln für KI-Modelle mit allgemeinem Verwendungszweck, also große Sprachmodelle wie GPT oder Gemini. Diese Pflichten treffen die Modellanbieter, nicht die Unternehmen, die ein solches Modell nur nutzen.

Was müssen normale Unternehmen konkret tun?

Ein Unternehmen, das KI nur nutzt und keine Hochrisiko-Anwendung betreibt, hat im Kern drei Aufgaben: die KI-Kompetenz der Beschäftigten fördern, die Kennzeichnungspflichten beachten und sicherstellen, dass keine verbotene Praktik eingesetzt wird. Eine Registrierung oder Zertifizierung ist dafür nicht nötig.

### 1. KI-Kompetenz nach Artikel 4 Seit dem 2. Februar 2025 müssen Anbieter und Betreiber Maßnahmen zur KI-Kompetenz ihres Personals ergreifen. Durch den Digital Omnibus wurde die Formulierung im Juli 2026 abgeschwächt: Unternehmen müssen die Entwicklung der Kompetenz unterstützen, aber kein bestimmtes Niveau garantieren. Details stehen im Ratgeber KI-Kompetenzpflicht nach Artikel 4.

### 2. Transparenz nach Artikel 50 Seit dem 2. August 2026 gelten die Transparenzpflichten. Betreiber müssen Deepfakes offenlegen und KI-Texte kennzeichnen, die die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informieren, sofern niemand redaktionell geprüft hat. Anbieter von Chatbots müssen dafür sorgen, dass Nutzer erkennen, dass sie mit einer KI sprechen. Mehr dazu im Ratgeber zur Kennzeichnungspflicht für KI-Inhalte.

### 3. Verbotene Praktiken ausschließen Die Verbote gelten seit dem 2. Februar 2025. Im Büroalltag sind sie selten berührt. Relevant kann aber zum Beispiel ein Werkzeug sein, das Emotionen von Beschäftigten in Videocalls auswertet; das ist am Arbeitsplatz verboten, außer aus medizinischen oder Sicherheitsgründen.

### Prüfen, ob doch ein Hochrisiko-Fall vorliegt Anhang III der Verordnung listet Bereiche, in denen KI als hochriskant gilt. Für Unternehmen ist vor allem der Personalbereich wichtig: KI, die Bewerbungen filtert, Bewerber bewertet oder über Beförderungen und Kündigungen mitentscheidet, fällt darunter. Wer solche Werkzeuge einsetzt, sollte die Pflichten für Betreiber nach Artikel 26 rechtzeitig vor Dezember 2027 vorbereiten.

Ab wann gelten welche Pflichten?

Der AI Act gilt gestaffelt. Die Verbote und die KI-Kompetenz gelten seit Februar 2025, die Transparenzpflichten seit August 2026. Die Hochrisiko-Pflichten wurden durch den Digital Omnibus auf den 2. Dezember 2027 und den 2. August 2028 verschoben.

Was hat der Digital Omnibus am AI Act geändert?

Mit der Verordnung (EU) 2026/1744, dem Digital Omnibus zur KI, hat die EU den AI Act im Juli 2026 vereinfacht. Die Verordnung wurde am 24. Juli 2026 im Amtsblatt veröffentlicht und gilt seit dem 27. Juli 2026.

Die für Unternehmen wichtigsten Änderungen:

• Hochrisiko-Fristen verschoben: von August 2026 auf den 2. Dezember 2027 (Anhang III) und von August 2027 auf den 2. August 2028 (Anhang I). Begründet wird das mit fehlenden Normen und noch nicht eingerichteten Behörden.
• KI-Kompetenz neu gefasst: Artikel 4 verlangt nun, die Entwicklung der KI-Kompetenz zu unterstützen. Ein bestimmtes Niveau muss nicht garantiert werden. Kommission und Mitgliedstaaten sollen besonders kleine und mittlere Unternehmen unterstützen.
• Neue Verbote: KI-Systeme, die ohne ausdrückliche Einwilligung intime Darstellungen realer Personen oder Darstellungen sexuellen Kindesmissbrauchs erzeugen, sind ab dem 2. Dezember 2026 verboten.
• Übergang für KI-Markierung: Anbieter generativer KI, deren Systeme schon vor dem 2. August 2026 auf dem Markt waren, haben bis zum 2. Dezember 2026 Zeit für die maschinenlesbare Markierung nach Artikel 50 Absatz 2.
• Erleichterungen bei Bußgeldern: Für kleine Midcap-Unternehmen gilt künftig wie für KMU der jeweils niedrigere Bußgeldbetrag.

Die Transparenzpflichten selbst wurden nicht verschoben. Sie gelten seit dem 2. August 2026.

Welche Bußgelder drohen bei Verstößen?

Verstöße gegen die Verbote können mit bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes geahndet werden, Verstöße gegen die Transparenzpflichten mit bis zu 15 Millionen Euro oder 3 Prozent. Für KMU gilt jeweils der niedrigere der beiden Beträge.

Die Höchstbeträge stehen in Artikel 99 der Verordnung. Die konkreten Sanktionen legen die Mitgliedstaaten fest; dabei sollen sie Art, Schwere und Dauer des Verstoßes sowie die wirtschaftliche Lage kleiner Unternehmen berücksichtigen. Für einen fehlenden Kompetenznachweis nach Artikel 4 nennt Artikel 99 keinen eigenen Bußgeldrahmen. Mangelnde Schulung kann aber im Schadensfall als Verletzung der Sorgfaltspflicht gewertet werden.

Wer ist in Deutschland zuständig?

Zentrale Aufsicht ist seit dem 29. Juli 2026 die Bundesnetzagentur. Grundlage ist das KI-Marktüberwachungsgesetz, mit dem Deutschland die Behördenstruktur für den AI Act festgelegt hat.

Laut Pressemitteilung der Bundesnetzagentur ist sie Marktüberwachungsbehörde, Anlaufstelle und Beschwerdestelle. In bestimmten Bereichen bleiben etablierte Behörden wie die BaFin zuständig. Für Fragen bietet der KI-Service Desk der Bundesnetzagentur Informationen und einen kostenlosen KI-Compliance Kompass, mit dem sich die eigene Einordnung vorprüfen lässt. Auf EU-Ebene beantwortet der AI Act Service Desk der Kommission Fragen und zeigt den konsolidierten Text.

Wie fangen Unternehmen am besten an?

Am Anfang steht eine Liste aller KI-Werkzeuge, die im Unternehmen genutzt werden, mit Zweck und Nutzerkreis. Daraus ergibt sich, welche Pflichten greifen und wo Schulung, Kennzeichnung oder eine genauere Prüfung nötig ist.

1. KI-Inventar anlegen: Welche Werkzeuge, wer nutzt sie, wofür, mit welchen Daten?
2. Einordnen: Ist eine Anwendung verboten, hochriskant oder nur transparenzpflichtig?
3. KI-Kompetenz aufbauen: kurze Einweisung je Werkzeug, Nutzungsregeln, Dokumentation.
4. Kennzeichnung regeln: Wer veröffentlicht KI-Bilder, Videos oder Texte, und wie wird gekennzeichnet?
5. Datenschutz prüfen: Der AI Act ersetzt nicht die DSGVO. Für personenbezogene Daten gelten weiter Auftragsverarbeitung, Rechtsgrundlage und Informationspflichten.

Wer KI für Abläufe wie Belegverarbeitung oder Mail-Sortierung einsetzen will, findet unter KI-Automatisierung Beispiele, wie solche Prozesse mit menschlicher Kontrolle aufgebaut werden. Weitere Rechtsthemen sammelt die Übersicht Recht und Förderung.