Rechner
AI-Act-Checkliste: Welche Pflichten betreffen Ihr Unternehmen?
Kurz erklärt
Zwölf Ja-Nein-Fragen ordnen Ihren KI-Einsatz den Pflichten der europäischen KI-Verordnung zu, von der KI-Kompetenz nach Artikel 4 über die Kennzeichnung nach Artikel 50 bis zu Hochrisiko-Anwendungen. Jede Pflicht nennt Artikel, Geltungsbeginn und was zu tun ist. Die Checkliste ist eine Orientierung und keine Rechtsberatung.
Beantworten Sie die Fragen mit Ja, Nein oder „Weiß nicht“. Das Ergebnis erscheint sofort darunter und lässt sich als Text kopieren oder drucken. Ihre Antworten werden weder gespeichert noch übertragen.
Für wen gilt der AI Act?
Für alle, die KI-Systeme in der EU anbieten oder beruflich nutzen, unabhängig von der Unternehmensgröße. Die Verordnung unterscheidet vor allem Anbieter, die ein KI-System entwickeln oder unter eigenem Namen anbieten, und Betreiber, die es in eigener Verantwortung beruflich einsetzen. Rein private Nutzung fällt nicht darunter.
Die meisten kleinen Unternehmen sind Betreiber: Sie nutzen ChatGPT, Copilot oder KI-Funktionen in ihrer Software. Für Betreiber sind die Pflichten überschaubar, solange sie KI nicht in Hochrisiko-Bereichen wie der Personalauswahl einsetzen. Wer einen eigenen Chatbot auf Basis einer fremden KI-Schnittstelle unter eigenem Namen anbietet, wird dagegen in der Regel selbst Anbieter.
Ab wann gelten welche Pflichten?
Die KI-Verordnung gilt seit dem 1. August 2024 und wird schrittweise wirksam. Verbote und KI-Kompetenz gelten seit Februar 2025, die Transparenzpflichten seit August 2026, die Pflichten für Hochrisiko-KI nach Anhang III ab Dezember 2027.
| Datum | Was gilt | Artikel |
|---|---|---|
| 2. Februar 2025 | Verbotene Praktiken, KI-Kompetenz | Art. 5, Art. 4 |
| 2. August 2025 | Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck, Sanktionen | Art. 53 ff., Art. 99 |
| 2. August 2026 | Transparenzpflichten (Chatbots, Kennzeichnung, Deepfakes) | Art. 50 |
| 2. Dezember 2026 | Ende der Übergangsfrist für maschinenlesbare Kennzeichnung bei Bestandssystemen; neue Verbote für nicht einvernehmliche intime Inhalte und Missbrauchsdarstellungen | Art. 50 Abs. 2, Art. 5 |
| 2. Dezember 2027 | Hochrisiko-KI nach Anhang III (z. B. Personal, Bildung, Kredit) | Art. 6 Abs. 2, Art. 26 |
| 2. August 2028 | Hochrisiko-KI in Produkten nach Anhang I | Art. 6 Abs. 1 |
Die Termine ab Dezember 2026 beruhen auf der Änderungsverordnung (EU) 2026/1744, die am 27. Juli 2026 in Kraft getreten ist.
Was hat sich 2026 durch den „Digital Omnibus“ geändert?
Die EU hat die KI-Verordnung 2026 mit der Verordnung (EU) 2026/1744 angepasst. Für kleine Unternehmen zählen drei Punkte: Hochrisiko-Pflichten kommen später, die Pflicht zur KI-Kompetenz ist weicher formuliert, und Artikel 50 gilt unverändert ab August 2026.
- Hochrisiko-KI: Die Pflichten für eigenständige Systeme nach Anhang III gelten ab 2. Dezember 2027 statt ab August 2026.
- KI-Kompetenz: Artikel 4 verlangt weiterhin Maßnahmen, aber kein bestimmtes, garantiertes Kompetenzniveau jeder einzelnen Person. Kommission und Mitgliedstaaten sollen die Unternehmen dabei unterstützen.
- Erleichterungen: Vereinfachungen für kleine und mittlere Unternehmen gelten jetzt auch für kleine Unternehmen mittlerer Kapitalisierung.
- Neue Verbote: Ab 2. Dezember 2026 sind KI-Systeme verboten, die intime Darstellungen ohne Einwilligung oder Darstellungen sexuellen Kindesmissbrauchs erzeugen.
Wir haben die Änderungen aus Fachveröffentlichungen zusammengefasst. Maßgeblich ist der konsolidierte Text auf EUR-Lex.
Was bedeutet KI-Kompetenz nach Artikel 4 praktisch?
Wer KI im Unternehmen einsetzt, sorgt dafür, dass die Nutzer wissen, was das System kann, wo es Fehler macht und welche Regeln gelten. Die Verordnung schreibt weder Kursdauer noch Zertifikat vor. Entscheidend ist, dass die Maßnahmen zu Ihren Systemen und zum Wissen Ihrer Beschäftigten passen.
Ein schlanker Weg für kleine Unternehmen:
- Liste der genutzten KI-Werkzeuge und wofür sie eingesetzt werden
- Kurze interne Richtlinie: welche Daten in welche Werkzeuge dürfen, wer Ergebnisse prüft
- Einweisung der Nutzer zu Stärken, typischen Fehlern wie erfundenen Angaben und Datenschutz
- Dokumentation, wer wann eingewiesen wurde, und Wiederholung bei neuen Werkzeugen
Die Europäische Kommission beantwortet häufige Fragen zur KI-Kompetenz in einem eigenen Fragenkatalog, der unten verlinkt ist.
Bin ich Anbieter oder Betreiber?
Anbieter ist, wer ein KI-System entwickelt oder entwickeln lässt und es unter eigenem Namen in Verkehr bringt oder in Betrieb nimmt. Betreiber ist, wer ein KI-System in eigener Verantwortung beruflich nutzt. Ein Unternehmen kann beides zugleich sein, etwa wenn es intern ChatGPT nutzt und Kunden einen eigenen Chatbot anbietet.
Die Unterscheidung entscheidet über den Umfang der Pflichten. Anbieter von Hochrisiko-Systemen tragen die meisten Pflichten, Betreiber deutlich weniger. Wer ein fremdes Hochrisiko-System unter eigenem Namen anbietet oder wesentlich verändert, wird nach Artikel 25 selbst zum Anbieter.
Welche Fragen stellt die Checkliste und welche Pflicht folgt daraus?
Jede Antwort „Ja“ führt zu der Pflicht, die in der Tabelle daneben steht. „Weiß nicht“ markiert die Pflicht als „Prüfen“. Die Tabelle ist zugleich die vollständige Logik des Werkzeugs und funktioniert auch ohne JavaScript.
| Frage (Kurzform) | Folge | Artikel | Ab |
|---|---|---|---|
| Beruflicher Einsatz von KI-Werkzeugen | KI-Kompetenz sicherstellen | Art. 4 | 2. Februar 2025 |
| Eigenes KI-System oder eigener Chatbot unter eigenem Namen | Anbieterpflichten prüfen, KI-Kompetenz | Art. 3, 16 ff., 25, Art. 4 | je nach System |
| Personen sprechen direkt mit Ihrem KI-System | Hinweis auf KI-Interaktion | Art. 50 Abs. 1 | 2. August 2026 |
| Ihr System erzeugt Inhalte für andere | Maschinenlesbare Kennzeichnung | Art. 50 Abs. 2 | 2. August 2026 |
| Veröffentlichung von Deepfakes | Offenlegung | Art. 50 Abs. 4 | 2. August 2026 |
| KI-Texte zu öffentlichen Themen ohne redaktionelle Prüfung | Offenlegung | Art. 50 Abs. 4 | 2. August 2026 |
| KI im Personalbereich | Hochrisiko: Betreiberpflichten | Anhang III Nr. 4, Art. 26 | 2. Dezember 2027 |
| KI für Kreditwürdigkeit oder Lebens- und Krankenversicherung | Hochrisiko, Grundrechte-Folgenabschätzung | Anhang III Nr. 5, Art. 26, 27 | 2. Dezember 2027 |
| KI in Bildung und Prüfungen | Hochrisiko: Betreiberpflichten | Anhang III Nr. 3, Art. 26 | 2. Dezember 2027 |
| Emotionserkennung, biometrische Kategorisierung | Verbot am Arbeitsplatz und in der Bildung, sonst Informationspflicht | Art. 5, Art. 50 Abs. 3 | 2. Februar 2025 / 2. August 2026 |
| Social Scoring, Manipulation, Ausnutzen von Schwächen und Ähnliches | Verboten | Art. 5 | 2. Februar 2025 |
| Eigenes KI-Basismodell | Pflichten für Modellanbieter | Art. 53, 54 | 2. August 2025 |
Was kann die Checkliste nicht leisten?
Sie ersetzt keine rechtliche Prüfung und deckt nicht jede Sonderregel ab, etwa für Behörden, für Medizinprodukte oder für die Strafverfolgung. Auch andere Gesetze gelten neben dem AI Act weiter, vor allem die DSGVO, das Urheberrecht und im Personalbereich das Betriebsverfassungsgesetz.
Diese Seite ist keine Rechtsberatung. Bei Hochrisiko-Anwendungen, eigenen KI-Produkten oder Unsicherheit über die Einordnung lohnt sich eine anwaltliche Beratung.
### Quellen - Verordnung (EU) 2024/1689 (KI-Verordnung), EUR-Lex: eur-lex.europa.eu/eli/reg/2024/1689/oj/deu - Verordnung (EU) 2026/1744 zur Änderung der KI-Verordnung, EUR-Lex: eur-lex.europa.eu/eli/reg/2026/1744/oj/deu - Europäische Kommission, Fragen und Antworten zur KI-Kompetenz: digital-strategy.ec.europa.eu/en/faqs/ai-literacy-questions-answers - Europäische Kommission, Überblick zur KI-Verordnung: digital-strategy.ec.europa.eu/de/policies/regulatory-framework-ai
Häufige Fragen
Gilt der AI Act auch für kleine Unternehmen, die nur ChatGPT nutzen?
Ja, in begrenztem Umfang. Wer KI beruflich nutzt, ist Betreiber im Sinne der Verordnung. Für die meisten kleinen Unternehmen ergibt sich daraus vor allem die Pflicht nach Artikel 4, für ausreichende KI-Kompetenz der Beschäftigten zu sorgen.
Muss ich Mitarbeitende in KI schulen?
Artikel 4 verlangt Maßnahmen für ausreichende KI-Kompetenz der Personen, die in Ihrem Auftrag KI nutzen. Eine bestimmte Form, ein Zertifikat oder eine Prüfung schreibt die Verordnung nicht vor. Üblich sind eine Einweisung, eine interne Richtlinie und eine kurze Dokumentation.
Muss ich KI-generierte Texte auf meiner Website kennzeichnen?
Nicht generell. Artikel 50 verlangt die Offenlegung bei Deepfakes und bei KI-Texten, die die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informieren, wenn kein Mensch sie redaktionell prüft und verantwortet. Werbetexte, die Sie selbst prüfen und freigeben, fallen nicht darunter.
Was hat die Änderung durch den Digital Omnibus 2026 bewirkt?
Die Verordnung (EU) 2026/1744 hat unter anderem die Pflichten für Hochrisiko-KI nach Anhang III auf den 2. Dezember 2027 verschoben, den Wortlaut von Artikel 4 abgeschwächt und neue Verbote für bestimmte erzeugte Inhalte ergänzt. Artikel 50 gilt unverändert ab 2. August 2026.
Welche Bußgelder drohen?
Artikel 99 sieht bei verbotenen Praktiken bis zu 35 Mio. Euro oder 7 % des weltweiten Jahresumsatzes vor, bei vielen anderen Pflichten bis zu 15 Mio. Euro oder 3 %. Für kleine und mittlere Unternehmen gilt jeweils der niedrigere der beiden Beträge.
Ist die Checkliste eine Rechtsberatung?
Nein. Sie ordnet typische Fälle allgemein ein. Für Ihren Einzelfall wenden Sie sich an eine Anwaltskanzlei oder Ihren Datenschutzbeauftragten. Maßgeblich ist der Verordnungstext auf EUR-Lex.