Auf den Punkt: Der EU AI Act gilt seit dem 1. August 2024 und greift gestaffelt. Die Verbote besonders riskanter Systeme und die Pflicht zur KI-Kompetenz wirken bereits seit dem 2. Februar 2025, die Regeln für allgemeine KI-Modelle seit dem 2. August 2025. Die umfassenden Pflichten für Hochrisiko-KI waren ursprünglich für den 2. August 2026 vorgesehen – mit dem sogenannten Digital Omnibus zeichnet sich hier 2026 eine Verschiebung ab. Wer KI anbietet oder im Unternehmen nutzt, sollte die eigene Rolle und Risikoklasse jetzt sauber bestimmen, statt auf das letzte Inkrafttreten zu warten.
Die KI-Verordnung – offiziell Verordnung (EU) 2024/1689 – ist das weltweit erste umfassende Gesetz zur Regulierung künstlicher Intelligenz. Sie verfolgt einen risikobasierten Ansatz: Je größer das Risiko eines KI-Systems für Grundrechte, Gesundheit oder Sicherheit, desto strenger die Pflichten. Anders als die DSGVO knüpft der AI Act nicht primär an personenbezogene Daten an, sondern an die Funktion und den Einsatzzweck des Systems. Für Unternehmen heißt das: Auch eine KI ohne offensichtlichen Personenbezug kann reguliert sein.
Die vier Risikoklassen des AI Act
Der AI Act teilt KI-Systeme in vier Stufen ein. Die Einordnung entscheidet darüber, welche Pflichten Sie überhaupt treffen – und ist deshalb der erste Schritt jeder Bestandsaufnahme.
- Unannehmbares Risiko (verboten): Praktiken wie Social Scoring durch Behörden, manipulatives Verhalten oder bestimmte Formen biometrischer Echtzeit-Überwachung sind nach Artikel 5 untersagt. Diese Verbote gelten bereits.
- Hohes Risiko: KI in sensiblen Bereichen – etwa Personalauswahl, Kreditvergabe, kritische Infrastruktur, Bildung oder als Sicherheitsbauteil regulierter Produkte. Hier greifen die strengsten Pflichten: Risikomanagement, Daten-Governance, technische Dokumentation, menschliche Aufsicht und Konformitätsbewertung.
- Begrenztes Risiko (Transparenz): Chatbots, Deepfakes und KI-generierte Inhalte müssen als solche gekennzeichnet werden, damit Menschen wissen, dass sie mit einer Maschine interagieren oder synthetische Inhalte sehen.
- Minimales Risiko: Der Großteil heutiger Anwendungen – etwa Spamfilter oder KI in Videospielen. Hier bestehen keine besonderen gesetzlichen Pflichten, freiwillige Verhaltenskodizes werden aber empfohlen.
Anbieter oder Betreiber? Warum Ihre Rolle alles entscheidet
Der AI Act unterscheidet streng zwischen Anbietern (engl. „provider“) und Betreibern bzw. Nutzern (engl. „deployer“). Ein Anbieter entwickelt ein KI-System oder lässt es entwickeln und bringt es unter eigenem Namen auf den Markt. Ihn trifft das volle Pflichtenprogramm. Ein Betreiber setzt ein fremdes System unter seiner Verantwortung ein – seine Pflichten sind geringer, aber keineswegs null.
Wichtig: Die Rolle kann kippen. Wer ein zugekauftes KI-System wesentlich verändert, es für einen anderen Zweck einsetzt als vorgesehen oder unter eigenem Namen vertreibt, kann selbst zum Anbieter werden – mit allen Anbieterpflichten. Gerade Unternehmen, die KI in eigene Produkte integrieren oder per Feintuning anpassen, sollten diese Grenze genau prüfen.
Nahtlose KI-Integration
Implementieren Sie KI in Ihre bestehenden Systeme. Wir sorgen für eine reibungslose Integration und schnelle Resultate.
Gratis Integrations-Check:
Pflichten im Überblick: Was Anbieter und Nutzer leisten müssen
Für Hochrisiko-Systeme verlangt der AI Act vom Anbieter unter anderem ein Risikomanagementsystem über den gesamten Lebenszyklus, hochwertige Trainings- und Testdaten, eine technische Dokumentation, automatische Protokollierung, Transparenz gegenüber den Betreibern, die Möglichkeit menschlicher Aufsicht sowie ein angemessenes Maß an Genauigkeit und Cybersicherheit. Vor dem Inverkehrbringen steht eine Konformitätsbewertung, danach die CE-Kennzeichnung.
Der Betreiber muss das System gemäß Gebrauchsanweisung einsetzen, die menschliche Aufsicht sicherstellen, die Eingabedaten im Rahmen seiner Kontrolle prüfen, die Protokolle aufbewahren und betroffene Personen informieren, wenn über sie Entscheidungen mit Hilfe von Hochrisiko-KI getroffen werden. Eine Pflicht trifft praktisch jedes Unternehmen unabhängig von der Risikoklasse: die KI-Kompetenz nach Artikel 4. Wer KI einsetzt, muss dafür sorgen, dass die damit befassten Mitarbeitenden über ein ausreichendes Verständnis verfügen.
Für Systeme mit begrenztem Risiko stehen die Transparenzpflichten im Vordergrund. Bietet Ihr Unternehmen einen Kundenchatbot an, müssen Nutzerinnen und Nutzer erkennen können, dass sie mit einem KI-System sprechen. Wer Bilder, Texte, Audio oder Video mit generativer KI erstellt, muss diese maschinenlesbar als künstlich erzeugt markieren – bei sogenannten Deepfakes zusätzlich offen erkennbar. Diese Kennzeichnungspflichten sind technisch oft schnell umzusetzen, werden in der Praxis aber häufig übersehen, weil Unternehmen den Fokus allein auf die Hochrisiko-Frage legen.
Anbieter und Betreiber treffen außerdem gemeinsame Sorgfaltspflichten: Treten bei einem Hochrisiko-System schwerwiegende Vorfälle auf oder zeigt sich ein Risiko für Grundrechte, sind diese zu melden. Eine saubere Zuständigkeitsverteilung zwischen Anbieter und Betreiber – am besten vertraglich geregelt – verhindert, dass am Ende niemand für die Meldung verantwortlich ist.
Die Fristen 2026 – und was der Digital Omnibus daran ändert
Der AI Act gilt nicht auf einen Schlag, sondern in Stufen. Die folgende Übersicht zeigt den Stand, wie er aus der Verordnung selbst und den jüngsten Beschlüssen der EU folgt.
| Datum | Was gilt |
|---|---|
| 1. August 2024 | Inkrafttreten der Verordnung (EU) 2024/1689 |
| 2. Februar 2025 | Verbote nach Art. 5 + Pflicht zur KI-Kompetenz (Art. 4) gelten |
| 2. August 2025 | Pflichten für allgemeine KI-Modelle (GPAI) gelten |
| ursprünglich 2. August 2026 | Vollständige Anwendbarkeit, u. a. Hochrisiko-Systeme nach Anhang III |
| neu: 2. Dezember 2027 | Hochrisiko-Systeme nach Anhang III (laut Digital-Omnibus-Einigung) |
| neu: 2. August 2028 | Hochrisiko-KI in regulierten Produkten nach Anhang I |
Hintergrund: Die EU-Kommission hat am 19. November 2025 mit dem „Digital Omnibus on AI“ vorgeschlagen, die Hochrisiko-Fristen nach hinten zu schieben. Rat und Parlament erzielten am 7. Mai 2026 eine vorläufige Einigung, die statt vom Fortschritt der Normung von festen Daten ausgeht: Anhang-III-Systeme sollen ab dem 2. Dezember 2027, Anhang-I-Systeme ab dem 2. August 2028 verpflichtend sein. Diese Einigung ist allerdings noch vorläufig – sie muss von beiden Institutionen formal bestätigt und im Amtsblatt veröffentlicht werden, bevor sie endgültig gilt. Solange das nicht geschehen ist, bleibt der ursprüngliche Zeitplan die rechtssichere Planungsgrundlage. Verlassen Sie sich nicht darauf, dass die Verschiebung am Ende exakt so kommt.
Was Sie jetzt konkret tun sollten
Unabhängig vom genauen Stichtag lohnt sich der Start jetzt – die Bestandsaufnahme dauert in der Praxis länger als gedacht. Diese Schritte bringen Sie auf einen belastbaren Stand:
KI-gestützte Datenanalyse
Nutzen Sie die Kraft Ihrer Daten. Mit unseren KI-Analysetools gewinnen Sie wertvolle Insights für fundierte Geschäftsentscheidungen.
Kostenlose Datenanalyse:
- Inventarisieren: Erfassen Sie alle KI-Systeme, die im Unternehmen genutzt oder angeboten werden – inklusive der KI-Funktionen in Standardsoftware.
- Rolle klären: Bestimmen Sie pro System, ob Sie Anbieter oder Betreiber sind.
- Risikoklasse einordnen: Prüfen Sie anhand von Anhang III, ob ein System als Hochrisiko gilt.
- KI-Kompetenz aufbauen: Schulen Sie Mitarbeitende, die KI einsetzen – diese Pflicht gilt bereits.
- Transparenz herstellen: Kennzeichnen Sie Chatbots und KI-generierte Inhalte.
- Dokumentieren: Halten Sie Zweck, Datengrundlage und Verantwortlichkeiten schriftlich fest.
Weil sich AI Act und Datenschutzrecht überschneiden, ist eine integrierte Betrachtung sinnvoll. Eine spezialisierte AI-Act-Beratung hilft dabei, die eigene Rolle korrekt zu bestimmen, die Risikoklassen sauber einzuordnen und die Pflichten in eine umsetzbare Roadmap zu übersetzen – ohne in Übererfüllung zu verfallen.
FAQ
Gilt der EU AI Act auch für kleine Unternehmen?
Ja. Der AI Act knüpft an die Funktion des KI-Systems an, nicht an die Unternehmensgröße. Für kleine und mittlere Unternehmen gibt es einzelne Erleichterungen, etwa vereinfachte Dokumentation – grundsätzlich gelten die Pflichten aber für jeden, der KI anbietet oder einsetzt.
Sind die Hochrisiko-Fristen jetzt verschoben oder nicht?
Die Verschiebung auf den 2. Dezember 2027 (Anhang III) bzw. 2. August 2028 (Anhang I) beruht auf einer vorläufigen Einigung von Rat und Parlament vom 7. Mai 2026. Endgültig gilt sie erst nach formaler Bestätigung und Veröffentlichung im Amtsblatt. Planen Sie konservativ.
Was bedeutet die Pflicht zur KI-Kompetenz nach Artikel 4 konkret?
Unternehmen müssen sicherstellen, dass Personen, die in ihrem Auftrag KI einsetzen, über ausreichendes Wissen verfügen, um Möglichkeiten und Risiken einzuschätzen. In der Regel geschieht das durch interne Schulungen und klare Nutzungsregeln. Diese Pflicht gilt seit dem 2. Februar 2025.
Worin unterscheiden sich AI Act und DSGVO?
Die DSGVO schützt personenbezogene Daten, der AI Act reguliert KI-Systeme nach ihrem Risiko – auch ohne Personenbezug. Beide gelten parallel: Wer eine KI mit personenbezogenen Daten betreibt, muss beide Regelwerke erfüllen.
Fazit
Der EU AI Act ist 2026 keine ferne Drohkulisse mehr, sondern teilweise geltendes Recht. Verbote, KI-Kompetenz und die Regeln für allgemeine KI-Modelle wirken bereits. Bei den Hochrisiko-Pflichten verschafft der Digital Omnibus voraussichtlich etwas Luft – verlässlich ist die Verschiebung aber erst, wenn sie formal beschlossen und veröffentlicht ist. Wer jetzt seine KI-Systeme inventarisiert, die eigene Rolle klärt und die Risikoklassen bestimmt, schafft die Grundlage für eine ruhige Umsetzung statt eines Last-Minute-Kraftakts. Der Aufwand zahlt sich doppelt aus: rechtliche Sicherheit und ein KI-Einsatz, dem Kunden und Mitarbeitende vertrauen.
