[ regulierung × ki ]
Der EU AI Act: was er ist und was er für Ihr Unternehmen bedeutet.
14 MinutenRechtsstand August 2026
Seit dem 2. August 2026 gilt die KI-Verordnung im Grundsatz vollständig. Sechs Tage vorher hat die EU die schärfsten Fristen um bis zu 16 Monate verschoben. Was daraus für ein einzelnes Unternehmen folgt, hängt an genau zwei Fragen: wofür KI eingesetzt wird und in welcher Rolle.
[ in drei sätzen ]
Meist kein Hochrisiko
Textassistenz, Dokumentenverarbeitung, Terminplanung, Prognosen, Qualitätsprüfung: unterste Stufe, keine spezifischen Pflichten.
Ab sofort zu tun
Chatbots als solche kennzeichnen, KI-generierte Inhalte erkennbar machen, KI-Kompetenz nachweisbar aufbauen.
Zeit hat
Alles rund um Hochrisiko-Systeme. Das greift ab Dezember 2027 beziehungsweise August 2028.
[ einordnung ]
Eine Verordnung, kein deutsches Gesetz.
Der AI Act ist eine EU-Verordnung, keine Richtlinie und kein nationales Gesetz. Das ist kein juristisches Detail, sondern hat drei praktische Folgen.
Sie gilt unmittelbar.
Es braucht kein nationales Umsetzungsgesetz und es gibt keine zusätzliche Umsetzungsfrist. Die Termine stehen direkt in Art. 113 der Verordnung.
Sie gilt europaweit gleich.
Anders als bei einer Richtlinie entstehen keine 27 nationalen Varianten. Damit gibt es auch keinen Standortvorteil durch Verlagerung.
Nationale Gesetze regeln nur die Ausführung.
Das deutsche Durchführungsgesetz KI-MIG bestimmt Zuständigkeiten und Verfahren. Inhaltliche Pflichten entstehen dort nicht.
Wer auf ein deutsches KI-Gesetz wartet, um anzufangen, wartet vergeblich. Der Inhalt steht bereits fest.
[ geltungsbereich ]
Betrifft mich das überhaupt?
Wenn in Ihrer Organisation KI-Systeme beruflich eingesetzt werden: ja. Unabhängig von Branche, Rechtsform und Größe. Es gibt keine Schwelle, ab der die Verordnung erst greift. Erfasst sind Unternehmen jeder Art, Freiberufler, Vereine und öffentliche Stellen gleichermaßen.
Erfasst ist auch, wer KI nur einkauft und nutzt. Wer ChatGPT, Copilot oder ein KI-Modul in seiner Branchensoftware verwendet, ist Betreiber im Sinne der Verordnung.
Der Umfang der Pflichten unterscheidet sich allerdings dramatisch. Genau darum geht es in den folgenden Abschnitten.
[ risikostufen ]
Vier Stufen, sehr unterschiedliche Folgen.
Entscheidend ist die Rolle.
Wer KI einkauft und nutzt, ist Betreiber und hat ein schlankes Pflichtenpaket. Wer ein System unter eigenem Namen weitergibt, wesentlich verändert oder seinen Zweck ändert, wird nach Art. 25 zum Anbieter und trägt das volle Programm. Das ist der häufigste Weg, auf dem eine Organisation unbeabsichtigt in eine höhere Stufe rutscht.
Unannehmbar
beispiele
Social Scoring, Emotionserkennung am Arbeitsplatz, biometrische Kategorisierung nach sensiblen Merkmalen
folge
Verboten seit Februar 2025
Hoch
beispiele
Bewerberauswahl, Kreditwürdigkeitsprüfung, KI in Medizinprodukten, Zugangsentscheidungen in der Bildung
folge
Volles Pflichtenprogramm ab Dezember 2027 oder August 2028
Begrenzt
beispiele
Chatbot auf der Website, Voicebot am Telefon, KI-generierte Texte und Bilder
folge
Transparenzpflichten seit August 2026
Minimal
beispiele
Spamfilter, Rechtschreibhilfe, Empfehlungssysteme, Prognosemodelle
folge
Keine spezifischen Pflichten
[ anhang iii ]
Mein Anwendungsfall steht nicht in Anhang III. Bin ich damit raus?
Beim Hochrisiko-Status meistens ja. Anhang III ist eine abschließende Liste von acht Anwendungsbereichen: Biometrie, kritische Infrastruktur, Bildung, Beschäftigung, wesentliche private und öffentliche Dienste, Strafverfolgung, Migration sowie Justiz und demokratische Prozesse. Die Einstufung ist kein Ermessen, sondern ein Nachschlagevorgang. Bewerber-Screening ist hochriskant, unabhängig davon, wie vorsichtig oder gelassen jemand damit umgeht.
Vier Dinge sind trotzdem zu prüfen.
- 01Anhang III beschreibt Funktionen, keine Produkte.HR-Software steht dort nicht, Systeme zur Auswahl oder Bewertung von Bewerbern schon. Ein Ranking-Modul in einem sonst unauffälligen Werkzeug genügt.
- 02Es gibt einen zweiten Weg über Anhang I.KI als Sicherheitsbauteil in ohnehin CE-regulierten Produkten: Maschinen, Medizinprodukte, Aufzüge, Fahrzeuge, Spielzeug.
- 03Nicht hochriskant heißt nicht pflichtfrei.Die Verbote nach Art. 5, die KI-Kompetenz nach Art. 4 und die Transparenz nach Art. 50 gelten unabhängig von der Risikostufe.
- 04Die Liste kann wachsen.Die Kommission kann Anhang III per delegiertem Rechtsakt erweitern, und ein Anwendungsfall kann durch eine geänderte Zweckbestimmung hineinwachsen.
Die Ausnahme nach Art. 6 Abs. 3
Umgekehrt gilt: Ein System aus einem Anhang-III-Bereich ist doch nicht hochriskant, wenn es nur eine eng umgrenzte Verfahrensaufgabe erfüllt, menschliche Vorarbeit verbessert oder rein vorbereitend wirkt. Wer sich darauf beruft, muss die Bewertung dokumentieren und das System dennoch in der EU-Datenbank registrieren.
[ einstufung ]
Wie betrifft der AI Act Ihr Unternehmen?
Fünf Fragen zu Rolle und Anwendungsfall, und eine sechste dort, wo sie nötig wird. Am Ende stehen Einstufung, Maßnahmen und Fristen, nachvollziehbar entlang der Artikel, auf die es ankommt. Es werden keine Eingaben gespeichert oder übertragen.
Frage 1 von 5
In welcher Rolle nutzt Ihre Organisation KI?
Die Rolle entscheidet über den Umfang aller weiteren Pflichten. Sie kann je System unterschiedlich sein, antworten Sie also für den Fall, den Sie gerade prüfen.
Diese Einschätzung folgt der Systematik der Verordnung (EU) 2024/1689 in der Fassung der Digital-Omnibus-Verordnung (EU) 2026/1744 und ersetzt keine Rechtsberatung.
[ fristen ]
Die Zeitschiene.
02.02.2025
Verbotene Praktiken nach Art. 5 und KI-Kompetenz nach Art. 4
02.08.2025
Pflichten für Anbieter von Basismodellen sowie der Sanktionsrahmen
02.08.2026
Allgemeine Geltung: Transparenzpflichten nach Art. 50, Durchsetzung beginnt
02.12.2026
Kennzeichnung generativer Bestandssysteme sowie zwei neue Verbote
02.12.2027
Hochrisiko-Systeme nach Anhang III
verschoben von August 2026
02.08.2028
Hochrisiko-Systeme nach Anhang I
verschoben von August 2027
Verschoben durch die Digital-Omnibus-Verordnung (EU) 2026/1744, in Kraft seit dem 27. Juli 2026. Grund war kein politischer Rückzieher, sondern ein Praxisproblem: Die technischen Normen für die Konformitätsbewertung waren nicht fertig.
Die Aufsicht in Deutschland führt die Bundesnetzagentur als zentrale Marktüberwachungsbehörde, mit KoKIVO als kostenfreier Anlaufstelle. Sektoral bleiben BaFin, BfArM, BSI und die Datenschutzbehörden zuständig.
[ handlungsplan ]
Welche Maßnahmen jetzt zu ergreifen sind.
Diese sechs Schritte bauen aufeinander auf. Ohne den ersten ist der zweite nicht zu beantworten.
- 01KI-Inventar erstellenAlle eingesetzten Systeme erfassen, einschließlich der KI-Funktionen, die längst in CRM, ERP, Ticketsystemen und Branchensoftware stecken. Ohne Inventar ist jede weitere Bewertung Spekulation.
- 02Rolle bestimmenBetreiber oder Anbieter, und zwar je System. Die Rolle entscheidet über den Umfang aller weiteren Pflichten.
- 03Verbote ausschließenBesonders Emotionserkennung im Beschäftigtenkontext und biometrische Kategorisierung nach sensiblen Merkmalen.
- 04Transparenz umsetzenHinweise an Chatbots und Kennzeichnung generierter Inhalte. Für Systeme, die vorher im Einsatz waren, endet die Frist am 2. Dezember 2026.
- 05KI-Kompetenz aufbauen und dokumentierenNach Rollen differenziert, mit Inhalt, Zielgruppe, Datum und Teilnahme.
- 06Hochrisiko-Kandidaten früh angehen16 Monate sind ein Umsetzungsfenster, keine Pause. Wer erst 2027 anfängt, hat die Verlängerung verschenkt.
[ art. 4 ]
Wann ist jemand ausreichend geschult?
Es gibt keine Stundenzahl, kein Curriculum und keine Zertifizierungspflicht. Der Maßstab ist der Kontext: je risikoreicher der Einsatz, desto höher die Anforderung.
Entscheidend ist ein Hinweis aus den FAQ der EU-Kommission. Sanktionen sind vor allem dann wahrscheinlich, wenn ein Vorfall nachweislich auf unzureichende Schulung zurückgeht. Art. 4 wirkt damit als Beweislastnorm im Schadensfall. Die Frage lautet nicht, ob vier Stunden absolviert wurden, sondern ob diese Person mit dieser Schulung den Fehler hätte vermeiden können.
Praktisch heißt das: nach Rollen differenzieren, Inhalt und Teilnahme dokumentieren und bei jedem Werkzeugwechsel auffrischen.
[ monitoring ]
Was gemeldet werden muss und was nicht.
Die Meldepflicht nach Art. 73 trifft Anbieter, nicht Betreiber, und sie gilt nur bei Hochrisiko-Systemen. Die Betreiberpflichten stehen in Art. 26 und greifen ab Dezember 2027.
Ein Beispiel: Ein allgemeiner KI-Assistent wie Copilot ist kein Hochrisiko-System. Für den Betreiber gelten Art. 4, Art. 5 und Art. 50, sonst nichts. Auffällige oder benachteiligende Ergebnisse lösen keine Meldepflicht nach dem AI Act aus und auch keine Pflicht zur Vorlage von Protokollen.
Was stattdessen zählt:
- Art. 25 kippt die Rollesobald ein Standardwerkzeug für einen Zweck aus Anhang III eingesetzt wird.
- Diskriminierungshaftung besteht ohnehinüber das AGG mit der Beweislasterleichterung des § 22, über Art. 22 DSGVO und über § 87 Abs. 1 Nr. 6 BetrVG. Diese Ansprüche brauchen den AI Act nicht.
- Aufbewahrung der Protokolle prüfenAb Dezember 2027 müssen Betreiber von Hochrisiko-Systemen automatisch erzeugte Logs mindestens sechs Monate aufbewahren, soweit diese ihrer Kontrolle unterliegen. Die Standardeinstellung gängiger Cloud-Plattformen ist häufig kürzer.
Freiwillig sinnvoll, aus Qualitätsgründen und nicht aus Compliance-Gründen: die Nutzung erfassen, weil das Shadow AI aufdeckt. Zweckdrift beobachten. Modellwechsel des Anbieters verfolgen. Stichproben ziehen, wo Anwendungen Personenbezug oder Außenwirkung haben.
[ umsetzung ]
Drei Artefakte und eine Zuständigkeit.
Ein Inventar
Eine Tabelle mit Zweck, System, Anbieter, betroffenen Personen, Rolle, Risikostufe und Verantwortlichem.
Eine KI-Richtlinie
Zwei bis vier Seiten: Was ist erlaubt, welche Daten gehen in welche Systeme, wer gibt frei, wie wird gemeldet.
Ein Schulungsnachweis
Datum, Inhalt, Teilnehmerliste. Mehr verlangt Art. 4 nicht, weniger genügt nicht.
Eine benannte Person
Sie pflegt das Inventar und führt die Freigaben. Ein KI-Beauftragter ist nicht vorgeschrieben.
Vorgeschrieben ist keine bestimmte Governance-Struktur. Erforderlich ist eine Kette ohne Lücken.
- Inventar
- Rolleneinstufung
- Freigabeprozess
- Schulungsnachweis
- Meldeweg
- Quartals-Review
Zwei Dinge werden später teuer, wenn sie jetzt liegen bleiben: Verträge nachziehen, also Rollenverteilung und Haftung bei zugekauften Systemen, und den Betriebsrat einbinden. Die §§ 87 und 90 BetrVG gelten unabhängig von allen Fristen des AI Act.
[ irrtümer ]
Drei Sätze, die man häufig hört.
behauptung
Der Omnibus hat alles verschoben.
tatsächlich
Verschoben wurden nur die Hochrisiko-Fristen. Transparenz, Kompetenz und Verbote gelten unverändert.
behauptung
Wir müssen jedes KI-System überwachen und Vorfälle melden.
tatsächlich
Nein. Diese Pflichten hängen an der Hochrisiko-Einstufung und treffen überwiegend Anbieter.
behauptung
Das Bußgeld ist unser größtes Risiko.
tatsächlich
Praktisch relevanter sind Abmahnungen wegen fehlender KI-Kennzeichnung, Datenschutzbeschwerden und vertragliche Haftung.
[ fazit ]
Der Maßstab bleibt der Nutzen.
Der eigentliche Verlust entsteht selten durch Regulierung, sondern durch Zögern: durch Piloten, die nie in Produktion gehen, weil niemand die Verantwortung für den Schritt übernimmt.
Genau dagegen hilft ein geklärter Rahmen. Wer weiß, welche Systeme im Einsatz sind, wer zuständig ist und wo die Grenzen verlaufen, kann freier experimentieren statt enger. Compliance ist hier kein Selbstzweck, sondern die Bedingung dafür, dass aus einem Experiment ein produktives System wird.
[ quellen ]
Zum Nachlesen.
- Verordnung (EU) 2024/1689, Volltext auf EUR-Lex
Anhang I und Anhang III stehen am Ende des Dokuments.
- Anhang III: die Hochrisiko-Anwendungsbereiche im Einzelnen
Aufbereitete Fassung mit Querverweisen.
- Digital-Omnibus-Verordnung (EU) 2026/1744
Die Verordnung, die die Hochrisiko-Fristen verschoben hat.
- FAQ der EU-Kommission zur KI-Kompetenz nach Art. 4
Die Quelle für den Maßstab, an dem Schulungen gemessen werden.
Die konsolidierte Fassung auf EUR-Lex bildet die Änderungen des Digital Omnibus noch nicht ab. Beide Texte sind derzeit parallel zu lesen.
Rechtsstand August 2026. Dieser Beitrag ist eine Orientierungshilfe und ersetzt keine Rechtsberatung. Maßgeblich sind allein die im Amtsblatt der EU veröffentlichten Texte.