[ regulierung × ki ]
Der EU AI Act: was er ist und was er für Ihr Unternehmen bedeutet.
12 MinutenRechtsstand August 2026
Seit dem 2. August 2026 gilt die KI-Verordnung im Grundsatz vollständig. Sechs Tage vorher hat die EU die schärfsten Fristen um bis zu 16 Monate verschoben. Was daraus für ein einzelnes Unternehmen folgt, hängt an genau zwei Fragen: wofür KI eingesetzt wird und in welcher Rolle.
[ in drei sätzen ]
Meist kein Hochrisiko
Textassistenz, Dokumentenverarbeitung, Terminplanung, Prognosen, Qualitätsprüfung: unterste Stufe, keine spezifischen Pflichten.
Ab sofort zu tun
Chatbots als solche kennzeichnen, KI-generierte Inhalte erkennbar machen, KI-Kompetenz nachweisbar aufbauen.
Gewonnene Zeit nutzen
Für Hochrisiko-Systeme läuft die Frist bis Dezember 2027 oder August 2028. Bis dahin sind Inventar, Rollenklärung, Risikomanagement und technische Dokumentation aufzubauen.
[ einordnung ]
Eine Verordnung, kein deutsches Gesetz.
Der AI Act ist eine EU-Verordnung, keine Richtlinie und kein nationales Gesetz. Das ist kein juristisches Detail, sondern hat drei praktische Folgen.
Sie gilt unmittelbar.
Es braucht kein nationales Umsetzungsgesetz und es gibt keine zusätzliche Umsetzungsfrist. Die Termine stehen direkt in Art. 113 der Verordnung.
Sie gilt europaweit gleich.
Anders als bei einer Richtlinie entstehen keine 27 nationalen Varianten. Damit gibt es auch keinen Standortvorteil durch Verlagerung.
Nationale Gesetze regeln nur die Ausführung.
Das deutsche Durchführungsgesetz KI-MIG bestimmt Zuständigkeiten und Verfahren. Inhaltliche Pflichten entstehen dort nicht.
[ geltungsbereich ]
Bin ich betroffen?
Wenn in Ihrer Organisation KI-Systeme beruflich eingesetzt werden: ja. Unabhängig von Branche, Rechtsform und Größe. Es gibt keine Schwelle, ab der die Verordnung erst greift. Erfasst sind Unternehmen jeder Art, Freiberufler, Vereine und öffentliche Stellen gleichermaßen.
Erfasst ist auch, wer KI nur einkauft und nutzt. Wer ChatGPT, Copilot oder ein KI-Modul in seiner Branchensoftware verwendet, ist Betreiber im Sinne der Verordnung.
Der Umfang der Pflichten unterscheidet sich allerdings dramatisch. Genau darum geht es in den folgenden Abschnitten.
[ risikostufen ]
Vier Risikoklassen mit unterschiedlichen Folgen.
Unannehmbar
beispiele
Social Scoring, Emotionserkennung am Arbeitsplatz, biometrische Kategorisierung nach sensiblen Merkmalen
folge
Verboten seit Februar 2025
Hoch
beispiele
Bewerberauswahl, Kreditwürdigkeitsprüfung, KI in Medizinprodukten, Zugangsentscheidungen in der Bildung
folge
Volles Pflichtenprogramm ab Dezember 2027 oder August 2028
Begrenzt
beispiele
Chatbot auf der Website, Voicebot am Telefon, KI-generierte Texte und Bilder
folge
Transparenzpflichten seit August 2026
Minimal
beispiele
Spamfilter, Rechtschreibhilfe, Empfehlungssysteme, Prognosemodelle
folge
Keine spezifischen Pflichten
Überwachen und melden hängt allein an dieser Einstufung.
Die Meldung schwerwiegender Vorfälle nach Art. 73 trifft Anbieter von Hochrisiko-Systemen. Deren Betreiber beobachten den Betrieb und benachrichtigen den Anbieter, das steht in Art. 26 und gilt ab Dezember 2027. Außerhalb der Hochrisiko-Klasse entsteht aus dem AI Act weder eine Überwachungs- noch eine Meldepflicht.
Ein Beispiel: Ein allgemeiner KI-Assistent wie Copilot ist kein Hochrisiko-System. Für den Betreiber gelten Art. 4, Art. 5 und Art. 50, sonst nichts. Auffällige oder benachteiligende Ergebnisse lösen keine Meldepflicht nach dem AI Act aus und auch keine Pflicht zur Vorlage von Protokollen.
Entscheidend ist die Rolle.
Wer KI einkauft und nutzt, ist Betreiber und hat ein schlankes Pflichtenpaket. Wer ein System unter eigenem Namen weitergibt, wesentlich verändert oder seinen Zweck ändert, wird nach Art. 25 zum Anbieter und trägt das volle Programm. Das ist der häufigste Weg, auf dem eine Organisation unbeabsichtigt in eine höhere Klasse rutscht, typischerweise dann, wenn ein Standardwerkzeug für einen Zweck aus Anhang III eingesetzt wird.
[ anhang i & iii ]
Wo Hochrisiko festgeschrieben ist.
Ob ein System als hochriskant gilt, ist kein Ermessen. Die Verordnung schreibt es an zwei Stellen fest. Der erste Weg führt über Anhang I: Dort sind die EU-Vorschriften gelistet, die Produkte wie Maschinen, Medizinprodukte, Aufzüge, Fahrzeuge und Spielzeug regeln. Steckt KI als Sicherheitsbauteil in einem solchen Produkt, ist sie hochriskant. Der zweite Weg führt über Anhang III: eine Liste von Anwendungsbereichen, unabhängig davon, in welchem Produkt die KI arbeitet. Für die meisten Unternehmen ist dieser zweite Weg der entscheidende.
Mein Anwendungsfall steht nicht in Anhang III. Bin ich damit raus?
Beim Hochrisiko-Status meistens ja. Anhang III ist eine abschließende Liste von acht Anwendungsbereichen: Biometrie, kritische Infrastruktur, Bildung, Beschäftigung, wesentliche private und öffentliche Dienste, Strafverfolgung, Migration sowie Justiz und demokratische Prozesse. Die Einstufung ist kein Ermessen, sondern ein Nachschlagevorgang. Bewerber-Screening ist hochriskant, unabhängig davon, wie vorsichtig oder gelassen jemand damit umgeht.
Vier Dinge sind trotzdem zu prüfen.
- 01Anhang III beschreibt Funktionen, keine Produkte.HR-Software steht dort nicht, Systeme zur Auswahl oder Bewertung von Bewerbern schon. Ein Ranking-Modul in einem sonst unauffälligen Werkzeug genügt.
- 02Es gibt einen zweiten Weg über Anhang I.KI als Sicherheitsbauteil in ohnehin CE-regulierten Produkten: Maschinen, Medizinprodukte, Aufzüge, Fahrzeuge, Spielzeug.
- 03Nicht hochriskant heißt nicht pflichtfrei.Die Verbote nach Art. 5, die KI-Kompetenz nach Art. 4 und die Transparenz nach Art. 50 gelten unabhängig von der Risikostufe.
- 04Die Liste kann wachsen.Die Kommission kann Anhang III per delegiertem Rechtsakt erweitern, und ein Anwendungsfall kann durch eine geänderte Zweckbestimmung hineinwachsen.
Die Ausnahme nach Art. 6 Abs. 3
Umgekehrt gilt: Ein System aus einem Anhang-III-Bereich ist doch nicht hochriskant, wenn es nur eine eng umgrenzte Verfahrensaufgabe erfüllt, menschliche Vorarbeit verbessert oder rein vorbereitend wirkt. Wer sich darauf beruft, muss die Bewertung dokumentieren und das System dennoch in der EU-Datenbank registrieren.
[ einstufung ]
Wie betrifft der AI Act Ihr Unternehmen?
Fünf Fragen zu Rolle und Anwendungsfall, und eine sechste dort, wo sie nötig wird. Am Ende stehen Einstufung, Maßnahmen und Fristen, nachvollziehbar entlang der Artikel, auf die es ankommt. Es werden keine Eingaben gespeichert oder übertragen.
Frage 1 von 5
In welcher Rolle nutzt Ihre Organisation KI?
Die Rolle entscheidet über den Umfang aller weiteren Pflichten. Sie kann je System unterschiedlich sein, antworten Sie also für den Fall, den Sie gerade prüfen.
Diese Einschätzung folgt der Systematik der Verordnung (EU) 2024/1689 in der Fassung der Digital-Omnibus-Verordnung (EU) 2026/1744 und ersetzt keine Rechtsberatung.
[ fristen ]
Die Zeitschiene.
02.02.2025
Verbotene Praktiken nach Art. 5 und KI-Kompetenz nach Art. 4
02.08.2025
Pflichten für Anbieter von Basismodellen sowie der Sanktionsrahmen
02.08.2026
Allgemeine Geltung: Transparenzpflichten nach Art. 50, Durchsetzung beginnt
02.12.2026
Kennzeichnung generativer Bestandssysteme sowie zwei neue Verbote
02.12.2027
Hochrisiko-Systeme nach Anhang III
verschoben von August 2026
02.08.2028
Hochrisiko-Systeme nach Anhang I
verschoben von August 2027
Verschoben durch die Digital-Omnibus-Verordnung (EU) 2026/1744, in Kraft seit dem 27. Juli 2026. Grund war kein politischer Rückzieher, sondern ein Praxisproblem: Die technischen Normen für die Konformitätsbewertung waren nicht fertig.
Die Aufsicht in Deutschland führt die Bundesnetzagentur als zentrale Marktüberwachungsbehörde, mit KoKIVO als kostenfreier Anlaufstelle. Sektoral bleiben BaFin, BfArM, BSI und die Datenschutzbehörden zuständig.
[ handlungsplan ]
Welche Maßnahmen jetzt zu ergreifen sind.
Diese sechs Schritte bauen aufeinander auf. Ohne den ersten ist der zweite nicht zu beantworten.
- 01KI-Inventar erstellenAlle eingesetzten Systeme erfassen, einschließlich der KI-Funktionen, die längst in CRM, ERP, Ticketsystemen und Branchensoftware stecken. Ohne Inventar ist jede weitere Bewertung Spekulation.
- 02Rolle bestimmenBetreiber oder Anbieter, und zwar je System. Die Rolle entscheidet über den Umfang aller weiteren Pflichten.
- 03Verbote ausschließenBesonders Emotionserkennung im Beschäftigtenkontext und biometrische Kategorisierung nach sensiblen Merkmalen.
- 04Transparenz umsetzenHinweise an Chatbots und Kennzeichnung generierter Inhalte. Für Systeme, die vorher im Einsatz waren, endet die Frist am 2. Dezember 2026.
- 05KI-Kompetenz aufbauen und dokumentierenNach Rollen differenziert, mit Inhalt, Zielgruppe, Datum und Teilnahme.
- 06Hochrisiko-Kandidaten früh angehen16 Monate sind ein Umsetzungsfenster, keine Pause. Dazu gehört auch die Protokollierung: Betreiber müssen automatisch erzeugte Logs mindestens sechs Monate aufbewahren, soweit diese ihrer Kontrolle unterliegen. Die Standardeinstellung gängiger Cloud-Plattformen ist häufig kürzer.
[ art. 4 ]
Wann ist jemand ausreichend geschult?
Es gibt keine Stundenzahl, kein Curriculum und keine Zertifizierungspflicht. Der Maßstab ist der Kontext: je risikoreicher der Einsatz, desto höher die Anforderung.
Entscheidend ist ein Hinweis aus den FAQ der EU-Kommission. Sanktionen sind vor allem dann wahrscheinlich, wenn ein Vorfall nachweislich auf unzureichende Schulung zurückgeht. Art. 4 wirkt damit als Beweislastnorm im Schadensfall. Die Frage lautet nicht, ob vier Stunden absolviert wurden, sondern ob diese Person mit dieser Schulung den Fehler hätte vermeiden können.
Praktisch heißt das: nach Rollen differenzieren, Inhalt und Teilnahme dokumentieren und bei jedem Werkzeugwechsel auffrischen.
[ fazit ]
Wie Sie Ihr Unternehmen sicher aufstellen.
Vorgeschrieben ist keine bestimmte Governance-Struktur. Erforderlich ist eine Kette ohne Lücken, und die trägt vier Artefakte.
Ein Inventar
Eine Tabelle mit Zweck, System, Anbieter, betroffenen Personen, Rolle, Risikostufe und Verantwortlichem.
Eine KI-Richtlinie
Zwei bis vier Seiten: Was ist erlaubt, welche Daten gehen in welche Systeme, wer gibt frei, wie wird gemeldet.
Ein Schulungsnachweis
Datum, Inhalt, Teilnehmerliste. Mehr verlangt Art. 4 nicht, weniger genügt nicht.
Eine benannte Person
Sie pflegt das Inventar und führt die Freigaben. Ein KI-Beauftragter ist nicht vorgeschrieben.
[ nächster schritt ]
Bringen wir Ihren KI-Einsatz auf sicheren Boden.
Inventar aufnehmen, Rollen je System bestimmen, Pflichten zuordnen und die offenen Punkte in eine Reihenfolge bringen, die zu Ihrem Tagesgeschäft passt. Danach steht fest, was Sie wirklich betrifft und was nicht.
Der eigentliche Verlust entsteht selten durch Regulierung, sondern durch Zögern: durch Piloten, die nie in Produktion gehen, weil niemand die Verantwortung für den Schritt übernimmt. Ein geklärter Rahmen macht das Experimentieren nicht enger, sondern freier.
[ quellen ]
Zum Nachlesen.
- Verordnung (EU) 2024/1689, Volltext auf EUR-Lex
Anhang I und Anhang III stehen am Ende des Dokuments.
- Anhang III: die Hochrisiko-Anwendungsbereiche im Einzelnen
Aufbereitete Fassung mit Querverweisen.
- Digital-Omnibus-Verordnung (EU) 2026/1744
Die Verordnung, die die Hochrisiko-Fristen verschoben hat.
- FAQ der EU-Kommission zur KI-Kompetenz nach Art. 4
Die Quelle für den Maßstab, an dem Schulungen gemessen werden.
Die konsolidierte Fassung auf EUR-Lex bildet die Änderungen des Digital Omnibus noch nicht ab. Beide Texte sind derzeit parallel zu lesen.
Rechtsstand August 2026. Dieser Beitrag ist eine Orientierungshilfe und ersetzt keine Rechtsberatung. Maßgeblich sind allein die im Amtsblatt der EU veröffentlichten Texte.