EU AI Act: Was Unternehmen jetzt tun müssen

Update (30.07.2026): Der Digital Omnibus on AI (Verordnung (EU) 2026/1744, in Kraft seit 27.07.2026) hat die Hochrisiko-Fristen verschoben: Anhang-III-Systeme auf den 2. Dezember 2027, KI in regulierten Produkten auf den 2. August 2028. Transparenzpflichten, GPAI-Regeln und Verbote gelten unverändert. Die Timeline unten ist entsprechend aktualisiert; eine Einordnung gibt der Artikel KI-Compliance nach dem AI Omnibus.

Der EU AI Act (Verordnung (EU) 2024/1689) gilt stufenweise: Verbote und GPAI-Regeln greifen bereits, die Transparenzpflichten folgen zum 2. August 2026, die Hochrisiko-Pflichten nach der Omnibus-Verschiebung zum 2. Dezember 2027. Betroffen sind alle Unternehmen, die KI-Systeme in der EU einsetzen, entwickeln oder vertreiben. Die Bußgelder sind empfindlich: bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes.

Dieser Artikel erklärt, was auf Unternehmen zukommt und wie Sie sich vorbereiten können.

Was ist der EU AI Act?

Der EU AI Act ist die weltweit erste umfassende KI-Regulierung. Er verfolgt einen risikobasierten Ansatz: Je höher das Risiko eines KI-Systems, desto strenger die Anforderungen.

Wichtig: Der AI Act gilt nicht nur für KI-Entwickler, sondern auch für Anwender (Deployer) und Importeure von KI-Systemen. Wenn Sie ChatGPT, Copilot oder KI-basierte RPA-Lösungen einsetzen, sind Sie betroffen.

Die vier Risikoklassen

Unannehmbares Risiko (verboten)

KI-Systeme, die grundlegende Rechte verletzen:

• Social Scoring durch Behörden
• Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen
• Biometrische Echtzeit-Fernidentifizierung in öffentlichen Räumen (mit Ausnahmen)

Hohes Risiko (streng reguliert)

KI-Systeme in kritischen Bereichen:

• Personalwesen: KI-gestütztes Recruiting, Leistungsbewertung
• Kreditwürdigkeit: Scoring und Bonitätsprüfung
• Bildung: Automatisierte Prüfungsbewertung, Zugangssteuerung
• Kritische Infrastruktur: KI in Energie, Wasser, Verkehr
• Strafverfolgung: Predictive Policing, Risikobewertung
• Migration: Grenzkontrolle, Visum-Entscheidungen

Pflichten für Hochrisiko-KI:

• Risikomanagement-System
• Datenqualitäts-Anforderungen (Trainingsdaten)
• Technische Dokumentation
• Logging und Nachvollziehbarkeit
• Transparenz und Information an Nutzer
• Menschliche Aufsicht (Human-in-the-Loop)
• Genauigkeit, Robustheit und Cybersecurity
• Konformitätsbewertung vor Inbetriebnahme
• Datenschutz-Folgenabschätzung (DSFA) als flankierende Pflicht nach DSGVO

Begrenztes Risiko (Transparenzpflichten)

• Chatbots müssen als KI gekennzeichnet werden
• KI-generierte Inhalte (Bilder, Texte, Audio) müssen als solche erkennbar sein
• Deepfakes müssen gekennzeichnet werden

Minimales Risiko (keine besonderen Pflichten)

• Spam-Filter, Empfehlungssysteme, KI in Videospielen
• Freiwillige Verhaltenskodizes empfohlen

Timeline: Was gilt ab wann?

Datum	Was gilt
02.02.2025	Verbote (unannehmbares Risiko) in Kraft
02.08.2025	Governance-Struktur, GPAI-Regeln (General Purpose AI wie GPT)
02.08.2026	Transparenz- und Kennzeichnungspflichten (Art. 50) für neue Systeme
02.12.2026	Kennzeichnung für Bestandssysteme; Missbrauchsfilter für Bild-/Videogeneratoren
02.12.2027	Hochrisiko-Pflichten für Anhang-III-Systeme (per Omnibus verschoben, vorher 02.08.2026)
02.08.2028	Pflichten für eingebettete KI-Systeme nach Anhang I (per Omnibus verschoben, vorher 02.08.2027)

Bußgelder

Verstoß	Bußgeld
Verbotene KI-Praktiken	bis 35 Mio. EUR oder 7 % Umsatz
Hochrisiko-Anforderungen	bis 15 Mio. EUR oder 3 % Umsatz
Falsche Informationen an Behörden	bis 7,5 Mio. EUR oder 1 % Umsatz

Für KMU gelten reduzierte Bußgelder, aber keine Ausnahme von den Pflichten.

5-Schritte-Plan zur Vorbereitung

Schritt 1: KI-Inventar erstellen

Erfassen Sie alle KI-Systeme in Ihrem Unternehmen – nicht nur die offensichtlichen. Dazu gehören:

• Eigenentwickelte KI-Modelle
• Zugekaufte KI-Software (SaaS)
• Eingebettete KI in bestehenden Tools (z.B. Copilot in Microsoft 365)
• RPA mit KI-Komponenten (z.B. UIPath DocumentUnderstanding)

Schritt 2: Risikoklassifizierung durchführen

Ordnen Sie jedes KI-System einer der vier Risikoklassen zu. Unser kostenloser EU AI Act Quick-Check hilft Ihnen bei der ersten Einordnung. Nutzen Sie die Annex-Listen des AI Act als Prüfraster. Bei Unsicherheit: lieber konservativ einstufen.

Schritt 3: Gap-Analyse für Hochrisiko-Systeme

Für jedes Hochrisiko-System: Prüfen Sie systematisch gegen die 8 Anforderungen (Risikomanagement, Datenqualität, Dokumentation, Logging, Transparenz, Human Oversight, Genauigkeit, Cybersecurity).

Schritt 4: KI-Governance aufbauen

• Rollen definieren: Wer ist für KI-Compliance verantwortlich? (CISO? CDO? Neuer AI Officer?)
• Prozesse etablieren: KI-Systeme genehmigen, überwachen, dokumentieren
• Schulungen: Mitarbeitende sensibilisieren (Transparenzpflichten, Kennzeichnung)

Schritt 5: Dokumentation und Monitoring

• Technische Dokumentation für alle Hochrisiko-Systeme
• Logging-System für Nachvollziehbarkeit
• Regelmäßige Überprüfung und Updates

EU AI Act + NIS2: Doppelte Compliance

Viele Unternehmen sind gleichzeitig von NIS2 und dem EU AI Act betroffen – insbesondere in KRITIS-Sektoren. Die gute Nachricht: Viele Anforderungen überlappen sich (Risikomanagement, Dokumentation, Incident Response). Ein integrierter Compliance-Ansatz spart Zeit und Geld.

Fazit

Der EU AI Act ist keine ferne Zukunft - die Transparenzpflichten gelten ab August 2026, die Hochrisiko-Pflichten folgen im Dezember 2027. Unternehmen, die jetzt mit der Vorbereitung beginnen, haben einen klaren Vorteil gegenüber denen, die auf Enforcement warten. Der wichtigste erste Schritt: Wissen, welche KI-Systeme im Einsatz sind und in welche Risikoklasse sie fallen.

---

Sie möchten Ihre EU AI Act-Readiness bewerten lassen? Starten Sie mit dem AI Act Quick-Check (1 Tag, 2.500 EUR) oder gehen Sie direkt zum vollständigen AI Act Readiness Assessment (4–6 Tage). Vereinbaren Sie ein Erstgespräch.