EU-KI-Verordnung (AI Act): Was Unternehmen jetzt wissen müssen

KI ist im Unternehmensalltag angekommen, als Chatbot im Kundenservice, in der Bewerberauswahl oder in Analysewerkzeugen. Mit der EU-KI-Verordnung (AI Act) hat die Europäische Union den ersten umfassenden Rechtsrahmen für den Einsatz von KI-Systemen geschaffen. Dass sich der Zeitplan für Hochrisiko-Systeme verschoben hat, erweckt leicht den Eindruck, es gebe vorerst nichts zu tun. Tatsächlich gelten mehrere Pflichten bereits.

Was ist die EU-KI-Verordnung?

Die EU-KI-Verordnung ist das weltweit erste umfassende Gesetz zur Regulierung von KI. Sie folgt einem risikobasierten Ansatz: Je größer die möglichen Auswirkungen eines KI-Systems auf Menschen, Sicherheit oder Grundrechte, desto umfangreicher die Anforderungen.

Die DSGVO dreht sich um personenbezogene Daten. Der AI Act fragt, welche Risiken von einem KI-System ausgehen und welche Schutzmaßnahmen nötig sind. Er gilt unmittelbar in allen Mitgliedstaaten und schafft einheitliche Regeln für den europäischen Markt.

Für wen gilt der AI Act?

Die Verordnung betrifft mehr Unternehmen, als viele vermuten. Sie gilt für:

• Unternehmen mit Sitz in der EU, die KI-Systeme entwickeln oder einsetzen
• Anbieter außerhalb der EU, deren Systeme auf dem europäischen Markt genutzt werden
• Unternehmen, die KI-Ergebnisse innerhalb der EU verwenden
• Hersteller von Produkten mit integrierten KI-Komponenten

Entscheidend ist neben dem Standort die Wirkung des Systems in der EU. Ein deutsches Unternehmen, das einen US-amerikanischen KI-Dienst nutzt, kann ebenso betroffen sein wie ein amerikanischer Anbieter mit europäischen Kunden.

Die wichtigsten Fristen im Überblick

Die Pflichten werden schrittweise wirksam. Der Digital Omnibus, die erste Änderung der Verordnung, ist seit dem 27. Juli 2026 in Kraft und hat einzelne Termine verschoben. Damit steht der Zeitplan fest:

Quellen: Verordnung (EU) 2026/1744 (Digital Omnibus), EUR-Lex; Rat der EU, Pressemitteilung vom 29. Juni 2026

Der 2. August 2026 ist für viele Unternehmen der praktisch wichtigste Termin. Seitdem müssen Nutzer erkennen können, dass sie mit einer KI interagieren, etwa bei Chatbots, virtuellen Assistenten oder generativen Anwendungen. Diese Pflichten waren von der Verschiebung ausdrücklich ausgenommen.

Die Hochrisiko-Fristen nach dem Digital Omnibus

Das Europäische Parlament hat den Digital Omnibus am 16. Juni 2026 angenommen, der Rat am 29. Juni 2026. Veröffentlicht wurde er am 24. Juli 2026 im Amtsblatt als Verordnung (EU) 2026/1744. Für Hochrisiko-Systeme gelten damit neue Termine:

• 2. Dezember 2027 für eigenständige Hochrisiko-Systeme nach Anhang III, etwa KI im Recruiting, bei der Kreditvergabe, in der Bildung oder in kritischer Infrastruktur. Ursprünglich war der August 2026 vorgesehen.
• 2. August 2028 für Hochrisiko-KI in regulierten Produkten, etwa in Medizinprodukten oder Maschinen.

Verschoben wurde der Zeitpunkt, ab dem die Pflichten gelten. Die Anforderungen selbst bleiben: Konformitätsbewertung, technische Dokumentation, Risikomanagement, Daten-Governance und menschliche Aufsicht. Wer die Zeit als Pause nutzt, baut diese Grundlagen später unter Druck. Am saubersten entstehen Konformitätsbewertung und Dokumentation, wenn sie von Anfang an Teil der Entwicklung sind.

Die vier Risikoklassen des AI Act

1.Verbotene KI-Praktiken

Bestimmte Anwendungen gelten als unvereinbar mit den europäischen Grundrechten und sind verboten, zum Beispiel:

• Manipulation von Personen durch unterschwellige Beeinflussung
• Ausnutzung der Schutzbedürftigkeit bestimmter Personengruppen
• Social Scoring
• ungezieltes Auslesen von Gesichtsbildern aus dem Internet oder aus Videoüberwachung für Gesichtserkennungsdatenbanken

Für die meisten Unternehmen ist diese Kategorie selten relevant. Sie markiert aber die Grenze dessen, was in der EU zulässig ist.

2.Hochrisiko-KI

Hier liegt der Schwerpunkt der Verordnung. Hochrisiko-Systeme sind KI-Anwendungen, deren Entscheidungen erhebliche Auswirkungen auf Menschen oder gesellschaftliche Prozesse haben können, etwa:

• Bewerbermanagement und Recruiting
• Bewertung von Mitarbeitenden
• Kreditwürdigkeitsprüfung
• Anwendungen im Gesundheitswesen und im Bildungsbereich
• KI für kritische Infrastruktur

Für sie gelten Risikomanagement, technische Dokumentation, Daten-Governance, Qualitätsmanagement, menschliche Aufsicht, Protokollierung und Konformitätsbewertung. Unternehmen müssen nachweisen können, dass ihr System kontrolliert, nachvollziehbar und sicher betrieben wird.

3.KI-Systeme mit begrenztem Risiko

Dazu gehören viele Anwendungen, die Unternehmen bereits nutzen: Chatbots, virtuelle Assistenten und KI-gestützte Kommunikationswerkzeuge. Im Vordergrund stehen Transparenzpflichten. Nutzer müssen erkennen können, dass sie mit einer KI kommunizieren. Der Aufwand ist deutlich geringer als bei Hochrisiko-Systemen, die Frist ist aber bereits verstrichen.

4.Systeme mit minimalem Risiko

Die meisten KI-Anwendungen fallen hierunter, etwa Spamfilter, Rechtschreibkorrekturen oder Empfehlungssysteme mit geringem Risiko. Zusätzliche Pflichten sieht die Verordnung nicht vor. Eine verantwortungsvolle Governance lohnt sich trotzdem, vor allem wenn sich Einsatzbereiche später ändern.

Anbieter oder Betreiber? Die Rolle entscheidet

Nicht jedes Unternehmen trägt dieselben Pflichten. Das wird häufig übersehen. Entscheidend ist die Rolle im jeweiligen KI-Projekt.

• Anbieter (Provider) entwickeln ein KI-System oder bringen es unter eigenem Namen auf den Markt. Sie tragen die umfangreichsten Pflichten: Risikobewertung, technische Dokumentation, Konformitätsverfahren, laufende Überwachung und Nachweise zur Einhaltung.
• Betreiber (Deployer) nutzen ein bestehendes System im eigenen Unternehmen, etwa ein Recruiting-Tool, einen Chatbot im Kundenservice oder generative KI für interne Abläufe. Sie müssen vor allem sicherstellen, dass das System bestimmungsgemäß eingesetzt wird, Mitarbeitende geschult sind, interne Prozesse passen und Transparenzpflichten eingehalten werden.

Für viele Unternehmen ist die Betreiberrolle die relevantere. Wichtig ist die Grenze: Wer ein eingekauftes Hochrisiko-System wesentlich verändert oder unter eigenem Namen einsetzt, übernimmt die Anbieterpflichten.

Der 90-Sekunden-Selbsttest: Welche Pflichten gelten für Sie?

1.Bauen Sie das KI-System, oder nutzen Sie eines?

Wer ein System entwickelt oder unter eigenem Namen in Verkehr bringt, ist Anbieter. Wer ein bestehendes Werkzeug weitgehend unverändert einsetzt, ist Betreiber. Wer ein zugekauftes Hochrisiko-System wesentlich verändert, überschreitet die Schwelle zu den Anbieterpflichten.

2.Worüber entscheidet Ihr System?

Entscheidet es über Menschen oder gesellschaftliche Prozesse, also Recruiting, Kreditwürdigkeit, Gesundheit, Bildung oder kritische Infrastruktur, ist es wahrscheinlich hochriskant. Interagiert es nur, etwa als Chatbot, gilt meist begrenztes Risiko mit Transparenzpflichten. Filtert oder empfiehlt es lediglich, liegt in der Regel minimales Risiko vor.

3.Ab wann ist es dringend?

Für Chatbots und generative KI gelten die Transparenzpflichten nach Artikel 50 seit dem 2. August 2026. Für Hochrisiko-Systeme gelten der 2. Dezember 2027 oder der 2. August 2028, die inhaltliche Arbeit beginnt aber jetzt.

Ein Beispiel: der Support-Chatbot

Ein mittelständischer Hersteller hat seinen Kundensupport um einen zugekauften KI-Chatbot ergänzt, unverändert vom Anbieter. Was bedeutet der AI Act für dieses Unternehmen?

• Rolle: Das Unternehmen nutzt das Werkzeug wie geliefert. Es ist Betreiber. Konformitätsbewertung, technische Dokumentation und laufende Systemüberwachung liegen beim Anbieter.
• Risikoklasse: Der Chatbot spricht mit Menschen, entscheidet aber nicht über Kreditwürdigkeit, Einstellungen oder den Zugang zu wesentlichen Leistungen. Das bedeutet begrenztes Risiko und damit eine Handvoll Transparenzpflichten statt eines vollständigen Compliance-Programms.
• Frist: Als Transparenzpflicht nach Artikel 50 gilt sie seit dem 2. August 2026.

Daraus folgen drei konkrete Aufgaben:

• Die KI erkennbar machen: Ein klarer Hinweis zu Beginn des Chats, dass hier eine KI antwortet, reicht in der Regel aus.
• KI-Kompetenz dokumentieren: Die Mitarbeitenden, die den Chatbot betreuen, brauchen nachweisbares Grundwissen zu seinen Risiken und Grenzen. Eine kurze interne Richtlinie und eine dokumentierte Schulung sind geeignete Maßnahmen nach Artikel 4.
• Unterlagen des Anbieters prüfen: Halten Sie fest, dass der Anbieter seine Pflichten erfüllt und Sie das System bestimmungsgemäß einsetzen.

Mehr ist es für dieses Unternehmen nicht. Übertragbar ist die Reihenfolge: erst die Rolle, dann die Risikoklasse, dann die Frist, dann die kurze Liste der Pflichten, die daraus folgt.

Was Unternehmen jetzt konkret tun sollten

Erfassen Sie alle KI-Systeme, die Sie nutzen oder einführen wollen, auch zugekaufte SaaS-Lösungen. Ordnen Sie jedes System einer Risikoklasse zu und klären Sie Ihre Rolle. Daraus ergeben sich die Pflichten und die maßgebliche Frist, wie im Beispiel oben.

Legen Sie früh zwei Dinge fest: klare Verantwortlichkeiten über Compliance, IT-Sicherheit, Datenschutz und Fachbereiche hinweg und einen einfachen Governance-Prozess für Dokumentation, Freigaben und Überwachung. Beides muss nicht aufwendig sein, sollte aber benannt und dokumentiert sein.

Besondere Aufmerksamkeit verdient die KI-Kompetenz der Mitarbeitenden, weil sie seit Februar 2025 gilt und oft übersehen wird. Mit dem Digital Omnibus wurde Artikel 4 neu gefasst: Anbieter und Betreiber müssen Maßnahmen ergreifen, um die KI-Kompetenz ihrer Beschäftigten und der Personen zu fördern, die Systeme in ihrem Auftrag bedienen. Ein bestimmtes Kompetenzniveau jeder einzelnen Person müssen sie nicht garantieren. Die Pflicht bleibt bei den Unternehmen. Ziel ist, dass Beschäftigte KI sicher und regelkonform einsetzen können. Weil die Anforderungen je nach Branche und Anwendungsfall variieren, sind praxisnahe Schulungen ein wichtiger Baustein.

Fazit: Ein klarer Rahmen für den KI-Einsatz

Die EU-KI-Verordnung lenkt den Einsatz von KI in verlässliche Bahnen und gibt Unternehmen einen klaren Rahmen. Die wichtigen Weichen werden bei Auswahl, Einführung und Nutzung von KI-Systemen gestellt. Wer früh Wissen aufbaut und Verantwortlichkeiten klärt, senkt regulatorische Risiken und schafft zugleich die Grundlage für eine erfolgreiche KI-Strategie.

Datenhoheit, Nachvollziehbarkeit und menschliche Aufsicht gehören bei theBlue.ai seit jeher zur Entwicklung. Unsere KI-Systeme liefern nachvollziehbare Ergebnisse, laufen bei Bedarf vollständig im eigenen Rechenzentrum und lassen den Menschen die Kontrolle. In unseren KI-Workshops schulen wir Mitarbeitende für den sicheren und regelkonformen Einsatz von KI.

Dieser Artikel gibt einen allgemeinen Überblick zum Stand der EU-KI-Verordnung im September 2026 und ersetzt keine Rechtsberatung. Maßgeblich ist der Wortlaut der Verordnung in der Fassung der Verordnung (EU) 2026/1744.

Häufige Fragen