Blog / Enterprise AI / KI-Regulierung
ENTERPRISE AI · KI-REGULIERUNG
EU-KI-Verordnung (AI Act): Was Unternehmen jetzt wissen müssen
Autor: Julia Rose / Veröffentlicht: Juli 2026
Künstliche Intelligenz ist längst im Unternehmensalltag angekommen, ob als Chatbot im Kundenservice, in der automatisierten Bewerberauswahl oder in intelligenten Analysewerkzeugen. Mit der EU-KI-Verordnung (AI Act) hat die Europäische Union erstmals einen umfassenden Rechtsrahmen geschaffen, der den Einsatz von KI-Systemen reguliert. Erschwerend kommt hinzu, dass sich der Zeitplan zuletzt verschoben hat, was leicht den falschen Eindruck erweckt, es bestehe vorerst kein Handlungsbedarf. Das Gegenteil ist der Fall: Manche Pflichten gelten bereits heute, andere greifen unverändert im August 2026.
Was ist die EU-KI-Verordnung?
Die EU-KI-Verordnung ist das weltweit erste umfassende Gesetz zur Regulierung von Künstlicher Intelligenz. Sie verfolgt einen risikobasierten Ansatz: Je größer die potenziellen Auswirkungen eines KI-Systems auf Menschen, Sicherheit oder Grundrechte, desto umfangreicher sind die gesetzlichen Anforderungen.
Anders als die DSGVO konzentriert sich der AI Act nicht primär auf personenbezogene Daten. Im Mittelpunkt steht vielmehr die Frage, welche Risiken von einem KI-System ausgehen und welche Schutzmaßnahmen erforderlich sind. Die Verordnung gilt unmittelbar in allen Mitgliedstaaten der Europäischen Union und schafft damit einheitliche Regeln für den europäischen Markt.
Für wen gilt der AI Act?
Die Verordnung betrifft deutlich mehr Unternehmen als viele zunächst vermuten. Sie gilt für:
- Unternehmen mit Sitz in der EU, die KI-Systeme entwickeln oder einsetzen
- Anbieter von KI-Lösungen außerhalb der EU, sofern ihre Systeme auf dem europäischen Markt genutzt werden
- Unternehmen, die KI-Ergebnisse innerhalb der EU verwenden
- Hersteller von Produkten, in die KI-Komponenten integriert sind
Entscheidend ist also nicht nur der Unternehmensstandort, sondern auch die Wirkung des KI-Systems innerhalb der Europäischen Union. Ein deutsches Unternehmen, das einen US-amerikanischen KI-Dienst nutzt, kann ebenso von den Vorgaben betroffen sein wie ein amerikanischer Anbieter, dessen Lösung europäischen Kunden zur Verfügung steht.
Die wichtigsten Fristen im Überblick
Die EU-KI-Verordnung tritt nicht an einem einzigen Stichtag vollständig in Kraft. Die Anforderungen werden schrittweise wirksam, und die jüngsten Anpassungen durch den sogenannten Digital Omnibus machen es noch wichtiger, die einzelnen Daten sauber auseinanderzuhalten.
Seit August 2024: Die Verordnung ist offiziell in Kraft getreten.
Seit Februar 2025: Zwei Regelungen gelten bereits: das Verbot bestimmter KI-Praktiken mit unzulässigem Risiko sowie die Pflicht zur ausreichenden KI-Kompetenz der Mitarbeiter, die mit KI-Systemen arbeiten (Artikel 4). Unternehmen müssen also schon heute sicherstellen, dass ihre Beschäftigten über die nötigen Kenntnisse verfügen, um KI verantwortungsvoll einzusetzen.
Seit August 2025: Die Vorgaben für sogenannte General-Purpose-AI-Modelle (GPAI) sind anwendbar. Dazu zählen insbesondere die leistungsfähigen Basismodelle, auf denen viele moderne KI-Anwendungen aufbauen.
Zum 2. August 2026: Das ist der Stichtag, den die jüngste Verschiebung leicht in den Hintergrund rückt, der aber für viele Unternehmen der praktisch relevanteste ist. An diesem Tag greifen die meisten Transparenzpflichten nach Artikel 50. Anders als die Hochrisiko-Pflichten sind sie von der Verschiebung ausdrücklich nicht betroffen und gelten wie ursprünglich geplant. Konkret bedeutet das, dass Nutzer erkennen können müssen, wenn sie mit einer KI interagieren, etwa bei Chatbots, virtuellen Assistenten oder generativen KI-Anwendungen. Eine einzige Ausnahme betrifft die Kennzeichnung KI-generierter Inhalte nach Artikel 50 Absatz 2: Für Systeme, die vor dem 2. August 2026 auf den Markt gebracht wurden, verschiebt sich diese spezielle Pflicht auf den 2. Dezember 2026.
Die Hochrisiko-Fristen, und warum die Verschiebung keine Entwarnung ist
Hier hat sich die Lage zuletzt deutlich bewegt. Mit dem Digital Omnibus, auf den sich Rat und Parlament im Mai 2026 geeinigt haben, verschieben sich die strengsten Fristen:
- 2. Dezember 2027 für eigenständige Hochrisiko-Systeme nach Anhang III, also etwa KI in Recruiting, Kreditvergabe, Bildung oder kritischer Infrastruktur. Ursprünglich war hier der August 2026 vorgesehen.
- 2. August 2028 für Hochrisiko-KI, die in regulierte Produkte eingebettet ist, etwa in Medizinprodukte oder Maschinen.
Zwei Dinge sind dabei entscheidend. Erstens: Rat und Parlament haben dem Digital Omnibus zugestimmt (Parlament am 16. Juni, Rat am 29. Juni 2026). Rechtlich bindend werden die neuen Fristen aber erst mit der Veröffentlichung im Amtsblatt, die für Juli 2026 erwartet wird. Bis dahin gilt formal der ursprüngliche Zeitplan. Unternehmen sollten die neuen Daten daher als sehr belastbare Planungsannahme behandeln, deren rechtliche Verbindlichkeit unmittelbar bevorsteht.
Zweitens, und das ist der eigentliche Punkt: Verschoben wurde allein das Datum, ab dem die Pflichten durchgesetzt werden. Die inhaltlichen Anforderungen, also Konformitätsbewertung, technische Dokumentation, Risikomanagement, Daten-Governance und menschliche Aufsicht, bleiben unverändert. Wer die zusätzliche Zeit als Pause versteht, baut die entsprechenden Systeme später unter Zeitdruck. Wer sie nutzt, legt die Grundlagen jetzt in Ruhe. Eine Konformitätsbewertung und die zugehörige Dokumentation entstehen am saubersten, wenn sie von Anfang an Teil der Entwicklung sind, statt nachträglich um ein fertiges System herumgebaut zu werden.
Die vier Risikoklassen des AI Act
Das Herzstück der Verordnung ist die Einteilung von KI-Systemen in verschiedene Risikokategorien.
Verbotene KI-Praktiken:
Bestimmte Anwendungen gelten als unvereinbar mit europäischen Grundrechten und sind grundsätzlich verboten. Dazu gehören beispielsweise:
- Manipulation von Personen durch unterschwellige Beeinflussung
- Ausnutzung von Schutzbedürftigkeit oder Verwundbarkeit bestimmter Personengruppen
- Social Scoring nach dem Vorbild sozialer Bewertungssysteme
- das ungezielte Auslesen von Gesichtsbildern aus dem Internet oder aus Videoüberwachung zum Aufbau von Gesichtserkennungsdatenbanken
Für Unternehmen ist diese Kategorie zwar vergleichsweise selten relevant, sie markiert jedoch die klare Grenze dessen, was innerhalb der EU zulässig ist.
Hochrisiko-KI:
Hier liegt der Schwerpunkt der Verordnung. Als Hochrisiko-Systeme gelten KI-Anwendungen, deren Entscheidungen erhebliche Auswirkungen auf Menschen oder gesellschaftliche Prozesse haben können. Typische Beispiele sind:
- Bewerbermanagement und Recruiting-Systeme
- Systeme zur Mitarbeiterbewertung
- Kreditwürdigkeitsprüfungen
- Anwendungen im Gesundheitswesen
- Systeme im Bildungsbereich
- KI-Lösungen für kritische Infrastruktur
Für diese Systeme gelten umfangreiche Anforderungen, darunter:
- Risikomanagement
- technische Dokumentation
- Daten-Governance
- Qualitätsmanagement
- menschliche Aufsicht
- Protokollierung und Nachvollziehbarkeit
- Konformitätsbewertung
Die praktische Konsequenz: Unternehmen müssen nachweisen können, dass ihr System kontrolliert, nachvollziehbar und sicher betrieben wird.
KI-Systeme mit begrenztem Risiko:
Diese Kategorie umfasst viele Anwendungen, die heute bereits in Unternehmen eingesetzt werden. Dazu gehören beispielsweise:
- Chatbots
- virtuelle Assistenten
- KI-basierte Kommunikationstools
Hier stehen Transparenzpflichten im Vordergrund. Nutzer müssen erkennen können, dass sie mit einer KI und nicht mit einem Menschen kommunizieren. Der regulatorische Aufwand ist deutlich geringer als bei Hochrisiko-Systemen, dennoch sollten Unternehmen die entsprechenden Informationspflichten frühzeitig berücksichtigen.
Systeme mit minimalem Risiko:
Die meisten KI-Anwendungen fallen in diese Kategorie. Beispiele sind:
- Spamfilter
- KI-gestützte Rechtschreibkorrekturen
- Empfehlungssysteme mit geringem Risikopotenzial
Für diese Systeme sieht die Verordnung grundsätzlich keine zusätzlichen Verpflichtungen vor. Dennoch empfiehlt sich auch hier eine verantwortungsvolle Governance, insbesondere wenn sich Anwendungsbereiche oder Risiken künftig verändern.
Anbieter oder Betreiber? Die Rolle entscheidet
Ein zentraler Punkt der Verordnung wird häufig übersehen: Nicht jedes Unternehmen trägt dieselben Pflichten. Entscheidend ist die Rolle im jeweiligen KI-Projekt.
Anbieter (Provider):
Als Anbieter gilt, wer ein KI-System entwickelt oder unter eigenem Namen auf den Markt bringt. Anbieter tragen die umfangreichsten regulatorischen Pflichten. Dazu gehören unter anderem:
- Risikobewertungen
- technische Dokumentation
- Konformitätsverfahren
- laufende Überwachung des Systems
- Nachweise zur Einhaltung der Verordnung
Betreiber (Deployer):
Betreiber nutzen ein bestehendes KI-System innerhalb ihres Unternehmens. Typische Beispiele:
- Einsatz eines Recruiting-Tools
- Nutzung eines KI-Chatbots im Kundenservice
- Verwendung generativer KI für interne Prozesse
Auch Betreiber haben Pflichten, diese sind jedoch in der Regel weniger umfangreich als bei Anbietern. Sie müssen insbesondere sicherstellen, dass:
- das System bestimmungsgemäß eingesetzt wird
- Mitarbeiter ausreichend geschult sind
- interne Prozesse den regulatorischen Anforderungen entsprechen
- notwendige Transparenzpflichten eingehalten werden
Für viele Unternehmen ist die Rolle des Betreibers deutlich relevanter als die des Anbieters. Wichtig ist dabei die Grenze, an der ein Betreiber zum Anbieter wird: Wer ein eingekauftes Hochrisiko-System wesentlich verändert oder unter eigenem Namen einsetzt, übernimmt damit die deutlich umfangreicheren Anbieterpflichten.
Der 90-Sekunden-Selbsttest: Welche Pflichten gelten für Sie?
Bevor Sie den vollständigen Vorbereitungsprozess durchgehen, klären drei Fragen für die meisten Unternehmen, wo sie stehen.
1. Bauen Sie das KI-System, oder nutzen Sie eines?
Wer ein KI-System entwickelt oder unter eigenem Namen in Verkehr bringt, ist Anbieter (Provider) und trägt die umfangreichsten Pflichten. Wer ein bestehendes Tool weitgehend unverändert einsetzt, ist Betreiber (Deployer). Ein Vorbehalt: Wer ein zugekauftes Hochrisiko-System wesentlich verändert oder unter eigenem Namen betreibt, überschreitet die Schwelle zu den Anbieter-Pflichten.
2. Worüber entscheidet Ihr System tatsächlich?
Entscheidet es über Menschen oder gesellschaftliche Prozesse, also Recruiting, Kreditwürdigkeit, Gesundheit, Bildung, kritische Infrastruktur, ist es wahrscheinlich hochriskant. Interagiert es nur, etwa als Chatbot oder Assistent, fällt es meist unter begrenztes Risiko mit Transparenzpflichten. Filtert oder empfiehlt es lediglich, etwa ein Spamfilter oder eine Rechtschreibhilfe, ist es in der Regel minimales Risiko.
3. Ab wann wird es für Sie dringend?
Wenn Sie einen Chatbot oder generative KI betreiben, gelten die meisten Transparenzpflichten nach Artikel 50 ab dem 2. August 2026, und die Verschiebung berührt sie nicht. Wenn Sie ein Hochrisiko-System betreiben, liegt Ihre Durchsetzungsfrist beim 2. Dezember 2027 (eigenständig) oder 2. August 2028 (in regulierte Produkte eingebettet), doch die inhaltliche Arbeit beginnt jetzt.
Der häufigste Fall in der Praxis: ein Unternehmen, das ein zugekauftes Tool nutzt (Betreiber), einen Chatbot betreibt (begrenztes Risiko) und damit eine echte Frist zum 2. August 2026 hat. Genau diese Situation führt der nächste Abschnitt vollständig durch.
Ein Beispiel: Support-Chatbot
Nehmen wir einen häufigen Fall. Ein mittelständischer Hersteller hat seinen Kundensupport um einen zugekauften KI-Chatbot ergänzt, direkt vom Anbieter, unverändert. Was bedeutet der EU AI Act (KI-Verordnung) für dieses Unternehmen konkret?
Rolle: Das Unternehmen nutzt das Tool wie geliefert und bringt es nicht unter eigenem Namen in Verkehr. Es ist Betreiber (Deployer), nicht Anbieter. Schon das nimmt die schwersten Pflichten heraus, also Konformitätsbewertung, technische Dokumentation, laufende Systemüberwachung, die beim Anbieter liegen.
Risikoklasse: Der Chatbot interagiert mit Menschen, entscheidet aber nicht über Kreditwürdigkeit, Einstellungen oder den Zugang zu wesentlichen Leistungen. Er fällt unter begrenztes Risiko, nicht unter Hochrisiko. Dieser Unterschied entscheidet zwischen einer Handvoll Transparenzpflichten und einem vollständigen Compliance-Programm.
Frist: Weil es sich um eine Transparenzpflicht nach Artikel 50 handelt, ist der 2. August 2026 der maßgebliche Termin, und die Verschiebung gilt hier nicht. Zusätzliche Zeit gibt es nicht.
Die drei konkreten To-dos:
Mehr ist es für dieses Unternehmen nicht. Keine Konformitätsbewertung, keine Hochrisiko-Dokumentation, eine echte Frist, drei überschaubare Aufgaben. Der Sinn der Übung liegt nicht in der konkreten Antwort, sondern in der Methode: erst die Rolle, dann die Risikoklasse, dann die Frist, dann die kurze Liste an Pflichten, die tatsächlich daraus folgt.
Was Unternehmen jetzt konkret tun sollten
Das Beispiel zeigt die Methode an einem Fall. Für den eigenen Durchlauf folgt sie immer derselben Reihenfolge:
Erfassen Sie zunächst alle KI-Systeme, die Sie nutzen oder einführen wollen, einschließlich zugekaufter SaaS-Lösungen. Ordnen Sie jedes System einer Risikoklasse zu und klären Sie Ihre Rolle, Betreiber oder Anbieter. Aus dieser Kombination ergeben sich die konkreten Pflichten und die maßgebliche Frist, so wie im Beispiel oben.
Zwei Dinge sollten Sie dabei früh festlegen: klare Verantwortlichkeiten über Compliance, IT-Sicherheit, Datenschutz und Fachbereiche hinweg, sowie einen einfachen Governance-Prozess für Dokumentation, Freigaben und die laufende Überwachung. Beides muss nicht aufwendig sein, aber es sollte benannt und dokumentiert sein.
Ein Punkt verdient besondere Aufmerksamkeit, weil er bereits seit Februar 2025 gilt und häufig übersehen wird: die KI-Kompetenz (AI Literacy) Ihrer Mitarbeitenden. Artikel 4 verpflichtet Unternehmen, dafür zu sorgen, dass Personen, die mit KI arbeiten, deren Chancen, Risiken und Grenzen verantwortungsvoll einschätzen können. Der Digital Omnibus passt diese Pflicht an, hebt sie für Unternehmen aber ausdrücklich nicht auf. Ein früher diskutierter Vorschlag, die Verantwortung von Anbietern und Betreibern hin zu Kommission und Mitgliedstaaten zu verlagern, wurde in der Endfassung verworfen. Die Pflicht bleibt bei den Unternehmen und wird lediglich in ihrer Formulierung praxisgerechter: Aus der strengen Pflicht, ein bestimmtes Kompetenzniveau sicherzustellen, wird eine Pflicht, geeignete Maßnahmen zur Förderung der KI-Kompetenz zu ergreifen, eine Bemühens-, keine Ergebnispflicht. Es geht nicht darum, aus jedem Mitarbeiter einen Data Scientist zu machen, sondern darum, Beschäftigte in die Lage zu versetzen, KI sicher und rechtskonform einzusetzen. Gerade weil die Anforderungen je nach Branche und Anwendungsfall variieren, sind praxisnahe Schulungsformate ein wichtiger Baustein.
Jetzt handeln und Kompetenzen aufbauen
Die EU-KI-Verordnung soll den Einsatz von Künstlicher Intelligenz nicht verhindern, sondern in verlässliche und vertrauenswürdige Bahnen lenken. Für Unternehmen entsteht dadurch kein Innovationshemmnis, sondern ein klarer Rahmen für den sicheren und verantwortungsvollen Einsatz von KI.
Wer KI heute bereits nutzt oder entsprechende Projekte plant, sollte die Anforderungen nicht als spätere Formalität betrachten. Die entscheidenden Weichen werden häufig bereits bei der Auswahl, Einführung und Nutzung von KI-Systemen gestellt. Neben technischen und organisatorischen Maßnahmen gewinnt insbesondere die KI-Kompetenz der Mitarbeiter an Bedeutung. Unternehmen, die frühzeitig Wissen aufbauen und klare Verantwortlichkeiten schaffen, reduzieren regulatorische Risiken und schaffen gleichzeitig die Grundlage für eine erfolgreiche KI-Strategie.
Genau an diesem Punkt setzt theBlue.ai an. Wir entwickeln individuelle KI-Lösungen, die auf den konkreten Anwendungsfall eines Unternehmens zugeschnitten sind. Datenhoheit, Nachvollziehbarkeit und menschliche Aufsicht, sind dabei für uns kein nachträglicher Zusatz, sondern seit jeher fester Bestandteil unserer Entwicklungsarbeit. Schon bevor die Verordnung diese Anforderungen formuliert hat, haben wir KI-Systeme so gebaut, dass sie nachvollziehbare Ergebnisse liefern, bei Bedarf vollständig im eigenen Rechenzentrum laufen und den Menschen in der Kontrolle behalten.
Neben der Entwicklung vermitteln wir auch das nötige Wissen, um die KI-Kompetenz im Unternehmen aufzubauen. In unseren praxisnahen AI Workshops schulen wir Ihre Mitarbeiter für den sicheren und rechtskonformen Einsatz von KI und verbinden dabei regulatorische Anforderungen, konkrete Anwendungsfälle und organisatorische Best Practices. Wenn Sie ein konkretes KI-Vorhaben planen, sprechen Sie mit uns über Ihren Anwendungsfall.
Disclaimer: Dieser Artikel gibt einen allgemeinen Überblick zum Stand der EU-KI-Verordnung im Juli 2026 und ersetzt keine Rechtsberatung. Der regulatorische Rahmen bewegt sich derzeit schnell: Der Digital Omnibus wurde vom Europäischen Parlament am 16. Juni 2026 bestätigt und vom Rat der EU am 29. Juni 2026 final angenommen, ist zum Redaktionszeitpunkt aber noch nicht im Amtsblatt der EU veröffentlicht. Erst mit dieser Veröffentlichung, erwartet für Juli 2026, werden die neuen Fristen rechtlich bindend; bis dahin gilt formal die AI-Verordnung in ihrer Fassung von 2024. Einzelne Angaben, insbesondere zu den Hochrisiko-Fristen und zur Ausgestaltung der KI-Kompetenzpflicht nach Artikel 4, können sich mit dem endgültigen Wortlaut noch ändern. Prüfen Sie den aktuellen Stand und den verbindlichen Wortlaut der Verordnung, bevor Sie konkrete Compliance-Entscheidungen treffen.
Über die Autorin
Julia Rose, Marketing Lead, theBlue.ai
Julia ist seit 2019 Teil von theBlue.ai und begleitet die Entwicklung von KI-Anwendungen im Unternehmensumfeld seit den frühen Tagen des Unternehmens. In ihrer Rolle als Marketing Lead arbeitet sie eng mit den Engineering- und Consulting-Teams zusammen und macht komplexe technische Themen für Entscheider verständlich und zugänglich.
In ihren Artikeln schreibt sie über praktische Erfahrungen aus Enterprise-KI-Projekten sowie über die Herausforderungen und Chancen beim Einsatz von KI in Unternehmen.