EU AI Act 2026: Was Ihr Unternehmen jetzt konkret tun muss

Der EU AI Act (Verordnung (EU) 2024/1689) ist die weltweit erste umfassende gesetzliche Regulierung von KI-Systemen. Seit August 2024 in Kraft getreten, entfaltet er seine Wirkung gestaffelt bis 2027, doch viele Unternehmen unterschätzen den Handlungsbedarf. Dieser Beitrag klärt, was Sie konkret wissen und tun müssen.

Was ist der EU AI Act überhaupt?

Der EU AI Act reguliert KI-Systeme nach ihrem Risikopotenzial, ähnlich wie die DSGVO personenbezogene Daten schützt, schützt der AI Act vor Schäden durch KI. Das Gesetz richtet sich an:

• Anbieter von KI-Systemen (Entwickler, die KI vermarkten)
• Betreiber von KI-Systemen (Unternehmen, die KI-Tools im Betrieb einsetzen)
• Importeure und Händler von KI-Produkten

Als "KI-System" gilt dabei jedes System, das auf Basis von Eingaben Ergebnisse wie Vorhersagen, Empfehlungen, Entscheidungen oder Inhalte erzeugt, von Chatbots über Rekrutierungssoftware bis hin zu Produktionsoptimierung.

Die vier Risikoklassen im Überblick

Das Kernprinzip des AI Acts ist ein risikobasierter Ansatz. Je höher das Risiko, desto strenger die Anforderungen:

Risikoklasse	Beispiele	Rechtsfolge
Unakzeptabel	Social Scoring durch Behörden, biometrische Echtzeitüberwachung im öffentlichen Raum, manipulative KI	Verboten, keine Ausnahmen möglich
Hochrisiko	KI in HR/Recruiting, Kreditbewertung, kritische Infrastruktur, Medizinprodukte, Justiz	Umfangreiche Pflichten: Risikomanagementsystem, Datengovernance, Transparenz, menschliche Aufsicht, Konformitätsbewertung
Begrenzte Risiken	Chatbots, Deepfakes, emotionserkennende KI	Transparenzpflichten: Nutzer müssen wissen, dass sie mit KI interagieren
Minimale Risiken	Spam-Filter, KI-gestützte Suche, Spielecharaktere	Keine spezifischen Pflichten, freiwillige Verhaltenskodizes empfohlen

Der Zeitplan: Was gilt ab wann?

Welche Unternehmen sind besonders betroffen?

Viele Mittelständler glauben, der EU AI Act sei primär ein Thema für Tech-Konzerne. Das ist ein gefährlicher Irrtum. Als Betreiber (Deployer) sind Sie betroffen, wenn Sie:

• KI-gestützte Bewerbermanagementsysteme nutzen (z.B. automatische CV-Analyse)
• Kreditwürdigkeitsprüfungen per KI durchführen
• Chatbots im Kundenservice einsetzen, ohne Offenlegung
• KI zur Leistungsüberwachung von Mitarbeitern verwenden
• Prädiktive Wartungssysteme in kritischer Infrastruktur betreiben

Pflichten für Hochrisiko-Betreiber

Wenn Sie Hochrisiko-KI-Systeme einsetzen, müssen Sie konkret:

• Sicherstellen, dass das System eine Konformitätserklärung (CE-Kennzeichnung) vom Anbieter hat
• Ein Risikomanagementsystem implementieren und dokumentieren
• Mitarbeiter im Umgang mit dem System schulen und Qualifikationsnachweise führen
• Menschliche Aufsicht sicherstellen. KI-Entscheidungen müssen überprüfbar und korrigierbar sein
• Protokolle über den Systembetrieb für mindestens 6 Monate aufbewahren
• Grundrechtsfolgenabschätzung durchführen (für Behörden verpflichtend, für Private empfohlen)

Transparenzpflichten: Das betrifft fast alle

Auch wenn Ihre KI nicht als Hochrisiko eingestuft wird, gelten für viele Systeme Transparenzpflichten:

• Chatbots und virtuelle Assistenten: Nutzer müssen wissen, dass sie mit einer KI interagieren
• Deepfakes und synthetische Inhalte: Kennzeichnungspflicht als KI-generiert
• Emotionserkennung: Nutzer müssen informiert werden, wenn ihre Emotionen analysiert werden

So starten Sie: 5-Schritte-Sofortplan

Angesichts der bereits laufenden Fristen empfehle ich folgendes Vorgehen:

Schritt 1: KI-Inventar erstellen

Dokumentieren Sie alle KI-Systeme in Ihrem Unternehmen, auch solche, die als "normale Software" wahrgenommen werden. Microsoft 365 Copilot, ChatGPT-Integrationen, automatisierte Entscheidungssysteme in ERP oder CRM zählen dazu.

Schritt 2: Risikoklassifizierung durchführen

Ordnen Sie jedes System einer Risikoklasse zu. Der EU AI Act definiert Hochrisiko-Anwendungsfelder in Anhang II und III. Prüfen Sie kritisch: Welche Entscheidungen werden durch KI unterstützt oder automatisiert?

Schritt 3: Anbieter-Dokumentation prüfen

Fordern Sie von Ihren KI-Systemanbietern die Konformitätsdokumentation an. EU-Anbieter müssen diese liefern können; für Nicht-EU-Anbieter prüfen Sie, ob ein EU-Bevollmächtigter existiert.

Schritt 4: Verantwortlichkeiten intern klären

Benennen Sie einen AI Act Compliance-Verantwortlichen, ähnlich wie einen Datenschutzbeauftragten. Verankern Sie KI-Governance in bestehenden Compliance-Strukturen.

Schritt 5: Schulungen durchführen

Mitarbeiter, die Hochrisiko-KI nutzen, müssen nachweislich geschult sein. Dokumentieren Sie Schulungen und aktualisieren Sie sie bei Systemänderungen.

Ihre Sofort-Checkliste

• KI-Inventar aller genutzten KI-Systeme erstellt und dokumentiert
• Risikoklassifizierung für jedes System durchgeführt
• Systeme mit "unakzeptablem Risiko" identifiziert und abgeschaltet (seit Feb. 2025 Pflicht)
• Konformitätsdokumentation von Anbietern aller Hochrisiko-Systeme angefordert
• Transparenzhinweise bei Chatbots und KI-generierten Inhalten implementiert
• Interne AI-Governance-Struktur und Verantwortliche benannt
• Schulungsmaßnahmen für Mitarbeiter mit KI-Systemen geplant/umgesetzt
• Protokollierungs- und Aufbewahrungsprozesse für KI-Betriebsdaten eingerichtet

Sanktionen: Was droht bei Verstößen?

Der EU AI Act sieht gestaffelte Bußgelder vor:

• Bis 35 Mio. € oder 7% des Jahresumsatzes bei Verstößen gegen die Verbote (unakzeptable Risiken)
• Bis 15 Mio. € oder 3% des Jahresumsatzes bei Verstößen gegen sonstige Pflichten
• Bis 7,5 Mio. € oder 1,5% des Jahresumsatzes bei falschen Angaben gegenüber Behörden

Für KMU gelten die niedrigeren Werte aus dem jeweiligen Wertepaar. Die Aufsicht erfolgt durch nationale Marktaufsichtsbehörden, in Deutschland voraussichtlich die Bundesnetzagentur.