www.simplify-data.de
Der EU AI Act ist die erste umfassende Regulierung für künstliche Intelligenz in der EU. Er betrifft nicht nur Softwarehersteller, sondern auch Unternehmen, die KI-Werkzeuge im Alltag einsetzen, etwa Chatbots, Textgeneratoren oder Bewerbermanagement mit KI-Funktionen. Dieser Artikel gibt Ihnen einen Überblick über Risikoklassen, Pflichten und Fristen (Stand: November 2026).
Wichtiger Hinweis: Dieser Beitrag ist eine allgemeine Information und keine Rechtsberatung. Für die Bewertung Ihres konkreten Falls wenden Sie sich an eine Fachanwältin oder einen Fachanwalt.
Was ist der EU AI Act?
Der EU AI Act ist die Verordnung (EU) 2024/1689, auf Deutsch oft „KI-Verordnung“ genannt. Sie ist am 1. August 2024 in Kraft getreten und gilt als EU-Verordnung unmittelbar in allen Mitgliedstaaten. Die Pflichten greifen gestaffelt, nicht alle auf einmal.
Im Juli 2026 wurde die Verordnung durch den sogenannten Digital Omnibus on AI geändert, die Verordnung (EU) 2026/1744. Sie ist am 27. Juli 2026 in Kraft getreten. Der Omnibus ist Teil eines Vereinfachungspakets der EU-Kommission und verschiebt vor allem die Fristen für Hochrisiko-KI nach hinten.
Anbieter oder Betreiber: Welche Rolle haben Sie?
Der AI Act unterscheidet mehrere Rollen. Für die meisten mittelständischen Unternehmen sind zwei relevant:
- Anbieter (Provider): Wer ein KI-System entwickelt oder entwickeln lässt und unter eigenem Namen in Verkehr bringt. Das gilt auch, wenn Sie ein selbst gebautes KI-Tool Ihren Kunden anbieten.
- Betreiber (Deployer): Wer ein KI-System in eigener Verantwortung beruflich nutzt. Ein Unternehmen, das einen KI-Chatbot auf seiner Website einsetzt oder Mitarbeitende mit einem KI-Assistenten arbeiten lässt, ist in der Regel Betreiber.
Die Pflichten von Anbietern sind deutlich umfangreicher. Betreiber haben aber ebenfalls eigene Pflichten, besonders bei Hochrisiko-Systemen und bei Transparenz.
Die vier Risikoklassen
Der AI Act ordnet KI-Systeme nach ihrem Risiko ein. Je höher das Risiko, desto strenger die Regeln.
| Risikoklasse | Beispiele | Folge |
|---|---|---|
| Unannehmbares Risiko | Social Scoring, Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen, ungezieltes Auslesen von Gesichtsbildern für Datenbanken | Verboten |
| Hohes Risiko | KI in Bewerberauswahl, Kreditwürdigkeitsprüfung, Bewertung von Prüfungen, KI als Sicherheitsbauteil regulierter Produkte | Strenge Anforderungen |
| Transparenzrisiko | Chatbots, KI-generierte Bilder, Audio und Videos, Deepfakes | Kennzeichnungs- und Informationspflichten |
| Minimales Risiko | Spamfilter, KI in Videospielen, die meisten Alltagsanwendungen | Keine besonderen Pflichten |
Nach Angaben der EU-Kommission fällt der Großteil der heute genutzten KI-Systeme in die Klasse mit minimalem Risiko. Für viele KMU stehen daher die KI-Kompetenz und die Transparenzpflichten im Vordergrund.
Fristen im Überblick
Die folgende Übersicht berücksichtigt die Änderungen durch den Digital Omnibus (Stand: November 2026):
| Datum | Was gilt |
|---|---|
| 2. Februar 2025 | Verbotene Praktiken und Pflicht zur KI-Kompetenz (Art. 4) |
| 2. August 2025 | Regeln für KI-Modelle mit allgemeinem Verwendungszweck (GPAI) und Governance |
| 2. August 2026 | Transparenzpflichten (Art. 50), Beginn der Durchsetzung |
| 2. Dezember 2026 | Neues Verbot von KI für nicht einvernehmliche intime Inhalte und Darstellungen sexuellen Kindesmissbrauchs; Übergangsfrist für die Kennzeichnung bei Systemen, die vor August 2026 am Markt waren |
| 2. Dezember 2027 | Hochrisiko-Pflichten für Anwendungsfälle nach Anhang III (z. B. Personalwesen, Bildung, Kreditwürdigkeit) |
| 2. August 2028 | Hochrisiko-Pflichten für KI in regulierten Produkten nach Anhang I (z. B. Maschinen, Medizinprodukte) |
Ursprünglich sollten die Hochrisiko-Pflichten nach Anhang III bereits ab August 2026 gelten. Die Verschiebung schafft Zeit, ändert aber nichts an den inhaltlichen Anforderungen.
KI-Kompetenz nach Artikel 4
Seit Februar 2025 müssen Anbieter und Betreiber Maßnahmen ergreifen, damit ihr Personal ausreichend mit KI umgehen kann. Das betrifft jedes Unternehmen, das KI-Systeme beruflich einsetzt, unabhängig von der Risikoklasse.
Der Digital Omnibus hat die Formulierung abgeschwächt: Unternehmen müssen Maßnahmen zur Förderung der KI-Kompetenz ihrer Mitarbeitenden ergreifen, sie müssen aber kein bestimmtes Kompetenzniveau einzelner Personen garantieren. Die EU-Kommission soll dazu praktische Beispiele veröffentlichen.
In der Praxis bedeutet das zum Beispiel:
- Schulungen zu Funktionsweise, Grenzen und typischen Fehlern der eingesetzten Werkzeuge
- interne Regeln, welche Daten in KI-Tools eingegeben werden dürfen
- eine dokumentierte Übersicht, wer welche Schulung erhalten hat
Verbotene Praktiken
Seit Februar 2025 sind bestimmte KI-Anwendungen verboten. Dazu gehören unter anderem manipulative Techniken, die Menschen zu schädlichen Entscheidungen verleiten, Social Scoring, Emotionserkennung am Arbeitsplatz (mit engen Ausnahmen etwa aus medizinischen oder Sicherheitsgründen) und das ungezielte Sammeln von Gesichtsbildern aus dem Internet. Der Digital Omnibus ergänzt ab Dezember 2026 ein Verbot von KI-Systemen, die nicht einvernehmliche intime Darstellungen oder Missbrauchsdarstellungen von Kindern erzeugen.
Für die meisten Unternehmen sind diese Verbote kein Alltagsthema. Prüfen sollten Sie aber Werkzeuge im Personalbereich, etwa Software, die in Videointerviews Emotionen auswerten will.
Transparenzpflichten
Seit August 2026 gelten die Transparenzpflichten nach Artikel 50. Für Betreiber heißt das vor allem:
- Menschen müssen erkennen können, dass sie mit einem KI-System interagieren, etwa bei einem Chatbot, sofern das nicht ohnehin offensichtlich ist.
- Deepfakes, also KI-erzeugte oder manipulierte Bilder, Videos oder Tonaufnahmen, die echt wirken, müssen als solche offengelegt werden.
- KI-generierte Texte, die zur Information der Öffentlichkeit über Angelegenheiten von öffentlichem Interesse veröffentlicht werden, müssen gekennzeichnet werden, außer sie wurden redaktionell geprüft und verantwortet.
Anbieter generativer KI müssen zusätzlich dafür sorgen, dass erzeugte Inhalte maschinenlesbar als KI-generiert erkennbar sind.
Hochrisiko-KI: Was ab Dezember 2027 gilt
Wenn Sie KI für Personalentscheidungen, Kreditentscheidungen oder andere Bereiche aus Anhang III einsetzen, kommen umfangreichere Pflichten auf Sie zu. Anbieter müssen unter anderem ein Risikomanagement, technische Dokumentation, Protokollierung und eine Konformitätsbewertung nachweisen.
Betreiber müssen das System gemäß Gebrauchsanweisung nutzen, eine menschliche Aufsicht durch geschulte Personen sicherstellen, Protokolle aufbewahren und betroffene Beschäftigte informieren. Für KMU sieht der Omnibus Erleichterungen vor, etwa eine vereinfachte technische Dokumentation für Anbieter.
KI-Modelle mit allgemeinem Verwendungszweck (GPAI)
GPAI-Modelle sind große Modelle wie die hinter ChatGPT, Claude oder Gemini, die für viele Aufgaben einsetzbar sind. Die Pflichten dafür gelten seit August 2025 und richten sich an die Modellanbieter: technische Dokumentation, Informationen für nachgelagerte Anbieter, eine Strategie zur Einhaltung des Urheberrechts und eine Zusammenfassung der Trainingsdaten. Für Modelle mit systemischem Risiko kommen weitere Pflichten hinzu.
Wenn Sie ein solches Modell nur nutzen oder in eigene Anwendungen einbinden, treffen Sie diese Pflichten in der Regel nicht direkt. Sie sollten aber darauf achten, dass Ihr Anbieter sie erfüllt.
Aufsicht und Bußgelder in Deutschland
In Deutschland regelt das KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG) vom Juli 2026 die Zuständigkeiten. Zentrale Marktüberwachungsbehörde ist danach grundsätzlich die Bundesnetzagentur, für bestimmte Bereiche wie die Finanzbranche ist die BaFin zuständig.
Der AI Act sieht Bußgelder von bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes bei verbotenen Praktiken vor, bei anderen Verstößen niedrigere Obergrenzen. Für KMU gilt jeweils der niedrigere der beiden Beträge.
Checkliste: So gehen Sie jetzt vor
- Bestandsaufnahme: Listen Sie alle KI-Werkzeuge auf, die in Ihrem Unternehmen genutzt werden, auch kostenlose Tools, die Mitarbeitende selbst eingeführt haben.
- Rolle klären: Sind Sie bei jedem Werkzeug nur Betreiber oder auch Anbieter, weil Sie es an Kunden weitergeben?
- Risikoklasse einordnen: Prüfen Sie besonders Anwendungen im Personalbereich und bei Kundenentscheidungen.
- KI-Kompetenz fördern: Planen Sie Schulungen und dokumentieren Sie diese.
- Transparenz umsetzen: Kennzeichnen Sie Chatbots und KI-erzeugte Medien.
- Interne Richtlinie erstellen: Regeln Sie, welche Tools und welche Daten erlaubt sind.
- Fristen beobachten: Die Regulierung entwickelt sich weiter, Leitlinien der Kommission folgen.
Unterstützung durch Simplify Data
Simplify Data aus Kiel unterstützt Unternehmen in Schleswig-Holstein, Hamburg und deutschlandweit bei der Einführung von KI und Automatisierung. Wir helfen bei der technischen Bestandsaufnahme und bei der Auswahl passender Werkzeuge; die rechtliche Bewertung gehört in die Hände einer Kanzlei. Mehr dazu auf unserer Seite zu KI-Lösungen für Unternehmen.