EU AI Act: Pflichten Für Unternehmen 2026

Der 2. August 2026 ist ein Datum, das viele Unternehmen inzwischen nicht mehr übersehen können. An diesem Tag wird der größte Teil des EU AI Act wirksam.

Wer Künstliche Intelligenz einsetzt, entwickelt oder verkauft, bekommt ab jetzt konkrete Pflichten statt vager Ankündigungen. Das Thema steht längst nicht mehr nur auf der Agenda der IT-Abteilung.

Viele Firmen fragen sich, ob sie überhaupt betroffen sind. Meistens lautet die Antwort: ja – selbst wenn es nur um einen Chatbot auf der Webseite oder KI-Tools im Marketing geht.

Hier erfährst du, welche Pflichten jetzt gelten, wer betroffen ist und wie du als Unternehmen den Einstieg findest, ohne gleich in Panik zu verfallen.

Ein Punkt sorgt aktuell für Verwirrung: der sogenannte Digital Omnibus. Dieses Gesetzespaket könnte einzelne Fristen für Hochrisiko-Systeme verschieben.

Solange aber nichts final beschlossen ist, bleibt der 2. August 2026 der Stichtag, auf den du dich einstellen solltest.

Einordnung und Zeitplan

Der EU AI Act ist kein einmaliges Gesetz, sondern ein Stufenmodell. Es lohnt sich, die Ziele der Verordnung zu kennen, die Fristen im Blick zu behalten und zu verstehen, wie sie sich von der DSGVO unterscheidet.

Ziele und Geltungsbereich der Verordnung

Der EU AI Act will KI-Systeme sicher und vertrauenswürdig machen. Gleichzeitig soll Innovation nicht ausgebremst werden – zumindest in der Theorie.

Die Verordnung gilt für fast jedes Unternehmen in der EU, das KI entwickelt, verkauft oder nutzt. Auch Firmen außerhalb der EU sind betroffen, wenn ihre KI-Systeme in der EU zum Einsatz kommen.

Wichtige Stichtage bis August 2026

Die Verordnung trat am 1. August 2024 in Kraft. Seitdem greifen die Regeln schrittweise:

• Seit 2. Februar 2025: Verbot bestimmter KI-Praktiken und Pflicht zur KI-Kompetenz
• Seit 2. August 2025: Governance-Regeln und Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck
• Ab 2. August 2026: Vollständige Anforderungen an Hochrisiko-KI-Systeme, Transparenzpflichten und Registrierungspflichten

Der August-Stichtag 2026 bringt den größten Umbruch. Ein Digital Omnibus könnte einzelne Fristen auf 2027 oder 2028 verschieben – aber das ist noch nicht entschieden.

Abgrenzung zu DSGVO und nationalem Recht

Die DSGVO schützt personenbezogene Daten. Der EU AI Act reguliert dagegen die Technologie selbst, egal ob personenbezogene Daten verarbeitet werden oder nicht.

Beide Gesetze können gleichzeitig greifen. Ein KI-System zur Bewerberauswahl muss zum Beispiel Datenschutzregeln und die Vorgaben für Hochrisiko-Systeme erfüllen.

Nationale Aufsichtsbehörden ergänzen die EU-Regeln mit eigenen Strukturen.

Rollen und Risikostufen bestimmen

Bevor du loslegst, solltest du wissen, welche Rolle dein Unternehmen einnimmt und wie riskant deine KI-Anwendung ist. Das entscheidet, welche Vorgaben für dich gelten – klingt simpel, ist aber oft knifflig.

Anbieter, Betreiber, Importeure und Händler

Der EU AI Act unterscheidet mehrere Rollen. Ein Anbieter entwickelt ein KI-System oder lässt es entwickeln und bringt es auf den Markt.

Ein Betreiber setzt ein fertiges KI-System im eigenen Unternehmen ein. Die meisten Firmen sind eher Betreiber als Anbieter, etwa wenn sie ein KI-Tool von außen nutzen.

Importeure bringen KI-Systeme aus Nicht-EU-Ländern auf den EU-Markt. Händler vertreiben KI-Systeme, ohne sie selbst entwickelt zu haben.

Jede Rolle bringt eigene Pflichten mit sich.

Verbotene KI-Praktiken erkennen

Manche KI-Anwendungen sind komplett verboten. Dazu zählen Social Scoring durch Behörden, manipulative KI-Systeme, die gezielt menschliches Verhalten ausnutzen, und bestimmte Formen biometrischer Überwachung im öffentlichen Raum.

Diese Verbote gelten schon seit Februar 2025. Prüfe, ob dein Unternehmen versehentlich in Grauzonen rutscht, zum Beispiel bei Emotionserkennung am Arbeitsplatz.

Hochrisiko-Systeme korrekt einordnen

Hochrisiko-KI-Systeme stehen in Anhang III der Verordnung. Dazu gehören Systeme in acht Bereichen:

• Biometrische Identifizierung
• Kritische Infrastruktur
• Bildung und Berufsausbildung
• Beschäftigung und Personalverwaltung
• Zugang zu wesentlichen Dienstleistungen
• Strafverfolgung
• Migration und Asyl
• Rechtspflege und demokratische Prozesse

Ein KI-Tool zur Bewerberauswahl fällt klar in diese Kategorie. Für solche Systeme gelten ab August 2026 die vollständigen Anforderungen.

KI mit begrenztem Risiko und Transparenzanforderungen

Chatbots, virtuelle Assistenten oder Systeme, die Inhalte erzeugen, gelten meist als begrenztes Risiko. Hier reichen Transparenzpflichten aus – keine aufwendigen Konformitätsbewertungen.

Nutzer müssen wissen, dass sie mit einer KI sprechen. Das umzusetzen ist oft weniger kompliziert, als viele Unternehmen anfangs denken.

Bereits geltende Organisationspflichten

Manche Pflichten gibt’s schon länger und werden ab Sommer 2026 noch genauer geprüft. Dazu zählen Schulungen für Mitarbeitende, klare interne Zuständigkeiten und ein Überblick über alle genutzten KI-Systeme.

KI-Kompetenz der Beschäftigten sicherstellen

Seit Februar 2025 müssen Unternehmen sicherstellen, dass Mitarbeitende, die mit KI arbeiten, ausreichend geschult sind. Niemand muss zum KI-Profi werden.

Es reicht, wenn Beschäftigte die Grundfunktion, die Grenzen und die Risiken der eingesetzten Systeme verstehen. Eine kurze interne Schulung mit Beispielen erfüllt diese Pflicht oft schon.

Interne Verantwortlichkeiten und Governance festlegen

Jemand im Unternehmen sollte klar benennen können, wer für KI-Themen zuständig ist. In größeren Firmen gibt’s dafür oft ein kleines KI-Gremium oder eine feste Ansprechperson.

Diese Person oder Gruppe überwacht neue KI-Projekte, prüft Risiken und sorgt dafür, dass Vorgaben eingehalten werden.

Inventar für KI-Systeme und Einsatzfälle aufbauen

Viele Unternehmen wissen gar nicht, wie viele KI-Tools sie tatsächlich im Einsatz haben. Ein einfaches Inventar hilft, den Überblick zu behalten.

Trage ein, welches Tool wofür genutzt wird, wer es verantwortet und welcher Risikostufe es zugeordnet ist. Diese Liste ist die Grundlage für alle weiteren Schritte.

Vorgaben für Entwicklung und Beschaffung

Wer Hochrisiko-KI entwickelt oder einkauft, muss technische und organisatorische Anforderungen erfüllen. Das betrifft die Dokumentation, die Qualität der Trainingsdaten und Verträge mit externen Anbietern.

Konformitätsbewertung und technische Dokumentation

Hochrisiko-Systeme brauchen vor dem Markteintritt eine Konformitätsbewertung. Dabei prüft man, ob das System alle Anforderungen erfüllt.

Die technische Dokumentation muss so detailliert sein, dass Aufsichtsbehörden die Funktionsweise nachvollziehen können. Viele Unternehmen orientieren sich mangels EU-Normen aktuell an internationalen Standards wie ISO/IEC 42001.

Datenqualität, Risikomanagement und menschliche Aufsicht

Trainings- und Testdaten müssen nach klaren Kriterien ausgewählt und dokumentiert werden. Schlechte Daten führen zu fehlerhaften oder diskriminierenden Ergebnissen.

Ein Risikomanagementsystem begleitet das KI-System über den gesamten Lebenszyklus. Menschen müssen die Funktionsweise überwachen und im Zweifel eingreifen können.

Verträge und Prüfprozesse für externe KI-Anbieter

Die meisten Unternehmen entwickeln keine eigene KI, sondern kaufen fertige Lösungen ein. Trotzdem tragen sie als Betreiber Verantwortung.

Verträge mit KI-Anbietern sollten regeln, wer welche Pflichten übernimmt. Frag aktiv nach Dokumentation, Risikobewertung und Nachweisen zur Konformität, bevor du ein Tool einführst.

Transparenz im Kundendialog und Arbeitsalltag

Ab August 2026 gelten umfassende Transparenzpflichten nach Artikel 50. Diese betreffen die Kommunikation mit Kunden und interne Infos für Mitarbeitende.

Hinweise bei Interaktion mit KI-Systemen

Wer mit einem Chatbot oder virtuellen Assistenten spricht, muss das wissen. Ein kurzer Hinweis zu Beginn des Gesprächs reicht meist aus.

Das gilt auch für KI-Agenten, die eigenständig Aufgaben übernehmen. Versteck solche Hinweise nicht in langen Nutzungsbedingungen.

Kennzeichnung KI-generierter Inhalte und Deepfakes

Bilder, Videos, Audiodateien und Texte, die von KI erzeugt wurden, müssen als solche erkennbar sein. Für Deepfakes gelten besonders strenge Regeln, weil sie leicht täuschen können.

Die Kennzeichnung soll künftig auch maschinenlesbar sein, etwa durch digitale Wasserzeichen. Ein passender Code of Practice entsteht gerade noch.

Informationspflichten für Beschäftigte und Betroffene

Mitarbeitende, die von KI-Entscheidungen betroffen sind, etwa bei der Leistungsbewertung, müssen darüber informiert werden. Das schafft Vertrauen und verhindert Missverständnisse.

Auch Bewerber oder Kunden haben ein Recht darauf zu erfahren, wenn eine KI an einer Entscheidung beteiligt war. Klare, einfache Sprache hilft hier mehr als Fachchinesisch.

Kontrollen, Sanktionen und Umsetzungsplan

Ab August bekommen Aufsichtsbehörden mehr Durchsetzungsbefugnisse. Unternehmen sollten wissen, wie Kontrollen ablaufen, welche Bußgelder drohen und wie sie die Umsetzung im eigenen Betrieb vernünftig priorisieren.

Meldewege, Protokollierung und Nachweisführung

Hochrisiko-Systeme müssen relevante Ereignisse automatisch protokollieren. Diese Aufzeichnungen helfen, falls Behörden später Nachweise verlangen.

Richte interne Prozesse ein, die festhalten, wann ein KI-System im Einsatz war. Notiere auch, welche Entscheidungen dadurch beeinflusst wurden.

So kannst du Prüfungen später deutlich entspannter entgegensehen. Klingt nach Aufwand, aber es zahlt sich wirklich aus.

Bußgelder und sonstige Rechtsfolgen

Wer gegen den EU AI Act verstößt, riskiert hohe Strafen. Die Bußgelder können bis zu 35 Millionen Euro betragen oder einen bestimmten Prozentsatz des weltweiten Jahresumsatzes – je nachdem, was mehr wehtut.

Es geht aber nicht nur ums Geld. Die Behörden können auch Marktverbote für nicht konforme KI-Systeme verhängen.

Das trifft vor allem Unternehmen, die Hochrisiko-Systeme ohne ausreichende Dokumentation nutzen. Ein Risiko, das man besser nicht eingeht, oder?

Prioritäten für die Umsetzung im Unternehmen

Nicht jedes Unternehmen muss sofort alles umsetzen. Ein schrittweises Vorgehen ist meistens sinnvoll.

1. Erfasse die KI-Systeme im Unternehmen und bestimme ihre Risikostufe.
2. Weise Verantwortlichkeiten klar zu.
3. Schule die Mitarbeitenden.
4. Führe Transparenzhinweise bei Kundenkontakt ein.
5. Baue bei Hochrisiko-Systemen Dokumentation und Risikomanagement auf.

Starte am besten mit den Bereichen, die das höchste Risiko oder den meisten Kundenkontakt haben. Damit sparst du Zeit und reduzierst zuerst das größte Haftungsrisiko.