EU AI Act: was Unternehmen jetzt wissen müssen
Der EU AI Act ist die erste umfassende KI-Regulierung der Welt. Sie stuft Systeme nach Risiko in vier Klassen ein und knüpft an jede Klasse konkrete Pflichten. Betroffen sind nicht nur Anbieter von KI, sondern jedes Unternehmen, das KI einsetzt — als Betreiber. Für die meisten Mittelständler bedeutet das drei Dinge: Systeme einordnen, Mitarbeiter nachweislich schulen und die Nutzung dokumentieren.
Wen betrifft der EU AI Act?
Jedes Unternehmen, das ein KI-System in der EU einsetzt — unabhängig davon, wo der Anbieter sitzt. Die Verordnung unterscheidet zwei Hauptrollen.
Anbieter (Provider)
Wer ein KI-System entwickelt und unter eigenem Namen in Verkehr bringt. Trägt die Hauptlast: Konformitätsbewertung, technische Dokumentation, Registrierung von Hochrisiko-Systemen.
Betreiber (Deployer) — meistens Sie
Wer KI im eigenen Betrieb nutzt. Eigene, kleinere Pflichten: Einsatz nach Herstellervorgaben, menschliche Aufsicht sicherstellen, Protokolle aufbewahren, Beschäftigte informieren und schulen.
Diese Unterscheidung wird in der Praxis am häufigsten übersehen. Wer ein fertiges Werkzeug einkauft, denkt, die Pflichten lägen beim Hersteller — ein Teil davon liegt beim eigenen Haus, und zwar unabhängig von der Unternehmensgröße.
Wie funktioniert der risikobasierte Ansatz?
Nicht die Technologie entscheidet über die Pflichten, sondern der Anwendungsfall. Dasselbe Sprachmodell kann in der einen Verwendung minimal reguliert und in der anderen hochriskant sein.
Verboten seit Februar 2025: Social Scoring durch Behörden, Emotionserkennung am Arbeitsplatz, biometrische Kategorisierung nach sensiblen Merkmalen, manipulative Systeme.
KI in Personalauswahl, Kreditwürdigkeit, Zugang zu wesentlichen Diensten, kritischer Infrastruktur, Bildung, Strafverfolgung.
Chatbots, generierte Inhalte, Deepfakes — alles, wo Menschen wissen müssen, dass sie mit KI interagieren.
Spamfilter, Empfehlungssysteme, die meisten Büroanwendungen — hier liegt der Großteil des betrieblichen Einsatzes.
Ausführlich mit Beispielen und Selbsteinordnung:Hochrisiko-Systeme.
Seit wann gilt der EU AI Act?
Die Verordnung ist am 1. August 2024 in Kraft getreten, greift aber gestaffelt. Die beiden Termine, die Betreiber betreffen, liegen bereits hinter uns.
- Februar 2025
- Verbotene Praktiken gelten. Schulungspflicht nach Artikel 4 ist wirksam.
- August 2025
- Regeln für KI-Modelle mit allgemeinem Verwendungszweck (GPAI) und Sanktionsrahmen.
- August 2026
- Transparenzpflichten nach Artikel 50 — Kennzeichnung KI-erzeugter Inhalte.
- Dezember 2027
- Hochrisiko-Systeme nach Anhang III. Verschoben vom August 2026.
- August 2028
- Hochrisiko-KI als Sicherheitsbauteil regulierter Produkte. Verschoben vom August 2027.
Details und was bis wann vorbereitet sein sollte:Fristen im Überblick.
Was bedeutet das für den Mittelstand konkret?
Deutlich weniger, als die Schlagzeilen vermuten lassen — aber nicht nichts. Wer KI für Büroaufgaben nutzt, landet fast immer in der Klasse mit minimalem Risiko und hat dort keine besonderen Auflagen. Zwei Dinge gelten trotzdem, und zwar ab dem ersten Tag.
KI-Kompetenz ist Pflicht
Artikel 4 verlangt Maßnahmen, die das Verständnis der Beschäftigten für die eingesetzte KI unterstützen. Das gilt unabhängig von Risikoklasse und Unternehmensgröße, und die Maßnahmen muss der Arbeitgeber belegen können.
Einordnung muss dokumentiert sein
«Wir sind nicht betroffen» ist eine Aussage, die begründet werden muss. Eine Liste der eingesetzten Systeme mit Einstufung und Begründung reicht in den meisten Fällen aus.
Praktisch heißt das: eine Stunde Bestandsaufnahme, eine Tabelle, ein Schulungsnachweis. Aufwendig wird es erst, wenn KI in Entscheidungen über Menschen mitwirkt — Bewerberauswahl, Kreditvergabe, Zugang zu Leistungen. Dann greifen die Hochrisiko-Regeln mit Risikomanagement, menschlicher Aufsicht und Protokollierung.
Alles hier Beschriebene steht in der Verordnung (EU) 2024/1689. Wir fassen sie zusammen und ordnen sie ein, ersetzen sie aber nicht: dieverbindliche deutsche Fassung im Amtsblattist frei zugänglich, und bei Auslegungsfragen zählt sie, nicht unsere Formulierung.
Alle Themen im Detail
Pflichten für Unternehmen
Was ein Unternehmen als Betreiber konkret tun muss — die drei Pflichten und ihr Umfang.
Hochrisiko-Systeme
Welche Anwendungen als hochriskant gelten und wie Sie Ihren Fall selbst einordnen.
Artikel 4: KI-Kompetenz
Die Schulungspflicht, die seit Februar 2025 gilt — und was als Nachweis zählt.
Fristen
Wann welche Regel greift: der Zeitplan bis 2027 im Überblick.
Verbotene Praktiken
Acht Anwendungen, die seit Februar 2025 gar nicht mehr erlaubt sind.
AI Act in Österreich
Unmittelbar geltend, aber wer ist zuständig — und warum Warten nichts verschiebt.
AI Act und die Schweiz
Kein Mitgliedstaat, trotzdem betroffen: wann die Verordnung Schweizer Firmen erfasst.
Text und Struktur
Aufbau der Verordnung, Artikel und Anhänge — wo was steht.
Artikel 50: Transparenz
Die einzige Frist, die 2026 wirklich greift — Chatbots, erzeugte Inhalte, Deepfakes.
Risikoklassen
Vier Stufen, und warum Sprachmodelle keine fünfte sind.
Bußgelder nach Artikel 99
35 Millionen stehen überall — die KMU-Regel fast nirgends.
Deutschland: das KI-MIG
Seit Juli 2026 in Kraft: die Bundesnetzagentur wird zentrale KI-Aufsicht.
KI-Verordnung und DSGVO
Was zusätzlich gilt — und warum Verantwortlicher und Betreiber nicht dasselbe sind.
Schulungspflicht in der Praxis
Wer, was, wie oft — und welcher Nachweis im Ernstfall trägt.
KI und Betriebsrat
Was Projekte wirklich stoppt: Mitbestimmung nach § 87 BetrVG und § 96 ArbVG.
Geschäftsführerhaftung
Nicht der Fehler des Systems haftet — und die Business Judgement Rule gilt auch hier.
Häufige Fragen
Was ist der EU AI Act in einem Satz?+
Betrifft der AI Act auch Unternehmen, die KI nur einsetzen?+
Seit wann gilt der EU AI Act?+
Was passiert bei Verstößen?+
Wir nutzen nur ChatGPT und Microsoft Copilot. Reicht das für eine Einstufung?+
Brauchen wir dafür eine Rechtsberatung?+
Einordnung statt Rätselraten
Wir sind keine Kanzlei und geben keine Rechtsberatung. Was wir liefern, ist die technische Seite: Bestandsaufnahme der eingesetzten Systeme, Einordnung der Anwendungsfälle, technische Dokumentation und Belegketten, mit denen Ihre Rechtsabteilung und die Prüfung arbeiten können.
Unterstützung bei der UmsetzungZuletzt aktualisiert: