EU AI Act für Unternehmen

• Der EU AI Act, auch KI-Verordnung genannt, ordnet KI-Systeme EU-weit vier Risikoklassen zu: unzulässig, hoch, begrenzt und minimal.

• Verbotene Praktiken und die KI-Kompetenzpflicht gelten bereits seit Februar 2025, Pflichten für General-Purpose-KI seit August 2025.

• Der Digital Omnibus verschiebt die Pflichten für eigenständige Hochrisiko-KI-Systeme auf den 2. Dezember 2027 und für produktintegrierte Hochrisiko-KI-Systeme auf den 2. August 2028.

• Transparenzpflichten für Chatbots und KI-generierte Inhalte bleiben zum 2. August 2026 bestehen.

• Bei Verstößen drohen Bußgelder von bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes.

Der EU AI Act betrifft deutlich mehr Unternehmen, als der Name zunächst vermuten lässt. Die Verordnung unterscheidet vier zentrale Rollen entlang der KI-Wertschöpfungskette:

• Anbieter entwickeln ein KI-System oder lassen es entwickeln und bringen es unter eigenem Namen auf den Markt.

• Betreiber setzen ein KI-System in eigener Verantwortung ein, etwa ein Unternehmen, das ein KI-Tool zur Bewerberauswahl nutzt.

• Einführer bringen KI-Systeme aus Drittstaaten in die EU.

• Händler stellen KI-Systeme auf dem Markt bereit, ohne sie selbst zu entwickeln oder einzuführen.

Für Anbieter gilt das Marktortprinzip: Wer ein KI-System in der EU in Verkehr bringt oder in Betrieb nimmt, fällt unter die Verordnung, unabhängig vom Unternehmenssitz. Für Betreiber zählt die Niederlassung in der EU. Der AI Act gilt sogar für Unternehmen ohne jeden eigenen EU-Bezug, wenn jemand in der EU das Ergebnis ihres KI-Systems nutzt, etwa eine im Ausland erstellte Bewertung oder einen Score .

Besonders betroffen sind Unternehmen aus regulierten und KRITIS-nahen Branchen wie dem Finanz- oder dem Gesundheitswesen, der öffentlichen Verwaltung oder der Energieversorgung. Gerade hier setzen Organisationen KI häufig für Entscheidungen mit hoher Tragweite ein, etwa bei der Kreditvergabe, der Diagnosestellung oder der Steuerung kritischer Prozesse. Für diese Unternehmen wiegen die Pflichten aus dem AI Act schwerer, weil sie parallel zu bestehenden Vorgaben wie NIS-2 oder DORA (Digital Operational Resilience Act) anfallen.

Seit dem Digital Omnibus ergänzt eine weitere neue Praxis die Liste unzulässiger Anwendungen: Ab dem 2. Dezember 2026 verbietet der AI Act zusätzlich KI-Systeme, die gezielt zur Erstellung nicht einvernehmlicher intimer Darstellungen oder missbräuchlicher Abbildungen von Minderjährigen eingesetzt werden.

Neben diesen vier Klassen steht eine weitere, eigene Kategorie: KI-Modelle mit allgemeinem Verwendungszweck (General Purpose AI, GPAI), etwa große Sprachmodelle, die hinter vielen Chat-Anwendungen stehen. Ihre Anbieter müssen unabhängig von der konkreten Anwendung eine technische Dokumentation bereitstellen, eine Zusammenfassung der Trainingsdaten veröffentlichen und eine Urheberrechts-Compliance-Politik einhalten. Für Modelle mit systemischem Risiko, etwa besonders leistungsfähige Foundation-Modelle, sind Risikobewertungen, Sicherheitstests und Vorfallmeldungen zusätzlich verpflichtend.

Kaum eine EU-Verordnung wurde kurz nach ihrem Inkrafttreten so grundlegend nachjustiert wie der AI Act. Am 27. Juli 2026, nur wenige Tage vor dem ursprünglich entscheidenden Stichtag, trat die Änderungsverordnung (EU) 2026/1744, bekannt als Digital Omnibus on AI, in Kraft. Sie verschiebt zentrale Fristen und entlastet insbesondere kleinere Unternehmen, ohne die grundsätzlichen Pflichten abzuschaffen.

Das ist der neue Zeitplan: 

• 1. August 2024: Der EU AI Act tritt in Kraft.

• 2. Februar 2025: Verbotene Praktiken nach Art. 5 sowie die KI-Kompetenzpflicht nach Art. 4 werden anwendbar.

• 2. August 2025: Pflichten für General-Purpose-KI-Modelle sowie die Vorgaben zu Governance, benannten Behörden und Bußgeldern greifen.

• 2. August 2026: Die Kernpflichten aus Art. 50 zur Transparenz bei Chatbots und KI-generierten Inhalten werden anwendbar.

• 2. Dezember 2026: Die Kennzeichnungspflicht für KI-generierte Inhalte per Wasserzeichen wird für Bestandssysteme anwendbar. Ab demselben Tag gelten außerdem die neuen, durch den Digital Omnibus ergänzten Verbote gegen nicht einvernehmliche intime KI-Darstellungen und KI-generierte Missbrauchsabbildungen von Minderjährigen.

• 2. Dezember 2027: Die Pflichten für eigenständige Hochrisiko-KI-Systeme nach Anhang III greifen, 16 Monate später als ursprünglich vorgesehen.

• 2. August 2028: Die Pflichten für Hochrisiko-KI-Systeme, die als Sicherheitsbauteile in bereits regulierte Produkte integriert sind (Anhang I), werden anwendbar.

Für kleine und mittlere Unternehmen bringt der Digital Omnibus eine zusätzliche Erleichterung: Sie dürfen die technische Dokumentation für Hochrisiko-KI-Systeme reduzieren. Die grundsätzliche Nachweispflicht bleibt davon unberührt.

Die zusätzliche Zeit sollten Unternehmen nutzen. Wer heute bereits KI-Systeme im Hochrisiko-Bereich plant oder einsetzt, verschafft sich mit einer frühzeitigen Vorbereitung einen klaren Vorsprung, sobald die verschobenen Pflichten greifen.

Auch wenn der AI Act als EU-Verordnung unmittelbar gilt, braucht Deutschland ein eigenes Durchführungsgesetz für Zuständigkeiten und Bußgeldverfahren. Dieses Gesetz, das KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG), hat der Bundestag am 11. Juni 2026 beschlossen. Der Bundesrat stimmte am 10. Juli 2026 zu und am 29. Juli 2026 trat das Gesetz in Kraft.

Mit dem KI-MIG bündelt Deutschland die KI-Aufsicht bei der Bundesnetzagentur (BNetzA). Diese dient als zentrale Koordinierungsstelle, Marktüberwachungsbehörde und notifizierende Behörde für KI in Deutschland und betreibt einen KI-Service-Desk als erste Anlaufstelle für Unternehmen. Für besonders sensible Anwendungsfälle wie die Strafverfolgung oder Migration hat die Bundesnetzagentur eine unabhängige KI-Marktüberwachungskammer (UKIM) eingerichtet. Bestehende Fachaufsichten bleiben parallel zuständig: Wer bislang mit der BaFin (Bundesanstalt für Finanzdienstleistungsaufsicht) oder anderen Fachbehörden zusammengearbeitet hat, bleibt auch unter dem AI Act bei dieser Behörde.