EU AI Act: Diese Pflichten gelten jetzt für Unternehmen

Von René Schlierenkämper 27. August 2026 ca. 4 Min. Lesezeit

Seit dem 2. August 2026 gilt der Großteil der EU-KI-Verordnung („AI Act") — und damit betrifft das Gesetz nicht mehr nur KI-Entwickler, sondern praktisch jedes Unternehmen, das KI-Werkzeuge einsetzt. Die gute Nachricht: Für die meisten Mittelständler sind die Pflichten überschaubar, wenn man sie kennt. Dieser Beitrag ordnet ein, was jetzt gilt und was Sie konkret tun sollten.

Hinweis: Dieser Beitrag ist eine praxisorientierte Einordnung und ersetzt keine Rechtsberatung.

Der Zeitplan: Was gilt seit wann?

• 1. August 2024: Der AI Act tritt in Kraft — mit gestaffelten Übergangsfristen.
• 2. Februar 2025: Verbotene KI-Praktiken sind untersagt; die Pflicht zur KI-Kompetenz (Art. 4) gilt.
• 2. August 2025: Regeln für Allzweck-KI-Modelle (z. B. große Sprachmodelle) und Governance-Strukturen greifen.
• 2. August 2026: Die meisten übrigen Vorschriften gelten — darunter die Anforderungen an viele Hochrisiko-Systeme und die Transparenzpflichten.
• 2. August 2027: Letzte Übergangsfristen enden, u. a. für Hochrisiko-KI in regulierten Produkten.

Bin ich „Anbieter" oder „Betreiber"? Der wichtigste Unterschied

Der AI Act unterscheidet vor allem zwischen Anbietern (die KI-Systeme entwickeln oder unter eigenem Namen vermarkten) und Betreibern (die KI-Systeme beruflich nutzen). Ein mittelständisches Unternehmen, das ChatGPT, Copilot oder ein KI-gestütztes Buchhaltungstool einsetzt, ist in aller Regel Betreiber — mit deutlich schlankeren Pflichten als ein Anbieter.

Die vier Risikoklassen in 60 Sekunden

• Verboten: z. B. Social Scoring oder manipulative Systeme — für seriöse Unternehmen ohnehin kein Thema.
• Hochrisiko: KI in sensiblen Bereichen — etwa bei der Personalauswahl, Kreditvergabe oder kritischer Infrastruktur. Hier gelten umfangreiche Pflichten.
• Begrenztes Risiko: u. a. Chatbots und KI-generierte Inhalte — hier greifen Transparenzpflichten.
• Minimales Risiko: der Großteil der Büro-KI (Textentwürfe, Übersetzungen, Protokolle) — keine besonderen Auflagen.

Pflicht Nr. 1: KI-Kompetenz der Mitarbeitenden (Art. 4)

Die in der Praxis relevanteste Pflicht für den Mittelstand: Unternehmen müssen sicherstellen, dass Mitarbeitende, die mit KI-Systemen arbeiten, über ausreichende KI-Kompetenz verfügen — abgestimmt auf Vorwissen und Einsatzkontext. Das Gesetz schreibt kein bestimmtes Format vor, aber in der Praxis hat sich die dokumentierte Schulung als belastbarster Nachweis etabliert: Wer wurde wann zu welchen Inhalten geschult?

Genau dafür habe ich ein eigenes Format entwickelt — die KI-Kompetenz-Schulung nach Art. 4 AI Act mit Teilnahmebescheinigung für Ihre Unterlagen.

Pflicht Nr. 2: Transparenz bei KI-Inhalten und Chatbots

Seit August 2026 gilt: Wer Menschen mit einem KI-System interagieren lässt (etwa einem Chatbot auf der Website), muss das erkennbar machen. KI-generierte oder manipulierte Bild-, Audio- und Videoinhalte (Stichwort Deepfakes) müssen als solche gekennzeichnet werden. Für Marketing-Teams heißt das: klare interne Regeln, welche Inhalte wie gekennzeichnet werden.

Pflicht Nr. 3: Besondere Sorgfalt bei Hochrisiko-Anwendungen

Setzen Sie KI in der Personalauswahl ein — etwa zum automatischen Vorsortieren von Bewerbungen — bewegen Sie sich im Hochrisiko-Bereich. Als Betreiber müssen Sie dann unter anderem menschliche Aufsicht sicherstellen, die Anweisungen des Anbieters befolgen, relevante Eingabedaten kontrollieren, Protokolle aufbewahren und betroffene Beschäftigte informieren. Mein Rat: Prüfen Sie vor der Einführung solcher Werkzeuge, ob der Nutzen die Compliance-Anforderungen rechtfertigt.

Was passiert bei Verstößen?

Die Bußgeldrahmen sind empfindlich: bis zu 35 Mio. Euro oder 7 % des weltweiten Jahresumsatzes für verbotene Praktiken, bis zu 15 Mio. Euro oder 3 % für Verstöße gegen zentrale Pflichten. Für KMU sind niedrigere Obergrenzen vorgesehen — ein Freifahrtschein ist das aber nicht.

Ihre Praxis-Checkliste für den Start

1. KI-Inventur: Welche KI-Werkzeuge sind bei Ihnen im Einsatz — offiziell und inoffiziell („Schatten-KI")?
2. Risiko einordnen: Ist etwas davon hochrisiko-relevant (v. a. HR und Finanzen)? Im Zweifel rechtlich prüfen lassen.
3. KI-Richtlinie erstellen: Was dürfen Mitarbeitende mit welchen Daten in welchen Tools tun?
4. Schulung durchführen und dokumentieren: Damit erfüllen Sie Art. 4 und senken gleichzeitig Fehlbedienungs- und Datenschutzrisiken.
5. Kennzeichnung regeln: Interne Vorgabe für KI-generierte Inhalte und Chatbots.
6. Jährlich prüfen: Neue Tools, neue Mitarbeitende, neue Regeln — KI-Compliance ist kein Einmalprojekt.

Der AI Act bestraft nicht die Nutzung von KI — sondern die planlose Nutzung. Wer strukturiert einführt und schult, erfüllt die meisten Pflichten nebenbei.

Fazit

Für die allermeisten Mittelständler ist der AI Act kein Grund, auf KI zu verzichten — im Gegenteil: Die Pflichten decken sich weitgehend mit dem, was ohnehin sinnvoll ist (klare Regeln, geschulte Mitarbeitende, dokumentierte Prozesse). Wie eine solche Schulung konkret aussieht, lesen Sie im Beitrag KI-Schulung für Mitarbeiter: Ablauf, Inhalte & Dauer. Oder Sie klären Ihre Situation direkt im kostenlosen Erstgespräch.