EU AI Act für Unternehmen: Fristen, Risikoklassen und Pflichten 2026

Stand: 10. Juli 2026

Der EU AI Act verändert die Regeln für den Einsatz Künstlicher Intelligenz in Unternehmen. Dabei betrifft die Verordnung nicht nur Entwickler großer KI-Modelle. Auch Unternehmen, die KI-Systeme einkaufen, in bestehende Prozesse integrieren oder ihren Mitarbeitenden zur Verfügung stellen, können konkrete Pflichten haben.

Entscheidend ist nicht allein, welche Technologie eingesetzt wird. Relevant sind vor allem der konkrete Verwendungszweck, die Risikoeinstufung und die Rolle des Unternehmens. Ein KI-System zur internen Wissenssuche wird daher anders bewertet als eine Anwendung, die Bewerber vorsortiert, Kreditentscheidungen beeinflusst oder Beschäftigte überwacht.

Dieser Leitfaden zeigt, welche Fristen gelten, wie der AI Act Risiken einordnet und welche Schritte Unternehmen jetzt umsetzen sollten.

Hinweis: Dieser Artikel bietet eine allgemeine Orientierung und ersetzt keine Rechtsberatung. Bei kritischen oder hochriskanten Anwendungsfällen sollte eine individuelle rechtliche Prüfung erfolgen.

Was ist der EU AI Act?

Der EU AI Act ist die Verordnung der Europäischen Union zur Regulierung Künstlicher Intelligenz. Die offizielle Bezeichnung lautet Verordnung (EU) 2024/1689. Sie ist am 1. August 2024 in Kraft getreten und wird seitdem stufenweise anwendbar.

Das Ziel der Verordnung ist ein einheitlicher Rechtsrahmen für die Entwicklung, Bereitstellung und Nutzung von KI-Systemen in der Europäischen Union. Gleichzeitig sollen Grundrechte, Sicherheit und demokratische Werte geschützt werden, ohne die Entwicklung und Einführung von KI grundsätzlich zu verhindern.

Der AI Act verfolgt dafür einen risikobasierten Ansatz. Je stärker ein KI-System Gesundheit, Sicherheit oder Grundrechte beeinträchtigen kann, desto umfangreicher sind die gesetzlichen Anforderungen.

Kurz erklärt: Der AI Act reguliert KI nicht pauschal. Entscheidend ist, wofür ein System eingesetzt wird, welches Risiko daraus entsteht und welche Rolle das jeweilige Unternehmen übernimmt.

Warum betrifft der AI Act Unternehmen?

Viele Unternehmen gehen davon aus, dass der AI Act hauptsächlich große Technologieanbieter betrifft. Tatsächlich richtet sich die Verordnung an unterschiedliche Akteure entlang der KI-Wertschöpfungskette.

Ein Unternehmen kann betroffen sein, wenn es:

• ein eigenes KI-System entwickelt oder unter eigenem Namen anbietet,
• ein KI-System eines Drittanbieters in der EU einsetzt,
• ein bestehendes System wesentlich verändert,
• ein allgemeines KI-Modell in eine eigene Anwendung integriert,
• KI zur Bewertung von Bewerbern oder Beschäftigten einsetzt,
• Chatbots oder andere KI-Systeme im Kundenkontakt verwendet,
• KI-generierte Inhalte veröffentlicht oder
• KI-Tools für interne Recherche, Wissensmanagement und Prozessunterstützung bereitstellt.

Für die rechtliche Bewertung reicht es deshalb nicht aus, lediglich den Produktnamen zu betrachten. Ein und dieselbe Technologie kann abhängig vom Einsatzbereich unterschiedlich eingeordnet werden.

Ein Sprachmodell, das Marketingtexte vorschlägt, kann beispielsweise nur Transparenzfragen auslösen. Wird dieselbe technische Grundlage für die automatische Bewertung von Bewerbungen eingesetzt, kann daraus ein Hochrisiko-Anwendungsfall entstehen.

AI-Act-Fristen: Was gilt ab wann?

Der AI Act wird schrittweise anwendbar. Unternehmen sollten die Fristen nicht isoliert betrachten, sondern mit den eigenen KI-Anwendungsfällen abgleichen.

Datum	Regelungen und Bedeutung
1. August 2024	Der EU AI Act tritt in Kraft.
2. Februar 2025	Die Verbote bestimmter KI-Praktiken und die Pflicht zum Aufbau ausreichender KI-Kompetenz gelten.
2. August 2025	Governance-Regelungen und Pflichten für Anbieter von General-Purpose-AI-Modellen werden anwendbar.
2. August 2026	Ein großer Teil der übrigen Bestimmungen wird anwendbar. Dazu gehören unter anderem bestimmte Transparenzpflichten für KI-Systeme und KI-generierte Inhalte.
2. Dezember 2027	Nach dem im Mai 2026 politisch vereinbarten Zeitplan sollen die Anforderungen für bestimmte Hochrisiko-Anwendungen gelten, etwa in den Bereichen Beschäftigung, Bildung, Biometrie und kritische Infrastruktur.
2. August 2028	Nach dem politisch vereinbarten Zeitplan sollen die Hochrisiko-Regeln für KI-Systeme gelten, die als Sicherheitskomponenten in regulierte Produkte integriert sind, beispielsweise in Maschinen oder andere Industrieprodukte.

Wichtig: Der Zeitplan für Hochrisiko-Systeme wurde im Rahmen des sogenannten AI Omnibus neu geordnet. Da sich ergänzende Leitlinien, Standards und nationale Zuständigkeiten weiterentwickeln, sollten Unternehmen den Umsetzungsstand regelmäßig prüfen.

Die Verschiebung einzelner Hochrisiko-Anforderungen ist kein Grund, die Vorbereitung aufzuschieben. Inventarisierung, Rollenklärung, Risikobewertung, Schulung und interne Richtlinien benötigen häufig mehrere Monate.

Die Risikoklassen des AI Acts

Der AI Act unterscheidet vier grundlegende Risikostufen. Die Einordnung bezieht sich nicht nur auf die technische Leistungsfähigkeit eines Systems, sondern vor allem auf dessen vorgesehenen Einsatzzweck.

Übersicht der Risikoklassen des EU AI Acts

1. Verbotene KI-Praktiken

Bestimmte Anwendungen betrachtet der AI Act als unvereinbar mit den Grundrechten und verbietet sie grundsätzlich. Die entsprechenden Verbote gelten bereits seit dem 2. Februar 2025.

Dazu zählen je nach konkreter Ausgestaltung unter anderem:

• manipulative oder täuschende KI-Praktiken, die Menschen erheblich schädigen können,
• die gezielte Ausnutzung besonderer Schutzbedürftigkeit,
• bestimmte Formen des Social Scorings,
• bestimmte Vorhersagen individueller Straftaten allein auf Grundlage von Profiling,
• das ungezielte Auslesen von Bildern zur Erstellung oder Erweiterung von Gesichtsdatenbanken,
• bestimmte biometrische Kategorisierungen,
• Emotionserkennung am Arbeitsplatz oder in Bildungseinrichtungen, soweit keine eng begrenzte Ausnahme greift,
• bestimmte Formen biometrischer Echtzeit-Fernidentifizierung in öffentlich zugänglichen Räumen.

Unternehmen sollten deshalb nicht nur offiziell beschaffte Systeme prüfen. Auch Pilotprojekte, Funktionen bestehender Software und selbst konfigurierte Automatisierungen können in den Anwendungsbereich fallen.

2. Hochrisiko-KI-Systeme

Als hochriskant gelten bestimmte KI-Anwendungen, die erhebliche Auswirkungen auf Gesundheit, Sicherheit oder Grundrechte haben können. Besonders relevant für Unternehmen sind Anwendungen in der Beschäftigung und Personalverwaltung.

Typische Beispiele können sein:

• KI-Systeme zur Auswahl oder Vorauswahl von Bewerbern,
• Systeme zur Bewertung von Beschäftigten,
• KI-gestützte Entscheidungen über Beförderung, Kündigung oder Aufgabenverteilung,
• bestimmte Systeme in kritischen Infrastrukturen,
• bestimmte Anwendungen in Bildung, Kreditwürdigkeitsprüfung oder Versicherungen,
• KI als sicherheitsrelevante Komponente regulierter Produkte.

Nicht jedes System in einem sensiblen Bereich ist automatisch hochriskant. Der konkrete Zweck, die Funktionsweise und mögliche Ausnahmen müssen im Einzelfall geprüft werden.

Für Hochrisiko-Systeme sieht der AI Act unter anderem Anforderungen an Risikomanagement, Datenqualität, technische Dokumentation, Protokollierung, Transparenz, menschliche Aufsicht, Genauigkeit, Robustheit und Cybersicherheit vor.

3. KI-Systeme mit Transparenzpflichten

Bestimmte KI-Systeme sind nicht grundsätzlich hochriskant, müssen aber besondere Transparenzanforderungen erfüllen. Menschen sollen erkennen können, wann sie mit einem KI-System interagieren oder wann Inhalte künstlich erzeugt beziehungsweise verändert wurden.

Das kann beispielsweise betreffen:

• Chatbots und virtuelle Assistenten,
• synthetisch erzeugte Audio-, Bild- oder Videoinhalte,
• Deepfakes,
• bestimmte KI-generierte Texte zu Themen von öffentlichem Interesse,
• Systeme zur Erkennung von Emotionen oder zur biometrischen Kategorisierung, soweit ihr Einsatz zulässig ist.

Die Transparenzpflichten nach Artikel 50 werden grundsätzlich ab dem 2. August 2026 relevant. Welche Kennzeichnung im Einzelfall erforderlich ist, hängt vom System, dem Inhalt und dem Veröffentlichungskontext ab.

4. Minimales oder kein Risiko

Viele betriebliche KI-Anwendungen fallen in die Kategorie des minimalen oder fehlenden Risikos. Der AI Act stellt für diese Kategorie grundsätzlich keine vergleichbaren produktspezifischen Anforderungen wie für Hochrisiko-Systeme auf.

Mögliche Beispiele sind:

• Spamfilter,
• KI-gestützte Rechtschreibkorrekturen,
• interne Such- und Assistenzfunktionen ohne automatisierte Entscheidungsbefugnis,
• Zusammenfassungen interner Dokumente,
• KI-gestützte Vorschläge, die von Menschen geprüft und freigegeben werden.

Minimales Risiko bedeutet jedoch nicht, dass keine anderen Anforderungen gelten. Datenschutz, Informationssicherheit, Urheberrecht, Geheimnisschutz, Arbeitsrecht und interne Unternehmensrichtlinien bleiben relevant.

Anbieter oder Betreiber: Welche Rolle hat Ihr Unternehmen?

Die Pflichten des AI Acts hängen nicht nur von der Risikoklasse ab. Ebenso wichtig ist die Rolle des Unternehmens.

Rolle	Typische Situation	Bedeutung
Anbieter	Ein Unternehmen entwickelt ein KI-System oder lässt es entwickeln und bringt es unter eigenem Namen auf den Markt beziehungsweise nimmt es unter eigenem Namen in Betrieb.	Anbieter tragen häufig die umfangreichsten Pflichten, insbesondere bei Hochrisiko-Systemen.
Betreiber	Ein Unternehmen verwendet ein KI-System in eigener Verantwortung, beispielsweise eine eingekaufte KI-Lösung für interne Prozesse.	Betreiber müssen das System bestimmungsgemäß einsetzen, Aufsicht sicherstellen und je nach System weitere Pflichten erfüllen.
Einführer	Ein Unternehmen bringt ein KI-System eines Anbieters aus einem Drittstaat in den EU-Markt.	Der Einführer muss unter anderem prüfen, ob der Anbieter wesentliche Anforderungen erfüllt hat.
Händler	Ein Unternehmen stellt ein KI-System innerhalb der Lieferkette bereit, ohne selbst Anbieter oder Einführer zu sein.	Auch Händler haben Prüf- und Mitwirkungspflichten.

Die vermeintlich einfache Unterscheidung zwischen Hersteller und Nutzer reicht in der Praxis nicht immer aus. Ein Betreiber kann unter bestimmten Voraussetzungen selbst zum Anbieter werden.

Das kann beispielsweise der Fall sein, wenn ein Unternehmen:

• ein System unter eigenem Namen oder eigener Marke anbietet,
• eine wesentliche Veränderung an einem bestehenden System vornimmt oder
• den vorgesehenen Verwendungszweck so verändert, dass ein zuvor nicht hochriskantes System zu einem Hochrisiko-System wird.

Praxisregel: Je stärker ein Unternehmen ein KI-System verändert, eigenständig konfiguriert oder in entscheidungsrelevante Prozesse integriert, desto wichtiger wird eine erneute Rollen- und Risikoprüfung.

Pflichten für Betreiber von KI-Systemen

Die meisten mittelständischen Unternehmen werden bei eingekauften KI-Lösungen zunächst als Betreiber handeln. Die konkreten Pflichten hängen von der Risikoklasse und dem Anwendungsfall ab.

Bei Hochrisiko-Systemen können Betreiber unter anderem verpflichtet sein:

• die Gebrauchsanweisung des Anbieters einzuhalten,
• eine angemessene menschliche Aufsicht zu organisieren,
• geeignete und ausreichend qualifizierte Personen einzusetzen,
• relevante Eingabedaten in ihrem Einflussbereich zu kontrollieren,
• den Betrieb des Systems zu überwachen,
• Protokolle für den vorgeschriebenen Zeitraum aufzubewahren, soweit sie ihrer Kontrolle unterliegen,
• Vorfälle, Fehlfunktionen und Risiken zu melden,
• betroffene Beschäftigte oder Interessenvertretungen zu informieren, wenn ein Hochrisiko-System am Arbeitsplatz eingesetzt wird,
• gegebenenfalls eine Grundrechte-Folgenabschätzung durchzuführen.

Für viele Unternehmen beginnt die Umsetzung deshalb nicht mit einer juristischen Detailprüfung, sondern mit einer belastbaren KI-Inventur. Ohne Übersicht über vorhandene Systeme, Verantwortliche und Datenflüsse können Pflichten kaum zuverlässig erfüllt werden.

Pflichten für Anbieter von KI-Systemen

Anbieter von Hochrisiko-KI-Systemen müssen deutlich weitergehende Anforderungen erfüllen. Dazu gehören abhängig vom konkreten System insbesondere:

• ein dokumentiertes Risikomanagementsystem,
• Anforderungen an Daten und Daten-Governance,
• technische Dokumentation,
• automatische Protokollierungsfunktionen,
• Informationen und Gebrauchsanweisungen für Betreiber,
• Vorkehrungen für menschliche Aufsicht,
• Anforderungen an Genauigkeit, Robustheit und Cybersicherheit,
• ein Qualitätsmanagementsystem,
• Konformitätsbewertung und gegebenenfalls CE-Kennzeichnung,
• Registrierung in vorgesehenen Datenbanken,
• Überwachung nach dem Inverkehrbringen,
• Meldung schwerwiegender Vorfälle.

Auch Unternehmen, die keine KI-Grundmodelle entwickeln, können Anbieter sein. Das gilt beispielsweise für Softwareunternehmen, die ein vorhandenes Modell in eine eigene Fachanwendung integrieren und diese unter eigener Marke vertreiben.

Was gilt für ChatGPT, Gemini und andere GPAI-Modelle?

Der AI Act unterscheidet zwischen KI-Systemen und sogenannten General-Purpose-AI-Modellen, kurz GPAI. Dabei handelt es sich um Modelle, die für zahlreiche unterschiedliche Aufgaben verwendet und in viele Anwendungen integriert werden können.

Die besonderen Pflichten richten sich in erster Linie an die Anbieter solcher Modelle. Sie müssen unter anderem technische Informationen bereitstellen, Vorgaben zum Urheberrecht beachten und eine Zusammenfassung der für das Training verwendeten Inhalte veröffentlichen.

Für besonders leistungsfähige GPAI-Modelle mit systemischem Risiko gelten zusätzliche Anforderungen. Dazu zählen je nach Einstufung unter anderem Modellbewertungen, die Bewertung und Minderung systemischer Risiken, die Dokumentation schwerwiegender Vorfälle und Maßnahmen zur Cybersicherheit.

Die GPAI-Pflichten gelten seit dem 2. August 2025 für neu auf den Markt gebrachte Modelle. Für Modelle, die bereits vor diesem Datum auf dem Markt waren, gelten Übergangsfristen.

Unternehmen, die ChatGPT, Gemini, Claude oder andere allgemeine KI-Dienste lediglich nutzen, sind dadurch nicht automatisch Anbieter eines GPAI-Modells. Sie müssen jedoch weiterhin prüfen:

• Für welchen Zweck wird das Modell eingesetzt?
• Welche Daten werden eingegeben?
• Werden personenbezogene oder vertrauliche Informationen verarbeitet?
• Werden Ergebnisse automatisch für Entscheidungen verwendet?
• Werden KI-generierte Inhalte veröffentlicht?
• Wird das Modell in eine eigene Anwendung integriert oder wesentlich verändert?

Bei einer tiefen Integration, Weiterentwicklung oder Feinabstimmung kann sich die Rolle des Unternehmens verändern. Deshalb sollte die Rollenprüfung Bestandteil jedes KI-Freigabeprozesses sein.

KI-Kompetenz nach Artikel 4

Seit dem 2. Februar 2025 müssen Anbieter und Betreiber Maßnahmen ergreifen, um bei ihren Mitarbeitenden und weiteren mit dem Betrieb befassten Personen ein ausreichendes Maß an KI-Kompetenz sicherzustellen.

Die Verordnung schreibt kein einheitliches Schulungsformat für alle Unternehmen vor. Umfang und Tiefe sollten sich unter anderem an folgenden Faktoren orientieren:

• den eingesetzten KI-Systemen,
• dem technischen Wissen der betroffenen Personen,
• dem Nutzungskontext,
• den möglichen Auswirkungen auf andere Personen,
• der Rolle der Mitarbeitenden im KI-Prozess.

Eine allgemeine Einführung für alle Beschäftigten kann deshalb sinnvoll sein, reicht für Verantwortliche eines Hochrisiko-Systems aber möglicherweise nicht aus.

Wie Unternehmen ein passendes Schulungskonzept aufbauen, lesen Sie im Detail-Artikel:

KI-Schulungspflicht: Diese 4 Phasen müssen Unternehmen kennen

Transparenzpflichten für KI-generierte Inhalte

Ab dem 2. August 2026 werden bestimmte Transparenzpflichten besonders relevant. Sie sollen verhindern, dass Menschen über den Einsatz von KI oder den künstlichen Ursprung bestimmter Inhalte getäuscht werden.

Je nach Anwendung müssen Anbieter oder Betreiber beispielsweise sicherstellen, dass:

• Menschen erkennen können, dass sie mit einem KI-System interagieren,
• synthetische Inhalte in maschinenlesbarer Form als künstlich erzeugt oder verändert erkennbar sind,
• Deepfakes klar offengelegt werden,
• bestimmte KI-generierte Texte zu Themen von öffentlichem Interesse als solche gekennzeichnet werden.

Für redaktionell geprüfte Inhalte und bestimmte künstlerische oder satirische Kontexte können Besonderheiten gelten. Unternehmen sollten daher nicht jede KI-Unterstützung pauschal mit derselben Kennzeichnung versehen, sondern den konkreten Anwendungsfall prüfen.

Praktisch relevant wird dies insbesondere für Marketing, Unternehmenskommunikation, Kundenservice, Schulungsunterlagen und öffentlich zugängliche Wissensangebote.

Bußgelder und Sanktionen

Verstöße gegen den AI Act können erhebliche finanzielle Folgen haben. Die maximale Höhe hängt von der Art des Verstoßes und der Größe des Unternehmens ab.

Art des Verstoßes	Möglicher Bußgeldrahmen
Verstoß gegen verbotene KI-Praktiken	Bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres – je nachdem, welcher Betrag höher ist.
Verstoß gegen andere Pflichten des AI Acts	Bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes.
Falsche, unvollständige oder irreführende Angaben gegenüber Behörden	Bis zu 7,5 Millionen Euro oder 1 Prozent des weltweiten Jahresumsatzes.

Für kleine und mittlere Unternehmen gelten bei umsatzbezogenen und absoluten Höchstbeträgen besondere Grenzen. Bei der konkreten Bemessung werden unter anderem Art, Schwere, Dauer und Folgen des Verstoßes berücksichtigt.

Neben Bußgeldern drohen weitere Risiken:

• Untersagung oder Einschränkung eines KI-Systems,
• Reputationsschäden,
• Vertrags- und Haftungsrisiken,
• Datenschutzverfahren,
• Konflikte mit Beschäftigten oder Betriebsrat,
• Verlust vertraulicher Informationen.

AI Act und DSGVO

Der AI Act ersetzt die Datenschutz-Grundverordnung nicht. Beide Regelwerke gelten nebeneinander und verfolgen unterschiedliche Schwerpunkte.

Der AI Act reguliert insbesondere die Risiken bestimmter KI-Systeme. Die DSGVO greift, sobald personenbezogene Daten verarbeitet werden.

Unternehmen müssen daher unabhängig von der AI-Act-Risikoklasse unter anderem prüfen:

• Rechtsgrundlage der Datenverarbeitung,
• Transparenz gegenüber betroffenen Personen,
• Zweckbindung und Datenminimierung,
• Auftragsverarbeitung,
• Datenübermittlungen in Drittländer,
• Lösch- und Aufbewahrungskonzepte,
• technische und organisatorische Maßnahmen,
• Notwendigkeit einer Datenschutz-Folgenabschätzung.

Ein KI-System mit minimalem Risiko nach dem AI Act kann daher trotzdem erhebliche Datenschutzrisiken verursachen – beispielsweise wenn Mitarbeitende sensible Kunden- oder Personaldaten in ein öffentliches KI-Tool eingeben.

Die praktische Umsetzung erklären wir ausführlich in unserem Datenschutz-Guide:

4 rechtliche Anforderungen an DSGVO-konforme Unternehmens-KI

AI Act im Unternehmen umsetzen

Unternehmen sollten nicht mit einzelnen Schulungen oder isolierten Datenschutzprüfungen beginnen. Sinnvoll ist ein strukturierter Prozess, der Systeme, Rollen, Risiken und Verantwortlichkeiten zusammenführt.

Schritt 1: KI-Inventur erstellen

Erfassen Sie alle offiziell eingesetzten, getesteten und in Fachabteilungen selbst beschafften KI-Anwendungen. Berücksichtigen Sie auch Funktionen, die als Bestandteil bestehender Software aktiviert wurden.

Dokumentieren Sie mindestens:

• Name und Anbieter des Systems,
• Verwendungszweck,
• verantwortliche Abteilung,
• betroffene Nutzergruppen,
• verarbeitete Daten,
• Integrationen und Datenquellen,
• mögliche Auswirkungen auf Personen,
• aktuellen Freigabestatus.

Schritt 2: Rolle und Risiko bestimmen

Prüfen Sie für jeden Anwendungsfall, ob das Unternehmen als Betreiber, Anbieter, Einführer oder Händler handelt. Ordnen Sie anschließend das System anhand seines konkreten Zwecks ein.

Besondere Aufmerksamkeit verdienen Anwendungen in Personal, Bildung, kritischer Infrastruktur, Kreditvergabe, Versicherungen und sicherheitsrelevanten Produkten.

Schritt 3: Verantwortlichkeiten festlegen

KI-Compliance ist keine reine Aufgabe der IT. Je nach Anwendungsfall sollten IT, Informationssicherheit, Datenschutz, Recht, Compliance, Einkauf, Fachbereich und Betriebsrat eingebunden werden.

Definieren Sie klare Zuständigkeiten für:

• Freigabe neuer KI-Systeme,
• Risikobewertung,
• Anbieterprüfung,
• Schulung,
• laufendes Monitoring,
• Vorfallmanagement,
• Dokumentation und Nachweise.

Schritt 4: KI-Richtlinie etablieren

Eine unternehmensweite KI-Richtlinie schafft Klarheit darüber, welche Systeme erlaubt sind, welche Daten verarbeitet werden dürfen und wann eine zusätzliche Freigabe erforderlich ist.

Eine ausführliche Struktur und praktische Vorlage finden Sie hier:

KI-Leitfaden für Unternehmen erstellen

Schritt 5: Mitarbeitende rollenbezogen schulen

Schulen Sie nicht nur allgemeine Chancen und Risiken. Mitarbeitende sollten für ihren Arbeitsbereich wissen, welche Tools freigegeben sind, welche Daten sie eingeben dürfen, wie Ergebnisse geprüft werden müssen und an wen sie sich bei Unsicherheiten wenden können.

Schritt 6: Anbieter und Verträge prüfen

Verlangen Sie von Anbietern nachvollziehbare Informationen zu Zweck, Datenverarbeitung, Sicherheitsmaßnahmen, Rollenverteilung, Protokollierung, menschlicher Kontrolle und regulatorischer Einordnung.

Marketingaussagen wie „AI-Act-konform“ sollten nicht ungeprüft übernommen werden. Die Compliance hängt nicht nur vom Produkt ab, sondern auch davon, wie Ihr Unternehmen es einsetzt.

Schritt 7: Betrieb kontinuierlich überwachen

KI-Systeme, Modelle, Funktionen und regulatorische Leitlinien verändern sich. Prüfen Sie deshalb regelmäßig, ob:

• der ursprüngliche Verwendungszweck noch gilt,
• neue Funktionen aktiviert wurden,
• sich Datenquellen oder Integrationen verändert haben,
• Fehler oder unerwartete Ergebnisse auftreten,
• neue gesetzliche Vorgaben oder Leitlinien relevant sind.

Was bedeutet der AI Act für den Einsatz von amberSearch?

amberSearch unterstützt Mitarbeitende dabei, Informationen aus angebundenen Unternehmenssystemen zu finden, zu verstehen und für ihre Arbeit zu nutzen. Die Lösung ist als Assistenzsystem konzipiert: Sie stellt Informationen bereit und unterstützt bei der Bearbeitung von Aufgaben, ohne eigenständig über Bewerbungen, Kredite, Leistungsbewertungen oder vergleichbare grundrechtsrelevante Sachverhalte zu entscheiden.

Bei einem solchen vorgesehenen Einsatz spricht vieles dafür, dass keine Hochrisiko-Anwendung im Sinne des AI Acts vorliegt. Die abschließende Einordnung hängt jedoch immer vom konkreten Einsatz, den aktivierten Funktionen, den Datenquellen und der organisatorischen Einbettung beim jeweiligen Unternehmen ab.

Unternehmen sollten beim Einsatz einer Business-KI insbesondere darauf achten, dass:

• bestehende Zugriffsrechte berücksichtigt werden,
• nur berechtigte Personen auf Informationen zugreifen können,
• Datenverarbeitung und Hosting transparent geregelt sind,
• Ergebnisse durch Mitarbeitende überprüft werden,
• Verwendungszwecke klar definiert sind,
• KI-Kompetenz und interne Richtlinien vorhanden sind.

amber verbindet Informationen aus Microsoft 365, SharePoint, CRM, DMS, Netzlaufwerken und weiteren Systemen über eine kontrollierte Plattform. So erhalten Mitarbeitende Antworten aus dem vorhandenen Unternehmenswissen, ohne für jede Aufgabe unkontrollierte öffentliche KI-Dienste nutzen zu müssen.

Sie möchten prüfen, wie sich eine kontrollierte Business-KI in Ihre bestehende Systemlandschaft integrieren lässt?

Häufige Fragen zum AI Act

Gilt der AI Act für jedes Unternehmen?

Der AI Act gilt nicht pauschal für jedes Unternehmen in gleicher Weise. Betroffen sein können jedoch Unternehmen, die KI-Systeme in der EU entwickeln, anbieten, importieren, vertreiben oder in eigener Verantwortung einsetzen. Welche Pflichten bestehen, hängt von der Rolle, dem System und dem konkreten Verwendungszweck ab.

Sind ChatGPT und generative KI im Unternehmen verboten?

Nein. Der AI Act verbietet generative KI nicht grundsätzlich. Unternehmen müssen jedoch den Einsatzbereich, den Datenschutz, mögliche Transparenzpflichten, den Umgang mit vertraulichen Informationen und die erforderliche menschliche Kontrolle regeln.

Seit wann gilt die Pflicht zur KI-Kompetenz?

Die Pflicht nach Artikel 4 des AI Acts gilt seit dem 2. Februar 2025. Anbieter und Betreiber müssen Maßnahmen ergreifen, damit mit dem Betrieb und der Nutzung befasste Personen über ein ausreichendes Maß an KI-Kompetenz verfügen.

Wann gelten die Transparenzpflichten für KI-generierte Inhalte?

Die Transparenzpflichten nach Artikel 50 werden grundsätzlich ab dem 2. August 2026 anwendbar. Sie betreffen unter anderem die Interaktion mit Chatbots sowie die Erkennbarkeit und Kennzeichnung bestimmter künstlich erzeugter oder veränderter Inhalte.

Ist KI zur Bewerberauswahl ein Hochrisiko-System?

KI-Systeme, die für die Einstellung, Auswahl oder Bewertung von Bewerbern eingesetzt werden, können als Hochrisiko-Systeme eingestuft werden. Entscheidend sind die konkrete Funktion und der vorgesehene Verwendungszweck. Eine individuelle Prüfung ist erforderlich.

Reicht ein menschlicher Prüfer aus, um Hochrisiko zu vermeiden?

Nein. Ein „Human in the Loop“ ist wichtig, ändert aber nicht automatisch die Risikoklasse. Entscheidend ist, wofür das System vorgesehen ist und welchen Einfluss seine Ergebnisse auf Entscheidungen haben. Menschliche Aufsicht ist bei Hochrisiko-Systemen vielmehr eine eigene Anforderung.

Wer ist im Unternehmen für die AI-Act-Compliance verantwortlich?

Die Gesamtverantwortung liegt bei der Unternehmensleitung. Operativ sollten IT, Informationssicherheit, Datenschutz, Recht, Compliance, Einkauf und die jeweiligen Fachbereiche zusammenarbeiten. Bei mitbestimmungspflichtigen Systemen ist außerdem der Betriebsrat frühzeitig einzubeziehen.

Was sollten Unternehmen jetzt tun?

Unternehmen sollten zunächst alle KI-Systeme erfassen, Rollen und Risiken einordnen, Verantwortlichkeiten festlegen und eine interne KI-Richtlinie einführen. Parallel sollten sie die seit Februar 2025 geltende Kompetenzpflicht umsetzen und sich auf die ab August 2026 relevanten Transparenzanforderungen vorbereiten.

Fazit: Der AI Act verlangt Kontrolle statt KI-Verbot

Der EU AI Act soll den Einsatz Künstlicher Intelligenz nicht verhindern. Er verlangt, dass Unternehmen Risiken kennen, Verantwortlichkeiten festlegen und KI-Systeme kontrolliert einsetzen.

Für die meisten mittelständischen Unternehmen sind deshalb fünf Maßnahmen besonders wichtig: eine vollständige KI-Inventur, die Bewertung jedes Verwendungszwecks, klare Freigabeprozesse, rollenbezogene Schulungen und eine sichere technische Umgebung.

Wer diese Grundlagen schafft, reduziert nicht nur regulatorische Risiken. Das Unternehmen schafft zugleich die Voraussetzung dafür, KI schneller, sicherer und mit höherer Akzeptanz in den Arbeitsalltag zu bringen.

Du findest unseren Content spannend?

Dann bleib jetzt über unseren Newsletter mit uns in Kontakt: