EU AI Act: Diese Vorschriften gelten seit August 2026

Was Unternehmen
jetzt wissen müssen

Künstliche Intelligenz ist in vielen Unternehmen längst Teil des Arbeitsalltags – beispielsweise bei der Erstellung und Analyse von Texten, in der Kundenkommunikation, im Recruiting oder bei der Auswertung großer Datenmengen. Gleichzeitig werden die rechtlichen Rahmenbedingungen für ihren Einsatz konkreter.

Mit dem EU AI Act hat die Europäische Union einen einheitlichen Rechtsrahmen für künstliche Intelligenz geschaffen. Die Verordnung ist bereits 2024 in Kraft getreten und wird seitdem schrittweise anwendbar. Seit dem 2. August 2026 gilt nun ein Großteil der Vorschriften. Gleichzeitig hat die EU mit dem sogenannten AI Omnibus die Fristen für bestimmte Hochrisiko-KI-Systeme verlängert.

Für Unternehmen bedeutet das: Einige Anforderungen gelten bereits unmittelbar, für andere bleibt mehr Zeit. Diese sollte jedoch genutzt werden, um KI-Anwendungen zu erfassen, Verantwortlichkeiten festzulegen und geeignete Governance-Strukturen aufzubauen.

Risikobasierter Ansatz: Nicht jede KI wird gleich behandelt

Der EU AI Act verfolgt einen risikobasierten Ansatz. Entscheidend ist daher nicht allein, ob ein Unternehmen künstliche Intelligenz verwendet, sondern vor allem, wofür und unter welchen Bedingungen diese eingesetzt wird. Die Verordnung unterscheidet dabei im Kern drei Stufen: Verbote, strenge Pflichten für Hochrisiko-Systeme und Transparenzpflichten für bestimmte weitere Anwendungen.

Verboten: KI-Praktiken mit inakzeptablem Risiko

Einige KI-Anwendungen sind unabhängig von Branche oder Unternehmensgröße grundsätzlich untersagt – hier gibt es keine Möglichkeit, sich durch Dokumentation oder Kontrollen „freizukaufen“. Dazu zählen beispielsweise Systeme zur Emotionserkennung am Arbeitsplatz oder in Bildungseinrichtungen, zum sogenannten Social Scoring, zur biometrischen Kategorisierung sensibler Merkmale (etwa Rückschlüsse auf politische Einstellung oder sexuelle Orientierung) sowie zum ungezielten Auslesen von Gesichtsbildern aus dem Internet oder aus Videoüberwachung zum Aufbau von Gesichtserkennungsdatenbanken. Auch Systeme, die Menschen gezielt manipulieren oder deren Schwächen ausnutzen, fallen unter dieses Verbot.

Streng reguliert, aber erlaubt: Hochrisiko-KI

Anders verhält es sich bei sogenannter Hochrisiko-KI: Ihr Einsatz ist grundsätzlich zulässig, unterliegt aber besonders umfangreichen Anforderungen – etwa an Risikomanagement, Dokumentation, Datenqualität und menschliche Aufsicht. Zu den betroffenen Bereichen zählen beispielsweise bestimmte KI-Anwendungen im Personalwesen, in der Bildung, in der kritischen Infrastruktur oder zur biometrischen Identifizierung.

Zusätzliche Auflagen: Transparenzpflichten

Für weitere, nicht als hochriskant eingestufte KI-Systeme sieht die Verordnung Transparenzpflichten vor – etwa die Kennzeichnung von Chatbots oder KI-generierten Inhalten (siehe unten). Für zahlreiche Anwendungen mit geringem Risiko bestehen dagegen keine vergleichbaren zusätzlichen Pflichten nach dem AI Act.

Für Unternehmen ist deshalb zunächst eine Bestandsaufnahme entscheidend: Welche KI-Systeme werden eingesetzt und welcher der drei Kategorien sind sie zuzuordnen?

KI-Kompetenz bleibt ein wichtiger Faktor

Bereits seit Februar 2025 adressiert der AI Act auch die KI-Kompetenz in Unternehmen. Der AI Omnibus hat die ursprünglichen Vorgaben hierzu zwar flexibilisiert. Der Aufbau entsprechender Kenntnisse bleibt für Unternehmen dennoch von zentraler Bedeutung.

Mitarbeitende sollten insbesondere verstehen, welche KI-Systeme sie einsetzen dürfen, welche Risiken damit verbunden sind und welche internen Regeln beispielsweise beim Umgang mit vertraulichen oder personenbezogenen Informationen gelten.

Dabei muss nicht jede Person im Unternehmen über dasselbe Wissen verfügen. Sinnvoll sind vielmehr rollen- und anwendungsbezogene Maßnahmen: Wer generative KI lediglich zur Unterstützung bei alltäglichen Aufgaben nutzt, benötigt andere Kenntnisse als Mitarbeitende, die KI-Systeme auswählen, implementieren oder überwachen.

Verstöße können teuer werden

Der AI Act sieht erhebliche Sanktionen vor. Bei Verstößen gegen bestimmte Vorschriften können – abhängig von Art und Schwere des Verstoßes – Bußgelder in Millionenhöhe beziehungsweise in Höhe eines bestimmten Anteils des weltweiten Jahresumsatzes verhängt werden.

Bei verbotenen KI-Praktiken sieht die Verordnung grundsätzlich Höchstbeträge von bis zu 35 Millionen Euro beziehungsweise 7 Prozent des weltweiten Jahresumsatzes vor. Bei Verstößen gegen andere Pflichten können es bis zu 15 Millionen Euro beziehungsweise 3 Prozent des weltweiten Jahresumsatzes sein. Für kleinere Unternehmen gelten bei der Bemessung besondere Regelungen.

Damit wird KI-Compliance zunehmend zu einem Bestandteil des unternehmerischen Risikomanagements.

Was Unternehmen jetzt prüfen sollten

Unabhängig davon, ob im Unternehmen bereits komplexe KI-Systeme oder lediglich einzelne generative Anwendungen genutzt werden, empfiehlt sich ein strukturierter Blick auf den aktuellen Einsatz.

Im ersten Schritt sollte erfasst werden, welche KI-Anwendungen im Unternehmen tatsächlich genutzt werden – einschließlich solcher Tools, die Mitarbeitende möglicherweise eigenständig verwenden. Anschließend sollte geprüft werden, welche Rolle das Unternehmen jeweils einnimmt und welche Anforderungen daraus entstehen.

Darauf aufbauend sollten insbesondere folgende Punkte betrachtet werden:

• KI-Inventar: Welche Systeme und Tools werden in welchen Unternehmensbereichen eingesetzt?
• Risikoklassifizierung: Welche Anwendungen fallen unter besondere Vorgaben des AI Acts?
• Transparenz: Sind seit August 2026 geltende Informations- und Kennzeichnungspflichten berücksichtigt?
• Verantwortlichkeiten: Wer entscheidet über die Einführung und Nutzung von KI und wer überwacht die Einhaltung interner Vorgaben?
• Interne Richtlinien: Gibt es klare Regeln für den Umgang mit KI, Daten und vertraulichen Informationen?
• KI-Kompetenz: Verfügen Mitarbeitende über die für ihre jeweilige Tätigkeit erforderlichen Kenntnisse?
• Dokumentation: Lassen sich Entscheidungen, Freigaben und wesentliche Prozesse rund um den KI-Einsatz nachvollziehen?

KI-Governance als Teil der Unternehmensorganisation

Der EU AI Act macht deutlich, dass KI nicht ausschließlich ein IT-Thema ist. Ihr Einsatz berührt je nach Anwendung unter anderem Datenschutz, Informationssicherheit, Personalprozesse, Compliance und das interne Kontrollsystem.

Für Unternehmen kann es daher sinnvoll sein, bestehende Governance- und Kontrollstrukturen um das Thema KI zu ergänzen, statt vollständig neue Parallelstrukturen aufzubauen. Verantwortlichkeiten, Freigabeprozesse und Kontrollen sollten dabei zum tatsächlichen Umfang und Risiko des KI-Einsatzes passen.

Gerade die verlängerten Übergangsfristen für Hochrisiko-KI bieten Unternehmen die Möglichkeit, entsprechende Strukturen schrittweise aufzubauen und bestehende Prozesse frühzeitig auf möglichen Anpassungsbedarf zu überprüfen.

Unser Fazit

Der 2. August 2026 ist ein wichtiger Meilenstein bei der Umsetzung des EU AI Acts. Insbesondere die Transparenzanforderungen sind nun für Unternehmen unmittelbar relevant. Gleichzeitig verschafft die Verschiebung der umfangreichen Hochrisiko-Vorgaben vielen Unternehmen zusätzliche Vorbereitungszeit.

Diese Zeit sollte genutzt werden. Denn die entscheidende Frage lautet inzwischen nicht mehr nur, ob Unternehmen KI einsetzen, sondern wie sie deren Einsatz transparent, kontrolliert und nachvollziehbar organisieren.

Eine strukturierte Bestandsaufnahme und klare Governance-Regeln schaffen dafür die Grundlage – und helfen gleichzeitig dabei, die Chancen künstlicher Intelligenz verantwortungsvoll zu nutzen.