EU AI Act: Was Unternehmen jetzt tun müssen

Für die meisten Mittelständler bedeutet der EU AI Act derzeit 3 Aufgaben: Mitarbeitende im Umgang mit KI befähigen, KI-Inhalte dort kennzeichnen, wo es Pflicht ist, und prüfen, ob ein System in die Hochrisiko-Klasse fällt.

Die strengen Hochrisiko-Pflichten greifen nach dem Digital Omnibus später: für die Bereiche aus Anhang III ab dem 2. Dezember 2027, für Anhang I ab dem 2. August 2028.

Dieser Beitrag beschreibt den Stand vom November 2026. Er ersetzt keine Rechtsberatung. Ob ein konkretes System betroffen ist, muss im Einzelfall juristisch geprüft werden.

Was regelt der EU AI Act für Unternehmen?

Der EU AI Act, auf Deutsch KI-Verordnung, ordnet KI-Systeme nach ihrem Risiko für Menschen. Je höher das Risiko, desto strenger die Pflichten. Die Verordnung ist am 1. August 2024 in Kraft getreten und gilt seitdem stufenweise.

Für ein Unternehmen, das KI einsetzt, zählen 4 Ebenen:

• Verbotene Praktiken: seit 2. Februar 2025 untersagt.
• Hochrisiko-Systeme: strenge Pflichten, etwa für KI in der Bewerberauswahl.
• Transparenzpflichten: für bestimmte KI-Inhalte und Chatbots.
• Übrige Anwendungen: kaum Vorgaben, außer bei der KI-Kompetenz.

Viele typische Anwendungen im Mittelstand landen in der letzten Gruppe. Dazu gehören Textentwürfe, das Sortieren von E-Mails oder das Vorbereiten von Angeboten.

Welche Fristen gelten nach dem Digital Omnibus?

Mit dem Digital Omnibus on AI hat die EU den Zeitplan für Hochrisiko-Systeme verschoben. Laut der Kanzlei Heuking stimmte das Parlament am 16. Juni 2026 in 1. Lesung zu, der Rat folgte am 29. Juni 2026. In Kraft tritt die Änderung am 3. Tag nach der Veröffentlichung im Amtsblatt.

Die Zeitleiste des EU AI Act Service Desk enthält die neuen Termine bereits.

Die Pflichten für Hochrisiko-Systeme bleiben bestehen, sie greifen nur später. Wer heute ein Werkzeug für die Bewerberauswahl einführt, sollte die Anforderungen deshalb von Anfang an einplanen. So vermeidest du eine hektische Nachrüstung kurz vor dem Stichtag.

Bin ich Anbieter oder Betreiber?

Die KI-Verordnung unterscheidet vor allem zwischen Anbietern, die ein KI-System entwickeln und auf den Markt bringen, und Betreibern, die es beruflich nutzen. Wer ein fertiges KI-Werkzeug im Betrieb nutzt, ist in der Regel Betreiber.

Die Grenze kann verschwimmen. Lässt du dir einen Chatbot individuell bauen und setzt ihn unter deinem Namen ein, solltest du klären lassen, welche Rolle du hast. Davon hängt ab, welche Pflichten dich treffen.

Für Betreiber von Hochrisiko-Systemen nennt Artikel 26 unter anderem diese Pflichten:

• das System nach der Gebrauchsanweisung des Anbieters nutzen,
• die menschliche Aufsicht kompetenten, geschulten Personen übertragen,
• für relevante und hinreichend repräsentative Eingabedaten sorgen, soweit du sie kontrollierst,
• den Betrieb überwachen und den Anbieter bei Risiken informieren,
• automatisch erzeugte Protokolle mindestens 6 Monate aufbewahren,
• Beschäftigte und Arbeitnehmervertretung vor dem Einsatz am Arbeitsplatz informieren.

Trifft oder unterstützt ein solches System Entscheidungen über Personen, musst du auch diese Personen darüber informieren.

Welche KI zählt im Mittelstand als Hochrisiko?

Anhang III der Verordnung listet die Bereiche. Für mittelständische Unternehmen sind vor allem 2 davon relevant.

Personal: Das betrifft KI für gezielte Stellenanzeigen, das Filtern von Bewerbungen und die Bewertung von Kandidaten. Ebenso gehören Entscheidungen über Beförderung oder Kündigung dazu, die Verteilung von Aufgaben nach persönlichen Merkmalen und die Überwachung von Leistung und Verhalten.

Finanzen und Versicherung: Gemeint sind die Bewertung der Kreditwürdigkeit von Privatpersonen sowie Risikobewertung und Preisbildung bei Lebens- und Krankenversicherungen.

Ein KI-Telefonassistent, der Rückrufe vereinbart, oder ein Werkzeug, das Angebotstexte vorformuliert, taucht in dieser Liste nicht auf. Für solche Systeme können trotzdem Transparenzpflichten gelten. Wer KI im Recruiting plant, findet Beispiele und Grenzen im Beitrag Wie kann ich KI im Personalwesen nutzen?.

Was bedeutet die Pflicht zur KI-Kompetenz?

Seit 2. Februar 2025 müssen Unternehmen, die KI nutzen, für ausreichende KI-Kompetenz ihrer Beschäftigten sorgen. Die IHK Schleswig-Holstein weist darauf hin, dass dafür keine externe Schulung vorgeschrieben und ein Zertifikat nach derzeitigem Stand nicht nötig ist. Interne Leitlinien können genügen.

Der Digital Omnibus schwächt die Regel ab. Nach Darstellung von Heuking wird daraus eine Pflicht, KI-Kompetenz zu fördern, ohne den bisherigen streng verpflichtenden und sanktionsbewehrten Charakter. Maßnahmen für das eigene Personal müssen Anbieter und Betreiber trotzdem weiter ergreifen.

Halte deshalb schriftlich fest, wer welche KI-Werkzeuge nutzt, welche Regeln gelten und wie ihr geschult habt. Die IHK rät zu dieser Dokumentation, obwohl die Verordnung keinen Nachweis verlangt.

Der KI-Service Desk der Bundesnetzagentur bietet dazu Praxisbeispiele und Hinweise auf kostenlose Schulungen.

Wann muss ich KI-Inhalte kennzeichnen?

Seit 2. August 2026 gelten die Transparenzpflichten aus Artikel 50. Für Betreiber sind 2 Fälle wichtig.

Deepfakes: Bilder, Audio- oder Videoinhalte, die KI erzeugt oder manipuliert hat, musst du als solche offenlegen. Für erkennbar künstlerische oder satirische Werke gelten Erleichterungen.

Texte von öffentlichem Interesse: KI-Texte, die die Öffentlichkeit über solche Themen informieren sollen, brauchen einen Hinweis. Der entfällt, wenn ein Mensch den Text prüft und redaktionell verantwortet.

Die Pflicht, Menschen auf einen KI-Gesprächspartner hinzuweisen, richtet sich laut Artikel 50 an den Anbieter. Sie entfällt, wenn der KI-Charakter für eine verständige Person offensichtlich ist.

In der Praxis lohnt sich trotzdem ein klarer Satz zu Beginn, etwa: „Hier spricht der digitale Assistent der Firma Muster.“ Der Hinweis muss spätestens bei der ersten Interaktion klar erkennbar sein. Das gilt für Website-Chatbots genauso wie für KI-Agenten am Telefon oder in WhatsApp.

Lässt du dir ein System bauen, das Bilder, Audio, Video oder Text erzeugt, betrifft dich eine weitere Regel. Anbieter müssen solche Ausgaben maschinenlesbar als KI-erzeugt markieren. Für generative KI, die schon vor dem 2. August 2026 am Markt war, gilt laut Heuking eine Übergangsfrist bis 2. Dezember 2026.

Welche Bußgelder drohen beim EU AI Act?

Artikel 99 sieht 3 Stufen vor. Die Beträge sind Höchstgrenzen.

Gemeint ist der weltweite Jahresumsatz. Grundsätzlich gilt der höhere der beiden Werte, für KMU, Start-ups und sogenannte small mid-caps der niedrigere.

In Deutschland soll die Bundesnetzagentur nach den bisherigen Plänen eine zentrale Rolle bei der Umsetzung der KI-Verordnung übernehmen. Ihr Compliance-Kompass prüft schon heute, ob die Verordnung auf ein System anwendbar ist, ob Transparenzpflichten bestehen und ob ein Hochrisiko-Fall oder eine verbotene Praxis vorliegt.

Checkliste: Was du bis Jahresende tun kannst

1. Bestand aufnehmen: Liste alle KI-Werkzeuge im Haus, auch die, die Mitarbeitende selbst mitbringen.
2. Einordnen: Prüfe jedes Werkzeug mit dem Compliance-Kompass der Bundesnetzagentur.
3. Hochrisiko markieren: Lass alles aus Personalauswahl, Leistungsbewertung oder Bonitätsprüfung von Privatpersonen gesondert bewerten.
4. Regeln schreiben: Für den Anfang genügt oft 1 Seite mit erlaubten Tools, tabuisierten Daten und Freigaben.
5. Schulen und dokumentieren: Halte Teilnehmer, Inhalte und Datum fest.
6. Kennzeichnen: Lege Deepfakes offen und weise in Chatbots und Telefonassistenten klar auf die KI hin.

Wo ändert der AI Act wenig?

Für viele Alltagsanwendungen bringt die Verordnung kaum neue Arbeit. Wer KI für interne Entwürfe, Zusammenfassungen oder die Vorsortierung von Anfragen nutzt, muss vor allem die KI-Kompetenz im Blick behalten. Die DSGVO gilt davon unabhängig weiter, sobald personenbezogene Daten im Spiel sind.

Für die meisten Alltagsanwendungen gibt es keinen Grund, KI-Projekte wegen des AI Act zu stoppen. Sinnvoller ist es, neue Systeme gleich mit Dokumentation, Kennzeichnung und klaren Zuständigkeiten aufzusetzen.

Wie das in Vertrieb und Service aussehen kann, zeigen unsere Anwendungsfälle. Einen Überblick über Einstiegsprojekte bietet der Beitrag Wie kann ich KI im Unternehmen nutzen?.

Wenn du KI-Systeme für Vertrieb, Service oder Backoffice planst und diese Fragen von Anfang an mitdenken willst, sprich uns im kostenlosen Erstgespräch an.