Seit dem 2. August 2026 gelten die meisten Vorschriften des AI Acts. Für Hochrisiko-Systeme laufen längere Übergangsfristen, deren genauer Zeitplan zuletzt Gegenstand politischer Änderungsvorschläge war. Für die Mehrheit der mittelständischen Unternehmen bedeutet das kein Großprojekt. Es bedeutet, dass Nutzung, Zweck, Verantwortliche und Risiken von KI-Anwendungen nicht länger informell behandelt werden dürfen.
Dieser Beitrag bietet unternehmerische und technische Orientierung. Rechtliche Pflichten müssen für den konkreten Einsatz durch qualifizierte Stellen geprüft werden.
Was seit wann gilt
- Seit Februar 2025: Verbote bestimmter Praktiken, etwa Emotionserkennung am Arbeitsplatz mit engen Ausnahmen, und die Pflicht zu ausreichender KI-Kompetenz des Personals.
- Seit August 2025: Pflichten für Anbieter von Modellen mit allgemeinem Verwendungszweck sowie die Aufsichtsstrukturen in den Mitgliedstaaten.
- Seit August 2026: Allgemeine Anwendbarkeit, einschließlich der Transparenzpflichten für Chatbots und synthetische Inhalte, sowie die Pflichten für die im Anhang aufgeführten Hochrisiko-Anwendungen, soweit keine Übergangsfrist greift.
- Ab 2027: Hochrisiko-Anforderungen für KI in regulierten Produkten wie Maschinen oder Medizinprodukten.
Der jeweils aktuelle Stand sollte anhand der Übersicht der EU-Kommission geprüft werden, weil sich Fristen für einzelne Kategorien noch verschieben können.
Anbieter oder Betreiber: die erste Einordnung
Die meisten Unternehmen sind Betreiber: Sie setzen KI-Systeme ein, die andere entwickelt haben. Betreiberpflichten umfassen den Einsatz gemäß Gebrauchsanweisung, ausreichende Kompetenz der Nutzer, menschliche Aufsicht, wo vorgesehen, und Transparenz gegenüber Betroffenen. Zum Anbieter wird ein Unternehmen, wenn es ein System unter eigenem Namen in Verkehr bringt oder ein Hochrisiko-System wesentlich verändert. Diese Einordnung entscheidet über den Pflichtenumfang und sollte je Anwendung dokumentiert werden.
Welche Anwendungen genauer betrachtet werden müssen
| Anwendung | Einordnung zur Orientierung | Was zu tun ist |
|---|---|---|
| Textassistent für interne Entwürfe | Geringes Risiko | Kompetenz, Datenregeln, Eintrag im Inventar |
| Chatbot auf der Website | Transparenzpflicht | Hinweis auf KI, Eskalation zu einem Menschen |
| Erzeugte Bilder oder Videos in der Werbung | Transparenzpflicht bei Realitätsnähe | Kennzeichnung und Freigaberegel |
| Vorauswahl von Bewerbern, Leistungsbewertung von Mitarbeitern | Hochrisiko im Bereich Beschäftigung | Rechtliche Prüfung, Anbieterpflichten prüfen, Aufsicht und Dokumentation |
| Bonitätsprüfung natürlicher Personen | Hochrisiko | Rechtliche Prüfung vor jedem Einsatz |
| Emotionserkennung am Arbeitsplatz | Grundsätzlich verboten | Nicht einsetzen |
Die Tabelle ersetzt keine Prüfung des Einzelfalls. Sie zeigt aber, dass die meisten Alltagsanwendungen im unteren Bereich liegen und mit Inventar, Kompetenz und Datenregeln ausreichend behandelt sind.
Vier Bausteine statt Großprojekt
- Inventar: Welche Systeme, welcher Zweck, welche Daten, welche Wirkung nach außen.
- Zuständigkeiten: Ein Owner je Anwendung, eine Stelle für die Gesamtübersicht, ein Weg für neue Anwendungsfälle.
- Kompetenz: Rollenbezogene Qualifizierung mit Nachweis, nicht nur eine allgemeine Einführung.
- Prozesse: Freigabe vor Außenwirkung, Kennzeichnung synthetischer Inhalte, Umgang mit Vorfällen.
Diese Bausteine sind unabhängig von künftigen Fristverschiebungen sinnvoll, weil sie Fehler, Datenpannen und Reputationsschäden verhindern, die auch ohne Aufsichtsbehörde teuer wären.
Neunzig Tage: ein realistischer Plan
- Tage 1 bis 30: Inventar erstellen, jede Anwendung einordnen, Owner benennen.
- Tage 31 bis 60: Kompetenzplan nach Rollen umsetzen, Datenampel einführen, Freigaberegeln für Anwendungen mit Außenwirkung festlegen.
- Tage 61 bis 90: Hochrisiko-Kandidaten mit rechtlicher Begleitung bewerten, Dokumentation ablegen, Rhythmus für Überprüfung festlegen.
Der AI Act sanktioniert nicht die Nutzung von KI. Er sanktioniert, wenn ein Unternehmen nicht weiß, wie es KI nutzt. Wer Bestand, Zweck und Verantwortung benennen kann, hat den größten Teil der Aufgabe erledigt.
Die Bausteine im Detail
Wie das Inventar in einer Woche entsteht, beschreibt der Beitrag zum KI-Inventar. Welche Lerntiefe welche Rolle braucht, zeigt der Beitrag zur KI-Kompetenzpflicht. Die Regeln für synthetische Inhalte behandelt der Beitrag zur Kennzeichnung, und wo Freigaben tatsächlich notwendig sind, der Beitrag zur menschlichen Aufsicht.