Worum es im AI Act geht
Der AI Act ist eine EU-Verordnung und gilt damit unmittelbar in allen Mitgliedstaaten. Er verfolgt einen risikobasierten Ansatz: Je größer das Risiko eines KI-Systems für Gesundheit, Sicherheit und Grundrechte, desto strenger die Regeln. Die meisten KI-Anwendungen im Büroalltag fallen in die niedrigste Stufe.
Im Juli 2026 wurde der AI Act durch den sogenannten Digital-Omnibus geändert (Verordnung (EU) 2026/1744). Die Änderungen haben vor allem Fristen verschoben und einzelne Pflichten vereinfacht. Am Grundsystem hat sich nichts geändert.
Welche Rolle hat Ihr Unternehmen?
Die Pflichten hängen davon ab, in welcher Rolle ein Unternehmen mit KI zu tun hat.
| Rolle | Wer das ist | Beispiel |
|---|---|---|
| Anbieter | Entwickelt ein KI-System oder lässt es entwickeln und bringt es unter eigenem Namen auf den Markt | Softwarehaus mit eigenem KI-Bewerbertool |
| Betreiber | Setzt ein KI-System in eigener Verantwortung beruflich ein | Unternehmen, das ChatGPT Business oder Copilot nutzt |
| Einführer und Händler | Bringt KI-Systeme aus Drittländern in die EU oder vertreibt sie | Reseller von KI-Software |
Vorsicht: Wer ein KI-System unter eigenem Namen anbietet oder wesentlich verändert, kann selbst zum Anbieter werden. Das betrifft etwa Unternehmen, die einen eigenen Chatbot auf Basis eines Sprachmodells an Kunden ausliefern.
Die vier Risikostufen
- Verboten: Praktiken mit unannehmbarem Risiko, etwa Social Scoring, manipulative Techniken, Emotionserkennung am Arbeitsplatz oder ungezieltes Sammeln von Gesichtsbildern
- Hohes Risiko: KI in sensiblen Bereichen wie Personalauswahl, Kreditwürdigkeitsprüfung, Bildung oder kritischer Infrastruktur, mit umfangreichen Pflichten
- Transparenzpflichten: Chatbots, KI-generierte Inhalte und Deepfakes müssen erkennbar sein
- Minimales Risiko: Die große Mehrheit der Anwendungen wie Textassistenten, Übersetzung oder Spamfilter, ohne besondere Pflichten aus dem AI Act
Ausführlich mit Beispielen: AI-Act-Risikoklassen. Eine erste Einordnung des eigenen Anwendungsfalls liefert der AI-Act-Check.
Fristen nach dem Digital-Omnibus
| Ab | Was gilt |
|---|---|
| 2. Februar 2025 | Verbote (Art. 5) und Pflicht zur KI-Kompetenz (Art. 4) |
| 2. August 2025 | Regeln für KI-Modelle mit allgemeinem Verwendungszweck, Sanktionen, Behördenstruktur |
| 2. August 2026 | Allgemeine Anwendung, insbesondere Transparenzpflichten nach Art. 50 |
| 2. Dezember 2026 | Neues Verbot von KI zur Erzeugung von Missbrauchsdarstellungen von Kindern und nicht einvernehmlichen intimen Inhalten, Kennzeichnungspflicht für bereits vorher angebotene generative Systeme |
| 2. Dezember 2027 | Pflichten für Hochrisiko-Systeme nach Anhang III (z. B. Personal, Kredit, Bildung) |
| 2. August 2028 | Pflichten für Hochrisiko-Systeme nach Anhang I (KI als Sicherheitsbauteil regulierter Produkte) |
Die ursprünglich für August 2026 vorgesehenen Hochrisiko-Pflichten wurden damit um mehr als ein Jahr verschoben. Verschoben heißt aber nicht gestrichen: Wer Hochrisiko-Systeme einsetzt, sollte die Zeit für die Vorbereitung nutzen.
Was Betreiber konkret tun müssen
Für ein typisches Unternehmen, das KI-Tools wie ChatGPT, Copilot oder DeepL nutzt, lassen sich die Pflichten auf wenige Punkte zusammenfassen.
- KI-Kompetenz fördern: Beschäftigte, die mit KI arbeiten, schulen und befähigen
- Anwendungsfälle erfassen: Wissen, welche KI-Systeme wofür eingesetzt werden
- Verbote ausschließen: Prüfen, dass keine verbotene Praxis dabei ist
- Transparenz herstellen: Chatbots gegenüber Kunden als KI kennzeichnen, Deepfakes offenlegen
- Hochrisiko erkennen: Prüfen, ob ein Anwendungsfall unter Anhang III fällt, etwa KI in der Personalauswahl
Neben dem AI Act gelten weiterhin DSGVO, Arbeitsrecht und Urheberrecht. Für viele Unternehmen sind diese im Alltag sogar die wichtigeren Regeln.
Aufsicht und Bußgelder
In Deutschland regelt das KI-Marktüberwachungsgesetz (KI-MIG) die Umsetzung. Es ist seit dem 29. Juli 2026 in Kraft und macht die Bundesnetzagentur zur zentralen Marktüberwachungsbehörde. Für einzelne Sektoren wie Finanz- oder Medizinprodukte können die bereits zuständigen Fachbehörden die Aufsicht übernehmen.
| Verstoß | Bußgeld bis zu |
|---|---|
| Verbotene Praktiken | 35 Mio. Euro oder 7 % des weltweiten Jahresumsatzes |
| Andere Pflichten, z. B. für Betreiber von Hochrisiko-Systemen oder Transparenz | 15 Mio. Euro oder 3 % des weltweiten Jahresumsatzes |
| Falsche Angaben gegenüber Behörden | 7,5 Mio. Euro oder 1 % des weltweiten Jahresumsatzes |
Es gilt jeweils der höhere Betrag. Für kleine und mittlere Unternehmen gilt der niedrigere der beiden Werte.