Regulierung der Künstlichen Intelligenz: Der EU AI Act und seine Auswirkungen auf Unternehmen bis 2026

Die Landschaft der Künstlichen Intelligenz (KI) unterliegt einer zunehmenden Regulierung. Der EU AI Act, eine wegweisende Verordnung der Europäischen Union, hat das Ziel, einen harmonisierten Rechtsrahmen für KI-Systeme zu schaffen, der Innovation fördert und gleichzeitig Grundrechte und Sicherheit gewährleistet. Für Unternehmen, die KI entwickeln, vertreiben oder einsetzen, bedeutet dies eine Reihe neuer Pflichten und Fristen. Die umfassendsten Anforderungen treten ab dem 2. August 2026 in Kraft, wodurch ein signifikanter Handlungsbedarf entsteht, um die Compliance sicherzustellen.

Der gestaffelte Zeitplan des EU AI Act

Der EU AI Act (Verordnung (EU) 2024/1689) ist seit dem 1. August 2024 in Kraft, doch seine Bestimmungen werden schrittweise wirksam. Es ist entscheidend, diese Phasen zu kennen, um die notwendigen Maßnahmen rechtzeitig einzuleiten:

• 2. Februar 2025: Seit diesem Datum sind bestimmte KI-Praktiken, die als inakzeptables Risiko eingestuft werden (z.B. Social Scoring, manipulative Systeme, biometrische Echtzeit-Fernidentifikation im öffentlichen Raum, Emotionserkennung am Arbeitsplatz), verboten. Zudem trat die Pflicht zur Sicherstellung ausreichender KI-Kompetenz des Personals (Artikel 4) in Kraft.
• 2. August 2025: Die Regeln für KI-Modelle mit allgemeinem Verwendungszweck (General Purpose AI, GPAI), wie große Sprachmodelle (z.B. GPT-4, Claude), sind seitdem anwendbar. Dies betrifft primär die Anbieter dieser Modelle, aber auch Unternehmen, die diese Modelle nutzen, haben Transparenz- und Dokumentationspflichten.
• 2. August 2026: Dies ist ein zentrales Datum, da der Großteil der Anforderungen des EU AI Act in Kraft tritt. Dazu gehören die strengen Pflichten für Hochrisiko-KI-Systeme (gemäß Anhang III der Verordnung) sowie umfassende Transparenzpflichten.
• 2. August 2027: Für bestimmte Hochrisiko-KI-Systeme, die als Sicherheitskomponenten in regulierten Produkten (z.B. Medizinprodukte, Maschinen) eingesetzt werden, greifen die Pflichten zu diesem späteren Zeitpunkt.

Es ist zu beachten, dass im Rahmen der sogenannten "Digitalen Omnibus-Verordnung" eine mögliche Verschiebung der Fristen für Hochrisiko-KI-Systeme diskutiert wird, um Unternehmen mehr Zeit für die Implementierung zu geben, insbesondere da harmonisierte Normen noch nicht vollständig vorliegen. Unabhängig von einer möglichen Verschiebung ist es jedoch ratsam, die Vorbereitungen auf den 2. August 2026 auszurichten, um auf der sicheren Seite zu sein.

Wen betrifft der EU AI Act?

Der EU AI Act unterscheidet im Wesentlichen zwischen zwei Akteuren:

• Anbieter (Provider): Dies sind Organisationen, die ein KI-System entwickeln, produzieren oder unter eigenem Namen auf den Markt bringen. Sie tragen die umfassendsten Pflichten.
• Betreiber (Deployer): Dies sind Unternehmen, die ein bereits vorhandenes KI-System unter eigener Verantwortung einsetzen. Die große Mehrheit der deutschen Unternehmen fällt in diese Kategorie, da sie KI-Tools nutzen, aber nicht selbst entwickeln. Auch für Betreiber ergeben sich, insbesondere bei Hochrisiko-Systemen, signifikante Pflichten.

Der Act gilt unabhängig von der Unternehmensgröße. Zwar sind für KMU und Startups Erleichterungen vorgesehen (z.B. vereinfachte Dokumentationspflichten, reduzierte Bußgelder), die grundlegenden Anforderungen, insbesondere die KI-Kompetenzpflicht nach Artikel 4, gelten jedoch für alle.

Klassifizierung von KI-Systemen: Die vier Risikostufen

Der EU AI Act basiert auf einem risikobasierten Ansatz, der vier Kategorien von KI-Systemen unterscheidet:

1. Inakzeptables Risiko (verboten)

Hierunter fallen KI-Systeme, die eine klare Bedrohung für Grundrechte darstellen und daher in der EU verboten sind. Beispiele sind:

• Soziale Bewertungssysteme (Social Scoring) durch Behörden.
• KI zur unterschwelligen Manipulation, die das Verhalten von Personen verzerrt.
• Echtzeit-Biometrische Fernidentifikation im öffentlichen Raum (mit eng definierten Ausnahmen für Strafverfolgung).
• Emotionserkennung am Arbeitsplatz oder im Bildungswesen.

Verstöße gegen diese Verbote werden mit den höchsten Bußgeldern belegt.

2. Hohes Risiko (strenge Pflichten)

Diese Kategorie umfasst KI-Systeme, die in sensiblen Bereichen eingesetzt werden und potenziell erhebliche Auswirkungen auf die Gesundheit, Sicherheit oder Grundrechte von Personen haben können. Anhang III des EU AI Act listet acht solche Kategorien auf, darunter:

• Biometrische Identifizierung und Kategorisierung.
• KI in kritischen Infrastrukturen (z.B. Verkehrs-, Wasser-, Energienetze).
• Bildung und Berufsausbildung (z.B. Prüfungsbewertung, Zugang zu Bildungseinrichtungen).
• Beschäftigung und Personalmanagement (z.B. Bewerber-Screening, Leistungsbewertung).
• Zugang zu wesentlichen privaten und öffentlichen Dienstleistungen (z.B. Kreditwürdigkeitsprüfung, Sozialleistungen).
• Strafverfolgung, Migration und Grenzkontrolle.
• Justiz und demokratische Prozesse.

Für diese Systeme gelten umfassende Pflichten in Bezug auf Risikomanagement, Daten-Governance, technische Dokumentation, menschliche Aufsicht und Konformitätsbewertung. Ein Sonderfall sind KI-Systeme, die als Sicherheitskomponenten in bereits regulierten Produkten (z.B. Medizinprodukte) eingesetzt werden.

3. Begrenztes Risiko (Transparenzpflichten)

Hierzu gehören KI-Systeme, die mit Menschen interagieren oder Inhalte generieren, jedoch kein hohes Risiko darstellen. Für diese Systeme sind ab August 2026 Transparenzpflichten vorgesehen:

• Chatbots und dialogbasierte KI müssen Nutzer darüber informieren, dass sie mit einem KI-System interagieren.
• KI-generierte Inhalte (z.B. Deepfakes, Texte zu Themen von öffentlichem Interesse) müssen als solche gekennzeichnet werden.

4. Minimales Risiko (keine besonderen Pflichten)

Die große Mehrheit der KI-Anwendungen in Unternehmen fällt in diese Kategorie. Dazu gehören beispielsweise Spamfilter, einfache Übersetzungstools oder Empfehlungssysteme ohne sicherheitsrelevante Auswirkungen. Für diese Systeme sind keine spezifischen Pflichten vorgesehen, es wird jedoch die Einhaltung freiwilliger Verhaltenskodizes empfohlen. Die allgemeine KI-Kompetenzpflicht nach Artikel 4 gilt jedoch auch hier.

Konkrete Handlungsfelder bis August 2026

Um die Compliance mit dem EU AI Act sicherzustellen, sollten Unternehmen folgende Schritte priorisieren:

1. Umfassende KI-Inventarisierung

Erstellen Sie eine vollständige Liste aller in Ihrem Unternehmen eingesetzten KI-Systeme. Dies umfasst nicht nur offensichtliche Anwendungen wie Chatbots oder Recruiting-Software, sondern auch integrierte KI-Funktionen in Standardsoftware (z.B. Office-Tools mit KI-Features, CRM-Systeme). Dokumentieren Sie für jedes System den Zweck, die verwendeten Daten, den Einsatzkontext und den verantwortlichen Akteur (Anbieter/Betreiber).

2. Risikoklassifizierung der KI-Systeme

Ordnen Sie jedes identifizierte KI-System einer der vier Risikokategorien des EU AI Act zu. Dies erfordert eine genaue Prüfung der jeweiligen Anwendung und ihrer potenziellen Auswirkungen. Bei Unsicherheiten ist eine konservative Einstufung als Hochrisiko-System ratsam.

3. Sicherstellung der KI-Kompetenz (Artikel 4)

Unternehmen müssen gewährleisten, dass alle Mitarbeiter, die KI-Systeme nutzen oder mit ihnen interagieren, über ausreichende KI-Kompetenzen verfügen. Dies erfordert die Entwicklung und Durchführung von Schulungsprogrammen, deren Inhalte und Teilnehmer dokumentiert werden müssen. Eine nachweisbare Qualifizierung, beispielsweise durch Weiterbildungen zum Digitalisierungsmanager, kann diese Anforderung erfüllen.

4. Umsetzung der Transparenzpflichten

Für Systeme mit begrenztem Risiko, insbesondere Chatbots und Tools zur Generierung von Inhalten, müssen ab August 2026 klare Transparenzmechanismen implementiert werden. Nutzer müssen eindeutig erkennen können, wann sie mit einer KI interagieren oder wann Inhalte durch KI generiert wurden.

5. Vorbereitung auf Hochrisiko-Pflichten

Für alle als Hochrisiko eingestuften Systeme müssen Unternehmen bis August 2026 (oder bei Verschiebung bis zur neuen Frist) folgende Maßnahmen ergreifen:

• Risikomanagementsystem: Etablierung eines kontinuierlichen Prozesses zur Identifizierung, Analyse und Minderung von Risiken über den gesamten Lebenszyklus des KI-Systems.
• Daten-Governance: Sicherstellung der Qualität, Repräsentativität und Fehlerfreiheit der Trainings-, Validierungs- und Testdatensätze sowie die Prüfung auf Verzerrungen (Bias).
• Technische Dokumentation: Erstellung einer umfassenden Dokumentation, die Zweck, Funktionsweise, Trainingsdaten, Leistungsgrenzen und Risiken des Systems beschreibt.
• Aufzeichnungspflichten (Logging): Implementierung automatischer Protokollierungsfunktionen, die relevante Ereignisse aufzeichnen und für mindestens sechs Monate aufbewahrt werden.
• Menschliche Aufsicht: Sicherstellung, dass Menschen die Ausgaben des Systems überwachen, korrigieren oder stoppen können. Hierfür sind geeignete technische und organisatorische Maßnahmen erforderlich.
• Konformitätsbewertung: Durchführung einer Konformitätsbewertung vor der Inbetriebnahme. Für die meisten Hochrisiko-Systeme ist eine Selbstbewertung ausreichend, bestimmte Systeme erfordern jedoch eine Bewertung durch eine notifizierte Stelle.
• Registrierung und CE-Kennzeichnung: Hochrisiko-Systeme müssen in der EU-Datenbank registriert und, falls zutreffend, mit einer CE-Kennzeichnung versehen werden.

6. Überprüfung von Lieferanten und Verträgen

Als Betreiber von KI-Systemen sind Sie auch für die Compliance der von Dritten bezogenen Lösungen mitverantwortlich. Prüfen Sie, ob Ihre SaaS-Anbieter und KI-Dienstleister die Anforderungen des EU AI Act erfüllen und die notwendige Dokumentation bereitstellen können. Aktualisieren Sie Lieferantenverträge entsprechend.

Sanktionen bei Verstößen

Die Nichteinhaltung des EU AI Act kann erhebliche finanzielle Konsequenzen haben:

• Verbotene KI-Praktiken: Bis zu 35 Millionen Euro oder 7 % des globalen Jahresumsatzes.
• Verstöße gegen Hochrisiko-Pflichten: Bis zu 15 Millionen Euro oder 3 % des globalen Jahresumsatzes.
• Falsche Angaben an Behörden: Bis zu 7,5 Millionen Euro oder 1 % des globalen Jahresumsatzes.

Für KMU und Startups gelten die jeweils niedrigeren absoluten Beträge, eine vollständige Ausnahme von der Regulierung gibt es jedoch nicht. Die Durchsetzung erfolgt auf nationaler Ebene durch benannte Marktüberwachungsbehörden, in Deutschland ist dies die Bundesnetzagentur.

Fazit und Ausblick

Der EU AI Act stellt einen Paradigmenwechsel in der Regulierung von Künstlicher Intelligenz dar. Die Frist bis August 2026 mag knapp erscheinen, bietet aber eine klare Orientierung für Unternehmen, die ihre KI-Strategien anpassen müssen. Ein proaktives Vorgehen, beginnend mit einer detaillierten Bestandsaufnahme und Risikoklassifizierung, ist unerlässlich. Die Investition in KI-Kompetenzen und die Etablierung robuster Governance-Strukturen sind dabei nicht nur Compliance-Maßnahmen, sondern auch strategische Entscheidungen, die die Zukunftsfähigkeit und Wettbewerbsfähigkeit von Unternehmen sichern können. Die Komplexität der Materie erfordert eine interdisziplinäre Zusammenarbeit zwischen IT, Recht, Datenschutz und Fachabteilungen, um die Anforderungen des EU AI Act erfolgreich zu meistern.

Bibliographie

- Kim M. Scheurenbrand: EU AI Act: Was bis August 2026 in Unternehmen erledigt sein muss. heise online. 25. Mai 2026. - Dr. Jens Aichinger: EU AI Act Checkliste 2026: Was Unternehmen jetzt tun müssen. Skill-Sprinters. 26. März 2026. - EU AI Act ab August 2026: Was Unternehmen mit Hochrisiko-KI jetzt tun müssen. wz-it.com. 5. Mai 2026. - EU AI Act 2026: Status, Fristen, Handlungsbedarf. Gosign. 23. Februar 2026. - Ryan Donnelly: EU AI Act: Leitfaden zur Implementierung im Unternehmen. Enzai. 3. April 2026. - Thomas Krampe: EU AI Act 2026 - die konkrete Checkliste für IT-Leiter. thomas-krampe.com. 22. Mai 2026. - aiacto: AI Act und KMU: Was Sie vor August 2026 tun müssen. aiacto.eu. 13. März 2026. - Hermine Klehm: Verschiebung der KI-Pflichten: Was das für Unternehmen bedeutet. wiemer-arndt.de. 12. März 2026. - Adrian Garcia-Kunz: EU AI Act greift seit 6. April 2026: Was Mittelstands-Tech-Teams jetzt bis August klären müssen. mybusinessfuture.com. 14. April 2026. - Timeline for the Implementation of the EU AI Act. AI Act Service Desk. ec.europa.eu.