EU AI Act: Pflichten ab August 2026

Der EU AI Act ist das weltweit erste umfassende Gesetz zur Regulierung von Künstlicher Intelligenz und er betrifft nahezu jedes Unternehmen in Deutschland, das KI einsetzt, entwickelt oder vertreibt. Seit dem 2. August 2026 gelten die Transparenzpflichten nach Artikel 50. Die deutlich aufwendigeren Pflichten für Hochrisiko-Systeme greifen erst ab dem 2. Dezember 2027, für in Produkte eingebettete Systeme ab dem 2. August 2028. Der zusätzliche Zeitraum verringert den Aufwand nicht, er verschiebt ihn nur.

Wie der EU AI Act KI klassifiziert

Das Gesetz ordnet KI-Systeme in vier Risikostufen ein. Verbotene KI (Stufe 1) umfasst Anwendungen wie Social Scoring durch Behörden, biometrische Echtzeit-Überwachung im öffentlichen Raum oder Systeme, die Verhaltensmanipulation betreiben. Hochrisiko-KI (Stufe 2) betrifft Systeme in kritischen Bereichen: Personal und Recruiting, Kreditvergabe, Bildungszugang, Strafverfolgung, medizinische Diagnose und kritische Infrastruktur. Hier gelten die strengsten Pflichten.

Darunter folgen KI mit spezifischen Transparenzpflichten (z. B. Chatbots, die sich als KI kenntlich machen müssen) und minimales Risiko (z. B. Spamfilter, einfache Bildklassifikatoren), für die keine besonderen Anforderungen gelten.

Was Hochrisiko-KI konkret bedeutet

Wer ein Hochrisiko-KI-System betreibt oder einsetzt, muss folgende Anforderungen erfüllen: Ein Risikomanagementsystem, das den gesamten Lebenszyklus des Systems abdeckt. Technische Dokumentation, die Architektur, Trainingsdaten, Testverfahren und Genauigkeitskennzahlen beschreibt. Automatisierte Protokollierung (Logging) aller relevanten Ereignisse. Transparenz gegenüber Nutzern über Zweck und Einschränkungen des Systems. Menschliche Aufsicht mit klar definierten Eingriffsmöglichkeiten. Und eine Konformitätsbewertung, die vor Inbetriebnahme abgeschlossen sein muss.

Welche deutschen Unternehmen besonders betroffen sind

Viele Unternehmen unterschätzen, wie weit der Anwendungsbereich reicht. Ein mittelständisches Unternehmen, das KI-gestützte Bewerbungsvorauswahl betreibt auch durch ein extern eingekauftes HR-Tool ist betroffen. Ein Finanzdienstleister, der einen Algorithmus zur Kreditwürdigkeitsprüfung einsetzt, ist betroffen. Ein Krankenhaus, das eine KI-gestützte Diagnosesoftware nutzt, ist betroffen. Die Pflichten gelten nicht nur für Hersteller, sondern auch für Nutzer und Importeure von KI-Systemen.

Was sofort zu tun ist: Die Drei-Schritte-Methode

Schritt 1: KI-Inventar erstellen. Dokumentieren Sie alle KI-Systeme, die Ihr Unternehmen entwickelt, einsetzt oder beschafft. Prüfen Sie für jedes System die Risikokategorie nach AI Act. Oft sind Unternehmen überrascht, wie viele ihrer Standardtools unter die Regulierung fallen von HR-Software über CRM-Systeme bis hin zu Qualitätskontrollsoftware.

Schritt 2: Lückenanalyse durchführen. Vergleichen Sie den Ist-Stand Ihrer Dokumentation und Governance-Prozesse mit den gesetzlichen Anforderungen. Wo fehlen Risikoanalysen? Wo fehlt Logging? Wo muss die Nutzerinformation angepasst werden?

Schritt 3: Priorisieren und umsetzen. Nicht alles lässt sich gleichzeitig angehen. Beginnen Sie mit den Hochrisiko-Systemen, da dort die Bußgelder und die Reputationsrisiken am größten sind.

Was sollten Sie jetzt tun?

Erstellen Sie zunächst eine Übersicht aller KI-Systeme in Ihrem Unternehmen und prüfen Sie deren Risikoklasse. Viele KMUs unterschätzen, wie viele ihrer eingekauften Software-Tools KI enthalten und damit unter den AI Act fallen. Eine strukturierte KI-Bestandsaufnahme ist der erste und wichtigste Schritt zur Compliance.

Hinzu kommt: Selbst wenn Ihre Systeme als niedrig-riskant eingestuft werden, gelten ab August 2026 Transparenzpflichten Nutzer müssen wissen, wenn sie mit KI interagieren. Das betrifft Chatbots, KI-generierte Inhalte und automatisierte Entscheidungsprozesse gleichermaßen.

Jetzt AI-Act-Compliance prüfen →