EU AI Act 2026: Alle Regeln, Fristen und Strafen erklärt

Seit dem 2. August 2026 gilt der EU AI Act in weiten Teilen verbindlich. Wer einen Chatbot betreibt, muss ihn seitdem kennzeichnen, die EU-Kommission kann erstmals Bußgelder gegen die Anbieter großer KI-Modelle wie ChatGPT, Claude oder Gemini verhängen, und Verstöße gegen die neuen Transparenzregeln kosten bis zu 15 Millionen Euro. Zugleich hat eine Änderungsverordnung namens Digital Omnibus nur sechs Tage vor dem Stichtag die strengen Pflichten für Hochrisiko-KI um 16 Monate auf Dezember 2027 verschoben. Kaum ein Gesetz sorgt derzeit für so viel Verwirrung wie die KI-Verordnung (EU) 2024/1689. Dieser Artikel fasst den kompletten Rechtsstand vom August 2026 zusammen, mit allen Fristen, Pflichten und Strafen. Wer direkt loslegen will, springt zum Spickzettel mit den zehn wichtigsten Punkten für Ihren Betrieb am Artikelende.

Vier Risikoklassen bestimmen die Pflichten

Der EU AI Act reguliert Künstliche Intelligenz nach einem einfachen Grundprinzip. Je höher das Risiko einer KI-Anwendung für Gesundheit, Sicherheit oder Grundrechte, desto strenger die Auflagen. Die Verordnung trat am 1. August 2024 als weltweit erstes umfassendes KI-Gesetz in Kraft und wird seitdem stufenweise anwendbar. Sie gilt nicht nur für europäische Firmen. Auch Anbieter aus den USA oder China fallen darunter, sobald ihre KI-Systeme in der EU auf den Markt kommen oder ihre Ergebnisse in der EU verwendet werden (Artikel 2). Der deutsche Volltext der Verordnung (EU) 2024/1689 auf EUR-Lex umfasst 113 Artikel und 13 Anhänge.

Für die Praxis entscheidend ist die Rollenverteilung. Die Verordnung unterscheidet in Artikel 3 vor allem zwischen Anbietern, die ein KI-System entwickeln und unter eigenem Namen vermarkten, und Betreibern, die ein KI-System in eigener Verantwortung beruflich verwenden. Ein Softwarehaus, das ein Bewerbungs-Screening-Tool verkauft, ist Anbieter. Das Unternehmen, das dieses Tool im Personalbüro einsetzt, ist Betreiber. Die meisten Pflichten treffen Anbieter, doch auch Betreiber müssen handeln, etwa bei Transparenz, Aufsicht und Schulung.

Vom Gesetz ausgenommen sind die rein private Nutzung, Militär und nationale Sicherheit, Systeme allein für Forschung und Entwicklung sowie freie Open-Source-KI, sofern sie nicht als Hochrisiko-System eingesetzt wird oder unter die Verbote und Transparenzpflichten fällt (Artikel 2). Wer ChatGPT also privat für Reisepläne nutzt, hat mit der Verordnung nichts zu tun. Sobald derselbe Account beruflich Kundentexte schreibt, gelten die Unternehmenspflichten. Einzelne Vorschriften lassen sich bequem im deutschsprachigen AI Act Explorer nachschlagen, der jeden Artikel des Gesetzes einzeln aufbereitet.

Digital Omnibus 2026: Der neue Zeitplan im Detail

Die Änderungsverordnung (EU) 2026/1744, der Digital Omnibus on AI, hat den Fahrplan des EU AI Act im Sommer 2026 grundlegend umgebaut. Die EU-Kommission hatte die Änderung am 19. November 2025 vorgeschlagen, weil harmonisierte technische Normen für Hochrisiko-KI fehlten und die Wirtschaft vor nicht erfüllbaren Pflichten stand. Nach einem gescheiterten ersten Trilog einigten sich Parlament und Rat in der Nacht zum 7. Mai 2026. Das Parlament billigte den Kompromiss am 16. Juni mit 423 zu 57 Stimmen bei 174 Enthaltungen, der Rat folgte am 29. Juni. Veröffentlicht wurde die Änderungsverordnung am 24. Juli 2026, in Kraft trat sie am 27. Juli, nur sechs Tage vor dem großen Stichtag.

In der Berichterstattung laufen dabei zwei getrennte Vorhaben unter dem Namen Omnibus. Die hier beschriebene Verordnung 2026/1744 heißt in Fachmedien auch AI-Omnibus oder KI-Omnibus und ändert allein den EU AI Act. Der Begriff Digital Omnibus bezeichnet daneben das zweite, deutlich breitere Gesetzespaket (COM(2025) 837), das unter anderem die DSGVO ändern soll.

Anders als im Kommissionsvorschlag sind die neuen Termine fix. Der Entwurf vom November 2025 wollte den Start der Hochrisiko-Pflichten noch an die Verfügbarkeit der Normen koppeln. Im Trilog ersetzten die Gesetzgeber diesen Mechanismus durch feste Daten, den 2. Dezember 2027 für Anhang-III-Systeme und den 2. August 2028 für Produkte nach Anhang I. Unternehmen können also verbindlich planen.

Der Omnibus änderte auch Inhalte. Neu ist die Unternehmenskategorie der Small Mid-Caps mit weniger als 750 Beschäftigten und höchstens 150 Millionen Euro Umsatz, die von vereinfachter Dokumentation, erleichtertem Qualitätsmanagement und bevorzugtem Zugang zu KI-Reallaboren profitiert. Das AI Office der Kommission erhielt neue Ermittlungsbefugnisse und die exklusive Aufsicht über KI-Systeme, die auf den Modellen desselben Konzerns aufbauen, sowie über KI in sehr großen Online-Plattformen.

Für den Datenschutz relevant ist der neu eingefügte Artikel 4a. Er erlaubt Anbietern von Hochrisiko-KI ausnahmsweise, besondere Kategorien personenbezogener Daten wie Gesundheitsdaten oder die ethnische Herkunft zu verarbeiten, wenn sich Verzerrungen (Bias) im System nur so erkennen und korrigieren lassen. Die ursprüngliche Verordnung beschränkte diese Möglichkeit in Artikel 10 auf die Trainings-, Validierungs- und Testdaten von Hochrisiko-Systemen. Absatz 2 der neuen Vorschrift weitet sie auf Anbieter und Betreiber aller anderen KI-Systeme und KI-Modelle aus, sofern die mögliche Verzerrung Gesundheit, Sicherheit oder Grundrechte beeinträchtigen oder zu verbotener Diskriminierung führen kann. Sechs Bedingungen müssen dafür gleichzeitig erfüllt sein, darunter Pseudonymisierung, dokumentierte Zugriffskontrollen, ein Verbot der Weitergabe an Dritte und die Löschung der Daten, sobald die Verzerrung korrigiert ist. Eine Pflicht zu solchen Bias-Prüfungen entsteht durch Artikel 4a nicht, und die DSGVO gilt neben der neuen Erlaubnis unverändert weiter.

An der Reform gibt es scharfe Kritik. Die Datenschutzorganisation noyb wertete den Digital Omnibus in einem offenen Brief vom November 2025 als Deregulierung statt Vereinfachung, mitgetragen von mehr als 100 Verbraucher- und Grundrechteorganisationen. Die LobbyControl-Analyse zum Big-Tech-Einfluss auf die EU-Digitalgesetze kommt zu dem Ergebnis, die Kommission habe in sieben Fällen zentrale Forderungen von Digitalkonzernen und ihren Verbänden direkt übernommen. Die Kommission verteidigt das Paket als Vereinfachung, die das Schutzniveau erhalte und die Durchsetzung durch die zentrale Aufsicht des AI Office sogar stärke. Die 174 Enthaltungen bei der Parlamentsabstimmung zeigen, wie umstritten der Kurs auch unter den Abgeordneten war.

Acht KI-Praktiken sind komplett verboten, zwei kommen hinzu

Seit dem 2. Februar 2025 verbietet Artikel 5 acht KI-Praktiken vollständig, weil die EU ihr Risiko als unannehmbar einstuft. Verstöße kosten bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes. Verboten sind:

• Unterschwellige Manipulation, die das Verhalten von Menschen wesentlich verändert und ihnen erheblichen Schaden zufügen kann
• Ausnutzen von Schwachstellen aufgrund von Alter, Behinderung oder sozialer und wirtschaftlicher Lage
• Social Scoring, also die Bewertung von Personen anhand ihres Sozialverhaltens mit sachfremden oder unverhältnismäßigen Nachteilen
• Vorhersage von Straftaten allein auf Basis von Profiling oder Persönlichkeitsmerkmalen
• Ungezieltes Auslesen von Gesichtsbildern aus dem Internet oder von Überwachungskameras für Gesichtserkennungs-Datenbanken
• Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen, außer aus medizinischen oder Sicherheitsgründen
• Biometrische Kategorisierung zur Ableitung sensibler Merkmale wie Herkunft, politischer Meinung oder sexueller Orientierung
• Biometrische Echtzeit-Fernidentifizierung in öffentlichen Räumen zur Strafverfolgung, mit eng begrenzten Ausnahmen etwa bei Terrorgefahr oder der Suche nach Entführungsopfern

Für Unternehmen besonders relevant ist das Verbot der Emotionserkennung. Eine Software, die in Videokonferenzen oder im Kundenservice die Stimmung von Beschäftigten auswertet, ist in der EU unzulässig. Auch ein Bonussystem, das Mitarbeiter nach ihrem Verhalten außerhalb der Arbeit bewertet, fällt unter das Social-Scoring-Verbot.

Der Digital Omnibus erweitert die Verbotsliste zum 2. Dezember 2026 um zwei Tatbestände. Untersagt werden dann KI-Systeme, die ohne wirksame Schutzvorkehrungen nicht einvernehmliche intime Bildaufnahmen realer Personen erzeugen, sogenannte Nudify-Apps, sowie Systeme zur Erzeugung von Darstellungen sexuellen Kindesmissbrauchs. Die neuen Verbote richten sich an Anbieter und Betreiber gleichermaßen.

Artikel 4 macht KI-Kompetenz zur Pflicht für alle Unternehmen

Die am meisten unterschätzte Pflicht des EU AI Act gilt bereits seit dem 2. Februar 2025 und trifft praktisch jede Firma, die KI beruflich einsetzt. Nach Artikel 4 müssen Anbieter und Betreiber von KI-Systemen Maßnahmen ergreifen, damit ihr Personal über ausreichende KI-Kompetenz verfügt. Berücksichtigt werden müssen dabei die technischen Kenntnisse und die Ausbildung der Beschäftigten sowie der konkrete Einsatzkontext. Der Digital Omnibus hat die Vorschrift leicht entschärft. Statt einen Kenntnisstand sicherzustellen, müssen Unternehmen jetzt Maßnahmen zur Förderung der KI-Kompetenz nachweisen.

Eine eigene Bußgeldnorm hat Artikel 4 nicht. Unterschätzen sollten Firmen die Vorschrift trotzdem nicht, denn im Schadensfall oder bei einer behördlichen Prüfung dient die dokumentierte Schulung als Nachweis ordnungsgemäßer Organisation. Bei reiner Büroanwendung wie ChatGPT oder Claude genügen drei Bausteine:

• Eine interne Schulung zu Chancen, Grenzen und Datenschutz der eingesetzten Werkzeuge
• Eine schriftliche KI-Richtlinie, die erlaubte Tools und Tabuzonen wie Kundendaten festlegt
• Eine Teilnahme-Dokumentation mit Namen, Datum und Schulungsinhalt

Wie sich generative KI-Werkzeuge sinnvoll und sicher konfigurieren lassen, zeigt unser Leitfaden zu den 5 ChatGPT-Einstellungen für Handwerker.

Transparenzpflichten für Chatbots und KI-Inhalte gelten seit dem 2. August 2026

Der wichtigste neue Pflichtenblock für die breite Wirtschaft steht in Artikel 50 und gilt seit dem 2. August 2026. Die Vorschrift regelt vier Situationen, in denen Menschen erfahren müssen, dass KI im Spiel ist. Bei Verstößen drohen Bußgelder bis 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes.

1. Chatbots und KI-Interaktion: Anbieter müssen sicherstellen, dass Nutzer informiert werden, wenn sie mit einer KI statt einem Menschen kommunizieren. Die Pflicht entfällt nur, wenn der KI-Einsatz für eine normal informierte Person offensichtlich ist.
2. Synthetische Inhalte: Anbieter generativer KI müssen Audio-, Bild-, Video- und Textausgaben in einem maschinenlesbaren Format als künstlich erzeugt kennzeichnen, etwa über Wasserzeichen oder Metadaten.
3. Emotionserkennung und biometrische Kategorisierung: Betreiber müssen betroffene Personen über den Einsatz solcher Systeme informieren, soweit sie überhaupt erlaubt sind.
4. Deepfakes und Texte von öffentlichem Interesse: Betreiber müssen offenlegen, wenn Bild-, Audio- oder Videoinhalte real wirkende Personen, Orte oder Ereignisse künstlich darstellen. KI-generierte Texte zu Themen von öffentlichem Interesse sind offenzulegen, wenn keine menschliche redaktionelle Kontrolle stattfindet.

Für den Geschäftsalltag bedeutet das Entwarnung an einer oft missverstandenen Stelle. Wer Marketing-Texte, Angebote oder Blogartikel mit KI erstellen lässt und sie vor der Veröffentlichung selbst prüft und verantwortet, muss sie nicht kennzeichnen. Die Offenlegungspflicht für Texte greift nur bei Veröffentlichungen zu Themen von öffentlichem Interesse ohne menschliche redaktionelle Verantwortung. Auch ein KI-generiertes Symbolbild im Blogbeitrag ist kein Deepfake, solange es keine realen Personen oder Ereignisse täuschend echt nachstellt. Die maschinenlesbare Kennzeichnung der Rohausgaben ist Sache der Tool-Anbieter, nicht der Nutzer.

Zur Umsetzung hat die EU-Kommission am 10. Juni 2026 den endgültigen Verhaltenskodex für die Kennzeichnung von KI-Inhalten veröffentlicht, die zugehörigen Leitlinien zu den Transparenzpflichten des Artikel 50 folgten am 20. Juli 2026. Der Kodex sieht ein einheitliches Kennzeichen für KI-generierte Inhalte vor und unterscheidet zwischen vollständig generierten und nur KI-unterstützten Werken. Bis Ende Juli 2026 haben laut der offiziellen Kodex-Seite der EU-Kommission rund 190 Unternehmen und Organisationen den freiwilligen Kodex unterzeichnet. Generative Systeme, die schon vor dem 2. August 2026 auf dem Markt waren, bekommen für die maschinenlesbare Kennzeichnung eine Übergangsfrist bis zum 2. Dezember 2026. Wie die Umsetzung aussehen kann, zeigt seit August 2026 das unsichtbare Claude Wasserzeichen, mit dem Anthropic als Kodex-Unterzeichner die Text-Kennzeichnung über alle Claude-Produkte ausrollt.

GPAI-Modelle: Kommission kann seit August 2026 Bußgelder verhängen

Für KI-Modelle mit allgemeinem Verwendungszweck, im Gesetz GPAI genannt, gelten eigene Regeln, die bereits seit dem 2. August 2025 anwendbar sind. Sie treffen Anbieter wie OpenAI, Anthropic oder Google. Modelle, deren Training mehr als 10^25 Gleitkommaoperationen an Rechenleistung verbrauchte, stuft die Verordnung als Modelle mit systemischem Risiko ein und verlangt von ihnen deutlich mehr. Freie Open-Source-Modelle mit offengelegten Parametern sind von den Dokumentationspflichten befreit, solange sie kein systemisches Risiko tragen.

Neu seit dem 2. August 2026 ist die Durchsetzung. Nach einem Jahr Schonfrist kann das AI Office der Kommission jetzt Auskünfte verlangen, Modelle evaluieren und Bußgelder bis 15 Millionen Euro oder 3 Prozent des Weltumsatzes verhängen (Artikel 101). Als Nachweis der Regeltreue dient der GPAI-Verhaltenskodex der EU-Kommission, den laut Kommissionsliste 22 Unternehmen unterzeichnet haben, darunter Google, OpenAI, Anthropic, Microsoft, Amazon und Mistral AI. Meta verweigerte die Unterschrift unter Verweis auf rechtliche Unsicherheiten, xAI unterschrieb nur das Kapitel zu Sicherheit. Ältere Modelle, die vor dem 2. August 2025 auf dem Markt waren, müssen die Pflichten bis zum 2. August 2027 erfüllen. Welche Stärken die großen Modelle im Vergleich haben, zeigt unsere Analyse Claude vs ChatGPT 2026.

Die strengen Hochrisiko-Pflichten starten am 2. Dezember 2027

Die umfangreichsten Anforderungen des EU AI Act treffen Hochrisiko-Systeme, und genau hier hat der Digital Omnibus die Fristen verschoben. Für eigenständige Systeme aus Anhang III gelten die Pflichten ab dem 2. Dezember 2027, für KI in regulierten Produkten wie Maschinen oder Medizinprodukten ab dem 2. August 2028. Anhang III umfasst acht Einsatzbereiche:

• Biometrie, etwa biometrische Fernidentifizierung und Emotionserkennung außerhalb der verbotenen Fälle
• Kritische Infrastruktur wie Strom-, Wasser- und Gasversorgung oder Straßenverkehr
• Bildung, vom Zulassungsverfahren über Prüfungsbewertung bis zur Prüfungsüberwachung
• Beschäftigung und Personal, darunter Bewerbungs-Screening, Beförderungs- und Kündigungsentscheidungen sowie Leistungsüberwachung
• Grundlegende Dienste wie Kreditwürdigkeitsprüfung, Risikobewertung bei Lebens- und Krankenversicherungen und die Priorisierung von Notrufen
• Strafverfolgung, etwa Rückfallprognosen und die Bewertung von Beweismitteln
• Migration und Grenzkontrolle, darunter die Prüfung von Asyl- und Visumanträgen
• Justiz und demokratische Prozesse, einschließlich KI zur Beeinflussung von Wahlen

Der Praxisfall mit der größten Reichweite für den Mittelstand ist das Recruiting. Eine Software, die Bewerbungen automatisch sichtet, bewertet oder aussortiert, ist ein Hochrisiko-System. Anbieter solcher Tools müssen dann ein Risikomanagement betreiben, hochwertige und möglichst verzerrungsfreie Trainingsdaten nachweisen (Art. 10), technische Dokumentation und automatische Protokolle führen, menschliche Aufsicht ermöglichen und Genauigkeit wie Cybersicherheit gewährleisten (Art. 9 bis 15). Firmen, die solche Tools nur einsetzen, trifft Artikel 26. Sie müssen die Betriebsanleitung einhalten, geschultes Personal mit der Aufsicht betrauen, Protokolle mindestens sechs Monate aufbewahren und vor dem Einsatz am Arbeitsplatz die Beschäftigten und deren Vertretung informieren. Trifft ein Hochrisiko-System Entscheidungen über Personen, sind diese ebenfalls zu informieren.

Nicht jedes System aus den acht Bereichen ist automatisch hochriskant. Artikel 6 Absatz 3 nimmt Anwendungen aus, die nur eng begrenzte Verfahrensaufgaben erledigen, menschliche Ergebnisse verbessern oder rein vorbereitend arbeiten. Ein KI-Tool, das Bewerbungsunterlagen lediglich in ein einheitliches Format bringt, bleibt damit außen vor. Beim Profiling natürlicher Personen greift die Ausnahme nie. Für KI in Produkten hat der Digital Omnibus parallel die Definition des Sicherheitsbauteils enger gezogen. Systeme, die dort nur assistieren, optimieren oder die Qualität kontrollieren, gelten künftig lediglich als hochriskant, wenn ihr Ausfall Gesundheits- oder Sicherheitsrisiken auslösen kann.

EU AI Act Strafen: Bußgelder erreichen 35 Millionen Euro, KMU zahlen weniger

Das Sanktionssystem des Artikel 99 arbeitet mit drei Stufen und ist seit dem 2. August 2026 durch die Marktüberwachungsbehörden durchsetzbar. Maßgeblich ist jeweils der höhere Betrag aus Festsumme und Umsatzanteil, bei kleinen und mittleren Unternehmen einschließlich Start-ups dagegen ausdrücklich der niedrigere.

Bei der Bemessung berücksichtigen die Behörden Art, Schwere und Dauer des Verstoßes sowie Vorsatz und Abhilfemaßnahmen. Für die neuen Small Mid-Caps schreibt der Digital Omnibus vor, die wirtschaftliche Lage des Unternehmens einzubeziehen. Die Bußgelder für GPAI-Anbieter verhängt nicht die nationale Behörde, sondern ausschließlich die EU-Kommission.

Bundesnetzagentur übernimmt 2026 die KI-Aufsicht in Deutschland

Deutschland hat seine KI-Aufsicht buchstäblich in letzter Minute aufgebaut. Die KI-Verordnung verlangte die Benennung der nationalen Behörden bis zum 2. August 2025. Diese Frist verstrich wegen der Regierungsneubildung, ein Jahr lang gab es keine deutsche KI-Marktüberwachung, und Mitte 2026 hatten überhaupt erst 8 der 27 Mitgliedstaaten ihre Behörden benannt. Das deutsche Durchführungsgesetz mit dem KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG) als Kernstück passierte am 11. Juni 2026 den Bundestag, am 10. Juli den Bundesrat und trat am 29. Juli 2026 in Kraft, vier Tage vor dem europäischen Stichtag.

Zentrale Marktüberwachungsbehörde ist die Bundesnetzagentur. Bei ihr sind ein Koordinierungs- und Kompetenzzentrum für die einheitliche Rechtsauslegung, eine zentrale Beschwerdestelle für Bürger, Unternehmen und Wettbewerber sowie ein KI-Service Desk als kostenlose Beratungsstelle angesiedelt. Für KI im Finanzsektor bleibt die BaFin zuständig, für regulierte Produkte die jeweiligen Fachbehörden, für öffentliche Stellen der Länder wie Schulen, Landespolizei und Justiz die Landesbehörden. Grundrechtssensible Bereiche wie Strafverfolgung und Migration überwacht eine unabhängige Kammer innerhalb der Bundesnetzagentur.

Beim Blick auf die Zahlen wird deutlich, warum die Rechtsklarheit für den Mittelstand so wichtig ist. Nach der aktuellen Destatis-Erhebung nutzten 2025 rund 26 Prozent der deutschen Unternehmen KI, 2023 waren es erst 12 Prozent. Als größte Hemmnisse nennen die Nicht-Nutzer fehlendes Wissen mit 72 Prozent und direkt dahinter die Unklarheit über rechtliche Folgen mit 62 Prozent. Das ifo Institut meldete im Mai 2026 bereits 54,5 Prozent KI-Nutzung in seinem Unternehmenspanel, mit der stärksten Aufholjagd im Bauhauptgewerbe, das binnen drei Jahren von 7,1 auf 39,8 Prozent sprang.

Hilfe beim Einstieg gibt es kostenlos. Die vom Bundeswirtschaftsministerium geförderten KI-Trainer der Mittelstand-Digital-Zentren beraten anbieterneutral in Workshops und Pilotprojekten, bundesweit stehen dafür rund 100 Fachleute bereit. Dazu kommen der KI-Service Desk der Bundesnetzagentur sowie die Beratungsangebote der Industrie- und Handelskammern und der Handwerkskammern. Die im Gesetz vorgesehenen KI-Reallabore, in denen Firmen neue Systeme unter behördlicher Begleitung und ohne Bußgeldrisiko testen können, muss die Bundesnetzagentur laut ihrer Informationsseite zum KI-Reallabor nach der Omnibus-Verschiebung bis zum 2. August 2027 bereitstellen. Ein Pilotprojekt mit dem Land Hessen und der Bundesdatenschutzbeauftragten schloss im März 2026 ab, kleine und mittlere Unternehmen erhalten beim Zugang gesetzlichen Vorrang. Neben den nationalen Laboren kann das AI Office der EU-Kommission seit der Änderungsverordnung ein eigenes KI-Reallabor auf Unionsebene einrichten, zuständig für die KI-Systeme unter seiner exklusiven Aufsicht.

Diese Schritte stehen für Unternehmen 2026 an

Aus dem Rechtsstand vom August 2026 ergibt sich eine klare Reihenfolge. Zuerst kommt die Bestandsaufnahme, denn ohne ein KI-Inventar weiß niemand, welche Pflichten überhaupt greifen. Dazu zählen auch KI-Funktionen in gekaufter Software, etwa im Buchhaltungsprogramm oder der Branchensoftware.

1. KI-Inventar erstellen: Alle eingesetzten KI-Systeme und KI-Funktionen in Fremdsoftware erfassen und den Risikoklassen zuordnen.
2. Verbote prüfen: Sicherstellen, dass keine Anwendung unter Artikel 5 fällt, etwa Emotionserkennung im Team oder verhaltensbasierte Bewertungssysteme.
3. Transparenz umsetzen: Chatbots kennzeichnen, Deepfake-Inhalte offenlegen, bei KI-Texten die redaktionelle Kontrolle dokumentieren. Diese Pflichten gelten bereits.
4. Schulungen dokumentieren: KI-Kompetenz nach Artikel 4 durch interne Schulungen, eine KI-Richtlinie und Teilnahmenachweise belegen.
5. Hochrisiko-Fahrplan aufstellen: Wer KI im Recruiting, bei Kreditentscheidungen oder in Anhang-III-Bereichen einsetzt oder anbietet, hat bis zum 2. Dezember 2027 Zeit für Risikomanagement, Dokumentation und menschliche Aufsicht.
6. Verträge und Rollen klären: Prüfen, ob das eigene Haus nur Betreiber ist oder durch Umbenennung, Veränderung oder Zweckänderung eines Tools zum Anbieter mit vollen Pflichten wird.

Einen Überblick, welche KI-Anwendungen sich im Betrieb überhaupt lohnen, gibt unser Grundlagenartikel KI im Handwerk. Der Regulierungsprozess läuft unterdessen weiter. Zum 2. Dezember 2026 enden die Übergangsfrist für die maschinenlesbare Kennzeichnung bei Bestandssystemen und die Schonzeit für Nudify-Anwendungen, und über den zweiten Teil des Omnibus-Pakets mit Änderungen an DSGVO und Cookie-Regeln verhandeln Rat und Parlament noch. Eine Annahme wird frühestens Ende 2026 erwartet.

Der EU AI Act als Spickzettel für lokale Betriebe

Für kleine Unternehmen ohne eigene Rechtsabteilung bleibt am Ende die Frage, was davon im Alltag wirklich zu tun ist. Die folgende Checkliste bündelt die zehn wichtigsten Maßnahmen aus diesem Ratgeber, vom KI-Inventar über die Chatbot-Kennzeichnung bis zum Schulungsnachweis.

Speichern Sie sich die Grafik per Rechtsklick über „Bild speichern unter", damit bei der Umsetzung nichts vergessen wird. Oder Sie senden den Spickzettel direkt an die Person im Team, die sich um die Punkte kümmert.

Häufige Fragen zum EU AI Act