Der EU AI Act gilt seit dem 2. August 2026 in weiten Teilen – und doch hat sich der Fahrplan kurz vorher noch einmal deutlich verschoben. Mit dem sogenannten Digital-Omnibus hat die EU die strengen Hochrisiko-Pflichten nach hinten verlegt, neue Verbote ergänzt und einige Anforderungen entschärft. Wer KI im Unternehmen nutzt, muss deshalb genau wissen, was schon gilt und was erst später kommt.
Dieser Überblick zeigt dir den aktuellen Stand im Oktober 2026: Welche Rolle dein Unternehmen spielt, welche Fristen jetzt maßgeblich sind, welche Behörden in Deutschland zuständig sind und wie du die Umsetzung praktisch angehst.
Was ist der EU AI Act? Die Kernantwort
Der EU AI Act – offiziell Verordnung (EU) 2024/1689, auf Deutsch KI-Verordnung – ist das weltweit erste umfassende Gesetz für künstliche Intelligenz. Er reguliert KI-Systeme nach ihrem Risiko: Bestimmte Praktiken sind verboten, Hochrisiko-Systeme unterliegen strengen Auflagen, für Chatbots und KI-generierte Inhalte gelten Transparenzpflichten. Er gilt unmittelbar in allen EU-Staaten.
Der EU AI Act trat am 1. August 2024 in Kraft und wird seitdem stufenweise wirksam. Er betrifft nicht nur Tech-Konzerne, sondern jedes Unternehmen, das KI entwickelt, vertreibt oder beruflich einsetzt.
Die vier Risikoklassen im Überblick
Herzstück des EU AI Act ist ein risikobasierter Ansatz. Je größer das Risiko für Gesundheit, Sicherheit und Grundrechte, desto strenger die Regeln. Die EU-Kommission unterscheidet vier Stufen:
•
Unannehmbares Risiko: verboten. Dazu zählen Social Scoring, Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen, manipulative Techniken und bestimmte Formen biometrischer Fernidentifizierung.
•
Hohes Risiko: erlaubt, aber streng reguliert. Beispiele sind KI in Personalauswahl, Kreditwürdigkeitsprüfung, Bildung, kritischer Infrastruktur oder Strafverfolgung.
•
Begrenztes Risiko: Transparenzpflichten. Nutzer müssen erkennen, dass sie mit einer KI sprechen, und Deepfakes müssen gekennzeichnet sein.
•
Minimales Risiko: keine besonderen Pflichten, etwa bei Spamfiltern oder KI in Videospielen.
Die meisten KI-Anwendungen im Büro – Textassistenten, Übersetzung, Zusammenfassungen – fallen in die Kategorien mit begrenztem oder minimalem Risiko. Kritisch wird es, sobald KI über Menschen entscheidet oder Entscheidungen maßgeblich vorbereitet.
Die KI-Verordnung gilt unmittelbar in allen Mitgliedstaaten der EU. Foto: Unsplash
Digital-Omnibus: Was sich 2026 am EU AI Act geändert hat
Im Mai 2026 einigten sich Parlament und Rat politisch auf den Digital-Omnibus zur KI-Verordnung. Nach der formalen Annahme wurde er am 24. Juli 2026 im Amtsblatt der EU veröffentlicht – also wenige Tage, bevor viele Pflichten ursprünglich greifen sollten. Die wichtigsten Änderungen:
•
Hochrisiko-Pflichten verschoben: Für eigenständige Hochrisiko-Systeme nach Anhang III gelten die Anforderungen erst ab dem 2. Dezember 2027 statt ab August 2026. Für KI in regulierten Produkten nach Anhang I, etwa Maschinen oder Medizinprodukte, gilt der 2. August 2028.
•
Neues Verbot: KI-Systeme, die nicht einvernehmliche intime Darstellungen oder Darstellungen sexuellen Kindesmissbrauchs erzeugen, sind ab dem 2. Dezember 2026 verboten.
•
Übergang bei Wasserzeichen: Generative Systeme, die schon vor dem 2. August 2026 auf dem Markt waren, haben bis zum 2. Dezember 2026 Zeit für die maschinenlesbare Kennzeichnung ihrer Ausgaben.
•
KI-Kompetenz entschärft: Unternehmen müssen Maßnahmen ergreifen, um die KI-Kompetenz ihrer Beschäftigten zu fördern, aber kein bestimmtes Niveau garantieren.
•
Erleichterungen ausgeweitet: Einige Entlastungen für kleine und mittlere Unternehmen gelten künftig auch für kleine Mid-Caps.
•
Registrierung vereinfacht: Die Pflicht zur Eintragung von Hochrisiko-Systemen in die EU-Datenbank bleibt, die geforderten Angaben werden aber schlanker.
Wichtig für dich: Die Verschiebung ist kein Freifahrtschein. Verbote, Transparenzpflichten und die Pflicht zur Förderung von KI-Kompetenz gelten bereits. Und wer Hochrisiko-Systeme einsetzt, braucht bis Ende 2027 eine belastbare Dokumentation – das dauert erfahrungsgemäß länger als gedacht.
Die 6 entscheidenden Fristen des EU AI Act
Nach dem Omnibus ergibt sich für den EU AI Act folgender Fahrplan. Speichere dir diese Daten in deinem Compliance-Kalender:
1.
2. Februar 2025: Verbotene KI-Praktiken und die Vorgaben zur KI-Kompetenz gelten.
2.
2. August 2025: Regeln für KI-Modelle mit allgemeinem Verwendungszweck (GPAI), Governance-Strukturen und Sanktionsvorschriften greifen.
3.
2. August 2026: Allgemeine Anwendung, einschließlich der Transparenzpflichten nach Artikel 50 und der Durchsetzung durch nationale Behörden.
4.
2. Dezember 2026: Neues Verbot für sexualisierte Deepfakes ohne Einwilligung sowie Ende der Übergangsfrist für die Kennzeichnung bei bestehenden generativen Systemen.
5.
2. Dezember 2027: Pflichten für eigenständige Hochrisiko-Systeme nach Anhang III, etwa in Personalwesen, Bildung oder Kreditvergabe.
6.
2. August 2028: Pflichten für Hochrisiko-KI in Produkten, die unter EU-Harmonisierungsrecht fallen.
Dazwischen liegt eine weitere Frist: GPAI-Modelle, die schon vor dem 2. August 2025 auf dem Markt waren, müssen bis zum 2. August 2027 die Anforderungen erfüllen. Das betrifft vor allem die großen Modellanbieter, wirkt sich aber auf Verträge und Dokumentation bei dir als Nutzer aus.
Welche Rolle hat dein Unternehmen?
Welche Pflichten dich treffen, hängt davon ab, in welcher Rolle du mit KI zu tun hast. Der EU AI Act unterscheidet im Wesentlichen vier Akteure:
•
Anbieter: Wer ein KI-System entwickelt oder entwickeln lässt und unter eigenem Namen auf den Markt bringt. Anbieter tragen die meisten Pflichten.
•
Betreiber: Wer ein KI-System beruflich in eigener Verantwortung nutzt. Das sind die meisten Unternehmen.
•
Einführer: Wer ein KI-System aus einem Nicht-EU-Land in die EU bringt.
•
Händler: Wer ein KI-System weiterverkauft, ohne es zu verändern.
Vorsicht: Die Rollen können wechseln. Wenn du ein fremdes System wesentlich veränderst, es unter eigenem Namen vertreibst oder seinen Zweck so änderst, dass es zum Hochrisiko-System wird, kannst du selbst zum Anbieter werden – mit allen Pflichten.
Pflichten für Betreiber im Alltag
Als Betreiber von Systemen mit geringem Risiko sind deine Pflichten überschaubar. Du musst Maßnahmen zur KI-Kompetenz deiner Beschäftigten ergreifen und bei Bedarf Transparenz herstellen. Setzt du etwa einen Chatbot im Kundenservice ein, müssen Kundinnen und Kunden erkennen, dass sie mit einer KI kommunizieren. Wie das praktisch aussieht, zeigt unser Ratgeber zum KI-Kundenservice.
Veröffentlichst du KI-generierte Bilder, Videos oder Audioinhalte, die real wirken, musst du sie als Deepfake kennzeichnen. Das betrifft besonders Marketingteams, die mit KI-Bildgeneratoren arbeiten.
Pflichten bei Hochrisiko-Systemen
Nutzt du ein Hochrisiko-System, etwa eine Software zur Vorauswahl von Bewerbungen, steigen die Anforderungen ab Dezember 2027 deutlich. Als Betreiber musst du dann unter anderem:
•
das System gemäß der Gebrauchsanweisung des Anbieters verwenden,
•
eine fachkundige menschliche Aufsicht sicherstellen,
•
die automatisch erzeugten Protokolle aufbewahren,
•
Eingabedaten auf Relevanz und Repräsentativität prüfen, soweit du sie kontrollierst,
•
betroffene Beschäftigte vorab informieren,
•
in bestimmten Fällen eine Grundrechte-Folgenabschätzung durchführen.
Bei Verstößen drohen Bußgelder bis in zweistellige Millionenhöhe. Foto: Unsplash
Wer kontrolliert den EU AI Act in Deutschland?
Mit dem KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG) hat Deutschland die nationale Aufsicht geregelt. Das Gesetz trat am 29. Juli 2026 in Kraft. Laut Bundesnetzagentur ist sie damit zentrale Marktüberwachungsbehörde, Anlaufstelle und Beschwerdestelle für den EU AI Act.
In bestimmten Bereichen bleiben etablierte Aufsichten zuständig, etwa die BaFin im Finanzsektor oder die Landesmedienanstalten im Medienbereich. Für Unternehmen besonders praktisch: Der KI-Service Desk der Bundesnetzagentur bietet ein Online-Tool zur ersten Einschätzung der Risikoklasse, Informationen zu Leitlinien und Hinweise zum Aufbau von KI-Kompetenz. Zudem gibt es ein KI-Reallabor, in dem vor allem kleine und mittlere Unternehmen Systeme unter regulatorischer Begleitung testen können.
Strafen: Was bei Verstößen droht
Die Bußgelder im EU AI Act sind bewusst hoch angesetzt, um auch große Konzerne zu erreichen. Die Verordnung sieht drei Stufen vor:
•
Verbotene Praktiken: bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.
•
Verstöße gegen andere Pflichten: bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes.
•
Falsche oder irreführende Angaben gegenüber Behörden: bis zu 7,5 Millionen Euro oder 1 Prozent des Umsatzes.
Für kleine und mittlere Unternehmen gilt jeweils der niedrigere der beiden Beträge. Trotzdem gilt: Ein ernsthafter Umsetzungsplan ist auch dann ein starkes Argument, wenn eine Behörde Fragen stellt.
So setzt du den EU AI Act Schritt für Schritt um
Der Aufwand für den EU AI Act wird oft unterschätzt. Laut einer Bitkom-Befragung vom September 2026 gehen 37 Prozent der Unternehmen davon aus, als Anwender betroffen zu sein, weitere 34 Prozent prüfen das noch. Mit diesem Vorgehen behältst du den Überblick:
1.
KI-Inventar anlegen: Liste alle KI-Systeme auf, die im Unternehmen genutzt werden – auch Funktionen, die in Standardsoftware versteckt sind.
2.
Rolle bestimmen: Kläre für jedes System, ob du Anbieter, Betreiber oder beides bist.
3.
Risiko einstufen: Ordne jedes System einer Risikoklasse zu, etwa mithilfe des Online-Tools der Bundesnetzagentur.
4.
Verbote ausschließen: Prüfe, dass keine Anwendung unter die verbotenen Praktiken fällt.
5.
Transparenz umsetzen: Kennzeichne Chatbots und KI-generierte Inhalte dort, wo es vorgeschrieben ist.
6.
KI-Kompetenz fördern: Schule Beschäftigte passend zu ihren Aufgaben und dokumentiere die Maßnahmen.
7.
Hochrisiko vorbereiten: Fordere bei Anbietern Dokumentation an, plane menschliche Aufsicht und Protokollierung bis Dezember 2027.
8.
Verantwortung festlegen: Benenne eine zuständige Person oder ein Gremium und verankere KI in deinem Compliance-Management.
Verträge mit KI-Anbietern anpassen
Ein oft übersehener Baustein sind die Verträge mit deinen Softwarelieferanten. Lass dir zusichern, dass der Anbieter seine Pflichten aus dem EU AI Act erfüllt, dir die nötige Dokumentation bereitstellt und dich über wesentliche Änderungen am System informiert. Bei Hochrisiko-Anwendungen gehören Gebrauchsanweisung, Angaben zur Genauigkeit und Hinweise zur menschlichen Aufsicht in den Leistungsumfang.
Viele Schritte lassen sich mit bestehenden Strukturen verbinden. Wenn dein Unternehmen ohnehin Pflichten aus der NIS2-Umsetzung erfüllt, kannst du Risikomanagement und Dokumentation gemeinsam aufsetzen.
Ein KI-Inventar mit Rollen und Risikoklassen ist der erste Schritt zur Umsetzung. Foto: Unsplash
Einordnung: Bremse oder Chance?
Die Stimmung in der Wirtschaft ist gespalten. In der Bitkom-Umfrage meinen 66 Prozent der Unternehmen, der EU AI Act bringe mehr Nachteile als Vorteile. Gleichzeitig nutzt inzwischen eine Mehrheit KI – die Technik setzt sich also trotz Regulierung durch.
Die Fristverschiebung verschafft Unternehmen zwar Luft, schafft aber auch neue Unsicherheit: Leitlinien der Kommission zur Einstufung von Hochrisiko-Systemen und harmonisierte Normen sind teilweise noch in Arbeit. Beobachte deshalb die Veröffentlichungen der EU-Kommission und der Bundesnetzagentur, denn sie konkretisieren, wie der EU AI Act in der Praxis ausgelegt wird.
Klar ist: Wer früh Klarheit über seine KI-Systeme schafft, ist im Vorteil. Ein sauberes Inventar, geschulte Teams und klare Verantwortlichkeiten helfen nicht nur bei der Compliance, sondern auch dabei, KI gezielter und sicherer einzusetzen. Für Gründerinnen und Gründer gehört die Regulierung ohnehin zur Produktstrategie – mehr dazu in unserem Beitrag, wie du ein KI-Startup gründen kannst.
Häufige Fragen zu EU AI Act
Ab wann gilt der EU AI Act für Unternehmen?
Die Verordnung ist seit dem 1. August 2024 in Kraft und wird stufenweise wirksam. Verbote und KI-Kompetenz gelten seit Februar 2025, die Transparenzpflichten seit dem 2. August 2026. Durch den Digital-Omnibus greifen die Hochrisiko-Pflichten erst ab dem 2. Dezember 2027 beziehungsweise für KI in regulierten Produkten ab dem 2. August 2028.
Welche Unternehmen sind vom EU AI Act betroffen?
Betroffen ist jedes Unternehmen, das KI-Systeme entwickelt, in der EU anbietet, importiert, vertreibt oder beruflich nutzt. Auch wer nur einen Chatbot oder eine KI-Funktion in Standardsoftware einsetzt, ist Betreiber und muss zumindest Maßnahmen zur KI-Kompetenz ergreifen und Transparenzpflichten beachten. Umfangreiche Pflichten treffen vor allem Anbieter und Betreiber von Hochrisiko-Systemen.
Was ist der Digital-Omnibus zur KI-Verordnung?
Der Digital-Omnibus ist ein Änderungspaket, mit dem die EU die KI-Verordnung vereinfacht und Fristen angepasst hat. Er wurde am 24. Juli 2026 im Amtsblatt veröffentlicht. Er verschiebt die Hochrisiko-Pflichten, ergänzt ein Verbot für sexualisierte Deepfakes ohne Einwilligung, entschärft die Vorgaben zur KI-Kompetenz und weitet Erleichterungen für kleinere Unternehmen aus.
Welche Behörde ist in Deutschland für die KI-Verordnung zuständig?
Seit dem Inkrafttreten des KI-MIG am 29. Juli 2026 ist die Bundesnetzagentur zentrale Marktüberwachungsbehörde, Anlaufstelle und Beschwerdestelle. In einzelnen Bereichen bleiben andere Aufsichten zuständig, etwa die BaFin für den Finanzsektor. Über den KI-Service Desk der Bundesnetzagentur erhalten Unternehmen Orientierung, darunter ein Online-Tool zur Einschätzung der Risikoklasse.
Wie hoch sind die Strafen bei Verstößen gegen den EU AI Act?
Für verbotene KI-Praktiken drohen bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes. Andere Pflichtverstöße kosten bis zu 15 Millionen Euro oder 3 Prozent, falsche Angaben gegenüber Behörden bis zu 7,5 Millionen Euro oder 1 Prozent. Für kleine und mittlere Unternehmen gilt jeweils der niedrigere Betrag.
