EU AI Act: Zeitplan und Pflichten für Unternehmen

Worum es beim EU AI Act geht

Die Verordnung (EU) 2024/1689 über künstliche Intelligenz — besser bekannt als EU AI Act — ist das erste umfassende KI-Gesetz weltweit. Sie gilt unmittelbar in allen EU-Mitgliedstaaten und betrifft jedes Unternehmen, das KI-Systeme entwickelt, vertreibt oder einsetzt. Die Unternehmensgröße spielt keine Rolle: Auch ein Fünf-Personen-Betrieb, der einen KI-Chatbot im Kundenservice nutzt, fällt unter die Verordnung.

Der AI Act verfolgt einen risikobasierten Ansatz. Je höher das Risiko eines KI-Systems für Grundrechte, Sicherheit oder Gesundheit, desto strenger die Anforderungen. Das Ziel: Vertrauenswürdige KI fördern, ohne Innovation zu blockieren. In der Praxis bedeutet das für die meisten KMU vor allem Transparenz- und Dokumentationspflichten — aber einige Anwendungen fallen in höhere Risikoklassen mit deutlich schärferen Auflagen.

Der Zeitplan: Welche Fristen gelten

Der AI Act ist seit dem 1. August 2024 in Kraft. Die Pflichten greifen stufenweise über einen Zeitraum von vier Jahren:

• 2. Februar 2025: Verbotene KI-Praktiken gelten. Dazu zählen Social Scoring, manipulative Systeme und biometrische Echtzeit-Identifizierung im öffentlichen Raum (mit eng definierten Ausnahmen).
• 2. August 2025: Regeln für General-Purpose AI (GPAI) wie große Sprachmodelle treten in Kraft. Anbieter solcher Modelle müssen technische Dokumentation bereitstellen und das Urheberrecht beachten.
• 2. August 2026: Der Großteil der Verordnung wird anwendbar. Transparenzpflichten für KI-Systeme mit begrenztem Risiko gelten ab diesem Datum. Die KI-Kompetenzpflicht nach Artikel 4 ist ebenfalls seit diesem Stichtag verbindlich.
• 2. Dezember 2027: Anforderungen an Hochrisiko-KI-Systeme nach Anhang III (z. B. KI in Personalauswahl, Kreditwürdigkeitsprüfung, Bildung oder Justiz). Diese Frist wurde durch den KI-Omnibus um 16 Monate nach hinten verschoben.
• 2. August 2028: Regeln für Hochrisiko-KI in regulierten Produkten (Medizinprodukte, Maschinen, Spielzeug) greifen.

Die ursprüngliche Frist für Hochrisiko-KI nach Anhang III war der 2. August 2026. Der KI-Omnibus (Einigung Mai 2026) hat sie auf Dezember 2027 verschoben. Für Transparenzpflichten und KI-Kompetenz bleibt August 2026 der Stichtag.

Die vier Risikoklassen im Überblick

Der AI Act teilt KI-Systeme in vier Kategorien ein. Die Einstufung bestimmt, welche Pflichten Sie treffen:

Verbotene KI-Praktiken

Bestimmte Anwendungen sind vollständig untersagt. Dazu gehören KI-Systeme, die menschliches Verhalten manipulieren, um Entscheidungen gegen die Interessen der betroffenen Person zu beeinflussen. Ebenso verboten: Social Scoring durch Behörden, Emotionserkennung am Arbeitsplatz (außer aus Sicherheitsgründen) und die Erstellung von Gesichtserkennungsdatenbanken durch ungezieltes Sammeln von Bildern aus dem Internet.

Hochrisiko-KI

KI-Systeme, die in sensiblen Bereichen eingesetzt werden, gelten als Hochrisiko. Beispiele: automatisierte Bewerberauswahl, Kreditwürdigkeitsbewertung, KI in der medizinischen Diagnostik oder in der Strafverfolgung. Für diese Systeme gelten umfangreiche Anforderungen an Risikomanagement, Datenqualität, technische Dokumentation, menschliche Aufsicht und Genauigkeit.

Begrenztes Risiko

Hierunter fallen KI-Systeme, die mit Menschen interagieren — etwa Chatbots oder KI-generierte Inhalte. Die Hauptpflicht: Transparenz. Nutzer müssen wissen, dass sie mit einer KI kommunizieren. KI-generierte Texte, Bilder oder Videos müssen als solche gekennzeichnet werden.

Minimales Risiko

Die meisten KI-Anwendungen im Alltag fallen in diese Kategorie: Spamfilter, Empfehlungssysteme, Übersetzungstools. Für sie bestehen keine spezifischen regulatorischen Pflichten über die allgemeine KI-Kompetenzpflicht hinaus.

Was jetzt für KMU relevant ist

Die meisten mittelständischen Unternehmen setzen KI als Betreiber ein — nicht als Anbieter. Sie nutzen ChatGPT für Textentwürfe, ein KI-Tool für Buchhaltung oder einen Chatbot auf der Website. Diese Rolle als „Deployer" bringt eigene Pflichten mit sich:

• KI-Kompetenz (Artikel 4): Seit dem 2. August 2026 müssen Unternehmen sicherstellen, dass Mitarbeiter, die KI-Systeme bedienen oder deren Ergebnisse verwenden, über ausreichende KI-Kompetenz verfügen. Das bedeutet: Schulungen zum verantwortungsvollen Umgang mit KI, Verständnis der Funktionsweise und Kenntnis der Grenzen.
• Transparenz: Wenn Ihr Unternehmen einen Chatbot einsetzt, müssen Kunden darüber informiert werden, dass sie mit einer KI interagieren. KI-generierte Inhalte — etwa Produktbeschreibungen oder Bilder — müssen als solche erkennbar sein.
• Risikoeinstufung: Prüfen Sie, ob eines Ihrer KI-Systeme in die Hochrisiko-Kategorie fällt. Ein KI-gestütztes Bewerbermanagement-Tool wäre ein typisches Beispiel. Auch wenn die Frist für Hochrisiko erst Dezember 2027 ist: Die Vorbereitung braucht Zeit.
• Dokumentation: Halten Sie fest, welche KI-Systeme Sie einsetzen, zu welchem Zweck und mit welchen Daten. Ein KI-Inventar ist zwar nicht explizit vorgeschrieben, aber in der Praxis die einzige Möglichkeit, den Überblick zu behalten.

KI-Kompetenz: Die erste konkrete Pflicht

Artikel 4 des AI Act ist seit August 2026 verbindlich. Er verpflichtet Anbieter und Betreiber von KI-Systemen, „ein ausreichendes Maß an KI-Kompetenz" bei ihrem Personal sicherzustellen. Die Verordnung lässt bewusst offen, wie das im Detail aussehen soll. Es gibt keine vorgeschriebene Stundenzahl oder zertifizierte Prüfung.

In der Praxis empfiehlt sich ein dreistufiger Ansatz:

1. Basiswissen für alle Mitarbeiter: Was ist KI? Welche KI-Tools setzt das Unternehmen ein? Wo liegen die Grenzen? Dieses Wissen lässt sich in einer kurzen Schulung von 60 bis 90 Minuten vermitteln.
2. Vertiefung für KI-Anwender: Mitarbeiter, die täglich mit KI arbeiten, brauchen ein tieferes Verständnis. Prompt Engineering, Ergebnisvalidierung, Datenschutz bei der Eingabe — das sind die relevanten Themen.
3. Governance-Wissen für Führungskräfte: Geschäftsführer und Abteilungsleiter müssen die regulatorischen Rahmenbedingungen kennen. Nicht im Detail, aber ausreichend, um Risiken einzuschätzen und Entscheidungen zu treffen.

Eine ausführliche Einordnung der KI-Kompetenzpflicht finden Sie in unserem Artikel KI-Kompetenz nach EU AI Act.

Sanktionen bei Verstößen

Der AI Act sieht empfindliche Bußgelder vor:

• Verbotene KI-Praktiken: bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes
• Verstöße gegen Hochrisiko-Pflichten: bis zu 15 Millionen Euro oder 3 % des Jahresumsatzes
• Falsche Angaben gegenüber Behörden: bis zu 7,5 Millionen Euro oder 1 % des Jahresumsatzes

Für KMU und Start-ups gelten die jeweils niedrigeren Beträge. Trotzdem: Die Bußgelder liegen in einer Größenordnung, die auch für mittelständische Unternehmen existenzbedrohend sein kann. Noch wichtiger als die Bußgelder ist in der Praxis das Reputationsrisiko. Ein öffentlich gewordener Verstoß gegen KI-Regulierung kann Kundenvertrauen nachhaltig beschädigen.

Fünf Schritte zur Umsetzung

Ein pragmatischer Fahrplan für KMU, die jetzt mit der Umsetzung beginnen:

1. KI-Inventar erstellen

Listen Sie alle KI-Systeme auf, die in Ihrem Unternehmen im Einsatz sind. Dazu gehören auch Tools, die Mitarbeiter eigenständig nutzen — etwa ChatGPT, Midjourney oder KI-Funktionen in bestehender Software. Erfassen Sie den Zweck, die eingesetzten Daten und die verantwortliche Person.

2. Risikoklassen zuordnen

Ordnen Sie jedes System einer Risikoklasse zu. Die meisten Standardanwendungen fallen unter „minimales Risiko". Prüfen Sie besonders KI-Systeme, die Entscheidungen über Personen treffen oder beeinflussen — hier liegt das Hochrisiko-Potenzial.

3. KI-Kompetenz aufbauen

Planen Sie Schulungen für alle Mitarbeiter, die KI einsetzen. Dokumentieren Sie die Durchführung. Eine nachweisbare Schulungsdokumentation ist im Ernstfall Ihr wichtigstes Argument gegenüber Aufsichtsbehörden.

4. Transparenzpflichten umsetzen

Kennzeichnen Sie Chatbots auf Ihrer Website. Prüfen Sie, ob KI-generierte Inhalte in Ihrer Kommunikation als solche erkennbar sind. Passen Sie bei Bedarf Ihre Datenschutzerklärung an.

5. Governance-Struktur aufsetzen

Bestimmen Sie eine verantwortliche Person für KI-Compliance. Das muss keine Vollzeitstelle sein — aber jemand muss den Überblick behalten, neue Entwicklungen verfolgen und die Einhaltung der Pflichten sicherstellen.

Der EU AI Act ist kein isoliertes Regelwerk. Er greift in bestehende Compliance-Anforderungen ein: DSGVO und NIS2 überschneiden sich an mehreren Stellen mit den KI-Pflichten. Wer bereits ein funktionierendes Compliance-Management hat, kann viele Anforderungen des AI Act darauf aufsetzen. Eine Plattform wie Titan unterstützt dabei, KI-Schulungen zu dokumentieren, Risikoklassifizierungen festzuhalten und Compliance-Nachweise zentral zu verwalten — vom KI-Inventar bis zum Schulungsnachweis.