Orientierung
EU AI Act: Was für Ihr Unternehmen gilt
Die KI-Verordnung der EU wird seit 2025 Schritt für Schritt wirksam. Im Juli 2026 hat die EU mit dem sogenannten KI-Omnibus einige Fristen verschoben. Hier steht in einfachen Worten, was heute gilt und was das für einen Betrieb bedeutet, der KI einsetzt.
Stand: 8. November 2026
Mit KI-Unterstützung recherchiert und geschrieben, Quellen sind verlinkt.
Zwei Rollen
Wer welche Pflichten hat
Anbieter
Entwickelt ein KI-System oder bietet es unter eigenem Namen an
Ob wir oder Sie Anbieter sind, hängt davon ab, unter wessen Namen das System läuft. Wir klären das im Scope und bauen die technischen Pflichten des Anbieters mit ein: Hinweis auf die KI, Kennzeichnung, Dokumentation.
Betreiber
Nutzt ein KI-System im eigenen Betrieb
Das ist Ihr Unternehmen, sobald Ihre Mitarbeitenden mit KI arbeiten, ob mit ChatGPT oder mit einer Lösung von uns. Für Betreiber gelten weniger, aber eigene Pflichten.
Fristen
Was ab wann gilt
- 1
Verbote und KI-Kompetenz
seit 2. Februar 2025
Bestimmte Anwendungen sind verboten. Wer KI einsetzt, muss die Kompetenz seiner Mitarbeitenden fördern.
- 2
Regeln für große KI-Modelle
seit 2. August 2025
Pflichten für die Anbieter der Modelle hinter ChatGPT, Claude oder Mistral. Für Ihren Betrieb ändert sich dadurch nichts.
- 3
Transparenz
seit 2. August 2026
Chatbots müssen sich als KI zu erkennen geben, KI-Inhalte werden gekennzeichnet. Seit Ende Juli 2026 ist in Deutschland die Bundesnetzagentur zuständig und kann Verstöße verfolgen.
- 4
Kennzeichnung für bestehende Systeme
bis 2. Dezember 2026
KI-Systeme, die vor dem 2. August 2026 auf den Markt kamen, müssen ihre erzeugten Inhalte bis dahin maschinenlesbar kennzeichnen. Ab demselben Tag gilt ein weiteres Verbot.
- 5
Hochrisiko-Systeme
ab 2. Dezember 2027
Strenge Pflichten für KI in sensiblen Bereichen, etwa bei Bewerbungen, Leistungsbewertung oder Kredit. Ursprünglich war dafür der August 2026 geplant. Systeme, die vorher schon laufen, fallen erst darunter, wenn sie wesentlich geändert werden.
- 6
KI in regulierten Produkten
ab 2. August 2028
KI als Teil von Produkten mit eigener Zulassung, etwa Maschinen oder Medizinprodukte.
Pflichten
Worauf es heute ankommt
KI-Kompetenz
Wer KI einsetzt, sorgt dafür, dass die Mitarbeitenden wissen, was sie kann und wo sie sich irrt. Seit dem KI-Omnibus heißt das: Maßnahmen ergreifen, passend zu Vorwissen und Einsatz. Oft genügt eine Einweisung in die eingesetzten Werkzeuge. Ein schriftlicher Nachweis ist nicht vorgeschrieben, hilft aber gegenüber der Aufsicht.
Chatbots sagen, dass sie KI sind
Wer mit einem Chatbot oder Sprachassistenten spricht, muss erfahren, dass es eine KI ist. Das gilt seit dem 2. August 2026, auch für die Telefonannahme per KI.
KI-Inhalte werden gekennzeichnet
Texte, Bilder, Ton und Video, die ein KI-System für Menschen erzeugt, tragen eine maschinenlesbare Kennzeichnung, etwa in den Metadaten. Das ist Aufgabe des Anbieters. Ausgenommen sind reine Bearbeitungshilfen und Ausgaben, die die Eingabe nicht wesentlich ändern. Systeme, die vor dem 2. August 2026 auf den Markt kamen, haben bis 2. Dezember 2026 Zeit.
Deepfakes erkennbar kennzeichnen
Wer KI-Bilder, Ton oder Video erzeugt, die echt wirken und echten oder realistisch denkbaren Personen, Orten, Gegenständen oder Ereignissen ähneln, kennzeichnet sie gut erkennbar, spätestens beim ersten Zeigen. Das betrifft zum Beispiel fotorealistische Werbebilder oder Visualisierungen geplanter Gebäude. Bei erkennbar künstlerischen oder satirischen Werken reicht ein zurückhaltender Hinweis.
Verbotene Anwendungen
Seit Februar 2025 verboten sind unter anderem Emotionserkennung am Arbeitsplatz, Social Scoring und manipulative Techniken. Ab 2. Dezember 2026 auch KI, die ohne Einwilligung realistische intime Bilder, Videos oder Tonaufnahmen echter Personen erzeugt, sowie Darstellungen von Kindesmissbrauch.
Datenschutz gilt weiter
Der AI Act ersetzt die DSGVO nicht. Personenbezogene Daten in KI-Systemen brauchen weiter eine Rechtsgrundlage, einen Vertrag zur Auftragsverarbeitung mit dem KI-Anbieter und am besten Server in der EU.
In der Praxis
Was das für typische Automatisierungen heißt
Die meisten Automatisierungen im Mittelstand sind keine Hochrisiko-Systeme: Bestellungen aus E-Mails lesen, Belege erfassen, Anfragen sortieren, Angebote vorformulieren. Hier zählen vor allem die KI-Kompetenz, der Hinweis auf die KI, wo Kunden mit ihr sprechen, und bei Funktionen, die Texte oder Bilder erzeugen, eine maschinenlesbare Kennzeichnung. Heikel wird es, wenn KI Mitarbeitende bewertet oder Aufgaben nach Leistung oder Verhalten verteilt. Das ist auch dann Hochrisiko, wenn am Ende ein Mensch entscheidet. Solche Funktionen prüfen wir vorab gesondert und bauen sie im Zweifel ohne KI.
Unsere Projekte
So setzen wir das um
- Wir klären im Scope, wer Anbieter ist und ob Ihre Lösung in einen Hochrisiko-Bereich fällt, und halten das Ergebnis schriftlich fest.
- Chatbots und Sprachassistenten sagen von sich aus, dass sie KI sind.
- Wo die Verordnung es verlangt, bekommen erzeugte Inhalte eine maschinenlesbare Kennzeichnung.
- KI-Ergebnisse sind sichtbar, prüfbar und änderbar. Wo sie Folgen für Menschen haben, entscheidet ein Mensch.
- Bei der Einführung weisen wir Ihre Mitarbeitenden ein und geben Ihnen einen Nachweis dafür.
- Für personenbezogene Daten nutzen wir Sprachmodelle aus der EU oder aus Deutschland, ohne Training mit Ihren Daten.
Fragen
Häufige Fragen
Quellen: KI-Verordnung (EU) 2024/1689, KI-Omnibus (EU) 2026/1744, Leitlinien der EU-Kommission zu Artikel 50 vom 20. Juli 2026.
Erstgespräch
Sie wollen KI einsetzen und es richtig machen?
Im Erstgespräch schauen wir, wie Ihr Vorhaben aussieht und worauf wir beim Bau achten. 30 Minuten, kostenlos und unverbindlich.
Kostenloses Erstgespräch vereinbaren