Der EU AI Act, verständlich: Was für Ihren Betrieb gilt und was nicht

Der EU AI Act ist das weltweit erste umfassende KI-Gesetz. Die Verordnung (EU) 2024/1689 gilt seit August 2024 unmittelbar in allen Mitgliedstaaten, ohne dass Deutschland dafür ein eigenes Gesetz beschließen musste. Und sie betrifft nicht nur Firmen, die KI entwickeln. Betroffen ist fast jedes Unternehmen, das KI einsetzt. Wenn Ihr Team mit ChatGPT Texte schreibt oder auf Ihrer Website ein Chatbot antwortet, sind Sie gemeint.

Das klingt nach viel. In der Praxis hängt fast alles davon ab, welche Rolle Sie haben und in welche Risikostufe Ihre Anwendung fällt. Beides lässt sich in wenigen Minuten klären.

Anbieter oder Betreiber: Welche Rolle Ihr Betrieb hat

Das Gesetz unterscheidet vor allem zwei Rollen. Anbieter entwickeln KI oder vermarkten sie unter eigenem Namen; sie tragen die strengsten Pflichten des gesamten Regelwerks. Betreiber setzen KI ein, die jemand anderes gebaut hat.

Die meisten kleinen und mittleren Betriebe sind Betreiber. Das ist die deutlich bequemere Rolle, aber keine pflichtfreie: Betreiber müssen die Systeme so einsetzen, wie der Anbieter es vorsieht, und einige der folgenden Pflichten gelten für beide Rollen gleichermaßen.

Vier Risikostufen entscheiden über die Pflichten

Der AI Act sortiert jede KI-Anwendung in eine von vier Stufen. Nach oben wird es strenger, nach unten leerer an Pflichten.

Ganz oben stehen verbotene Praktiken, seit Februar 2025 vollständig untersagt: Social Scoring etwa oder KI, die Menschen gezielt manipuliert. Wer so etwas nicht baut, muss hier nichts tun.

Darunter liegt das hohe Risiko: erlaubt, aber streng reguliert. Hochrisiko beginnt früher, als viele denken. Eine KI, die Bewerbungen vorsortiert oder Kandidaten bewertet, fällt darunter, ebenso KI in der Kreditvergabe. Wer so etwas plant, sollte sich vor der Einführung beraten lassen, nicht danach.

Die dritte Stufe ist das begrenzte Risiko mit Transparenzpflichten. Hier liegen Chatbots und KI-erzeugte Inhalte, dazu gleich mehr.

Und ganz unten das geringe Risiko, die große Mehrheit aller Anwendungen: Spamfilter, Rechtschreibkorrektur, die üblichen Bürowerkzeuge. Dafür sieht das Gesetz keine spezifischen Pflichten vor.

Transparenzpflichten: seit dem 2. August 2026 scharf

Die Stufe, die die meisten Betriebe tatsächlich berührt, ist die dritte. Seit dem 2. August 2026 gilt:

• Chatbots müssen sich als KI zu erkennen geben, sobald Menschen mit ihnen interagieren. Der Hinweis gehört dorthin, wo das Gespräch stattfindet, nicht ins Kleingedruckte.
• KI-erzeugte Inhalte, also Texte, Bilder, Audio und Video, müssen maschinenlesbar als solche gekennzeichnet sein.
• Deepfakes sind offenzulegen, und wer Emotionserkennung einsetzt, muss die Betroffenen informieren.

Kennzeichnen muss der Betrieb, unter dessen Namen das System läuft. Für Systeme, die vor dem 2. August 2026 schon auf dem Markt waren, läuft bei der maschinenlesbaren Markierung eine Übergangsfrist bis zum 2. Dezember 2026. Die Pflicht, dass sich ein Chatbot als KI ausweist, gilt sofort.

Was der Digital Omnibus verschoben hat, und was nicht

Im Juli 2026 hat die EU mit dem Digital Omnibus (Verordnung (EU) 2026/1744) Teile des Zeitplans nach hinten geschoben. Seitdem hält sich in manchen Betrieben die Annahme, der AI Act sei erst einmal vom Tisch. Das stimmt nicht.

Verschoben wurden nur die Hochrisiko-Pflichten, auf Dezember 2027 und August 2028. Alles andere gilt bereits: die Verbote seit Februar 2025, die Regeln für Allzweck-KI wie ChatGPT seit August 2025 und die Transparenzpflichten seit dem 2. August 2026. Wer die Verschiebung als Entwarnung liest, verwechselt die eine Stufe, die warten darf, mit den dreien, die längst gelten.

Die Pflicht, die kaum jemand auf dem Zettel hat

Artikel 4 des AI Act verlangt seit Februar 2025, dass Mitarbeitende, die mit KI arbeiten, über ein „ausreichendes Maß an KI-Kompetenz" verfügen. Das gilt für Anbieter und Betreiber, unabhängig von der Risikoklasse. Also auch dann, wenn Ihr Team einfach nur ChatGPT für E-Mails nutzt.

In der Praxis heißt das: dokumentierte Schulungen für alle, die mit KI arbeiten, mit Nachweis gegenüber Behörden. Was dabei angemessen ist, richtet sich nach Vorkenntnissen, Qualifikation und dem konkreten Einsatz. Wer seinem Team ein KI-Werkzeug hinstellt, ohne zu erklären, was es kann und was nicht, verstößt schon heute gegen die Verordnung.

Was ein Verstoß kostet

Die Bußgelder reichen bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes, je nachdem, was höher ist. Diese Höchstsätze zielen auf verbotene Praktiken und auf Konzerne, nicht auf den Betrieb mit acht Leuten. Ich schreibe sie trotzdem hin, weil sie zeigen, wie ernst die EU das Thema nimmt. Für kleine Betriebe ist das realistische Risiko weniger das Bußgeld als die Abmahnung durch einen Wettbewerber, und die wird mit jedem Monat wahrscheinlicher, in dem etwa die Chatbot-Kennzeichnung fehlt.

Ihr Fahrplan in fünf Schritten

• KI-Inventur. Erfassen Sie, wo in Ihrem Betrieb KI läuft oder geplant ist, und ordnen Sie jede Anwendung grob einer Risikostufe zu. Website-Chatbot, Textwerkzeuge, Bildgeneratoren, alles zählt.
• Sofortpflichten erfüllen. Kennzeichnung prüfen, wo KI mit Menschen spricht oder Inhalte erzeugt. Verbotene Praktiken ausschließen.
• Schulung dokumentieren. Eine kurze, nachweisbare Einweisung für alle, die mit KI arbeiten. Das muss kein Seminar sein, es muss nur stattfinden und festgehalten werden.
• Hochrisiko im Blick behalten. Wenn KI bei Ihnen über Menschen entscheiden soll, etwa in der Personalauswahl, fangen Sie mit der Vorbereitung nicht erst 2027 an.
• Dranbleiben. Leitlinien und Normen zum AI Act entwickeln sich weiter. Einmal im Quartal nachschauen reicht für die meisten Betriebe.

Bei allem, was ich für Kunden einrichte, ist die Kennzeichnung von Anfang an eingebaut, und die Einweisung des Teams gehört zur Umsetzung dazu. Wer jetzt neu startet, hat also einen Vorteil: Es gibt nichts nachzurüsten.

Den ganzen Überblick gibt es auch als Präsentation zum Weitergeben: Der EU AI Act als PDF herunterladen (20 Seiten, ca. 6 MB).

Quellen: Verordnung (EU) 2024/1689 (AI Act), Verordnung (EU) 2026/1744 (Digital Omnibus, in Kraft seit 27. Juli 2026). Dieser Artikel ist eine Orientierung aus der Beratungspraxis und keine Rechtsberatung.