EU AI Act für Unternehmen: Was jetzt zu tun ist, verständlich erklärt.

Was der EU AI Act ist

Der EU AI Act (Verordnung (EU) 2024/1689, auf Deutsch KI-Verordnung) ist eine Regulierung nach dem Vorbild des Produktsicherheitsrechts. Er reguliert nicht KI als Technologie, sondern konkrete Einsatzzwecke, je nach dem Risiko, das sie für Gesundheit, Sicherheit und Grundrechte von Menschen bedeuten. Für die meisten Einsätze gelten wenige oder keine besonderen Pflichten. Eine definierte Gruppe von Praktiken ist verboten, eine weitere gilt als Hochrisiko mit erheblichen Pflichten, und manche Einsätze lösen Transparenzpflichten aus. Als EU-Verordnung gilt er unmittelbar in jedem Mitgliedstaat; nationale Behörden sind für Aufsicht und Durchsetzung zuständig.

Für wen er gilt: Anbieter, Betreiber und Unternehmen außerhalb der EU

Die Verordnung kennt mehrere Rollen, aber zwei sind für die meisten Unternehmen entscheidend. Ein Anbieter entwickelt ein KI-System oder lässt es entwickeln und bringt es unter eigenem Namen in Verkehr oder nimmt es in Betrieb. Ein Betreiber nutzt ein KI-System in eigener Verantwortung im beruflichen Kontext. Das Softwareunternehmen, das ein Recruiting-Tool mit KI-Ranking verkauft, ist Anbieter; der Mittelständler, der damit Bewerbungen vorsortiert, ist Betreiber. Betreiber haben weniger Pflichten als Anbieter, aber sie sind nicht ausgenommen.

Zwei Punkte überraschen viele Unternehmen. Erstens gilt die Verordnung auch für Unternehmen außerhalb der EU, wenn sie KI-Systeme auf dem EU-Markt anbieten oder wenn die Ergebnisse ihres Systems in der EU verwendet werden – ein Schweizer oder US-amerikanisches Unternehmen mit EU-Kunden fällt also darunter. Zweitens kann aus einem Betreiber ein Anbieter werden: Wer ein Hochrisiko-System unter eigener Marke einsetzt, es wesentlich verändert oder seinen Zweck so ändert, dass es zum Hochrisiko-System wird, übernimmt die Anbieterpflichten. Eigene KI-Agenten zu bauen macht Sie nicht automatisch zum Anbieter, aber Sie können für das Verhalten des Systems nicht auf einen Hersteller verweisen.

Die Risikoklassen, mit Beispielen, die für normale Unternehmen zählen

Die Einstufung hängt vom Einsatzzweck ab, nicht von der Technologie. Dasselbe Sprachmodell ist minimales Risiko, wenn es Marketingtexte entwirft, und Hochrisiko, wenn es Bewerbungen bewertet.

Für die meisten Unternehmen liegt die praktische Arbeit in der zweiten und dritten Zeile: prüfen, ob etwas im Einsatz Personalentscheidungen, Kredit, Bildung oder kritische Infrastruktur berührt, und sicherstellen, dass jeder Chatbot und jeder veröffentlichte KI-generierte Inhalt den richtigen Hinweis trägt.

KI-Modelle mit allgemeinem Verwendungszweck

KI-Modelle mit allgemeinem Verwendungszweck, die großen Modelle hinter den Produkten von OpenAI, Anthropic, Google, Mistral und anderen, haben ein eigenes Kapitel. Die Pflichten liegen vor allem bei den Modellanbietern: technische Dokumentation, Informationen für nachgelagerte Entwickler, eine Urheberrechts-Policy, eine Zusammenfassung der Trainingsinhalte und zusätzliche Pflichten für Modelle mit systemischem Risiko. Sie gelten seit August 2025.

Für ein Unternehmen, das Agenten oder Produkte auf einem solchen Modell aufbaut, ist die Folge indirekt, aber real: Sie stützen sich für Ihre eigenen Pflichten auf die Dokumentation des Anbieters und bleiben für das System verantwortlich, das Sie bauen. Fragen Sie Ihre Anbieter nach ihrer AI-Act-Dokumentation.

Die KI-Kompetenzpflicht gilt für jede Organisation

Artikel 4 ist der Teil der Verordnung, den die meisten Unternehmen übersehen. Seit Februar 2025 müssen Anbieter und Betreiber sicherstellen, dass ihre Beschäftigten und andere Personen, die in ihrem Auftrag KI-Systeme betreiben oder nutzen, über ein ausreichendes Maß an KI-Kompetenz verfügen. Das erforderliche Niveau richtet sich nach Rolle, technischem Vorwissen und Einsatzkontext, einschließlich der Menschen, auf die sich das System auswirkt.

Ein bestimmtes Zertifikat ist nicht vorgeschrieben, und die Pflicht ist verhältnismäßig: Eine Buchhalterin, die einen KI-Assistenten für Entwürfe nutzt, braucht eine andere Schulung als das HR-Team, das ein Vorauswahl-Tool betreibt. Was Sie brauchen, ist ein rollenbasiertes Schulungskonzept, ein Nachweis der Durchführung und ein Weg, es aktuell zu halten. Unsere KI-Schulungen sind um diese Pflicht herum aufgebaut, vom Briefing für die Geschäftsführung bis zu praktischen Sessions für Teams, die täglich mit Agenten arbeiten.

Der Zeitplan

Zum Zeitpunkt der Veröffentlichung wurden auf EU-Ebene Vorschläge diskutiert, Teile der Hochrisiko-Pflichten zu verschieben. Behandeln Sie die Termine 2026 und 2027 als ursprünglichen Zeitplan, nicht als gesichert, und prüfen Sie den aktuellen Stand, bevor Sie Ihre Compliance-Arbeit daran ausrichten. Unstrittig ist: Verbote, Kompetenzpflicht und die Regeln für Modelle mit allgemeinem Verwendungszweck gelten bereits.

Wie EU AI Act und DSGVO zusammenspielen

Die DSGVO gilt, sobald personenbezogene Daten verarbeitet werden, unabhängig von der Risikoklasse nach dem AI Act. In der Praxis überschneiden sich beide bei denselben Fragen: Gibt es eine Rechtsgrundlage für die Daten, sind die Betroffenen informiert, ist eine Datenschutz-Folgenabschätzung nötig, und werden Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung allein von einer Maschine getroffen? Der AI Act ergänzt die Produktsicht: Ist das System dokumentiert, getestet, beaufsichtigt und protokolliert?

Für Unternehmen in Deutschland kommt eine dritte Ebene hinzu: Der Betriebsrat hat Mitbestimmungsrechte bei technischen Systemen, die Leistung oder Verhalten überwachen können – und das trifft auf viele KI-Werkzeuge zu. Effizient ist ein einziger Aufnahmeprozess für jeden neuen KI-Einsatz, der die Fragen zu DSGVO, AI Act und Mitbestimmung gemeinsam beantwortet, statt drei getrennter Prüfungen in der falschen Reihenfolge.

Ein Aktionsplan in sieben Schritten für ein typisches Unternehmen

1. Inventar. Erfassen Sie jedes eingesetzte KI-System, einschließlich Funktionen in SaaS-Produkten, der eigenständigen Tool-Nutzung durch Beschäftigte und interner Agenten. Halten Sie Zweck, Anbieter, betroffene Daten, Nutzer und Betroffene fest.
2. Einstufen. Bestimmen Sie für jeden Eintrag Ihre Rolle (Anbieter oder Betreiber) und die Risikoklasse. Markieren Sie alles, was Beschäftigung, Kredit, Bildung, Biometrie oder kritische Infrastruktur berührt, für eine genauere Prüfung, und identifizieren Sie jeden Chatbot und jeden Einsatz generierter Inhalte für die Transparenzpflichten.
3. KI-Richtlinie schreiben. Zulässige Nutzung, verbotene Nutzung, wie neue Use Cases beantragt und freigegeben werden, wer die KI-Governance verantwortet. Wenige Seiten, die tatsächlich gelesen werden.
4. Rollenbasiert schulen. Vermitteln Sie KI-Kompetenz angemessen zur jeweiligen Rolle, dokumentieren Sie Teilnahme und Inhalte und wiederholen Sie die Schulung, wenn sich Systeme oder Regeln ändern.
5. Anbieterverträge nachziehen. Fordern Sie AI-Act-Dokumentation, Modellinformationen, Auftragsverarbeitungsbedingungen und die Ankündigung wesentlicher Änderungen ein. Klären Sie, wer Anbieter wovon ist.
6. Menschliche Aufsicht gestalten. Legen Sie für jeden Einsatz, der entscheidet oder handelt, fest, wer ihn beaufsichtigt, was diese Person sieht, welche Befugnis sie zum Eingreifen hat und wie ihre Entscheidungen protokolliert werden. Die technische Seite behandelt unser Leitfaden zu Guardrails für KI-Agenten.
7. Dokumentieren und überwachen. Führen Sie das Inventar als lebendes Register, bewahren Sie Protokolle auf, definieren Sie einen Prozess für Vorfälle und überprüfen Sie das Ganze in festem Rhythmus.

Nichts davon erfordert ein großes Programm. Für ein mittelständisches Unternehmen dauert der erste Durchlauf durch alle sieben Schritte in der Regel wenige Wochen und liefert etwas, das über Compliance hinaus nützlich ist: ein klares Bild davon, wo KI bereits eingesetzt wird und wo sie eingesetzt werden sollte. Unsere KI-Governance-Beratung führt genau diesen Prozess durch und hinterlässt Ihnen Register, Richtlinie und Aufsichtskonzept.