EU AI Act 2026: Welche Pflichten jetzt auf Unternehmen zukommen

Der EU AI Act – offiziell die Verordnung (EU) 2024/1689 – ist die weltweit erste umfassende gesetzliche Regulierung künstlicher Intelligenz. Er ist am 1. August 2024 in Kraft getreten, entfaltet seine Wirkung aber nicht auf einen Schlag, sondern in einem gestaffelten Zeitplan über mehrere Jahre. 2026 ist dabei ein Schlüsseljahr: Viele Pflichten, die zunächst abstrakt klangen, werden jetzt konkret. Dieser Artikel ordnet ein, was bereits gilt, was 2026 hinzukommt und was Unternehmen unabhängig von ihrer Größe vorbereiten sollten.

Der gestaffelte Zeitplan im Überblick

Die Verordnung greift in mehreren Wellen. Die wichtigsten Stichtage sollten Sie kennen, weil sich daran die konkrete Handlungspflicht festmacht:

• 2. Februar 2025: Die Verbote bestimmter KI-Praktiken gelten. Außerdem trat die Pflicht zur KI-Kompetenz (AI Literacy) in Kraft – Operator und Provider müssen sicherstellen, dass ihr Personal über ausreichendes KI-Wissen verfügt.
• 2. August 2025: Die Regeln für KI-Modelle mit allgemeinem Verwendungszweck (General Purpose AI, GPAI) wurden wirksam – das betrifft die großen Sprachmodelle, die hinter Diensten wie Chatbots stehen.
• 2. August 2026: Der Großteil der Verordnung wird voll anwendbar, insbesondere die Transparenzpflichten und der Anwendungsrahmen für viele Hochrisiko-Systeme.
• 2. August 2027: Die Pflichten für Hochrisiko-KI, die in regulierte Produkte eingebettet ist (etwa nach Medizinprodukte- oder Maschinenrecht), greifen vollständig.

Wer sein Datum nicht kennt, riskiert, eine Frist zu verpassen. Es lohnt sich, diese Stichtage in den eigenen Compliance-Kalender zu übernehmen.

Der risikobasierte Ansatz

Das Kernprinzip des AI Act ist eine Einstufung nach Risiko. Je höher das potenzielle Risiko eines KI-Systems für Grundrechte, Sicherheit oder Gesundheit, desto strenger die Anforderungen. Es gibt vier Stufen: unannehmbares Risiko (verboten), hohes Risiko (streng reguliert), begrenztes Risiko (Transparenzpflichten) und minimales Risiko (weitgehend frei). Die allermeisten betrieblich genutzten Anwendungen – etwa ein Textgenerator oder ein Übersetzungstool – fallen in die unteren beiden Kategorien und unterliegen vor allem Transparenz- und Kennzeichnungspflichten.

Pflicht zur KI-Kompetenz gilt schon

Eine Pflicht, die viele übersehen, gilt bereits seit Februar 2025: Artikel 4 verlangt von Providern und Operatorn, dass sie für ein „ausreichendes Maß an KI-Kompetenz" ihres Personals sorgen. Das bedeutet nicht, dass jeder Mitarbeiter ein Informatikstudium braucht, aber dass die Menschen, die mit KI-Systemen arbeiten, deren Funktionsweise, Grenzen und Risiken verstehen.

Praktisch heißt das: Wer im Unternehmen KI-Tools einsetzt, sollte Schulungen dokumentieren – etwa zu Themen wie Halluzinationen, Privacy beim Prompten und der kritischen Prüfung von KI-Ausgaben. Schon eine strukturierte interne Unterweisung mit Anwesenheitsliste ist ein sinnvoller erster Schritt.

GPAI: Was die Modell-Provider betrifft

Seit August 2025 gelten besondere Pflichten für Provider von GPAI-Modellen. Sie müssen unter anderem eine technische Dokumentation bereitstellen, eine Zusammenfassung der für das Training verwendeten Daten veröffentlichen und das EU-Copyright beachten. Für Modelle mit „systemischem Risiko" – sehr leistungsfähige Modelle oberhalb einer bestimmten Rechenschwelle – kommen zusätzliche Verpflichtungen wie Risikobewertungen und Meldepflichten für schwerwiegende Vorfälle hinzu.

Für die meisten Unternehmen, die solche Modelle lediglich nutzen, sind diese Providerpflichten nicht direkt relevant. Wichtig ist aber: Wer ein GPAI-Modell so stark anpasst oder unter eigenem Namen vertreibt, kann selbst zum Provider werden und in die strengere Pflichtenkategorie rutschen. Bei eigenen KI-Diensten lohnt es sich, vorab die eigene Rolle als Provider, Operator oder Importeur sauber zu bestimmen.

Hochrisiko-KI: Wann es ernst wird

Als hochriskant gelten Systeme in sensiblen Sectionsn – beispielsweise in der Personalauswahl (automatisiertes Bewerber-Screening), bei der Kreditwürdigkeitsprüfung, in kritischer Infrastruktur, im Bildungswesen oder bei biometrischer Identifizierung. Wer ein solches System betreibt, muss zahlreiche Anforderungen erfüllen: ein Risikomanagement, hohe Datenqualität, technische Dokumentation, Protokollierung, menschliche Aufsicht und Robustheit.

Gerade die Personalauswahl betrifft viele Mittelständler unmittelbar, sobald sie KI zum Sortieren von Bewerbungen einsetzen. Hier ist besondere Sorgfalt geboten, denn Hochrisiko-Pflichten sind aufwendig und teuer in der Umsetzung.

Bußgelder: Wie teuer Verstöße werden können

Der AI Act sieht abgestufte Sanktionen vor. Für die schwersten Verstöße – etwa den Einsatz verbotener KI-Praktiken – drohen Geldbußen von bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Für Verstöße gegen andere Pflichten liegt der Rahmen bei bis zu 15 Millionen Euro oder 3 % des Umsatzes, bei falschen Angaben gegenüber Behörden bei bis zu 7,5 Millionen Euro oder 1 %. Für kleine und mittlere Unternehmen sollen die Bußgelder verhältnismäßig ausfallen, sind aber keineswegs zu vernachlässigen.

Was Unternehmen 2026 konkret tun sollten

Auch wer kein KI-Spezialist ist, kann pragmatisch vorgehen. Arbeiten Sie diese Punkte ab:

1. Inventarisieren: Erstellen Sie eine Liste aller im Unternehmen genutzten KI-Systeme – inklusive der oft übersehenen Funktionen in bestehenden Tools wie CRM oder Office-Suiten.
2. Einstufen: Ordnen Sie jedes System einer Risikokategorie zu. Die meisten landen bei „minimal" oder „begrenzt".
3. Schulen: Dokumentieren Sie KI-Kompetenz-Schulungen für betroffene Mitarbeitende.
4. Kennzeichnen: Bereiten Sie Transparenzhinweise vor, etwa für Chatbots oder KI-generierte Inhalte.
5. Verträge prüfen: Stellen Sie sicher, dass Ihre KI-Provider die für sie geltenden Pflichten erfüllen.

Wer den Nutzen von KI-Tools nüchtern abwägen will, kann vorab den KI-Zeitersparnis-ROI-Rechner nutzen und die Gesamtkosten mit dem LLM-API-Kosten-Rechner kalkulieren. Weitere praktische Helfer finden Sie im Web tools-Bereich, vertiefende Beiträge in unseren News.

Häufige Fragen

Gilt der EU AI Act auch für kleine Unternehmen?

Ja. Der AI Act gilt grundsätzlich für alle, die KI-Systeme in der EU anbieten oder betreiben – unabhängig von der Unternehmensgröße. Allerdings sind die meisten KMU vor allem von den leichteren Transparenz- und Kompetenzpflichten betroffen, nicht von den aufwendigen Hochrisiko-Anforderungen.

Reicht es, abzuwarten, bis alle Fristen scharf sind?

Nein. Verbote und KI-Kompetenzpflicht gelten bereits seit Februar 2025. Eine Inventur der eingesetzten Systeme und Mitarbeiterschulungen sollten Sie nicht aufschieben, da sich gerade die Kompetenzpflicht ohne Vorlauf nur schwer nachweisen lässt.

Was ist der Unterschied zwischen Provider und Operator?

Ein Provider entwickelt ein KI-System oder bringt es unter eigenem Namen auf den Markt, ein Operator nutzt es im Rahmen seiner Tätigkeit. Die meisten Unternehmen sind Operator – mit deutlich geringeren Pflichten als Provider. Wer ein Fremdmodell jedoch wesentlich verändert oder umetikettiert, kann selbst zum Provider werden.

Hinweis: Dieser Artikel bietet eine allgemeine Orientierung zum Stand 2026 und ersetzt keine individuelle Rechtsberatung. Prüfen Sie konkrete Fristen und Schwellenwerte stets an der amtlichen Verordnung und ziehen Sie im Zweifel Fachexpertise hinzu.