EU AI Act 2026: Was Unternehmen jetzt wissen müssen

Was ist der EU AI Act?

Der EU AI Act ist die Verordnung (EU) 2024/1689 über Künstliche Intelligenz. Er gilt unmittelbar in den EU-Mitgliedstaaten und wurde 2026 durch die Verordnung (EU) 2026/1744 geändert. Der AI Act unterscheidet Pflichten nach Risiko, Rolle und Verwendungszweck eines KI-Systems. Deshalb ist nicht allein das verwendete Werkzeug entscheidend, sondern auch, ob ein Unternehmen beispielsweise Anbieter oder Betreiber ist und wofür es das System einsetzt.

Welche Risikostufen unterscheidet der AI Act?

• Unannehmbares Risiko: Bestimmte KI-Praktiken sind verboten, darunter gesetzlich definierte manipulative oder ausbeuterische Anwendungen und bestimmte Formen des Social Scoring.
• Hohes Risiko: Bestimmte Systeme in sensiblen Einsatzfeldern wie Beschäftigung, Bildung, kritischer Infrastruktur oder regulierten Produkten können als Hochrisiko-KI eingestuft werden. Für sie gelten besondere Anforderungen, etwa an Risikomanagement, Dokumentation, Datenqualität und menschliche Aufsicht.
• Transparenzrisiko: Für bestimmte KI-Systeme und Inhalte gelten Informations- oder Kennzeichnungspflichten. Dazu gehören beispielsweise direkte Interaktionen mit Chatbots, Deepfakes und bestimmte KI-Texte zu Angelegenheiten von öffentlichem Interesse.
• Minimales oder kein Risiko: Für viele alltägliche KI-Anwendungen führt der AI Act keine zusätzlichen produktspezifischen Pflichten ein. Andere Vorschriften, etwa Datenschutz-, Urheber- oder Arbeitsrecht, können dennoch relevant bleiben.

Welche Fristen gelten nach den Änderungen von 2026?

Der AI Act trat am 1. August 2024 in Kraft. Seine Vorschriften werden stufenweise angewendet. Nach dem 2026 beschlossenen Digital Omnibus gilt derzeit folgender Zeitplan:

• seit 2. Februar 2025: Verbote bestimmter KI-Praktiken und Maßnahmen zur Förderung von KI-Kompetenz,
• seit 2. August 2025: Governance-Regeln und Pflichten für Anbieter von General-Purpose-AI-Modellen,
• seit 2. August 2026: allgemeine Anwendbarkeit großer Teile des AI Act, behördliche Durchsetzung und Transparenzpflichten nach Art. 50,
• ab 2. Dezember 2027: Anforderungen für Hochrisiko-Systeme nach Art. 6 Abs. 2 und Anhang III,
• ab 2. August 2028: Anforderungen für Hochrisiko-Systeme in regulierten Produkten nach Art. 6 Abs. 1 und Anhang I.

Was verlangt Art. 4 zur KI-Kompetenz?

Anbieter und Betreiber von KI-Systemen müssen Maßnahmen ergreifen, die die Entwicklung von KI-Kompetenz bei Beschäftigten und weiteren Personen unterstützen, die in ihrem Auftrag mit den Systemen arbeiten. Zu berücksichtigen sind unter anderem Vorkenntnisse, Erfahrung, Ausbildung und der konkrete Einsatzkontext. Seit der Änderung von 2026 muss dabei kein bestimmtes Kompetenzniveau jeder einzelnen Person garantiert werden. Die Pflicht zu geeigneten Unterstützungsmaßnahmen bleibt jedoch bestehen.

Was gilt für Chatbots und KI-generierte Inhalte?

Art. 50 gilt seit dem 2. August 2026. Menschen müssen bei bestimmten interaktiven Systemen erkennen können, dass sie mit KI kommunizieren. Anbieter generativer Systeme müssen synthetische Inhalte grundsätzlich maschinenlesbar erkennbar machen. Sichtbare Hinweise durch Betreiber sind insbesondere für Deepfakes und bestimmte KI-generierte oder manipulierte Texte zu Angelegenheiten von öffentlichem Interesse vorgesehen. Eine sichtbare Kennzeichnungspflicht besteht daher nicht pauschal für jeden mit KI erstellten oder bearbeiteten Inhalt.

Was sollten Unternehmen jetzt konkret tun?

1. Erfassen, welche KI-Systeme im Unternehmen eingesetzt werden und zu welchem Zweck.
2. Festhalten, ob das Unternehmen Anbieter, Betreiber, Importeur oder Händler des jeweiligen Systems ist.
3. Einsatzfälle auf verbotene Praktiken, Hochrisiko-Einstufung und Transparenzpflichten prüfen.
4. Angemessene Maßnahmen zur KI-Kompetenz der beteiligten Personen organisieren und dokumentieren.
5. Datenschutz, Vertraulichkeit, Urheberrecht und interne Freigabeprozesse zusätzlich berücksichtigen.
6. Die Einordnung regelmäßig überprüfen, wenn sich Systeme, Einsatzbereiche oder Rechtslage ändern.

Fazit

Für Unternehmen beginnt die Umsetzung mit einem verlässlichen Überblick über Systeme, Rollen und Einsatzbereiche. Erst danach lässt sich beurteilen, welche konkreten Pflichten greifen. Bei sensiblen oder hochriskanten Anwendungen sollte die Einordnung rechtlich und fachlich geprüft werden.

Offizielle Quellen

• EUR-Lex: Verordnung (EU) 2024/1689 – Artificial Intelligence Act
• EUR-Lex: Verordnung (EU) 2026/1744 – Digital Omnibus on AI
• Europäische Kommission: Überblick und aktueller Anwendungszeitplan des AI Act
• Europäische Kommission: Fragen und Antworten zu KI-Kompetenz nach Art. 4
• Europäische Kommission: Transparenzpflichten nach Art. 50

Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung. Für eine rechtliche Einschätzung im Einzelfall empfehlen wir die Einbindung qualifizierter Fachpersonen.