EU AI Act im Betrieb: Was jetzt gilt

Für Betriebe zählt daher zuerst die konkrete Nutzung: Läuft KI nur intern, sprechen Kunden direkt mit einem Chatbot oder werden KI-erzeugte Inhalte veröffentlicht? Eine erste Einordnung liefert der EU-AI-Act Quick-Check mit sieben Ja/Nein-Fragen.

Der Digital Omnibus verschiebt nur Hochrisiko-Termine

Mit der Verordnung (EU) 2026/1744 vom 8. Juli 2026 wurde der Zeitplan für Hochrisiko-Systeme geändert. Die Anforderungen für Systeme nach Anhang III, etwa in Personal, Bildung oder Kreditwürdigkeitsprüfung, gelten ab dem 2. Dezember 2027. Für KI als Sicherheitsbauteil regulierter Produkte nach Anhang I gilt der 2. August 2028.

Die Transparenzpflichten aus Artikel 50 gelten davon unabhängig seit dem 2. August 2026. Artikel 4 wurde mit dem Digital Omnibus ebenfalls neu gefasst: Anbieter und Betreiber müssen Maßnahmen ergreifen, um die Entwicklung der KI-Kompetenz ihres Personals und anderer beauftragter Personen zu unterstützen. Ein bestimmtes Kompetenzniveau müssen sie laut aktueller Fassung für keine Person garantieren.

Die seit Februar 2025 geltenden Verbote aus Artikel 5 betreffen unter anderem unterschwellige Manipulation und Social Scoring. Ab dem 2. Dezember 2026 kommen zwei weitere Verbote hinzu, die bestimmte sexualisierte KI-Manipulationen betreffen.

Deine Rolle bestimmt den Pflichtenkatalog

Der AI Act unterscheidet zwischen Betreiber und Anbieter. Betreiber ist ein Unternehmen, das ein KI-System in eigener Verantwortung beruflich nutzt. Dazu zählt etwa ein Betrieb, der einen externen Schreibassistenten, Übersetzungsdienst oder Bildgenerator einsetzt.

Anbieter ist nach Artikel 3 Nr. 3 auch ein Unternehmen, das ein KI-System entwickeln lässt und unter dem eigenen Namen oder der eigenen Marke in Betrieb nimmt. Ein individuell entwickelter Chatbot auf der eigenen Website kann den Betrieb daher in die Anbieterrolle bringen, obwohl das zugrunde liegende Modell von einem externen Hersteller stammt.

Artikel 50 knüpft verschiedene Transparenzpflichten an diese Rollen:

Die Rolle entscheidet damit stärker über die konkrete Pflicht als der Name des verwendeten Werkzeugs.

Artikel 50 trennt technische Kennzeichnung und sichtbare Offenlegung

Für Anbieter generativer Systeme verlangt Artikel 50 Abs. 2 eine maschinenlesbare Kennzeichnung erzeugter oder manipulierter Audio-, Bild-, Video- und Textinhalte. Erwägungsgrund 133 nennt dafür unter anderem Wasserzeichen, Metadatenidentifizierungen, kryptografische Herkunftsnachweise, Protokollierungsmethoden und Fingerabdrücke.

Betreiber müssen in bestimmten Fällen zusätzlich sichtbar offenlegen, dass ein Inhalt künstlich erzeugt oder verändert wurde. Dazu gehören Deepfakes sowie KI-Texte, die die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informieren, sofern keine menschliche Prüfung und redaktionelle Verantwortung vorgesehen sind.

Die EU-Kommission stellt dafür freiwillige Symbole zur Kennzeichnung KI-generierter Inhalte bereit. Das Symbol ist optional; die gesetzlichen Pflichten aus Artikel 50 bleiben bestehen. Der ebenfalls freiwillige Verhaltenskodex zur Transparenz KI-generierter Inhalte beschreibt praktische Verfahren für Anbieter und Betreiber.

Ein Marketingbild braucht deshalb nicht automatisch ein sichtbares KI-Label. Entscheidend sind Inhalt, Rolle und Einsatz. Ein Deepfake ist anders zu behandeln als eine offensichtlich künstliche Illustration, und die maschinenlesbare Kennzeichnung des generativen Systems ist eine eigene Pflicht auf Anbieterseite.

Ein KI-Inventar schafft die nötige Übersicht

In Unternehmen verteilt sich die Nutzung oft auf mehrere Bereiche. Marketing verwendet einen Bildgenerator, Mitarbeitende arbeiten mit Schreibassistenten, in Fachsoftware steckt eine KI-Funktion und auf der Website läuft ein Chatbot. Ohne zentrale Übersicht lässt sich kaum feststellen, welche Rolle der Betrieb bei den einzelnen Systemen hat und welche Pflicht daraus folgt.

Ein KI-Inventar sollte für jedes System mindestens festhalten:

• System und Zweck: Welcher Arbeitsablauf wird damit unterstützt?
• Daten: Welche Informationen werden eingegeben oder verarbeitet?
• Verantwortung: Wer entscheidet über Einsatz, Zugriff und Konfiguration?
• Rolle: Ist der Betrieb Betreiber oder tritt er selbst als Anbieter auf?
• Interaktion: Sprechen Kunden, Bewerber oder andere Personen direkt mit dem System?
• Veröffentlichung: Werden erzeugte Texte, Bilder, Audio- oder Videoinhalte extern veröffentlicht?

Besondere Aufmerksamkeit brauchen Systeme, die über Menschen mitentscheiden. KI in Personalauswahl, Leistungsbewertung, Bildung oder Kreditwürdigkeitsprüfung kann unter Anhang III als Hochrisiko-System fallen. Ab dem 2. Dezember 2027 greifen dafür unter anderem Anforderungen an Risikomanagement, Datenqualität, technische Dokumentation und menschliche Aufsicht.

Für die technische Bestandsaufnahme und Dokumentation kann eine KI-Beratung die eingesetzten Systeme, Rollen und Schnittstellen strukturiert erfassen. Rechtliche Bewertungen gehören in eine gesonderte juristische Prüfung.

Artikel 99 setzt den Bußgeldrahmen

Artikel 99 der Verordnung (EU) 2024/1689 staffelt die möglichen Geldbußen nach Art des Verstoßes. Die zuständigen Stellen berücksichtigen bei der konkreten Höhe unter anderem Art, Schwere und Dauer des Verstoßes.

Die Beträge beschreiben den gesetzlichen Höchstrahmen. Welche Sanktion in einem konkreten Fall verhängt wird, hängt von den Umständen des Einzelfalls ab.

So prüfst du den KI-Einsatz im eigenen Betrieb

Für eine erste Bestandsaufnahme reichen sechs Schritte:

1. Erfasse alle eingesetzten KI-Werkzeuge, auch KI-Funktionen in zugekaufter Software.
2. Kläre je System, ob es intern verwendet oder unter dem Namen deines Unternehmens bereitgestellt wird.
3. Markiere alle Kontaktpunkte, an denen Kunden, Bewerber oder andere Personen direkt mit einer KI interagieren.
4. Erfasse veröffentlichte KI-Texte, -Bilder, -Videos und -Audios und dokumentiere den redaktionellen Prüfprozess.
5. Prüfe, ob KI in Personal, Bildung, Kreditwürdigkeit oder anderen Hochrisiko-Bereichen mitentscheidet.
6. Halte fest, mit welchen Maßnahmen Beschäftigte den sicheren und fachgerechten Umgang mit den eingesetzten Systemen lernen.

Der EU-AI-Act Quick-Check ordnet diese Punkte in sieben Fragen grob nach Verboten, Hochrisiko und Transparenz ein.

Bei externen Anbietern generativer Systeme ist außerdem eine technische Frage aufschlussreich:

Wie stellt euer System die maschinenlesbare Kennzeichnung erzeugter Inhalte nach Artikel 50 sicher, und habt ihr den EU-Verhaltenskodex zur Transparenz unterzeichnet?

Eine belastbare Antwort nennt die eingesetzte Technik, etwa Metadaten, Wasserzeichen oder kryptografische Herkunftsnachweise. Bei Systemen, die bereits vor dem 2. August 2026 auf dem Markt waren, sollte zusätzlich der Stand zur Übergangsfrist am 2. Dezember 2026 klar sein.

Häufige Fragen

Gilt der EU AI Act bereits für normale Unternehmen?

Ja. Artikel 4, die Verbote aus Artikel 5 und die Transparenzpflichten aus Artikel 50 gelten bereits. Die wesentlichen Hochrisiko-Anforderungen nach Anhang III folgen ab dem 2. Dezember 2027, für regulierte Produkte nach Anhang I ab dem 2. August 2028.

Muss jedes KI-generierte Foto im Marketing gekennzeichnet werden?

Die sichtbare Offenlegung hängt vom konkreten Inhalt ab. Deepfakes fallen unter Artikel 50 Abs. 4; ein offensichtlich künstliches oder gezeichnetes Motiv erfüllt die Deepfake-Definition nicht automatisch. Die maschinenlesbare Kennzeichnung durch den Anbieter des generativen Systems ist davon getrennt zu betrachten.

Betrifft der AI Act auch Unternehmen, die nur Standard-Tools einsetzen?

Ja. Wer ein KI-System beruflich in eigener Verantwortung verwendet, kann Betreiber im Sinn der Verordnung sein. Welche Pflicht daraus folgt, hängt vom Einsatz ab, etwa von direkter Interaktion mit Menschen, veröffentlichten Inhalten oder Entscheidungen in sensiblen Bereichen.

Du möchtest klären, welche Vorgaben des EU AI Act deine eingesetzten Systeme betreffen? Wir strukturieren Inventar, Rollen und technische Dokumentation. Sprich mit uns.