EU AI Act 2026: Ab Sommer musst du das wissen

EU AI Act 2026: Die neue Ära der künstlichen Intelligenz in Europa

In der digitalen Landschaft bricht diesen Sommer eine neue Zeitrechnung an. Während künstliche Intelligenz in den letzten Jahren oft in einem rechtlichen Graubereich operierte, schafft die Europäische Union nun mit dem EU AI Act (KI-Gesetz) den weltweit ersten umfassenden Rechtsrahmen für diese Technologie.

Ab Sommer 2026 werden die zentralen Bestimmungen des Gesetzes für die meisten Unternehmen und Entwickler "schlagend". Das Ziel ist klar: Innovation fördern und gleichzeitig die Grundrechte der Bürger schützen. Dabei setzt die EU auf einen risikobasierten Ansatz, der KI-Systeme in verschiedene Kategorien unterteilt – je nachdem, wie groß das potenzielle Gefahrenpotenzial für den Menschen ist.

Ein Gesetz, vier Risikoklassen

Das Herzstück des AI Acts ist die Einstufung von Anwendungen nach ihrem Risiko. Je höher das Risiko für die Sicherheit oder die Grundrechte, desto strenger sind die Anforderungen an die Transparenz und die technische Dokumentation.

Die Einteilung erfolgt in vier Stufen:

1. Unannehmbares Risiko: Anwendungen, die als Bedrohung gelten (z. B. Social Scoring durch Regierungen), werden komplett verboten.
2. Hohes Risiko: KI in kritischen Infrastrukturen, Bildung oder im Personalwesen. Diese Systeme unterliegen strengsten Kontroll- und Konformitätspflichten.
3. Geringes Risiko: Hierzu zählen etwa Chatbots oder Bildgeneratoren. Hier stehen Transparenzpflichten im Vordergrund (Nutzer müssen wissen, dass sie mit einer KI interagieren).
4. Minimales Risiko: Anwendungen wie KI-gestützte Videospiele oder Spam-Filter. Hier ändert sich rechtlich kaum etwas.

Was heute gilt und was verschoben wurde

Die Verordnung gilt gestaffelt. Die Verbote aus Artikel 5 sind seit Februar 2025 anwendbar und seit August 2025 mit Bußgeld bewehrt. Die Transparenzpflichten aus Artikel 50 gelten seit dem 2. August 2026. Menschen müssen erkennen können, dass sie mit einer KI sprechen, und KI-erzeugte Inhalte müssen maschinenlesbar gekennzeichnet sein. Für generative Systeme, die vor diesem Datum schon auf dem Markt waren, läuft die Übergangsfrist für die Kennzeichnung bis zum 2. Dezember 2026.

Die Pflichten für Hochrisiko-Systeme sind nachträglich verschoben worden. Die Digital-Omnibus-Verordnung (EU) 2026/1744 vom 8. Juli 2026, in Kraft seit 27. Juli 2026, setzt den Beginn für die eigenständigen Hochrisiko-Anwendungen aus Anhang III auf den 2. Dezember 2027 und für künstliche Intelligenz in regulierten Produkten nach Anhang I auf den 2. August 2028.

Artikel 4 verlangt seit Februar 2025, dass Unternehmen die KI-Kompetenz ihrer Mitarbeitenden fördern. Auch diese Pflicht hat der Digital Omnibus abgeschwächt. Ein bestimmtes Kompetenzniveau für einzelne Personen wird nicht mehr verlangt, die Pflicht zur Förderung besteht weiter.

Warum der August 2026 der Wendepunkt war

Seit dem 2. August 2026 gelten die Transparenzpflichten, und sie gelten unabhängig von der Risikoklasse. Jeder Betrieb, der ein KI-Werkzeug im Kundenkontakt einsetzt oder KI-erzeugte Inhalte veröffentlicht, ist davon berührt. Für Hochrisiko-Systeme kommt später hinzu, dass ein Risikomanagement eingerichtet, die Datenqualität gesichert und die menschliche Aufsicht belegt sein muss.

Was sich für dich und dein Unternehmen konkret ändert:

• Transparenz: KI-generierte Inhalte (Deepfakes, Texte, Bilder) müssen künftig klar als solche gekennzeichnet werden.
• Dokumentation: Entwickler müssen technische Dokumentationen bereitstellen, die erklären, wie die KI trainiert wurde und wie sie Entscheidungen trifft.
• Haftung: Bei Verstößen drohen empfindliche Bußgelder, die – ähnlich wie bei der DSGVO – einen erheblichen Prozentsatz des weltweiten Jahresumsatzes ausmachen können.

Die vier Säulen der Compliance

Um sicherzustellen, dass deine KI-Anwendung den neuen Standards entspricht, solltest du auf folgende Bereiche achten:

Der erste Schritt ist ein Inventar

Die meisten Betriebe wissen nicht vollständig, wo bei ihnen künstliche Intelligenz läuft. Einzelne Abteilungen haben Werkzeuge in Betrieb genommen, ohne dass das zentral erfasst wurde, und in zugekaufter Software steckt Funktionalität, die im Angebot nicht so genannt wurde. Für diesen Zustand hat sich der Ausdruck Schatten-KI eingebürgert.

Ohne eine solche Liste lässt sich weder eine Risikoklasse zuordnen noch eine Dokumentation führen. Der Aufwand dafür ist überschaubar. Eine Aufstellung, welches System welche Aufgabe übernimmt, welche Daten hineingehen und wer dafür verantwortlich ist, reicht als Grundlage für die Einordnung.

Was ein Verstoß kostet

Artikel 99 der Verordnung staffelt die Bußgelder. Für verbotene Praktiken nach Artikel 5 sind bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes vorgesehen, je nachdem, welcher Betrag höher ist. Für Verstöße gegen die Pflichten von Anbietern und Betreibern sind es bis zu 15 Millionen Euro oder 3 Prozent. Für falsche oder irreführende Auskünfte an Behörden bis zu 7,5 Millionen Euro oder 1 Prozent.

Für kleine und mittlere Unternehmen gilt nach Artikel 99 Absatz 6 jeweils der niedrigere der beiden Werte. Bei einem Mittelbetrieb ist das in aller Regel der Prozentsatz vom Umsatz.

Innovation trotz Regulierung: Eine Chance für Europa?

Kritiker fürchten, dass die strengen Regeln die Innovationskraft bremsen könnten. Doch viele Experten sehen im EU AI Act auch einen massiven Standortvorteil. Durch klare Regeln entsteht Rechtssicherheit. Du weißt genau, unter welchen Bedingungen du KI einsetzen kannst, ohne rechtliche Konsequenzen fürchten zu müssen.

Zudem etabliert die EU mit dem "AI Office" eine zentrale Aufsichtsbehörde, die die Einhaltung überwacht und gleichzeitig Unternehmen bei der Umsetzung berät. Es geht also nicht nur um Verbote, sondern um die Schaffung eines vertrauenswürdigen "AI Made in Europe"-Siegels.

Fazit: Vorbereitung ist alles

Der EU AI Act ist kein Hindernis, sondern die Hausordnung für das digitale Zeitalter. Unternehmen, die jetzt ihre Prozesse analysieren und ihre KI-Anwendungen auf Transparenz und Sicherheit trimmen, werden langfristig profitieren. Wer die Übergangsfrist bis zum Sommer nutzt, sichert sich einen Vorsprung im Wettbewerb um das Vertrauen der Nutzer.

Dieser Artikel ordnet ein und ersetzt keine Rechtsberatung. Für rechtliche Einschätzungen arbeiten wir mit Kanzleien zusammen, die darauf spezialisiert sind. Wir übernehmen die technische Seite, also das Inventar, die Einordnung und eine Dokumentation, die einer Prüfung standhält.

Wenn du bei der Bestandsaufnahme Unterstützung brauchst, sieh dir unsere KI-Beratung an.

Häufige Fragen

Was gilt heute schon? Die Verbote aus Artikel 5 seit Februar 2025 und die Transparenzpflichten aus Artikel 50 seit dem 2. August 2026. Die Pflichten für Hochrisiko-Systeme gelten ab dem 2. Dezember 2027. Die Einzelheiten stehen weiter oben.

Was ist ein Hochrisiko-KI-System? Eine KI, die über Dinge mit erheblichen Folgen für Menschen mitentscheidet, etwa bei Bewerbungen, bei der Kreditvergabe oder im Personalbereich. Anhang III der Verordnung zählt diese Fälle auf. Verlangt werden dafür Dokumentation, Risikobewertung und menschliche Aufsicht, seit dem Digital Omnibus ab dem 2. Dezember 2027.

Betrifft uns das, wenn wir nur Werkzeuge wie ChatGPT nutzen? Auch dann gelten die Transparenzpflichten. Mitarbeitende und Kunden müssen erkennen können, wo künstliche Intelligenz im Spiel ist, und veröffentlichte KI-erzeugte Inhalte sind zu kennzeichnen. Welche Risikoklasse gilt, entscheidet der Einsatzzweck und nicht das Werkzeug.

WEBSE-Lexikon:

• GPAI (General Purpose AI): KI-Modelle mit allgemeinem Verwendungszweck (wie GPT-4), die für viele verschiedene Aufgaben eingesetzt werden können. Sie unterliegen speziellen Transparenzregeln.
• Konformitätsbewertung: Ein Verfahren, mit dem nachgewiesen wird, dass ein Hochrisiko-KI-System alle Anforderungen des AI Acts erfüllt, bevor es auf den Markt kommt.
• Deepfake-Kennzeichnung: Die rechtliche Pflicht, KI-manipulierte Bilder, Audios oder Videos so zu markieren, dass ein normaler Nutzer den Unterschied zur Realität sofort erkennt.
• Sandboxing: Kontrollierte Testumgebungen, die von Behörden bereitgestellt werden, um innovative KI-Systeme vor der Markteinführung unter realen Bedingungen, aber ohne volles Haftungsrisiko zu testen.
• Risikomanagementsystem: Ein kontinuierlicher Prozess, um potenzielle Gefahren einer KI während ihres gesamten Lebenszyklus zu identifizieren, zu analysieren und zu minimieren.