EU AI Act für Unternehmen: Das gilt seit August 2026

Der 2. August 2026 galt seit Jahren als der große Stichtag des EU AI Act. Seit diesem Datum ist die nächste Umsetzungsstufe anwendbar. Mit dem Inkrafttreten des EU AI Act stehen Unternehmen, die generative KI-Tools wie ChatGPT, Claude oder Copilot im Arbeitsalltag einsetzen, vor einer entscheidenden Frage: Welche Pflichten betreffen uns wirklich – und welche nicht? Wer bisher abgewartet hat, sollte jetzt strukturiert nachziehen.

Hintergrund für den EU AI Act für Unternehmen – oder auch Artificial Intelligence Act – ist der „Digital Omnibus on AI“: Die politische Einigung vom 7. Mai 2026 wurde am 16. Juni vom EU-Parlament und am 29. Juni 2026 vom Rat angenommen. Dadurch wurden einzelne Fristen verschoben – das heißt aber nicht „entwarnt“, sondern „neu sortiert“.

Die Verbote, die GPAI-Regeln und die Kennzeichnungspflichten laufen größtenteils weiter nach Plan. Verschoben wurde vor allem der aufwendigste Teil: die vollen Hochrisiko-Pflichten.

Die 10 wichtigsten Punkte des EU AI Act für Unternehmen

1. Die Verbote nach Art. 5 gelten schon seit Februar 2025

Social Scoring, gezielte Manipulation vulnerabler Gruppen und das ungezielte Auslesen von Gesichtsbildern sind verboten. Hier drohen die höchsten Bußgelder im gesamten AI Act: bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes. Auch wenn ein Verstoß unwahrscheinlich erscheint, lohnt sich eine kurze Prüfung.

2. Die GPAI-Durchsetzung startet am 02.08.2026

GPAI steht für General-Purpose AI, also KI-Modelle mit allgemeinem Verwendungszweck. Gemeint sind keine Systeme für einen einzigen Anwendungsfall, sondern breite Basismodelle wie GPT, Claude oder Gemini, die viele Aufgaben gleichzeitig übernehmen. Zu den Pflichten zählen technische Dokumentation, Transparenz über Trainingsdaten, Urheberrechts-Compliance und bei „systemischem Risiko“ eine zusätzliche Risikobewertung.

Diese Pflichten treffen aber in erster Linie die Anbieter der Modelle, nicht deren Nutzer. Für Ihr Unternehmen wird es erst dann relevant, wenn Sie eigene Modelle trainieren oder ein bestehendes Modell unter eigenem Namen anbieten – etwa per Fine-Tuning mit Weitervertrieb.

3. KI-Inventar erstellen

Welche KI-Systeme nutzen, entwickeln oder vertreiben Sie überhaupt? Mapping und Klassifizierung sind die Grundlage für alles Weitere. Denn ohne Inventar gibt es keine Einordnung – und ohne Einordnung keine Pflichtenklarheit.

4. Rolle klären

Sind Sie Anbieter, Betreiber, Einführer oder Händler eines Systems? Die Pflichten unterscheiden sich erheblich. Ein Unternehmen, das nur ein fertiges Tool wie Copilot einsetzt, trägt andere Pflichten als eines, das ein eigenes KI-Produkt entwickelt.

5. Risikoklassifizierung durchführen

Fällt Ihr System in eine verbotene, hochriskante, transparenzpflichtige oder minimale Risikokategorie? Diese Einstufung entscheidet, welche der folgenden Punkte für Sie überhaupt greifen.

6. Hochrisiko-Pflichten sind verschoben, nicht gestrichen

Für Hochrisiko-KI-Systeme – etwa in der Bewerberauswahl, bei biometrischer Erkennung oder in Medizinprodukten – gelten strenge Anforderungen: ein Risikomanagementsystem, menschliche Aufsicht, hohe Datenqualität und eine Konformitätsbewertung vor der Markteinführung. Diese vollständigen Anforderungen greifen jedoch erst später:

• eigenständige Systeme nach Anhang III: ab 2. Dezember 2027
• in Produkte integrierte Systeme nach Anhang I: ab 2. August 2028

7. Kennzeichnungspflichten (Art. 50 EU AI Act) im Blick behalten

Hier lohnt sich eine genaue Differenzierung. Für Betreiber bleibt die Pflicht, Deepfakes und bestimmte KI-generierte oder manipulierte Texte offenzulegen (Art. 50 Abs. 4), beim ursprünglichen Termin: 2. August 2026. Für Anbieter bestehender Systeme gilt bei der maschinenlesbaren Kennzeichnung synthetischer Audio-, Bild-, Video- oder Textinhalte (Art. 50 Abs. 2, „Watermarking“) dagegen eine Übergangsfrist bis 2. Dezember 2026 – allerdings nur für Systeme, die bereits vor dem 2. August 2026 am Markt waren.

Konkret gekennzeichnet werden müssen:

• KI-generierter oder manipulierter Content (Deepfakes)
• die Tatsache, dass eine Person gerade mit einem KI-System wie einem Chatbot interagiert – und nicht mit einem Menschen

8. KI-Kompetenz im Team ist Pflicht

Art. 4 verlangt von jedem Unternehmen, das KI-Systeme einsetzt oder anbietet, dass Mitarbeitende über ausreichende KI-Kompetenz verfügen. Diese richtet sich nach technischem Wissen, Erfahrung, Ausbildung und dem konkreten Einsatzkontext. Diese Pflicht gilt bereits seit dem 2. Februar 2025. Schulungen sind zudem die Voraussetzung dafür, dass andere Pflichten – etwa die menschliche Aufsicht bei Hochrisiko-Systemen – überhaupt erfüllbar sind.

9. Verträge und Lieferketten prüfen

Ergänzen Sie Klauseln in KI-bezogenen Dienstleistungsverträgen, die regeln, wer im Fall einer Anfrage der Aufsichtsbehörde welche Nachweise liefert – etwa die technische Dokumentation von GPAI-Anbietern. Holen Sie außerdem Zusicherungen Ihrer Lieferanten zur Rechtskonformität ihrer Systeme ein.

10. Governance-Framework für EU AI Act aufsetzen oder anpassen

Nutzen Sie Ihre bestehende Compliance-Struktur, etwa aus Datenschutz- oder Qualitätsmanagement, und erweitern Sie diese um AI-Act-spezifische Prozesse. So starten Sie nicht bei null.

Fazit: Was Unternehmen jetzt in der Hand haben sollten

• ein aktuelles Inventar aller eingesetzten und entwickelten KI-Systeme
• eine dokumentierte Rollen- und Risikozuordnung für jedes System
• klare interne Zuständigkeiten – wer meldet, wer prüft, wer schult
• angepasste Verträge mit KI-Lieferanten
• ein Governance-Framework

Die gute Nachricht: Sie sind nicht allein

Wer diese Punkte nicht allein stemmen will oder kann, muss nicht bei null anfangen: In der Weiterbildung KI-Strategie & Change Management vermittelt das KHMI genau das Rüstzeug, um KI-Governance im eigenen Unternehmen aufzubauen und Teams verantwortungsvoll durch die Transformation zu führen.

Sprechen Sie mit uns, wir freuen uns, von Ihnen zu hören!

Buchen Sie hier Ihren persönlichen und unverbindlichen Beratungstermin – oder rufen Sie uns einfach an: (+49) 089-38164873