Künstliche Intelligenz

AI Act: Das muss beim KI-Einsatz beachtet werden


Künstliche Intelligenz ist längst im Unternehmensalltag angekommen – etwa mit ChatGPT, Microsoft Copilot, automatisierten Kundenservices oder KI-Funktionen in Software und Maschinen. Mit dem europäischen AI Act gelten dafür erstmals umfassende Regeln. Dabei richtet sich die Verordnung nicht nur an Entwickler von KI. Auch Unternehmen, die KI-Systeme lediglich im eigenen Betrieb einsetzen, können betroffen sein.

1. Betrifft der AI Act auch normale KI-Nutzer?

Ja. Der AI Act unterscheidet verschiedene Rollen. Neben Anbietern, die KI-Systeme entwickeln oder auf den Markt bringen, gibt es sogenannte Betreiber. Dazu gehören grundsätzlich auch Unternehmen, die KI-Systeme in eigener Verantwortung einsetzen. Für die meisten Unternehmen lautet die erste Frage deshalb nicht: “Welche Risikoklasse hat unsere KI?” sondern: “Welche KI-Systeme nutzen wir überhaupt – und wofür?”
Dazu können beispielsweise gehören:
  • generative KI wie ChatGPT oder Copilot,
  • KI im Kundenservice,
  • KI-Funktionen in Unternehmenssoftware,
  • Systeme zur Analyse oder Bewertung von Daten,
  • KI in Maschinen und Produkten,
  • Anwendungen im Personalbereich.
Je nach Einsatz können sehr unterschiedliche Anforderungen gelten.

2. Was gilt bereits?

Der AI Act wird schrittweise angewendet. Inzwischen gelten bereits wesentliche Teile der Verordnung. Seit 2. August 2026 greifen zudem weitere Vorschriften und die entsprechenden Durchsetzungsbefugnisse von EU-Kommission und nationalen Behörden.
Für Unternehmen sind insbesondere folgende Punkte relevant:
Unternehmen, die KI-Systeme anbieten oder einsetzen, müssen Maßnahmen ergreifen, um die KI-Kompetenz ihrer Beschäftigten und anderer mit der KI arbeitender Personen zu fördern. Dabei sollen unter anderem vorhandenes Wissen, Erfahrung und der konkrete Einsatzbereich berücksichtigt werden.
Ein bestimmtes Kompetenzniveau oder eine bestimmte Schulungsform schreibt der AI Act nicht vor. Die Pflicht gilt grundsätzlich seit dem 2. Februar 2025. Durch Änderungen im Sommer 2026 wurden die Vorgaben vereinfacht, die grundsätzliche Verpflichtung zur Förderung von KI-Kompetenz bleibt jedoch bestehen.
→ Mehr erfahren: KI-Kompetenz
Bestimmte Formen des KI-Einsatzes sind grundsätzlich verboten. Dazu zählen besonders problematische Anwendungen, die beispielsweise Menschen manipulieren, bestimmte Schwächen ausnutzen oder in unzulässiger Weise bewerten.
Für die meisten Unternehmen spielen diese Verbote im normalen Büroalltag keine große Rolle. Wer KI jedoch in sensiblen Bereichen einsetzt, sollte die eigene Anwendung genauer prüfen.
Seit 2. August 2026 gelten neue Transparenzpflichten. In bestimmten Fällen müssen Nutzer beispielsweise darüber informiert werden, dass sie mit einem KI-System interagieren. Auch für bestimmte KI-generierte oder manipulierte Inhalte gelten Kennzeichnungsvorgaben.
Nicht jeder Text, jedes Bild oder jede E-Mail, bei deren Erstellung KI geholfen hat, muss deshalb automatisch gekennzeichnet werden. Entscheidend sind Art und Einsatz des jeweiligen Inhalts.
→ Mehr erfahren: KI-Kennzeichnung

3. Wann wird KI zum Hochrisiko-System?

Besonders umfangreiche Anforderungen gelten für sogenannte Hochrisiko-KI-Systeme.
Dazu können beispielsweise bestimmte KI-Anwendungen in folgenden Bereichen gehören:
  • Personalgewinnung und Beschäftigung,
  • Bildung und Prüfungen,
  • Zugang zu wesentlichen privaten oder öffentlichen Leistungen,
  • bestimmte sicherheitsrelevante Anwendungen,
  • KI als Sicherheitskomponente bestimmter regulierter Produkte.
Dabei ist nicht jede KI im Personalbereich oder in einer Maschine automatisch Hochrisiko-KI. Entscheidend sind der konkrete Zweck und die Einordnung nach dem AI Act.
Die entsprechenden Anforderungen werden später wirksam: Für bestimmte Hochrisiko-Systeme nach Anhang III gelten die Regeln ab 2. Dezember 2027. Für Hochrisiko-KI, die Bestandteil bestimmter regulierter Produkte ist – etwa Maschinen – gilt der Termin 2. August 2028. Die Fristen wurden durch den AI Omnibus 2026 verlängert.

4. Was sollten Unternehmen jetzt tun?

Auch wenn viele Unternehmen keine Hochrisiko-KI einsetzen, lohnt sich eine einfache Bestandsaufnahme:
  • Welche KI-Systeme nutzen wir bereits?
  • Für welche Aufgaben werden sie eingesetzt?
  • Wer darf im Unternehmen welche KI verwenden?
  • Verfügen die Anwender über passende KI-Kompetenz?
  • Werden Kunden oder andere Personen direkt mit KI konfrontiert?
  • Veröffentlichen wir KI-generierte oder manipulierte Inhalte?
  • Nutzen wir KI in sensiblen Bereichen wie Personalentscheidungen?
  • Ist KI Bestandteil eines eigenen Produkts oder einer Maschine?
Wer diese Fragen beantwortet, kann meist schon gut einschätzen, ob neben den allgemeinen Anforderungen weitergehende Pflichten geprüft werden müssen.

5. Die wichtigsten Termine

Zeitpunkt Was gilt?
2. Februar 2025 Vorgaben zur KI-Kompetenz und erste Verbote
2. August 2025 wesentliche Vorgaben für General-Purpose-AI
2. August 2026 weitere zentrale Vorschriften, insbesondere Transparenzregeln und Beginn weiterer Durchsetzung
2. Dezember 2027 Anforderungen für bestimmte Hochrisiko-KI-Systeme nach Anhang III der KI-Verordnung (eigenständige KI-Systeme, z. B. KI-gestütztes Bewerberauswahltool, KI-System zur Emotionserkennung)
2. August 2028 Anforderungen für Hochrisiko-KI in bestimmten regulierten Produkten gemäß Anhang I (Sicherheitsbauteile von Produkten, z. B. KI-gesteuertes medizinisches Diagnosegerät, autonome KI-basierte Navigationssoftware in industriellen Robotern, intelligente Kamera in Schutzbrillen)
Die Umsetzung des AI Acts ist damit noch nicht abgeschlossen. Unternehmen sollten insbesondere neue KI-Anwendungen regelmäßig daraufhin prüfen, welche Rolle sie nach dem AI Act einnehmen und ob zusätzliche Anforderungen entstehen.
Hinweis: Diese Informationen bieten eine erste Orientierung und ersetzen keine rechtliche Prüfung im Einzelfall.