Orientierung für Unternehmen
EU AI Act für Unternehmen: Was 2026 gilt – und was jetzt zu tun ist.
Der EU AI Act betrifft Unternehmen unterschiedlich – je nachdem, ob sie KI entwickeln, anbieten oder im Arbeitsalltag einsetzen und wofür. Dieser Überblick zeigt, welche Regeln bereits anwendbar sind, welche Fristen folgen und wie Sie Systeme, Zuständigkeiten und KI-Kompetenz sinnvoll angehen.
30 Min. · kostenfrei · unverbindlich · keine Rechtsberatung
Kurzantwort
Die drei Termine, die Unternehmen jetzt kennen sollten.
Der EU AI Act gilt stufenweise. Entscheidend ist nicht nur das Datum, sondern auch, ob Ihr Unternehmen KI anbietet, betreibt oder wesentlich verändert.
Verbote & KI-Kompetenz
Die ersten verbotenen Praktiken und die Pflicht zu Maßnahmen für KI-Kompetenz gelten bereits.
Transparenz & Aufsicht
Artikel 50 und die Durchsetzung der jeweils anwendbaren Regeln gelten. Die Hochrisiko-Regeln folgen später.
Hochrisiko-KI
Dann greifen die Regeln für Annex-III-Anwendungen beziehungsweise für KI in regulierten Produkten nach Annex I.
60-Sekunden-Schnellcheck
Drei Fragen bestimmen den nächsten Schritt.
Ein Tool-Register allein reicht nicht. Erst die Verbindung aus Unternehmensrolle, vorgesehenem Zweck und möglicher Auswirkung zeigt, welche Regeln genauer geprüft werden müssen.
Nutzen, anbieten oder verändern Sie KI?
Die meisten Unternehmen sind Betreiber, wenn sie ein fremdes KI-System unter eigener Verantwortung einsetzen. Wer Systeme unter eigenem Namen anbietet oder wesentlich verändert, kann Anbieterpflichten übernehmen.
Wofür wird das System tatsächlich eingesetzt?
Nicht der Produktname, sondern der vorgesehene Einsatz entscheidet. Recruiting, Kreditwürdigkeit oder kritische Infrastruktur sind anders einzuordnen als Textentwürfe oder Spamfilter.
Welche Menschen und Entscheidungen sind betroffen?
Prüfen Sie Verbote, Hochrisiko-Anwendungsfälle, Transparenzpflichten und mögliche Auswirkungen auf Beschäftigte, Kunden oder andere betroffene Personen.
Für die rechtliche Einstufung eines konkreten Systems sind der Originaltext, aktuelle Leitlinien und bei Bedarf qualifizierte Rechtsberatung maßgeblich.
Risikobasierter Ansatz
Vier Risikostufen – unterschiedliche Konsequenzen.
Die Einordnung hängt vom vorgesehenen Zweck und Einsatzkontext ab. Dieselbe Technologie kann je nach Anwendung in eine andere Kategorie fallen.
Unannehmbares Risiko
Bestimmte Praktiken sind untersagt – etwa schädliche Manipulation, Social Scoring, ungezieltes Sammeln von Gesichtsbildern oder Emotionserkennung am Arbeitsplatz, soweit keine enge Ausnahme greift.
Die genaue Verbotsliste und ihre Ausnahmen müssen am konkreten Einsatz geprüft werden.Hohes Risiko
Dazu können sensible Einsätze in Beschäftigung, Bildung, biometrischer Identifizierung, kritischer Infrastruktur, Migration, Justiz oder der Zugang zu wesentlichen Diensten gehören.
Maßgeblich sind der vorgesehene Zweck und Annex I beziehungsweise Annex III.Transparenzrisiko
Für bestimmte interaktive oder generative Systeme gelten Informations- und Kennzeichnungspflichten, zum Beispiel bei Chatbots, Deepfakes und bestimmten Texten von öffentlichem Interesse.
Artikel 50 ist seit 2. August 2026 anwendbar.Minimales oder kein Risiko
Für den größten Teil üblicher KI-Anwendungen sieht das risikobasierte System keine besonderen Produktpflichten vor. Andere Gesetze und übergreifende Pflichten können dennoch gelten.
Auch hier können Datenschutz, Urheberrecht, Arbeitsrecht und KI-Kompetenz relevant sein.Unternehmensrolle
Nutzen ist etwas anderes als Anbieten.
Die gesetzliche Rolle folgt der tatsächlichen Tätigkeit – nicht allein einer Vertragsbezeichnung. Für viele Unternehmen beginnt die Prüfung als Betreiber eines eingekauften Systems.
Betreiber / Deployer
Ein Unternehmen, das ein KI-System unter eigener Verantwortung beruflich nutzt. Typisch ist der Einsatz eingekaufter Tools wie Chatbots, Assistenzsysteme oder Bewerbermanagement-Software.
- zulässigen Einsatz und internen Kontext prüfen
- Transparenz- und Kompetenzpflichten berücksichtigen
- bei Hochrisiko-KI zusätzliche Betreiberpflichten vorbereiten
Anbieter / Provider
Eine Organisation, die ein KI-System oder GPAI-Modell entwickelt oder entwickeln lässt und unter eigenem Namen auf den Markt bringt oder in Betrieb nimmt.
- System und vorgesehenen Zweck sauber beschreiben
- relevante Anbieteranforderungen und Dokumentation umsetzen
- bei Hochrisiko-KI Konformitätsanforderungen einplanen
Rollen können wechseln
Wer ein System wesentlich verändert, unter eigenem Namen anbietet oder seinen vorgesehenen Zweck so ändert, dass Hochrisiko-KI entsteht, kann neue Anbieterpflichten übernehmen.
- Eigenentwicklungen und Integrationen gesondert prüfen
- Vertragsrollen nicht mit der gesetzlichen Rolle verwechseln
- kritische Einstufungen fachkundig bewerten lassen
Fristen
Der aktuelle Zeitplan nach dem AI Omnibus.
Die Verordnung gilt nicht an einem einzigen Stichtag vollständig. Diese Übersicht trennt bereits anwendbare Regeln von den verlängerten Hochrisiko-Fristen.
- 01
Inkrafttreten
Der EU AI Act tritt in Kraft und startet seine gestaffelte Anwendungsphase.
- 02
Erste Verbote und Artikel 4
Die ersten verbotenen Praktiken sowie die Verpflichtung zu Maßnahmen für KI-Kompetenz werden anwendbar.
- 03
Governance und GPAI
Governance-Regeln und Pflichten für Anbieter von General-Purpose-AI-Modellen werden anwendbar.
- 04
AI Omnibus tritt in Kraft
Die Änderungsverordnung vereinfacht Teile des AI Acts und verlängert insbesondere die Hochrisiko-Fristen.
- 05
Allgemeine Anwendung und Transparenz
Der AI Act wird grundsätzlich anwendbar. Transparenzpflichten nach Artikel 50 und behördliche Durchsetzungsbefugnisse greifen für die jeweils geltenden Regeln.
- 06
Zusätzliche Verbote
Die 2026 ergänzten Verbote zu nicht einvernehmlichen intimen Inhalten und Darstellungen sexuellen Kindesmissbrauchs werden anwendbar.
- 07
Übergang für ältere GPAI-Modelle
GPAI-Modelle, die bereits vor dem 2. August 2025 auf dem Markt waren, müssen die einschlägigen GPAI-Pflichten erfüllen.
- 08
Hochrisiko-Anwendungen nach Annex III
Die Hochrisiko-Regeln für bestimmte sensible Einsatzbereiche, etwa Beschäftigung, Bildung oder wesentliche Dienste, werden anwendbar.
- 09
Hochrisiko-KI in regulierten Produkten
Die entsprechenden Regeln greifen für KI-Systeme, die selbst ein reguliertes Produkt oder dessen Sicherheitskomponente nach Annex I sind.
Praktische Checkliste
Sieben Schritte, die jetzt belastbare Grundlagen schaffen.
Die Reihenfolge verhindert Aktionismus: erst Überblick und Zweck, dann Einstufung, Kompetenz, Kontrollen und Nachweise.
- 01
KI-Bestand erfassen
Tools, Eigenentwicklungen, integrierte Funktionen, Schatten-KI und geplante Systeme in einem einfachen Register zusammenführen.
- 02
Verantwortung zuordnen
Für jedes System fachliche Verantwortung, technische Betreuung, Anbieter, Nutzergruppen und Freigabewege benennen.
- 03
Einsatzzweck beschreiben
Nicht nur das Tool, sondern Aufgabe, Daten, Betroffene, Ergebnisnutzung und menschliche Entscheidungsschritte dokumentieren.
- 04
Verbote und Transparenz prüfen
Verbotene Praktiken ausschließen und klären, wo Menschen informiert oder KI-generierte Inhalte gekennzeichnet werden müssen.
- 05
Risikoklasse klären
Annex-I- und Annex-III-Bezüge, Ausnahmen sowie mögliche Rollenwechsel prüfen; kritische Fälle mit qualifizierter Rechtsberatung bewerten.
- 06
Kompetenz und Kontrolle aufbauen
Zielgruppenbezogene Lernziele, menschliche Aufsicht, interne Leitplanken, Eskalationswege und sichere Praxis verbinden.
- 07
Nachweise aktuell halten
Entscheidungen, Maßnahmen, Versionen und Überprüfungsanlässe nachvollziehbar festhalten, ohne unnötige Bürokratie zu erzeugen.
Von der regulatorischen Orientierung zur handlungsfähigen Belegschaft.
Rollen und Kompetenzbedarf klärenArtikel 4
KI-Kompetenz gilt bereits – aber nicht als Einheitskurs.
Anbieter und Betreiber müssen Maßnahmen ergreifen, die die Entwicklung von KI-Kompetenz unterstützen. Seit der Änderung im Juli 2026 ist kein bestimmtes Kompetenzniveau vorgegeben. Sinnvoll bleiben rollen-, system- und kontextbezogene Maßnahmen.
Sinnvolle Unterstützung
Von der Bestandsaufnahme zur handlungsfähigen Organisation.
BonusAI unterstützt dort, wo Strategie, Arbeitsalltag und Kompetenz zusammenkommen – ohne Rechtsberatung oder pauschale Konformitätsversprechen.
KI-Strategie & Use Cases
Systeme, Nutzungssituationen, Verantwortlichkeiten und priorisierte Arbeitspakete strukturiert zusammenführen.
Leistung ansehen 02 · KompetenzKI-Kompetenz-Schulung zu Artikel 4
Rollenbezogenes Handlungswissen, Praxisübungen und eine nachvollziehbare Maßnahmenübersicht für Ihre Organisation.
Leistung ansehenHäufige Fragen
EU AI Act kompakt beantwortet.
Kurze Orientierung zu typischen Fragen aus Unternehmen. Für Einzelfallentscheidungen bleiben die offiziellen Texte und fachkundige Beratung maßgeblich.
01Gilt der EU AI Act auch, wenn wir nur ChatGPT oder Microsoft Copilot nutzen?
Grundsätzlich kann bereits die berufliche Nutzung eines fremden KI-Systems ein Unternehmen zum Betreiber machen. Welche konkreten Pflichten gelten, hängt jedoch vom System, dem vorgesehenen Einsatzzweck, der Unternehmensrolle und dem Risikokontext ab. Nicht jede Nutzung eines generativen KI-Tools ist Hochrisiko-KI.
02Ist jedes KI-System im Unternehmen ein Hochrisiko-System?
Nein. Die meisten KI-Systeme fallen laut Europäischer Kommission in die Kategorie minimales oder kein Risiko. Hochrisiko hängt vor allem vom vorgesehenen Zweck ab, etwa bei bestimmten Anwendungen in Beschäftigung, Bildung, kritischer Infrastruktur oder beim Zugang zu wesentlichen Diensten.
03Welche AI-Act-Pflichten gelten bereits?
Seit Februar 2025 gelten erste Verbote und Artikel 4 zur KI-Kompetenz. Seit August 2025 gelten Governance- und GPAI-Regeln. Seit August 2026 ist der AI Act grundsätzlich anwendbar; dazu gehören die Transparenzpflichten nach Artikel 50 und die Durchsetzung der jeweils anwendbaren Vorschriften. Für Hochrisiko-KI nach Annex III und Annex I gelten spätere Termine.
04Braucht jedes Unternehmen einen AI Officer?
Der AI Act schreibt nicht pauschal für jedes Unternehmen eine besondere Rolle mit dem Titel AI Officer vor. Verantwortlichkeiten, Aufsicht, Kompetenz und Eskalationswege sollten trotzdem klar geregelt sein. In regulierten oder risikoreichen Einsatzkontexten können weitergehende organisatorische Anforderungen gelten.
05Reicht eine KI-Schulung aus, um den AI Act einzuhalten?
Nein. Eine rollenbezogene Schulung kann eine wichtige Maßnahme für Artikel 4 sein, beweist aber nicht automatisch die vollständige Einhaltung des AI Acts. Je nach System können zusätzlich Governance, Transparenz, Risikomanagement, Dokumentation, menschliche Aufsicht und weitere rechtliche Prüfungen erforderlich sein.
06Welche Strafen sieht der EU AI Act vor?
Je nach Verstoß können die Höchstbeträge bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes erreichen. Für andere Verstöße oder falsche beziehungsweise unvollständige Angaben gelten niedrigere Maximalbeträge. Welche Obergrenze und Berechnung im Einzelfall greift, hängt unter anderem von Verstoß, Unternehmensgröße und den anwendbaren Sonderregeln ab.
07Wer überwacht den AI Act in Deutschland?
Die Bundesnetzagentur übernimmt nach dem deutschen KI-Marktüberwachungs- und Innovationsförderungsgesetz eine zentrale Auffangrolle. Je nach System und Sektor können jedoch andere bestehende Marktüberwachungs- oder Fachbehörden zuständig sein. Auf EU-Ebene beaufsichtigt das AI Office insbesondere GPAI-Modelle und bestimmte zentral zugewiesene Systeme.
08Was ist der sinnvollste erste Schritt?
Beginnen Sie mit einem belastbaren Überblick: Welche KI-Systeme werden für welche Aufgaben, mit welchen Daten und durch welche Rollen eingesetzt? Erst danach lassen sich Verbote, Transparenz, Risikoklasse, Kompetenzbedarf und notwendige Kontrollen sinnvoll beurteilen.
Primärquellen
Offizielle Grundlagen dieser Übersicht.
Stand: . Zeitabhängige Aussagen wurden anhand aktueller EU- und Bundesquellen geprüft.
Diese Seite dient der allgemeinen Information und stellt keine Rechtsberatung oder Konformitätsprüfung dar. Leitlinien und Q&As unterstützen die Auslegung, sind aber nicht selbst der verbindliche Verordnungstext.
- 01Verordnung (EU) 2024/1689 – konsolidierter AI Act
Konsolidierter Verordnungstext mit Stand nach der Änderung vom Juli 2026.
- 02Verordnung (EU) 2026/1744 – Digital Omnibus on AI
Amtliche Änderungen, unter anderem zu Artikel 4 und den Hochrisiko-Fristen.
- 03Europäische Kommission: AI Act – Regulatory Framework
Aktueller Überblick zu Risikoklassen, Pflichten und Anwendungsterminen.
- 04Europäische Kommission: Navigating the AI Act
FAQ zu Geltungsbereich, Hochrisiko-Einstufung, Standards und Umsetzung.
- 05Europäische Kommission: AI Literacy – Questions & Answers
Aktuelle Einordnung der KI-Kompetenzpflichten nach Artikel 4.
- 06Europäische Kommission: Transparenzpflichten nach Artikel 50
Erläuterungen für Anbieter und Betreiber zu Kennzeichnung und Information.
- 07Europäische Kommission: Durchsetzung des AI Acts
Aktueller Überblick zu Aufsicht, Durchsetzungsterminen und Sanktionsrahmen.
- 08Deutsches KI-Marktüberwachungs- und Innovationsförderungsgesetz
Nationale Zuständigkeiten für Marktüberwachung und Innovationsförderung.
Vertiefende Leitfäden zu Artikel 4 und Dokumentation finden Sie im Wissensbereich.
Zum PraxiswissenVon der Übersicht zur Umsetzung
KI-Kompetenz und nächste Arbeitspakete konkret planen.
BonusAI unterstützt bei der strukturierten Bestandsaufnahme und bei rollenbezogenen Kompetenzmaßnahmen. Rechtliche Einstufungen und Konformitätsprüfungen bleiben bei den zuständigen Fachstellen.