EU AI Act — was die KI-Verordnung für Ihre Organisation bedeutet
Die erste umfassende Regulierung für Künstliche Intelligenz gilt bereits — gestaffelt, risikobasiert und für fast jede Organisation relevant. Hier bekommen Sie den Überblick und den Pflichten-Check zum Mitnehmen.
Überblick
Was der EU AI Act ist
Der EU AI Act — offiziell die KI-Verordnung — ist das erste umfassende KI-Gesetz. Es gilt seit August 2024, wirkt in allen Mitgliedstaaten unmittelbar, ohne dass Deutschland es erst umsetzen muss, und stuft KI nach ihrem Risiko in vier Klassen ein.
Die vier Risikoklassen — von streng reguliert bis frei nutzbar
Inakzeptables Risiko
Verboten
Wenige, klar untersagte Praktiken — etwa das Messen von Emotionen am Arbeitsplatz.
Hohes Risiko
Hochriskant
KI, die über Menschen entscheidet. Hier hängt das große Pflichtenpaket.
Begrenztes Risiko
Kennzeichnungspflichtig
Chatbots und KI-erzeugte Inhalte müssen als solche erkennbar sein.
Minimales Risiko
Unkritisch
Der Großteil alltäglicher KI — ohne besondere Auflagen.
Die amtlichen Quellen
Beispiele
Wo Ihre Anwendungen landen
Die vier Klassen sind schnell verstanden. Schwerer ist die Frage, in welche die eigene Anwendung fällt. Acht Fälle, wie sie im Mittelstand vorkommen — und woran die Einordnung jeweils hängt.
| Risikostufe | Beispiel | Woran es hängt |
|---|---|---|
| Verboten | Emotionen von Mitarbeitenden erkennen | Am Arbeitsplatz untersagt, enge Ausnahmen für Sicherheit. |
| Hochriskant | Vorauswahl von Bewerbungen nach Eignung | Entscheidet über Zugang zu Beschäftigung mit — auch mit Mensch am Ende. |
| Hochriskant | Leistung oder Verhalten von Mitarbeitenden bewerten | Beförderung, Kündigung, Aufgaben. Zusätzlich mitbestimmungspflichtig. |
| Hochriskant | Kreditwürdigkeit oder Zahlungsfähigkeit einschätzen | Bonitätsbewertung von Personen. Betrugserkennung ist ausgenommen. |
| Kennzeichnungspflichtig | Chatbot beantwortet Fragen von Kundinnen und Kunden | Menschen müssen erkennen, dass sie mit einer Maschine sprechen. |
| Kennzeichnungspflichtig | Marketingbild von der KI erzeugen lassen | Erzeugte Bilder und Videos müssen erkennbar sein. |
| Unkritisch | Protokoll aus Besprechungsnotizen erstellen | Entscheidet über niemanden. Beim Mitschnitt gilt Datenschutzrecht. |
| Unkritisch | Angebot oder Serienbrief entwerfen | Textarbeit ohne Entscheidungswirkung — der KI-Alltag. |
Dieselbe Anwendung kann in zwei Klassen fallen: Ein Chatbot, der Öffnungszeiten nennt, ist unkritisch — derselbe Chatbot, der über einen Anspruch entscheidet, ist es nicht. Maßgeblich ist, was die KI im konkreten Fall bewirkt, nicht welches Werkzeug dahintersteckt.
Materialien
Das Bundle aus Checkliste & interaktivem Kompass
Das Konkrete steckt im Material: die Verordnung auf 35 Punkte in sechs Phasen heruntergebrochen — mit Fristen, Zuständigkeiten und Nachweisen. Sie bekommen beides zusammen als ein Bundle.
Pflichten-Check als PDF
Der vollständige Leitfaden mit allen 35 Punkten, Terminen, Begriffen und Verweisen auf die amtlichen Werkzeuge. Zum Lesen, Teilen und Ausdrucken.
Interaktiver Kompass als Web-Tool
Dieselbe Checkliste zum Anklicken: Punkte abhaken, Verantwortliche und Datum eintragen, den eigenen Stand festhalten — direkt im Browser.
Sorgfältig recherchiert, keine Rechtsberatung. Diese Übersicht und der Pflichten-Check geben den Rechtsstand vom 24. August 2026 wieder und ersetzen keine Prüfung Ihres Einzelfalls. Verbindlich ist allein die konsolidierte Fassung der Verordnung (EU) 2024/1689.
Pflichten-Check als PDF
Der vollständige Leitfaden mit allen 35 Punkten, Terminen, Begriffen und Verweisen auf die amtlichen Werkzeuge. Zum Lesen, Teilen und Ausdrucken.
Interaktiver Kompass als Web-Tool
Dieselbe Checkliste zum Anklicken: Punkte abhaken, Verantwortliche und Datum eintragen, den eigenen Stand festhalten — direkt im Browser.
Sorgfältig recherchiert, keine Rechtsberatung. Diese Übersicht und der Pflichten-Check geben den Rechtsstand vom 24. August 2026 wieder und ersetzen keine Prüfung Ihres Einzelfalls. Verbindlich ist allein die konsolidierte Fassung der Verordnung (EU) 2024/1689.
Bedeutung
Warum das jede Organisation betrifft
Der AI Act ist kein Thema allein für KI-Anbieter. Wer KI einsetzt — und das tun heute fast alle — hat eigene Pflichten, und einige davon gelten schon.
Nicht nur für KI-Hersteller
Die Verordnung trifft fast jede Organisation, die KI einsetzt — nicht nur die, die sie bauen.
Empfindliche Bußgelder
Bei verbotenen Praktiken bis zu 7 % vom weltweiten Jahresumsatz. Der höchste Rahmen der ganzen Verordnung.
Gilt bereits heute
Verbote und Schulungspflicht sind seit 2025 in Kraft, die Kennzeichnung seit August 2026.
Zusätzlich zur DSGVO
Die KI-Verordnung ersetzt den Datenschutz nicht, sie kommt dazu. Beides muss zusammenpassen.
Rollen
Anbieter oder Betreiber — die Rolle entscheidet über die Pflichten
Die Verordnung unterscheidet vor allem zwei Rollen. Welche auf Sie zutrifft, bestimmt, welche Pflichten überhaupt greifen — und der Wechsel zwischen ihnen wird am häufigsten übersehen.
Anbieter
Sie bringen KI unter Ihrem eigenen Namen heraus — auch dann, wenn das Modell dahinter von einem anderen Unternehmen stammt. Auf Anbieter entfallen die weitreichenderen Pflichten, von der technischen Dokumentation bis zur Konformitätsbewertung.
Betreiber
Sie setzen KI im Betrieb ein, haben sie aber nicht gebaut. Das trifft fast jede Organisation. Die Pflichten drehen sich um Nutzung, menschliche Aufsicht und Information der Betroffenen.
Vom Betreiber zum Anbieter: Wer ein zugekauftes System wesentlich verändert oder unter eigenem Namen weitergibt, wird selbst zum Anbieter — und übernimmt dessen Pflichten. Genau dieser Wechsel wird am häufigsten übersehen.
Fristen
Was jetzt gilt — und was noch kommt
Die Pflichten greifen gestaffelt, grob in vier Wellen. Das genaue Datum je Pflicht steht im Pflichten-Check.
Verbote, Schulung, Kennzeichnung
Verbotene Praktiken und die Pflicht zur KI-Kompetenz seit 2025, die Kennzeichnung von KI seit August 2026.
Neue Verbote und Markierung
Zwei weitere Verbote und die technische Markierung der Ausgaben generativer KI.
KI, die über Menschen entscheidet
Das große Pflichtenpaket für Hochrisiko-KI — Bewerbung, Kredit, Versicherung, Bildung, Biometrie.
KI in geprüften Produkten
Dieselben Anforderungen für KI, die in Maschinen, Medizinprodukten oder Spielzeug steckt.
Irrtümer
Sechs Sätze, die wir häufig hören
Die meisten Organisationen unterschätzen den AI Act nicht aus Nachlässigkeit, sondern weil eine plausible Annahme im Weg steht. Diese sechs begegnen uns am häufigsten.
„Wir bauen keine KI, wir benutzen nur welche.“
Tatsächlich: Auch das Benutzen löst Pflichten aus. Wer KI im eigenen Namen einsetzt, ist Betreiber — mit eigenen Aufgaben bei Aufsicht, Unterrichtung der Betroffenen und Kompetenz der Mitarbeitenden.
„Dafür ist der Anbieter zuständig.“
Tatsächlich: Nur für seinen Teil. Und die Rolle kann kippen: Wer ein System wesentlich verändert oder unter eigenem Namen anbietet, wird selbst zum Anbieter — mit dem vollen Pflichtenpaket.
„Wir sind zu klein dafür.“
Tatsächlich: Die Betreiberpflichten kennen keine Mitarbeitergrenze. Kleinstunternehmen bekommen Erleichterungen bei der Dokumentation, nicht bei der Frage, ob die Regeln gelten.
„Das große Paket kommt erst 2027, wir haben Zeit.“
Tatsächlich: Für Hochrisiko-KI stimmt das seit der Änderung vom Juli 2026. Nicht verschoben wurden die Verbote und die KI-Kompetenzpflicht (seit Februar 2025) und die Kennzeichnung (seit August 2026) — und zum 2. Dezember 2026 kommen zwei Verbote dazu.
„Wir haben eine Datenschutz-Folgenabschätzung, das reicht.“
Tatsächlich: Die DSGVO schützt personenbezogene Daten, der AI Act regelt das System selbst. Beide gelten nebeneinander, und keine Prüfung ersetzt die andere.
„Solange ein Mensch am Ende entscheidet, ist es unkritisch.“
Tatsächlich: Die menschliche Aufsicht ist eine Pflicht bei Hochrisiko-Systemen, kein Ausweg aus der Einstufung. Eine Vorauswahl bleibt hochriskant, auch wenn jemand sie abnickt.
Material
Alles Konkrete im Pflichten-Check-Bundle
Die 35 Punkte in sechs Phasen, mit Fristen, Zuständigkeiten und den Nachweisen, die am Ende zählen — als PDF und interaktiver Kompass.
Sorgfältig recherchiert, keine Rechtsberatung. Diese Übersicht und der Pflichten-Check geben den Rechtsstand vom 24. August 2026 wieder und ersetzen keine Prüfung Ihres Einzelfalls. Verbindlich ist allein die konsolidierte Fassung der Verordnung (EU) 2024/1689.
Setzen Sie KI ein, die die Pflichten schon mitbringt
Sie bekommen einen Testzugang mit vollem Funktionsumfang — für Sie und beliebig viele Kolleginnen und Kollegen. Unverbindlich, sofort nutzbar und ohne hinterlegte Zahlungsart.
Kostenlos testen. Keine Kreditkarte nötig.
- Für Sie & Ihr Team
- Sofortiger Zugang
- Völlig kostenlos
