Seit dem 2. August 2026 gelten die Transparenzpflichten des EU AI Act — und zwar nicht nur für KI-Hersteller, sondern für jedes Unternehmen, das KI-Systeme einsetzt. Dazu zählen auch ChatGPT, Microsoft Copilot oder das KI-Feature im Bewerbermanagement-Tool. Die Hochrisiko-Pflichten hat der KI-Omnibus (Verordnung (EU) 2026/1744, in Kraft seit 27. Juli 2026) dagegen verschoben: auf den 2. Dezember 2027 für Anhang-III-Systeme und den 2. August 2028 für KI in regulierten Produkten. Bei Verstößen gegen verbotene Praktiken drohen Bußgelder von bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes.
In unseren Mandaten sehen wir gerade zwei Extreme: Unternehmen, die das Thema komplett verdrängen — und Unternehmen, die in Panik Beratungsangebote einkaufen, die sie nicht brauchen. Beides ist vermeidbar. Hier ist die nüchterne Übersicht, was tatsächlich zu tun ist.
Wen der AI Act betrifft — und seit wann
- Seit Februar 2025: Art. 4 verpflichtet alle Unternehmen, die KI einsetzen, Maßnahmen zur Förderung der KI-Kompetenz ihrer Mitarbeiter zu ergreifen (AI Literacy) — seit dem KI-Omnibus ausdrücklich ohne garantiertes Kompetenzniveau. Außerdem sind Praktiken mit unannehmbarem Risiko verboten (z. B. Social Scoring, Emotionserkennung am Arbeitsplatz).
- Seit August 2025: Pflichten für Anbieter von General-Purpose-AI-Modellen (GPAI) — relevant, wenn Sie eigene Modelle anbieten oder feintunen.
- Seit 2. August 2026: Transparenzpflichten nach Art. 50 — Chatbots als KI erkennbar machen, Deepfakes offenlegen, KI-Inhalte kennzeichnen.
- Ab 2. Dezember 2027: Hochrisiko-Vorschriften für Anhang III. Wer ein solches System betreibt — etwa KI im Recruiting, in der Kreditvergabe oder in der Bildungsbewertung — hat dann konkrete Betreiberpflichten nach Art. 26. Alle neuen Fristen im Überblick: Was der KI-Omnibus am AI Act ändert.
Der am häufigsten übersehene Fall: KI im Personalbereich. Wer Bewerbungen KI-gestützt vorsortiert oder Beschäftigte algorithmisch bewertet, betreibt nach Anhang III Nr. 4 ein Hochrisiko-System — mit allen Konsequenzen ab dem 2. Dezember 2027. Die Vorbereitung braucht Monate, nicht Wochen.
Die fünf Pflichten, die jetzt jedes Unternehmen abarbeiten sollte
1. KI-Inventur
Sie können nur regulieren, was Sie kennen. Erfassen Sie systematisch, welche KI-Systeme im Unternehmen laufen — inklusive der „Schatten-KI": Tools, die Fachabteilungen ohne IT-Freigabe nutzen. Erfahrungswert aus unseren Bestandsaufnahmen: Es sind fast immer mehr Systeme, als die Geschäftsführung vermutet.
2. Risikoklassifizierung
Jedes System wird einer Risikoklasse zugeordnet: verboten, Hochrisiko, begrenzt (Transparenzpflichten) oder minimal. Die Anhang-III-Liste ist dafür der Dreh- und Angelpunkt — eine strukturierte Übersicht mit Pflicht-Check finden Sie auf unserem Fachportal: FRIA-Pflicht-Check und Anhang III im Überblick.
3. Schulungen nach Art. 4
Die KI-Kompetenz-Pflicht gilt seit Februar 2025 — sie ist keine Kür. Alle Personen, die mit KI-Systemen arbeiten, brauchen ein dem Einsatzkontext angemessenes Verständnis: Was kann das System, wo liegen seine Grenzen, wann darf man sich nicht auf es verlassen. Dokumentieren Sie die Schulungen — im Streitfall zählt der Nachweis.
4. Transparenz gegenüber Betroffenen
Chatbots müssen sich als KI zu erkennen geben, KI-generierte Inhalte müssen unter bestimmten Umständen gekennzeichnet werden (Art. 50). Prüfen Sie Ihre Kundenkommunikation und Ihre Datenschutzhinweise — hier verzahnt sich der AI Act direkt mit der DSGVO.
5. Governance und Verantwortlichkeit
Jemand im Unternehmen muss das Thema dauerhaft verantworten: Inventar pflegen, neue Tools bewerten, Schulungen organisieren, Vorfälle melden. Das kann eine interne Rolle sein — oder ein externer KI-Beauftragter, analog zum externen Datenschutzbeauftragten.
Wie AI Act und DSGVO zusammenspielen
Die gute Nachricht für alle, die ihren Datenschutz im Griff haben: Vieles ist anschlussfähig. Das Verarbeitungsverzeichnis liefert die Basis für das KI-Inventar, die Datenschutz-Folgenabschätzung (Art. 35 DSGVO) und die Grundrechts-Folgenabschätzung (Art. 27 AI Act) lassen sich verzahnt durchführen, und die Schulungsorganisation existiert meist schon. Wer dagegen beim Datenschutz Lücken hat, holt sie jetzt doppelt ein — unser Datenschutz-Portal zeigt, wo Sie ansetzen.
Unser Fazit
Der AI Act ist kein Grund zur Panik, aber ein Grund zur Struktur. Die fünf Schritte oben sind für ein mittelständisches Unternehmen in wenigen Wochen machbar — vorausgesetzt, jemand treibt sie. Wenn Sie dafür keine interne Kapazität haben: Genau dafür gibt es unser Fachportal ki-beauftragter-extern.de mit Pflicht-Checks, Ratgebern und dem externen KI-Beauftragten als Dienstleistung. Wer die Umsetzung selbst steuern will, startet mit einer EU-AI-Act-Beratung samt Gap-Analyse.