EU AI Act 2026: Was Unternehmen jetzt umsetzen müssen

Generative KI ist in vielen Unternehmen längst Teil des Arbeitsalltags: Mitarbeitende formulieren Texte mit KI, Chatbots beantworten Kundenanfragen und intelligente Systeme unterstützen bei Analysen oder Entscheidungen. Seit dem 2. August 2026 gilt der EU AI Act in weiten Teilen. Damit wird aus freiwilliger KI-Governance eine konkrete organisatorische Aufgabe.

Für Unternehmen bedeutet das nicht, dass jede KI-Anwendung verboten oder genehmigungspflichtig ist. Entscheidend sind der Einsatzzweck, die Risikoklasse und die Rolle des Unternehmens. Wer KI lediglich nutzt, hat andere Pflichten als ein Anbieter, der ein eigenes KI-System entwickelt oder unter eigener Marke bereitstellt.

Warum der EU AI Act jetzt relevant ist

Der AI Act verfolgt einen risikobasierten Ansatz. Je größer das mögliche Risiko für Menschen, Grundrechte oder Sicherheit, desto höher sind die Anforderungen. Einige Vorgaben gelten bereits seit 2025, darunter das Verbot bestimmter KI-Praktiken und die Pflicht, für eine ausreichende KI-Kompetenz der beteiligten Mitarbeitenden zu sorgen. Seit August 2026 greifen weitere zentrale Regeln und Transparenzpflichten.

Auch mittelständische Unternehmen sind betroffen, wenn sie beispielsweise externe KI-Dienste einkaufen, einen Kunden-Chatbot betreiben, KI in Personalprozessen einsetzen oder automatisierte Entscheidungen vorbereiten lassen.

Die vier Risikostufen im Überblick

1. Verbotene KI-Praktiken

Bestimmte Anwendungen gelten als nicht akzeptabel. Dazu gehören beispielsweise besonders manipulative Verfahren oder bestimmte Formen der Bewertung von Personen. Solche Systeme dürfen grundsätzlich nicht eingesetzt werden. Unternehmen sollten deshalb nicht nur intern entwickelte Anwendungen prüfen, sondern auch Funktionen eingekaufter Software.

2. Hochrisiko-KI

Besonders hohe Anforderungen können gelten, wenn KI in sensiblen Bereichen eingesetzt wird – etwa bei Personalentscheidungen, bei bestimmten Zugangsentscheidungen oder in kritischen Infrastrukturen. Hier können unter anderem ein dokumentiertes Risikomanagement, Datenqualität, Protokollierung, menschliche Aufsicht und technische Dokumentation erforderlich sein.

3. KI mit Transparenzpflichten

Bei Chatbots und bestimmten generierten Inhalten muss für Menschen erkennbar sein, dass KI beteiligt ist. Ein Kundenservice-Bot sollte sich daher klar als KI-System zu erkennen geben. Für bestimmte künstlich erzeugte oder manipulierte Bild-, Audio-, Video- und Textinhalte gelten ebenfalls Kennzeichnungspflichten.

4. Minimales Risiko

Viele alltägliche Anwendungen fallen in einen Bereich mit geringen Risiken. Trotzdem bleiben Datenschutz, Informationssicherheit, Urheberrecht und interne Qualitätsanforderungen relevant. Auch ein scheinbar harmloser Textassistent kann vertrauliche Daten verarbeiten oder falsche Informationen erzeugen.

Welche Rolle hat Ihr Unternehmen?

Vor der Bewertung einzelner Pflichten sollten Sie klären, in welcher Rolle Ihr Unternehmen handelt:

• Anbieter: Sie entwickeln ein KI-System oder bringen es unter eigenem Namen auf den Markt.
• Betreiber: Sie setzen ein KI-System im eigenen Unternehmen oder gegenüber Kunden ein.
• Importeur oder Händler: Sie bringen ein System eines externen Anbieters in den europäischen Markt.
• Betroffene Organisation: Sie kaufen Software ein, in der KI-Funktionen enthalten sind, und müssen deren Einsatz kontrollieren.

Die Rolle kann sich je nach Anwendung unterscheiden. Wer ein Standardmodell lediglich nutzt, ist meist Betreiber. Wird das System jedoch wesentlich verändert oder als eigene Lösung angeboten, können zusätzliche Anbieterpflichten entstehen.

Der praktische 7-Punkte-Plan für Unternehmen

1. Alle KI-Anwendungen erfassen

Erstellen Sie ein zentrales KI-Inventar. Darin sollten nicht nur offiziell eingeführte Systeme stehen, sondern auch KI-Funktionen in CRM-, ERP-, Marketing-, Support- und Office-Lösungen. Berücksichtigen Sie außerdem eigenständig von Mitarbeitenden genutzte Tools.

2. Zweck, Daten und Risiko dokumentieren

Halten Sie pro Anwendung fest, wofür sie eingesetzt wird, welche Daten einfließen, wer Ergebnisse nutzt und welche Auswirkungen fehlerhafte Ausgaben haben könnten. Diese Dokumentation bildet die Grundlage für die Risikoeinstufung.

3. Klare Nutzungsregeln definieren

Eine interne KI-Richtlinie sollte beantworten, welche Werkzeuge freigegeben sind, welche Daten niemals eingegeben werden dürfen und wann Ergebnisse menschlich geprüft werden müssen. Besonders wichtig sind Regeln für personenbezogene Daten, Geschäftsgeheimnisse, Quellcode und vertrauliche Kundendokumente.

4. Mitarbeitende schulen

KI-Kompetenz bedeutet mehr als Prompt-Schulungen. Mitarbeitende müssen Risiken wie Halluzinationen, diskriminierende Ergebnisse, Datenschutzverletzungen, Phishing und manipulierte Inhalte erkennen können. Die Schulungen sollten zur jeweiligen Rolle und Anwendung passen und nachvollziehbar dokumentiert werden.

5. Transparenz technisch umsetzen

Prüfen Sie Chatbots, Voicebots und generierte Inhalte auf notwendige Hinweise. Kennzeichnungen sollten verständlich, gut sichtbar und Teil des tatsächlichen Nutzerprozesses sein – nicht nur ein versteckter Satz in den Nutzungsbedingungen.

6. Anbieter und Verträge prüfen

Fordern Sie von Dienstleistern Informationen zum eingesetzten Modell, zu Datenflüssen, Speicherorten, Unterauftragnehmern, Sicherheitsmaßnahmen und vertraglichen Verantwortlichkeiten an. Datenschutzvereinbarungen allein beantworten nicht automatisch alle Fragen des AI Act.

7. Kontrolle und Vorfallprozess etablieren

KI-Systeme verändern sich durch Updates, neue Modelle und angepasste Datenquellen. Definieren Sie deshalb Verantwortliche, regelmäßige Überprüfungen und einen Prozess für fehlerhafte oder schädliche Ergebnisse. Kritische Vorfälle müssen intern schnell eskaliert werden können.

Typische Fehler bei der Umsetzung

• Es werden nur selbst entwickelte KI-Systeme betrachtet, nicht die KI-Funktionen bestehender Software.
• Die Verantwortung liegt ausschließlich bei der IT, obwohl Fachbereiche über Zweck und Ergebnisse entscheiden.
• Eine allgemeine Schulung wird als vollständige Compliance-Maßnahme verstanden.
• Chatbots werden nicht klar als KI gekennzeichnet.
• Es gibt keine verbindliche Prüfung von KI-generierten Ergebnissen.
• Anbieterbedingungen werden akzeptiert, ohne Datenverwendung und Speicherorte zu prüfen.

Was Geschäftsführung und IT jetzt entscheiden sollten

Ein wirksames KI-Governance-Modell verbindet Recht, Datenschutz, Informationssicherheit und operative Verantwortung. Die Geschäftsführung gibt den Rahmen vor, Fachbereiche beschreiben den konkreten Einsatz und die IT bewertet Architektur, Datenflüsse und Sicherheitsrisiken.

Starten Sie nicht mit einem umfangreichen Regelwerk, sondern mit Transparenz: Welche Systeme sind im Einsatz? Welche davon berühren Menschen, sensible Daten oder wichtige Entscheidungen? Aus dieser Übersicht lassen sich Prioritäten und angemessene Maßnahmen ableiten.

Fazit: KI-Innovation braucht einen verlässlichen Rahmen

Der EU AI Act soll KI nicht verhindern, sondern vertrauenswürdig und nachvollziehbar machen. Unternehmen, die Inventar, Zuständigkeiten, Schulungen und technische Kontrollen jetzt sauber aufsetzen, reduzieren nicht nur regulatorische Risiken. Sie schaffen auch die Grundlage, KI schneller und sicherer in weitere Prozesse zu integrieren.

Webect unterstützt Sie bei der technischen Bewertung, sicheren Integration und Dokumentation Ihrer KI-Anwendungen. Sprechen Sie mit uns über eine pragmatische KI-Roadmap für Ihr Unternehmen.

Hinweis: Dieser Beitrag bietet eine technische und organisatorische Orientierung und ersetzt keine Rechtsberatung. Offizielle Informationen finden Sie im Überblick der Europäischen Kommission zum AI Act.