KI und AI Act verständlich erklärt

Künstliche Intelligenz ist in vielen Unternehmen längst Alltag – vom Chatbot bis zur automatisierten Auswertung von Dokumenten. Mit der KI-Verordnung der EU, dem AI Act, gibt es dafür einen einheitlichen Rechtsrahmen. Er regelt KI nach ihrem Risiko: Je höher das Risiko, desto strenger die Pflichten.

Der AI Act ist die Verordnung (EU) 2024/1689. Sie gilt unmittelbar in allen Mitgliedstaaten und ist am 1. August 2024 in Kraft getreten. Sie richtet sich vor allem an

• Anbieter, die KI-Systeme entwickeln oder unter eigenem Namen in Verkehr bringen, und
• Betreiber, die KI-Systeme in eigener Verantwortung beruflich einsetzen – also die meisten Unternehmen, die KI nutzen.

Die Risikoklassen

• Verbotene Praktiken (Art. 5): etwa Social Scoring oder manipulative Techniken, die Menschen schaden
• Hochrisiko-KI-Systeme: etwa in Personalauswahl, Bildung oder kritischer Infrastruktur sowie als Sicherheitsbauteil regulierter Produkte – mit umfangreichen Pflichten zu Risikomanagement, Daten, Dokumentation, menschlicher Aufsicht und Qualitätsmanagement
• Transparenzpflichten (Art. 50): etwa bei Chatbots, KI-generierten Inhalten und Deepfakes
• Minimales Risiko: keine besonderen Pflichten aus dem AI Act

Für KI-Modelle mit allgemeinem Verwendungszweck (General Purpose AI, etwa große Sprachmodelle) gelten eigene Pflichten für deren Anbieter. Bei verbotenen Praktiken drohen Bußgelder von bis zu 35 Mio. Euro oder 7 % des weltweiten Jahresumsatzes.

Der AI Act gilt stufenweise. Mit dem Digital Omnibus zur KI – der Verordnung (EU) 2026/1744, in Kraft seit dem 27. Juli 2026 – hat die EU einige Fristen verschoben und Pflichten angepasst. Stand Oktober 2026 gilt:

• seit 2. Februar 2025: Verbote bestimmter KI-Praktiken und die Pflicht zur KI-Kompetenz (Art. 4)
• seit 2. August 2025: Regeln für KI-Modelle mit allgemeinem Verwendungszweck und zur Governance
• seit 2. August 2026: allgemeine Geltung, unter anderem die Transparenzpflichten nach Art. 50
• ab 2. Dezember 2026: neue Verbote für KI-Systeme, die nicht einvernehmliche intime Inhalte oder Darstellungen sexuellen Kindesmissbrauchs erzeugen; außerdem endet die Übergangszeit für die Kennzeichnung KI-erzeugter Inhalte (Art. 50 Abs. 2) bei generativen KI-Systemen, die schon vor dem 2. August 2026 auf dem Markt waren
• ab 2. Dezember 2027: Pflichten für Hochrisiko-KI-Systeme nach Anhang III, etwa in Beschäftigung, Bildung und kritischer Infrastruktur
• ab 2. August 2028: Pflichten für Hochrisiko-KI in regulierten Produkten nach Anhang I, etwa in Aufzügen oder Spielzeug

In Deutschland ist seit dem 29. Juli 2026 die Bundesnetzagentur zentrale Marktüberwachungsbehörde für die KI-Verordnung. In bestimmten Bereichen bleiben die bisherigen Aufsichtsbehörden zuständig, etwa die BaFin im Finanzsektor.

Art. 4 betrifft praktisch jedes Unternehmen, das KI einsetzt – auch wenn es nur Standardwerkzeuge wie Chatbots oder Schreibassistenten nutzt. In der ursprünglichen Fassung mussten Anbieter und Betreiber nach besten Kräften sicherstellen, dass ihr Personal und andere Personen, die in ihrem Auftrag mit KI-Systemen arbeiten, über ausreichende KI-Kompetenz verfügen.

Der Digital Omnibus hat Art. 4 neu gefasst. Seit dem 27. Juli 2026 müssen Anbieter und Betreiber Maßnahmen ergreifen, die den Aufbau von KI-Kompetenz unterstützen. Ein bestimmtes Kompetenzniveau jeder einzelnen Person müssen sie nicht garantieren. Zu berücksichtigen sind Vorwissen, Erfahrung und Ausbildung der Beteiligten, der Einsatzkontext und die Personen, die von den KI-Systemen betroffen sind. Kommission und Mitgliedstaaten unterstützen Unternehmen, besonders KMU, dabei.

Die Pflicht ist also weicher formuliert, aber nicht entfallen. In der Praxis bewährt sich ein dokumentiertes Vorgehen:

• Überblick, wer welche KI-Systeme wofür nutzt
• Schulungen passend zu Rolle und Risiko – von Grundlagen für alle bis zur Vertiefung für Verantwortliche
• klare Regeln für den KI-Einsatz, etwa zu vertraulichen Daten und zur Prüfung von Ergebnissen
• Nachweise über die getroffenen Maßnahmen

Wie du dabei Schritt für Schritt vorgehst und was du dokumentieren solltest, steht unter KI-Kompetenz nach Art. 4 nachweisen.

Hinweis: Dieser Überblick dient der Orientierung und ersetzt keine Rechtsberatung.

• Unternehmen, die KI nutzen (Betreiber): KI-Kompetenz nach Art. 4, Transparenzpflichten etwa bei Deepfakes und beim Einsatz von Hochrisiko-KI weitere Pflichten wie menschliche Aufsicht und Protokollierung
• Unternehmen, die KI entwickeln oder anbieten (Anbieter): je nach Risikoklasse Konformitätsbewertung, technische Dokumentation sowie Qualitäts- und Risikomanagement
• Personal und Bildung: KI zur Bewerberauswahl, Leistungsbewertung oder Prüfung kann als Hochrisiko-KI gelten
• Datenschutz und Informationssicherheit: Die DSGVO gilt für personenbezogene Daten in KI-Anwendungen weiter; dazu kommen Risiken wie der Abfluss vertraulicher Daten über Eingaben

Achtung: Wer ein Hochrisiko-KI-System unter eigenem Namen anbietet oder es wesentlich verändert, kann selbst zum Anbieter werden – mit deutlich mehr Pflichten.

Rollen und Standards

Einen „KI-Beauftragten“ schreibt der AI Act nicht vor. Sinnvoll ist trotzdem eine klar benannte Verantwortung für KI-Regeln, Inventar und Schulungen – eng verzahnt mit Datenschutz, Informationssicherheit und Compliance. Für ein systematisches Vorgehen gibt es die Norm ISO/IEC 42001 für KI-Managementsysteme. Sie folgt derselben Grundstruktur wie ISO 27001 und lässt sich gut mit einem bestehenden ISMS verbinden.

1. KI-Inventar erstellen: Welche KI-Systeme und -Tools sind im Einsatz – auch inoffiziell?
2. Rolle und Risiko einordnen: Bist du Anbieter oder Betreiber? Fällt ein Einsatz unter verbotene Praktiken, Hochrisiko oder Transparenzpflichten?
3. Regeln festlegen: eine KI-Richtlinie mit erlaubten Tools, Umgang mit Daten und Freigabeprozess.
4. KI-Kompetenz aufbauen: Schulungen nach Rolle planen, durchführen und dokumentieren.
5. Fristen im Blick behalten: Hochrisiko-Pflichten ab Dezember 2027 bzw. August 2028 rechtzeitig vorbereiten.

Einen kompakten Einstieg bietet die Schulung Künstliche Intelligenz & AI Act Compliance.

Stand: Oktober 2026. Wir stützen uns vorrangig auf Primärquellen:

• Verordnung (EU) 2024/1689 (KI-Verordnung, AI Act) – EUR-Lex
• Verordnung (EU) 2026/1744 (Digital Omnibus zur KI) – Amtsblatt der EU
• EU-Kommission: AI Act – Zeitplan und Digital Omnibus
• Bundesnetzagentur: Pressemitteilung vom 29.07.2026 zur Umsetzung der KI-Verordnung (KI-MIG)
• ISO/IEC 42001:2023 – AI management systems