EU AI Act: Was die neue KI-Verordnung für Ihr Unternehmen bedeutet
Ein risikobasiertes Gesetz mit gestaffelten Fristen
Seit 1. August 2024 ist die Verordnung (EU) 2024/1689 zur Festlegung harmonisierter Vorschriften für künstliche Intelligenz in Kraft – kurz „AI Act". Sie gilt jedoch nicht auf einen Schlag, sondern gestaffelt. Seit 2. August 2026 ist daher der Großteil der Verordnung anwendbar, allen voran die Transparenzpflichten für KI-Systeme. Gleichzeitig hat der kürzlich in Kraft getretene „Digital Omnibus on AI" einige Fristen verschoben.
Der AI Act reguliert dabei nicht KI als solche, sondern folgt einem risikobasierten Ansatz. Je höher das Risiko einer Anwendung für Gesundheit, Sicherheit oder Grundrechte ist, desto strenger sind die Anforderungen. Unannehmbare Praktiken wie Social Scoring oder manipulative Beeinflussung sind deshalb verboten. Hochrisiko-Anwendungen – etwa in Bewerbung, Kreditvergabe oder kritischer Infrastruktur – unterliegen dagegen strengen Pflichten. Die meisten alltäglichen KI-Anwendungen bleiben hingegen weitgehend unreguliert oder unterliegen lediglich Transparenzpflichten.
Konkret müssen Chatbots seit 2. August 2026 erkennbar als KI-System gekennzeichnet sein. Ebenso brauchen KI-generierte oder manipulierte Bilder, Videos und Audioinhalte – etwa Deepfakes – eine Kennzeichnung. KI-generierte Texte zu Themen von öffentlichem Interesse müssen zudem offengelegt werden, außer bei redaktioneller Kontrolle. Bereits seit Februar 2025 gelten außerdem die verbotenen Praktiken sowie die Pflicht, die KI-Kompetenz des eigenen Personals zu fördern. Seit August 2025 gelten schließlich auch die Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck (GPAI) sowie die Sanktionsvorschriften.
Wer ist betroffen – und was hat der Digital Omnibus geändert?
Der Anwendungsbereich ist bewusst weit gefasst. Er betrifft Anbieter, die ein KI-System entwickeln und in Verkehr bringen, ebenso wie Betreiber, die ein KI-System beruflich einsetzen – die häufigste Rolle. Auch Einführer, Händler, Bevollmächtigte sowie Produkthersteller fallen darunter. Dabei spielt der Unternehmenssitz keine Rolle: Auch Anbieter und Betreiber außerhalb der EU sind erfasst, sobald der Output ihres KI-Systems in der Union genutzt wird. Ausgenommen sind hingegen rein private Nutzung, Militär- und Verteidigungszwecke, reine Forschung vor Markteinführung sowie – mit Einschränkungen – Open-Source-KI-Systeme.
Mit der Verordnung (EU) 2026/1744, die am 27. Juli 2026 in Kraft trat, hat die EU die Fristen für Hochrisiko-KI-Systeme deutlich verschoben. Anwendungen nach Anhang III – etwa Bildung, Personalmanagement oder Kreditwürdigkeitsprüfung – müssen daher erst ab 2. Dezember 2027 konform sein, statt wie ursprünglich vorgesehen ab 2. August 2026. Das entspricht einem Aufschub um 16 Monate. Für KI in bereits regulierten Produkten nach Anhang I gilt künftig der 2. August 2028. Der Digital Omnibus streicht dabei keine bereits geltenden Pflichten. Er ändert jedoch gezielt einzelne Vorschriften: Die KI-Kompetenzpflicht wurde von einer Erfolgs- zu einer Bemühenspflicht abgeschwächt, und ab 2. Dezember 2026 gilt zusätzlich ein neues Verbot für KI-Systeme, die nicht-einvernehmliche intime Inhalte oder Missbrauchsmaterial von Kindern erzeugen.
Für Unternehmen mit einem zertifizierten Managementsystem – etwa nach ISO 14001 oder ISO/IEC 27001 – ist strukturiertes Risiko- und Dokumentenmanagement dabei kein Neuland. Auch unsere Beiträge zur EmpCo-Richtlinie, zur PPWR, zum ISO 19011:2026 sowie zur Mikroplastikverordnung (REACH) und zum PFAS-Verbot bei Feuerlöschschäumen zeigen: 2026 ist ein Jahr mit besonders vielen regulatorischen Neuerungen.
Fünf Aspekte des EU AI Act aus unserer Beratungspraxis
Bindende Verpflichtungen – Legal Compliance
Der AI Act gilt nicht auf einen Schlag, sondern in Etappen: verbotene Praktiken und KI-Kompetenz seit Februar 2025, GPAI-Pflichten und Sanktionen seit August 2025, der Großteil der Verordnung inklusive Transparenzpflichten seit 2. August 2026. Diese Termine gehören jetzt ins Rechtskataster.
Rollenklärung – Risikomanagement
Ob Ihr Unternehmen als Anbieter, Betreiber, Einführer, Händler oder Bevollmächtigter gilt, entscheidet über die konkreten Pflichten. Ein Unternehmen kann dabei mehrere Rollen gleichzeitig einnehmen, und der Anwendungsbereich reicht zudem über die EU hinaus, sobald der KI-Output in der Union genutzt wird.
Transparenzpflichten – Dokumentenmanagement
Seit 2. August 2026 müssen Chatbots als KI erkennbar sein, KI-generierte Bilder, Videos und Deepfakes gekennzeichnet werden und KI-Texte zu Themen von öffentlichem Interesse offengelegt werden. Wie diese Kennzeichnung nachgewiesen wird, gehört strukturiert ins Managementsystem.
Verbotene Praktiken & Hochrisiko-Fristen – Risikomanagement
Social Scoring und manipulative Praktiken sind bereits seit Februar 2025 verboten. Für Hochrisiko-Anwendungen nach Anhang III – etwa Bewerbung oder Kreditvergabe – hat der Digital Omnibus die Frist um 16 Monate auf 2. Dezember 2027 verschoben. Das ist Anlass genug, die eigene Risikoklassifizierung jetzt vorzubereiten, statt sie erneut aufzuschieben.
Kompetenzmanagement
Die Pflicht, die KI-Kompetenz des eigenen Personals zu fördern, gilt bereits seit Februar 2025. Der Digital Omnibus hat sie zwar von einer Erfolgs- zu einer Bemühenspflicht abgeschwächt, für Schulungsnachweise ändert das aber wenig: Sie gehören weiterhin ins Kompetenzmanagement.
Stichtag 2. August 2026 – aber Fristen in Bewegung: Seit diesem Datum ist der Großteil des AI Act anwendbar, allen voran die Transparenzpflichten. Der Digital Omnibus (VO (EU) 2026/1744, seit 27. Juli 2026 in Kraft) hat zudem die Fristen für Hochrisiko-Systeme um bis zu 16 Monate verschoben – auf Dezember 2027 bzw. August 2028. Verbotene Praktiken, Transparenz und GPAI-Pflichten bleiben davon jedoch unberührt, auch wenn einzelne Vorschriften gezielt geändert wurden.
Vollzug in Österreich und der Nutzen eines Managementsystems
Österreich hat die im AI Act vorgesehene nationale Marktüberwachungsbehörde laut RTR-KI-Servicestelle bis dato nicht benannt. Die EU-Frist vom 2. August 2025 ist damit deutlich überschritten. Deutschland ist hier weiter: Das KI-Durchführungsgesetz (KI-MIG) benennt seit Juni 2026 die Bundesnetzagentur als Zentralbehörde. Unabhängig vom nationalen Vollzugsstand gilt jedoch: Die DSGVO bleibt vollumfänglich anwendbar (Art. 2 Abs. 7 AI Act). Das betrifft insbesondere die Datenschutz-Folgenabschätzung nach Art. 35 DSGVO, die eine allfällige Grundrechte-Folgenabschätzung nach Art. 27 AI Act ergänzt, statt eine doppelte Dokumentation zu erfordern.
Die zahlreichen Nachweis-, Dokumentations- und Überwachungspflichten des AI Act lassen sich am effizientesten über ein strukturiertes Managementsystem abbilden. Der eigens für KI geschaffene Standard ISO/IEC 42001 bietet dafür den passenden Rahmen. Bestehende Qualitäts- (ISO 9001) oder Informationssicherheitsmanagementsysteme (ISO/IEC 27001) lassen sich ebenso um KI-spezifische Risiken erweitern, statt bei null zu beginnen.
Sie möchten wissen, welche Rolle Ihr Unternehmen im Sinne des AI Act einnimmt und welche Pflichten konkret zutreffen? Sprechen Sie uns an – wir unterstützen Sie bei der Einordnung und der Umsetzung in Ihrem Managementsystem.
Dieser Beitrag wurde mit KI-Unterstützung erstellt.