Bedeutung der neuen KI-Verordnung der EU für Unternehmen

Was die neue KI-Verordnung der EU für dein Unternehmen bedeutet

Stand: September 2026

Bedeutung der neuen KI-Verordnung der EU für Unternehmen: Kaum eine europäische Regulierung hat in den letzten Jahren für so viel Gesprächsstoff gesorgt wie der EU AI Act – im Deutschen meist KI-Verordnung genannt. Seit dem 2. August 2026 gilt sie in weiten Teilen, und spätestens jetzt stellen sich viele Unternehmerinnen und Unternehmer die Frage: Betrifft mich das überhaupt? Und wenn ja – was muss ich konkret tun?

In diesem Beitrag bekommst du einen praxisnahen Überblick: von den rechtlichen Grundlagen über die aktuellen Fristen (inklusive der jüngsten Verschiebungen durch den sogenannten „Digital Omnibus“) bis hin zu einer konkreten Schritt-für-Schritt-Anleitung, wie du dein Unternehmen compliant aufstellst.

Was ist die KI-Verordnung überhaupt?

Der EU AI Act, offiziell Verordnung (EU) 2024/1689, ist das weltweit erste umfassende Gesetz zur Regulierung künstlicher Intelligenz. Er ist am 1. August 2024 in Kraft getreten und wird seither stufenweise scharfgeschaltet – nicht alle Pflichten gelten also von Anfang an gleichzeitig, sondern nach und nach.

Der Kern der Verordnung ist ein risikobasierter Ansatz: Reguliert wird nicht die Technologie „KI“ an sich, sondern der konkrete Anwendungsfall und das Risiko, das von ihm für Gesundheit, Sicherheit oder Grundrechte von Menschen ausgeht. Daraus ergeben sich vier Risikostufen:

• Unannehmbares Risiko – verboten (z. B. Social Scoring, bestimmte Formen biometrischer Überwachung)
• Hochrisiko-KI – strenge Auflagen (z. B. KI in Personalauswahl, Kreditvergabe, kritischer Infrastruktur)
• Transparenzpflichtige Systeme – Kennzeichnungspflichten (z. B. Chatbots, Deepfakes)
• Minimales Risiko – kaum bis keine speziellen Auflagen (die meisten alltäglichen KI-Anwendungen)

Je höher das Risiko, desto strenger die Anforderungen an Dokumentation, Kontrolle und Transparenz.

Der aktuelle Fristenplan – und die Verschiebung durch den Digital Omnibus

Ein wichtiger Punkt vorweg, der 2026 für viel Verwirrung gesorgt hat: Die EU hat mit dem Digital Omnibus on AI (in Kraft getreten am 27. Juli 2026) zentrale Fristen für Hochrisiko-KI-Systeme nach hinten verschoben, um Unternehmen mehr Zeit für die Umsetzung zu geben. Nicht verschoben wurden hingegen die grundlegenden Transparenzpflichten. So sieht der aktuelle Zeitplan aus:

• Seit 2. Februar 2025: Verbotene KI-Praktiken (Art. 5) sowie die Pflicht zur Förderung von KI-Kompetenz bei Mitarbeitenden (Art. 4) gelten bereits.
• Seit 2. August 2025: Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck (General Purpose AI, z. B. große Sprachmodelle) sowie Governance- und Aufsichtsregeln.
• Seit 2. August 2026: Die Verordnung gilt grundsätzlich in weiten Teilen, insbesondere die Transparenzpflichten nach Art. 50 (Kennzeichnung von KI-generierten Inhalten, Offenlegungspflicht bei Chatbots und Deepfakes). Außerdem beginnt ab diesem Datum die aktive Durchsetzung durch das EU AI Office – es können nun Bußgelder verhängt und Untersuchungen eingeleitet werden.
• Ab 2. Dezember 2026: Erweiterung der verbotenen Praktiken um weitere Fälle sowie zusätzliche Kennzeichnungspflichten für KI-generierte Inhalte, auch bei bereits bestehenden Systemen.
• Ab 2. Dezember 2027: Wesentliche Pflichten für Hochrisiko-KI-Systeme nach Anhang III (z. B. KI in Bewerbungsverfahren, Kreditwürdigkeitsprüfung, Bildungszugang) – ursprünglich für August 2026 vorgesehen, nun verschoben.
• Ab 2. August 2028: Wesentliche Pflichten für Hochrisiko-KI, die in Produkten nach Anhang I verbaut ist (z. B. Medizinprodukte, Maschinen, Aufzüge mit KI-Komponenten).

Wichtig für dich: Auch wenn die Hochrisiko-Pflichten verschoben wurden, bedeutet das nicht, dass du dich zurücklehnen kannst. Die Transparenzpflichten und die KI-Kompetenz-Pflicht gelten längst – und die verbleibende Zeit bis zu den nächsten Fristen solltest du aktiv für die Vorbereitung nutzen.

Betrifft die KI-Verordnung auch dein Unternehmen?

Ein weit verbreitetes Missverständnis ist, dass der AI Act nur große Tech-Konzerne betrifft, die eigene KI-Modelle entwickeln. Tatsächlich ist der Anwendungsbereich deutlich breiter. Er unterscheidet vor allem zwei Rollen:

Anbieter (Provider)

Wer ein KI-System entwickelt oder unter eigenem Namen auf den Markt bringt, gilt als Anbieter – auch wenn dabei auf ein bereits bestehendes Basismodell zurückgegriffen wird. Wichtig: Wenn ein Unternehmen ein bestehendes KI-System wesentlich verändert oder unter eigener Marke vertreibt, kann es dabei selbst zum Anbieter werden und übernimmt dann auch dessen Pflichten.

Betreiber (Deployer)

Wer ein KI-System im Rahmen der eigenen beruflichen Tätigkeit einsetzt, ist Betreiber. Das betrifft die überwiegende Mehrheit der Unternehmen – etwa wenn du Standardlösungen wie Microsoft Copilot, ChatGPT Enterprise oder spezialisierte KI-Software zur Bewerberauswahl, Kreditprüfung oder Kundenkommunikation einsetzt.

Kurz gesagt: Auch wenn du keine eigene KI entwickelst, sondern „nur“ fremde KI-Tools nutzt, kannst du unter die Verordnung fallen und musst bestimmte Pflichten erfüllen.

Die wichtigsten Pflichten im Überblick

1. KI-Kompetenz nach Artikel 4

Diese Pflicht wird in der Praxis am häufigsten unterschätzt – sie gilt bereits seit Februar 2025. Anbieter und Betreiber müssen dafür sorgen, dass Mitarbeitende und andere Personen, die in ihrem Auftrag mit KI-Systemen arbeiten, über ausreichende KI-Kompetenz verfügen. Berücksichtigt werden müssen dabei Vorwissen, Erfahrung, Ausbildung und der konkrete Einsatzkontext. Praktisch bedeutet das: Schulungen, interne Richtlinien und dokumentierte Awareness-Maßnahmen sind Pflicht, nicht nur eine gute Idee.

2. Transparenzpflichten nach Artikel 50

Seit August 2026 gilt: Nutzerinnen und Nutzer müssen erkennen können, wenn sie mit einem KI-System interagieren. Konkret heißt das:

• Chatbots müssen als solche gekennzeichnet werden.
• KI-generierte Bilder, Audio- und Videoinhalte sowie Deepfakes müssen entsprechend markiert werden.
• Rein KI-generierte Texte müssen nur dann gekennzeichnet werden, wenn sie Themen von öffentlichem Interesse betreffen.

3. Pflichten für Hochrisiko-KI

Wer Hochrisiko-KI-Systeme anbietet oder betreibt, muss künftig umfassende Anforderungen erfüllen: Risikomanagement, hohe Datenqualität, technische Dokumentation, Protokollierung (Logging), menschliche Aufsicht sowie Anforderungen an Genauigkeit, Robustheit und Cybersicherheit. Betreiber müssen zusätzlich unter anderem die Systeme bestimmungsgemäß nutzen, die Bedienungsanleitungen beachten und eine menschliche Kontrolle sicherstellen.

4. Pflichten für Anbieter von KI-Basismodellen (GPAI)

Wer ein KI-Modell mit allgemeinem Verwendungszweck bereitstellt – etwa ein großes Sprachmodell, auf dem andere Anwendungen aufbauen –, muss seit August 2025 technische Dokumentation bereitstellen, Trainingsdaten zusammenfassen und Urheberrechts-Compliance nachweisen. Für Modelle mit systemischem Risiko kommen zusätzliche Risikobewertungen und Meldepflichten hinzu. Für die meisten mittelständischen Unternehmen ist das nur indirekt relevant: Sie sollten aber von ihren Software-Anbietern aktiv entsprechende Nachweise einfordern, bevor sie ein Modell in einem sensiblen Kontext einsetzen.

Was passiert bei Verstößen?

Die Bußgelder orientieren sich – ähnlich wie bei der DSGVO – an einem Prozentsatz des weltweiten Jahresumsatzes:

• Verstöße gegen verbotene Praktiken können mit Bußgeldern von bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes geahndet werden – je nachdem, welcher Betrag höher ist.
• Für andere Pflichtverletzungen gelten gestaffelte, aber ebenfalls empfindliche Bußgeldrahmen.

Seit dem 2. August 2026 kann das EU AI Office aktiv Untersuchungen einleiten und Bußgelder verhängen – die Verordnung ist also keine zahnlose Absichtserklärung mehr, sondern wird durchgesetzt.

Konkrete Schritte: So bereitest du dein Unternehmen vor

1. KI-Inventur durchführen. Verschaffe dir einen Überblick, welche KI-Systeme in deinem Unternehmen bereits im Einsatz sind – auch „inoffizielle“ Tools, die einzelne Teams ohne zentrale Freigabe nutzen.
2. Rolle klären. Bist du für ein bestimmtes System Anbieter, Betreiber oder beides? Das entscheidet, welche Pflichten greifen.
3. Risikoklasse einordnen. Prüfe für jedes System, in welche Risikokategorie es fällt – insbesondere, ob es unter die Hochrisiko-Kategorien nach Anhang III fällt.
4. KI-Kompetenz aufbauen. Richte Schulungsformate ein und dokumentiere sie – das ist bereits verpflichtend.
5. Transparenz sicherstellen. Kennzeichne Chatbots, KI-generierte Inhalte und Deepfakes entsprechend den Vorgaben aus Art. 50.
6. Lieferanten und Software-Partner abfragen. Fordere von deinen Softwareanbietern Nachweise zur AI-Act-Konformität ein, insbesondere bei KI-Basismodellen.
7. Verantwortlichkeiten festlegen. Benenne intern eine Person oder ein Team, das die KI-Compliance verantwortet und den Fristenplan im Blick behält.
8. Dokumentation aufbauen. Auch wenn viele Hochrisiko-Pflichten erst 2027/2028 greifen – wer frühzeitig Prozesse und Dokumentation etabliert, tut sich später leichter.

Fazit

Die KI-Verordnung ist kein abstraktes Brüsseler Regelwerk, das nur Technologiekonzerne betrifft – sie hat ganz praktische Auswirkungen auf viele Unternehmen, die KI-Tools im Arbeitsalltag einsetzen. Zwar hat der Digital Omnibus die Fristen für die aufwendigsten Hochrisiko-Pflichten entzerrt, doch Transparenzpflichten, KI-Kompetenz-Anforderungen und die aktive Durchsetzung durch die Aufsichtsbehörden sind längst Realität. Wer jetzt eine Bestandsaufnahme macht, Verantwortlichkeiten klärt und erste Prozesse etabliert, ist für die kommenden Fristen 2027 und 2028 deutlich besser gerüstet als Unternehmen, die das Thema auf die lange Bank schieben.

Hinweis: Dieser Beitrag bietet einen allgemeinen Überblick und ersetzt keine individuelle Rechtsberatung. Bei konkreten Fragen zur Einordnung deiner KI-Systeme empfiehlt sich der Austausch mit einer auf IT- und Datenschutzrecht spezialisierten Kanzlei oder deiner zuständigen Aufsichtsbehörde.