AI Act EU » Die wichtigsten Regeln und Pflichten für Unternehmen im Überblick

Künstliche Intelligenz verändert Unternehmen, Arbeitsprozesse und Geschäftsmodelle grundlegend. Gleichzeitig entstehen neue Fragen zu Datenschutz, Transparenz, Sicherheit und Verantwortung. Mit dem AI Act EU hat die Europäische Union deshalb einen umfassenden Rechtsrahmen für künstliche Intelligenz geschaffen.

Der EU AI Act, offiziell als Verordnung über künstliche Intelligenz bezeichnet, verfolgt einen risikobasierten Ansatz. Das bedeutet: Nicht jede KI-Anwendung wird gleich streng reguliert. Je höher das Risiko eines KI-Systems für Menschen, Grundrechte und Sicherheit ist, desto umfangreicher sind die gesetzlichen Anforderungen.

Für Unternehmen ist der AI Act deshalb längst kein Zukunftsthema mehr. Erste Vorschriften gelten bereits seit 2025. Seit dem 2. August 2026 sind weitere zentrale Bestimmungen anwendbar und die zuständigen Behörden haben mit der Durchsetzung begonnen. Gleichzeitig gelten bestimmte Regelungen für Hochrisiko-KI erst ab 2027 beziehungsweise 2028.

Doch was bedeutet der AI Act EU konkret für Unternehmen? Welche Pflichten gibt es? Welche KI-Systeme sind verboten? Was gilt für Chatbots, generative KI und KI-Tools wie ChatGPT? Und wie können Unternehmen die Anforderungen praktisch umsetzen?

Der AI Act EU ist das zentrale europäische Gesetz zur Regulierung künstlicher Intelligenz.

Ziel des Gesetzes ist es, einen einheitlichen Rechtsrahmen für KI innerhalb der Europäischen Union zu schaffen. Gleichzeitig sollen Innovationen gefördert und Risiken für Gesundheit, Sicherheit und Grundrechte reduziert werden.

Der AI Act basiert grundsätzlich auf einem risikobasierten Modell.

Dabei werden KI-Systeme vereinfacht in verschiedene Risikokategorien eingeteilt:

• verbotene KI-Praktiken

• Hochrisiko-KI

• KI mit bestimmten Transparenzrisiken

• KI mit geringem oder keinem Risiko

Die überwiegende Mehrheit der KI-Anwendungen fällt nach Einschätzung der EU in die Kategorie mit minimalem oder keinem Risiko und unterliegt deshalb nicht denselben umfangreichen Anforderungen wie Hochrisiko-Systeme.

Unternehmen können auf unterschiedliche Weise vom AI Act betroffen sein.

Das hängt unter anderem davon ab, ob ein Unternehmen:

• KI-Systeme entwickelt

• KI-Software anbietet

• KI-Systeme selbst betreibt

• KI-Modelle entwickelt

• KI in Produkte integriert

• KI von externen Anbietern verwendet

• generative KI einsetzt

• KI für Personalentscheidungen verwendet

• KI zur Bewertung von Kunden oder Personen einsetzt

Dabei ist wichtig: Ein Unternehmen muss nicht selbst eine KI entwickeln, um vom AI Act betroffen zu sein.

Auch der Einsatz einer fertigen KI-Software kann bestimmte Pflichten auslösen.

Ein Unternehmen sollte deshalb nicht nur fragen:

„Entwickeln wir künstliche Intelligenz?“

Sondern:

„Wo und wie setzen wir künstliche Intelligenz in unserem Unternehmen ein?“

Der Grundgedanke des AI Act lässt sich relativ einfach erklären:

Je größer das Risiko einer KI-Anwendung, desto strenger die Regeln.

Ein einfacher Spamfilter hat beispielsweise ein wesentlich geringeres Risiko als ein KI-System, das Bewerber für einen Arbeitsplatz bewertet.

Daraus ergibt sich ein abgestuftes Regelwerk.

Geringes Risiko

Beispiele können sein:

• Spamfilter

• KI-Funktionen in Videospielen

• einfache Empfehlungsfunktionen

Für solche Anwendungen sieht der AI Act grundsätzlich keine umfassenden zusätzlichen Pflichten vor.

Transparenzrisiko

Hier geht es unter anderem um Situationen, in denen Menschen wissen müssen, dass sie mit einer KI interagieren oder dass Inhalte künstlich erzeugt beziehungsweise manipuliert wurden.

Hochrisiko

Hier gelten umfangreiche Anforderungen an beispielsweise:

• Risikomanagement

• Datenqualität

• Dokumentation

• Protokollierung

• menschliche Aufsicht

• Genauigkeit

• Robustheit

• Cybersicherheit

Verbotene KI

Bestimmte besonders riskante KI-Praktiken sind grundsätzlich verboten.

Für Unternehmen ist die Einordnung in die richtige Risikokategorie einer der wichtigsten Schritte.

1. Verbotene KI-Praktiken

Bestimmte KI-Anwendungen sind nach dem AI Act verboten.

Dazu gehören insbesondere Praktiken, die mit besonders hohen Risiken für Menschen und ihre Grundrechte verbunden sind.

Unternehmen sollten deshalb bereits bei der Planung eines KI-Projekts prüfen, ob die geplante Anwendung möglicherweise unter ein Verbot fällt.

2. Hochrisiko-KI

Die zweite wichtige Kategorie ist die Hochrisiko-KI.

Hier gelten deutlich umfangreichere Anforderungen.

Hochrisiko-Systeme können beispielsweise in sensiblen Bereichen eingesetzt werden, darunter:

• Beschäftigung

• Personalmanagement

• Bildung

• kritische Infrastruktur

• bestimmte biometrische Anwendungen

• Migration und Grenzkontrolle

• bestimmte sicherheitsrelevante Anwendungen

Für bestimmte Hochrisiko-Systeme gelten die entsprechenden Anforderungen nach dem aktuellen Zeitplan ab 2. Dezember 2027. Für Hochrisiko-KI, die in bestimmte regulierte Produkte integriert ist, gilt ein verlängerter Zeitplan bis 2. August 2028.

3. KI mit Transparenzpflichten

Ein weiterer Bereich betrifft KI-Systeme, bei denen Menschen erkennen können müssen, dass sie mit KI interagieren oder KI-generierte beziehungsweise manipulierte Inhalte vorliegen.

Seit dem 2. August 2026 gelten die entsprechenden Transparenzpflichten nach Artikel 50 des AI Act.

Dazu können unter anderem gehören:

• KI-Chatbots

• bestimmte interaktive KI-Systeme

• Deepfakes

• KI-generierte Inhalte

• bestimmte Systeme zur Emotionserkennung

• bestimmte biometrische Kategorisierungssysteme

4. KI mit geringem oder keinem Risiko

Die meisten alltäglichen KI-Anwendungen fallen in die niedrigste Risikokategorie.

Dazu können beispielsweise bestimmte:

• Spamfilter

• KI-Funktionen in Spielen

• einfache Empfehlungssysteme

gehören.

Für diese Systeme führt der AI Act grundsätzlich keine vergleichbaren umfangreichen Anforderungen wie bei Hochrisiko-KI ein.

Die konkreten Pflichten hängen stark von der Rolle des Unternehmens und dem verwendeten KI-System ab.

Zu den wichtigsten Themen gehören:

• KI-Kompetenz

• Risikomanagement

• Transparenz

• Dokumentation

• menschliche Aufsicht

• Datenqualität

• technische Sicherheit

• Protokollierung

• Überwachung

• Meldung bestimmter Vorfälle

Nicht jede Pflicht gilt für jedes Unternehmen gleichermaßen.

Genau deshalb ist eine korrekte Klassifizierung der eingesetzten KI-Systeme so wichtig.

Eine der Anforderungen, die Unternehmen besonders beachten sollten, betrifft die KI-Kompetenz beziehungsweise AI Literacy.

Artikel 4 des AI Act gilt bereits seit dem 2. Februar 2025.

Anbieter und Betreiber von KI-Systemen müssen Maßnahmen ergreifen, um die KI-Kompetenz ihrer Mitarbeitenden und anderer Personen zu fördern, die KI-Systeme in ihrem Auftrag verwenden oder betreiben. Dabei sollen unter anderem technische Kenntnisse, Erfahrung, Ausbildung, Schulung und der konkrete Einsatzkontext berücksichtigt werden.

Das bedeutet praktisch:

Ein Unternehmen sollte nicht einfach jedem Mitarbeiter beliebige KI-Tools zur Verfügung stellen und anschließend davon ausgehen, dass alle automatisch wissen, wie diese sicher und sinnvoll eingesetzt werden.

Sinnvoll sind beispielsweise:

• interne KI-Richtlinien

• Schulungen

• Workshops

• Anleitungen

• Datenschutzregeln

• Vorgaben zur Nutzung generativer KI

• Beispiele für erlaubte und nicht erlaubte Anwendungen

Eine häufige Frage lautet:

„Darf mein Unternehmen ChatGPT verwenden?“

Der AI Act verbietet Unternehmen nicht pauschal die Nutzung generativer KI oder von Chatbots.

Entscheidend ist vielmehr, wie und wofür ein KI-System eingesetzt wird.

Ein Mitarbeiter, der KI beispielsweise zur Unterstützung beim Formulieren eines Textes verwendet, befindet sich in einer anderen Situation als ein Unternehmen, das KI zur automatisierten Bewertung von Bewerbern einsetzt.

Unternehmen sollten deshalb klare interne Regeln definieren.

Beispielsweise:

Erlaubt

• Brainstorming

• Entwürfe

• Textoptimierung

• Zusammenfassungen nicht vertraulicher Informationen

• Ideenentwicklung

Besonders prüfen

• personenbezogene Daten

• vertrauliche Unternehmensinformationen

• Kundendaten

• interne Geschäftsgeheimnisse

• automatisierte Entscheidungen über Personen

• Personalentscheidungen

Die konkrete rechtliche Bewertung hängt vom jeweiligen System und Anwendungsfall ab.

Generative KI hat im AI Act eine besondere Bedeutung.

Dazu gehören Systeme, die beispielsweise:

• Texte generieren

• Bilder erstellen

• Audio erzeugen

• Videos erzeugen

• Code generieren

Für bestimmte generative KI-Anwendungen bestehen Transparenzanforderungen.

Anbieter müssen beispielsweise technische Maßnahmen einsetzen, damit KI-generierte oder manipulierte Inhalte erkennbar gemacht werden können.

Bei bestimmten Inhalten müssen darüber hinaus sichtbare Kennzeichnungen erfolgen.

Seit dem 2. August 2026 gelten die entsprechenden Transparenzregeln nach Artikel 50.

Deepfakes gehören zu den bekanntesten Anwendungsfällen des AI Act.

Dabei handelt es sich beispielsweise um:

• KI-generierte Videos

• manipulierte Videos

• künstlich erzeugte Audiodateien

• manipulierte Bilder

Bestimmte Deepfakes müssen entsprechend gekennzeichnet werden.

Die EU-Kommission nennt insbesondere die Kennzeichnung von Deepfakes als Bestandteil der seit August 2026 geltenden Transparenzanforderungen.

Für Unternehmen bedeutet das beispielsweise, dass bei KI-generierten Marketingvideos, Werbeinhalten oder anderen Veröffentlichungen geprüft werden sollte, ob Kennzeichnungspflichten greifen.

Auch Chatbots sind vom AI Act betroffen.

Wenn Menschen direkt mit einem KI-System interagieren, müssen sie unter bestimmten Voraussetzungen darüber informiert werden, dass sie mit einer KI und nicht mit einem Menschen kommunizieren.

Das betrifft beispielsweise:

• Kundenservice-Chatbots

• Online-Assistenten

• KI-Supportsysteme

• virtuelle Assistenten

Die Transparenzpflichten nach Artikel 50 gelten seit dem 2. August 2026.

Für Unternehmen bedeutet das:

Ein Kunde sollte nicht bewusst glauben, dass er mit einem menschlichen Mitarbeiter kommuniziert, wenn tatsächlich ein KI-System antwortet.

Hochrisiko-KI ist für Unternehmen besonders relevant, weil hier umfangreiche Anforderungen gelten.

Die EU nennt unter anderem Anforderungen an:

• Risikomanagement

• Datenqualität

• Protokollierung

• technische Dokumentation

• Informationen für Betreiber

• menschliche Aufsicht

• Genauigkeit

• Robustheit

• Cybersicherheit

Diese Anforderungen sollen sicherstellen, dass Hochrisiko-Systeme nachvollziehbar, kontrollierbar und zuverlässig funktionieren.

Unternehmen müssen bei entsprechenden Hochrisiko-Systemen Risiken systematisch identifizieren und reduzieren.

Dabei können beispielsweise folgende Fragen relevant sein:

• Welche Risiken entstehen durch falsche Ergebnisse?

• Welche Personengruppen könnten benachteiligt werden?

• Wie wird das System überwacht?

• Was passiert bei einem Fehler?

• Wie werden Änderungen dokumentiert?

• Wie wird die Sicherheit gewährleistet?

Das Ziel besteht darin, Risiken nicht erst nach einem Vorfall zu erkennen.

Daten spielen bei künstlicher Intelligenz eine zentrale Rolle.

Schlechte Daten können zu schlechten KI-Ergebnissen führen.

Bei Hochrisiko-KI spielen deshalb unter anderem Datenqualität und die Vermeidung diskriminierender Ergebnisse eine wichtige Rolle.

Unternehmen sollten beispielsweise prüfen:

• Woher stammen die Daten?

• Sind sie aktuell?

• Sind sie vollständig?

• Sind sie repräsentativ?

• Gibt es Verzerrungen?

• Sind die Daten korrekt verarbeitet?

Eine gute AI Data Strategy wird damit auch für Compliance immer wichtiger.

Bei bestimmten KI-Systemen müssen Unternehmen umfangreiche Informationen dokumentieren.

Das kann unter anderem betreffen:

• Zweck des Systems

• Funktionsweise

• Daten

• Tests

• Risiken

• Änderungen

• Überwachung

• Ergebnisse

Eine gute Dokumentation hilft nicht nur bei der gesetzlichen Compliance.

Sie erleichtert auch:

• Fehleranalyse

• Wartung

• Audits

• Sicherheitsprüfungen

• interne Verantwortlichkeiten

Ein weiterer wichtiger Grundsatz des AI Act ist die menschliche Aufsicht.

Gerade bei Hochrisiko-KI darf die Verantwortung nicht einfach vollständig an ein automatisiertes System abgegeben werden.

Menschen müssen in geeigneter Weise in der Lage sein, KI-Systeme zu überwachen und gegebenenfalls einzugreifen.

Das ist insbesondere bei Entscheidungen mit erheblichen Auswirkungen auf Menschen wichtig.

KI-Systeme müssen nicht nur möglichst genaue Ergebnisse liefern.

Sie müssen je nach Risikoklasse auch gegen bestimmte technische Risiken geschützt werden.

Dazu gehören beispielsweise:

• Manipulation

• unbefugter Zugriff

• Datenangriffe

• Modellangriffe

• Sicherheitslücken

Bei Hochrisiko-KI gehören Robustheit und Cybersicherheit ausdrücklich zu den Anforderungen.

Der Zeitplan des AI Act ist für Unternehmen besonders wichtig.

Der AI Act trat am 1. August 2024 in Kraft.

Danach wurden die einzelnen Regelungen schrittweise anwendbar.

2. Februar 2025

Seit diesem Zeitpunkt gelten unter anderem:

• Verbote bestimmter KI-Praktiken

• Definitionen

• Anforderungen an KI-Kompetenz

2. August 2025

Seitdem gelten unter anderem:

• Governance-Regeln

• Verpflichtungen für KI-Modelle mit allgemeinem Verwendungszweck (GPAI)

Für GPAI-Anbieter begann damit eine wichtige Phase der Compliance.

27. Juli 2026

Der AI Omnibus trat in Kraft und brachte unter anderem Vereinfachungen sowie angepasste Zeitpläne für bestimmte Anforderungen.

2. August 2026

Ein besonders wichtiger Termin:

• weitere AI-Act-Bestimmungen sind anwendbar

• Durchsetzung durch EU-Kommission und nationale Behörden beginnt

• neue Transparenzpflichten gelten

• bestimmte Chatbots müssen Nutzer über die KI-Interaktion informieren

• bestimmte Deepfakes müssen gekennzeichnet werden

2. Dezember 2027

Für bestimmte Hochrisiko-Systeme in den Bereichen des Anhangs III greifen die entsprechenden Regeln nach dem aktuellen Zeitplan.

2. August 2028

Für bestimmte Hochrisiko-KI-Systeme, die in regulierte Produkte integriert sind, gilt der verlängerte Zeitplan bis zu diesem Datum.

Der AI Omnibus hat den europäischen KI-Rechtsrahmen 2026 angepasst.

Ziel war unter anderem, die Umsetzung des AI Act zu vereinfachen und Unternehmen mehr Klarheit zu geben.

Zu den Änderungen gehören unter anderem:

• angepasste Zeitpläne für Hochrisiko-KI

• Vereinfachungen für bestimmte Unternehmen

• erweiterte Möglichkeiten für Tests und regulatorische Sandboxes

• Änderungen bei bestimmten administrativen Anforderungen

• Anpassungen bei KI-Kompetenz

Der AI Omnibus trat am 27. Juli 2026 in Kraft.

Für Unternehmen bedeutet das: Ältere Artikel oder Compliance-Checklisten zum AI Act können inzwischen veraltet sein. Bei der Planung sollte deshalb immer der aktuelle Rechtsstand berücksichtigt werden.

Der AI Act betrifft grundsätzlich nicht nur große Tech-Konzerne.

Betroffen sein können beispielsweise:

• Start-ups

• kleine Unternehmen

• mittelständische Unternehmen

• Konzerne

• Softwareanbieter

• IT-Dienstleister

• Behörden

• Unternehmen mit internen KI-Systemen

Entscheidend ist nicht allein die Unternehmensgröße.

Viel wichtiger ist:

Welche Rolle nimmt das Unternehmen im Zusammenhang mit dem KI-System ein?

Der AI Act unterscheidet unter anderem zwischen verschiedenen Rollen.

Ein Anbieter entwickelt ein KI-System oder lässt es entwickeln und bringt es unter eigenem Namen oder eigener Marke auf den Markt beziehungsweise nimmt es in Betrieb.

Ein Betreiber nutzt beziehungsweise betreibt ein KI-System unter seiner Verantwortung.

Diese Unterscheidung kann für die jeweiligen Pflichten entscheidend sein.

Ein Unternehmen, das eine fertige KI-Software für interne Prozesse verwendet, hat deshalb möglicherweise andere Pflichten als ein Unternehmen, das selbst eine KI-Lösung entwickelt und vermarktet.

Gerade für KMU stellt sich häufig die Frage:

„Müssen wir uns überhaupt mit dem AI Act beschäftigen?“

Die Antwort lautet: Ja, wenn das Unternehmen KI einsetzt oder anbietet, sollte der AI Act zumindest geprüft werden.

Das bedeutet allerdings nicht automatisch, dass ein kleines Unternehmen ein riesiges Compliance-Projekt starten muss.

Sinnvoll ist zunächst eine Bestandsaufnahme.

Welche KI nutzen wir?

Beispielsweise:

• Chatbots

• Textgeneratoren

• Bildgeneratoren

• CRM-KI

• HR-Software

• Analysewerkzeuge

• Programmierassistenten

Wofür nutzen wir sie?

Beispielsweise:

• Marketing

• Kundenservice

• Personal

• Vertrieb

• IT

• Produktentwicklung

Welche Daten werden verarbeitet?

Hier sollte insbesondere geprüft werden, ob personenbezogene oder vertrauliche Informationen verarbeitet werden.

Eine praktische erste Bestandsaufnahme kann so aussehen:

1. KI-Inventar erstellen

Liste aller KI-Anwendungen im Unternehmen.

2. Verantwortliche festlegen

Definieren, wer für KI-Systeme verantwortlich ist.

3. Systeme klassifizieren

Prüfen, welche Risikokategorie für jedes System relevant ist.

4. Daten prüfen

Dokumentieren, welche Daten verarbeitet werden.

5. Datenschutz prüfen

Datenschutzanforderungen und Datenflüsse analysieren.

6. KI-Kompetenz sicherstellen

Mitarbeitende entsprechend ihrer Aufgaben schulen.

7. Transparenz prüfen

Bei Chatbots, generativer KI und bestimmten anderen Anwendungen prüfen, ob Kennzeichnungspflichten bestehen.

8. Anbieter prüfen

Verträge, technische Dokumentation und Informationen des KI-Anbieters kontrollieren.

9. Richtlinien erstellen

Interne Regeln für die Nutzung von KI festlegen.

10. Systeme regelmäßig überprüfen

KI-Anwendungen verändern sich. Deshalb sollte Compliance nicht als einmaliges Projekt verstanden werden.

Eine interne KI-Richtlinie kann Unternehmen dabei helfen, den Einsatz künstlicher Intelligenz zu strukturieren.

Eine solche Richtlinie kann beispielsweise festlegen:

• Welche KI-Tools verwendet werden dürfen

• Welche Daten eingegeben werden dürfen

• Welche Daten nicht eingegeben werden dürfen

• Wann Ergebnisse kontrolliert werden müssen

• Wer KI-Anwendungen freigeben darf

• Welche Dokumentation erforderlich ist

• Wie KI-generierte Inhalte gekennzeichnet werden

• Wie Mitarbeitende geschult werden

Das reduziert nicht nur rechtliche Risiken.

Es schafft auch einen klaren Rahmen für die praktische Nutzung von KI.

Der AI Act sieht je nach Verstoß unterschiedlich hohe Geldbußen vor.

Besonders schwere Verstöße gegen bestimmte verbotene KI-Praktiken können mit sehr hohen Bußgeldern sanktioniert werden.

Daneben existieren weitere Sanktionsrahmen für andere Verstöße.

Für Unternehmen ist deshalb wichtig, den AI Act nicht lediglich als unverbindliche Empfehlung zu betrachten.

Seit dem 2. August 2026 haben die zuständigen Stellen weitere Durchsetzungsbefugnisse erhalten. Die Europäische Kommission weist ausdrücklich darauf hin, dass das AI Office und nationale Behörden für die Umsetzung, Überwachung und Durchsetzung zuständig sind.

Der AI Act ersetzt die DSGVO nicht.

Beide Regelwerke können gleichzeitig relevant sein.

Die DSGVO beschäftigt sich unter anderem mit dem Schutz personenbezogener Daten.

Der AI Act reguliert dagegen künstliche Intelligenz anhand ihrer Risiken und bestimmten Einsatzarten.

Ein KI-System kann deshalb gleichzeitig:

• Datenschutzanforderungen

• AI-Act-Anforderungen

• IT-Sicherheitsanforderungen

• weitere branchenspezifische Vorschriften

erfüllen müssen.

Unternehmen sollten diese Rechtsbereiche daher nicht isoliert betrachten.

Da wir uns im September 2026 bereits in einer Phase befinden, in der wesentliche AI-Act-Regeln anwendbar und durchsetzbar sind, sollten Unternehmen nicht mehr ausschließlich auf zukünftige Anforderungen warten.

Ein sinnvoller Ansatz ist:

KI-Inventar → Risikoanalyse → Verantwortlichkeiten → Richtlinien → Schulung → technische Maßnahmen → Dokumentation → regelmäßige Kontrolle

Besonders wichtig ist dabei, nicht nur offiziell beschaffte KI-Systeme zu betrachten.

Auch sogenannte Shadow AI kann ein Problem darstellen.

Damit ist gemeint, dass Mitarbeitende eigenständig öffentliche KI-Dienste nutzen, ohne dass die IT-Abteilung oder Unternehmensleitung davon weiß.

Ein Unternehmen sollte deshalb eine Kultur schaffen, in der Mitarbeitende KI sicher und verantwortungsvoll nutzen können, anstatt KI-Nutzung lediglich pauschal zu verbieten.

Der AI Act wird häufig ausschließlich als Bürokratie oder Einschränkung wahrgenommen.

Für Unternehmen kann eine strukturierte KI-Governance jedoch auch Vorteile bieten.

Klare Regeln können beispielsweise dabei helfen:

• Risiken frühzeitig zu erkennen

• Daten besser zu schützen

• KI-Projekte schneller freizugeben

• Verantwortlichkeiten zu definieren

• Mitarbeitende sicher zu schulen

• Vertrauen bei Kunden aufzubauen

• KI strategischer einzusetzen

Unternehmen, die ihre KI-Systeme sauber dokumentieren und kontrollieren, schaffen gleichzeitig eine bessere Grundlage für die langfristige Digitalisierung.

Der AI Act EU schafft einen einheitlichen europäischen Rahmen für künstliche Intelligenz und verfolgt dabei einen risikobasierten Ansatz.

Für Unternehmen bedeutet das vor allem: Nicht jede KI-Anwendung unterliegt denselben Regeln.

Besonders wichtig sind:

• die Klassifizierung von KI-Systemen

• das Verbot bestimmter KI-Praktiken

• Anforderungen an Hochrisiko-KI

• Transparenzpflichten

• KI-Kompetenz

• Datenqualität

• menschliche Aufsicht

• Dokumentation

• Cybersicherheit

• Risikomanagement

Seit dem 2. August 2026 gelten weitere zentrale Regelungen und die Durchsetzung des AI Act wurde aufgenommen. Gleichzeitig stehen wichtige Fristen für bestimmte Hochrisiko-Systeme noch bevor, insbesondere 2027 und 2028.

Für Unternehmen ist deshalb jetzt ein guter Zeitpunkt, die eigene KI-Landschaft zu analysieren.

Wer weiß, welche KI-Systeme eingesetzt werden, welche Daten verarbeitet werden, welche Risiken bestehen und welche Rolle das eigene Unternehmen einnimmt, kann die Anforderungen des AI Act deutlich strukturierter umsetzen.

Der AI Act sollte deshalb nicht nur als regulatorische Pflicht verstanden werden. Richtig umgesetzt kann eine gute KI-Governance gleichzeitig die Grundlage für einen sicheren, transparenten und nachhaltigen Einsatz künstlicher Intelligenz im Unternehmen bilden.