EU AI Act: Pflichten für Unternehmen im Überblick
Der EU AI Act (Verordnung 2024/1689) ist das erste umfassende KI-Gesetz der EU. Er gilt für alle Unternehmen, die KI-Systeme anbieten oder nutzen – auch für KMU. Seit Februar 2025 gelten verbotene Praktiken und die KI-Schulungspflicht, ab August 2026 kommen Transparenzpflichten für Chatbots und KI-generierte Inhalte dazu.
Was ist der EU AI Act?
Der EU AI Act ist eine EU-Verordnung (2024/1689), die Künstliche Intelligenz erstmals einheitlich reguliert. Er gilt direkt in allen Mitgliedsstaaten – ohne nationale Umsetzungsgesetze. Grundidee: Je höher das Risiko eines KI-Systems für Menschen, desto strenger die Regeln. Die Verordnung definiert dazu vier Risikoklassen, von verbotenen Praktiken bis zu Anwendungen mit minimalem Risiko.
Wichtig für die Praxis: Der EU AI Act richtet sich nicht nur an Konzerne oder KI-Entwickler. Jedes Unternehmen, das KI einsetzt – auch nur ChatGPT im Vertrieb oder einen Chatbot auf der Website – hat Pflichten. Die gute Nachricht: Für die meisten typischen KMU-Anwendungen sind diese Pflichten überschaubar und mit klaren Schritten erfüllbar.
Für wen gilt der EU AI Act?
Die Verordnung unterscheidet vor allem zwei Rollen. In welche Rolle Ihr Unternehmen fällt, bestimmt, welche Pflichten auf Sie zukommen.
Betreiber (Deployer)
Wer KI-Systeme im eigenen Unternehmen einsetzt – etwa Textassistenten, Chatbots oder KI-gestützte Auswertungen. Das ist praktisch jedes Unternehmen, das KI nutzt. Die Pflichten sind hier moderat: KI-Kompetenz sicherstellen, Transparenzregeln einhalten, Systeme bestimmungsgemäß verwenden.
Anbieter (Provider)
Wer ein KI-System entwickelt oder unter eigenem Namen auf dem Markt bereitstellt. Anbieter tragen die volle Pflichtenlast. Achtung: Nach Art. 25 werden Sie zum Anbieter, wenn Sie ein fremdes Hochrisiko-System unter Ihrem eigenen Namen branden oder wesentlich verändern.
Für die meisten Mittelständler gilt: Sie sind Betreiber. Damit bleiben Ihre Pflichten handhabbar – aber sie sind nicht null. Die drei Kernpflichten, die fast jedes KMU betreffen: die KI-Schulungspflicht nach Art. 4, das Verbot bestimmter Praktiken nach Art. 5 und ab August 2026 die Transparenzpflichten nach Art. 50.
Der Zeitplan: Was gilt wann?
Der EU AI Act tritt stufenweise in Kraft. Durch den sogenannten Digital Omnibus wurden die Hochrisiko-Fristen verschoben – die übrigen Pflichten gelten jedoch unverändert. Wer glaubt, „alles ist verschoben“, irrt.
Verbotene Praktiken + KI-Kompetenz
Art. 5 verbietet u. a. Social Scoring und Emotionserkennung am Arbeitsplatz. Gleichzeitig gilt Art. 4: Unternehmen müssen für ausreichende KI-Kompetenz ihres Personals sorgen.
GPAI-Modelle + Bußgeldrahmen
Pflichten für Anbieter genereller KI-Modelle (GPAI) treten in Kraft, und der Bußgeldrahmen nach Art. 99 gilt.
Transparenzpflichten (Art. 50)
Chatbots müssen sich als KI zu erkennen geben, KI-generierte Inhalte müssen gekennzeichnet werden. Für Altsysteme gibt es eine Schonfrist bei der maschinenlesbaren Kennzeichnung bis 02.12.2026. Ab dann startet auch die Marktüberwachung.
Hochrisiko-Systeme (Anhang III)
Volle Pflichten für Hochrisiko-Anwendungen wie KI in der Personalauswahl oder Bonitätsprüfung – verschoben von ursprünglich August 2026.
Hochrisiko in Produkten (Anhang I)
KI in regulierten Produkten (z. B. Maschinen, Medizinprodukte) muss die Anforderungen erfüllen – verschoben von ursprünglich August 2027.
Die 4 Risikoklassen im Überblick
Der EU AI Act sortiert jedes KI-System in eine von vier Risikoklassen. Diese Einordnung ist der erste Schritt jeder Compliance-Prüfung.
Unzulässiges Risiko (verboten)
Praktiken wie Social Scoring, manipulative Systeme oder Emotionserkennung am Arbeitsplatz sind seit Februar 2025 verboten. Hier drohen die höchsten Bußgelder.
Hohes Risiko
Z. B. KI in der Personalauswahl, bei der Leistungsbewertung von Mitarbeitern oder in der Bonitätsprüfung. Strenge Anforderungen an Datenqualität, Dokumentation und menschliche Aufsicht – Pflichten gelten ab Dezember 2027.
Begrenztes Risiko (Transparenz)
Systeme, die mit Menschen interagieren oder Inhalte erzeugen: Chatbots, Voice Agents, KI-generierte Texte und Bilder. Ab August 2026 müssen sie als KI erkennbar sein.
Minimales Risiko
Der Rest: Spamfilter, Suchfunktionen, die meisten Büro-Assistenten. Keine neuen Pflichten – hier dürfte der Großteil der KMU-Anwendungen liegen.
Die ausführliche Einordnung mit KMU-Beispielen und einem Selbstcheck finden Sie auf unserer Detailseite zu den EU AI Act Risikoklassen.
Schulungspflicht und Transparenz: die zwei Pflichten, die jetzt zählen
Art. 4 – KI-Kompetenz (gilt seit 02.02.2025): Anbieter und Betreiber müssen sicherstellen, dass alle Personen, die mit KI-Systemen umgehen, über ausreichende KI-Kompetenz verfügen. Das betrifft auch Unternehmen, die nur Standard-Tools wie ChatGPT nutzen. Ein Zertifikat ist nicht vorgeschrieben – aber Sie sollten die Schulung dokumentieren können. Details und Aufbau einer wirksamen Schulung: KI-Schulungspflicht nach Art. 4.
Art. 50 – Transparenz (gilt ab 02.08.2026): Wer einen Chatbot oder Voice Agent einsetzt, muss Nutzer darüber informieren, dass sie mit einer KI interagieren. KI-generierte Inhalte müssen gekennzeichnet werden. Für viele KMU ist das die konkreteste neue Pflicht: Der Website-Chatbot braucht einen entsprechenden Hinweis.
Beides lässt sich mit überschaubarem Aufwand umsetzen – wenn man weiß, was zu tun ist. Genau dabei unterstützen wir im Rahmen unseres KI-Audits und unserer Schulungen.
Was KMU jetzt konkret tun sollten
Keine Panik, aber auch kein Abwarten. Vier pragmatische Schritte bringen Sie in eine belastbare Position:
KI-Nutzung inventarisieren
Listen Sie, welche KI-Systeme im Unternehmen tatsächlich genutzt werden – offizielle Tools und Schatten-KI (privat genutzte Tools der Mitarbeiter). Ohne Bestandsaufnahme keine Einordnung.
Risikoklassen prüfen und KI-Richtlinie erstellen
Ordnen Sie jede Anwendung einer Risikoklasse zu und legen Sie in einer kurzen KI-Richtlinie fest, welche Tools erlaubt sind und welche Daten nie in öffentliche KI-Systeme gehören.
Mitarbeiter schulen und dokumentieren
Erfüllen Sie Art. 4 mit einer praxisnahen Schulung – inklusive Teilnahmebestätigungen als Nachweis. Das ist gleichzeitig der beste Schutz vor Datenpannen.
Kennzeichnung vorbereiten
Prüfen Sie bis August 2026, wo KI mit Kunden interagiert (Chatbot, Telefonassistent, generierte Inhalte) und richten Sie die erforderlichen Hinweise ein.
Diese Seite ersetzt keine Rechtsberatung. ProvenAI berät technisch-organisatorisch; für die verbindliche rechtliche Einstufung einzelner Systeme empfehlen wir einen Fachanwalt für IT-Recht. Kostenlose, seriöse erste Anlaufstelle ist zudem der KI-Service-Desk der Bundesnetzagentur.
Bußgelder: Was im Ernstfall droht
bis 35 Mio. € oder 7 %
des weltweiten Jahresumsatzes bei Verstoß gegen die verbotenen Praktiken (Art. 5).
bis 15 Mio. € oder 3 %
bei Verstößen gegen die meisten anderen Pflichten – einschließlich der Transparenzpflichten nach Art. 50.
bis 7,5 Mio. € oder 1 %
bei falschen oder irreführenden Angaben gegenüber den Behörden.
Wichtig für KMU: Bei kleinen und mittleren Unternehmen gilt jeweils der niedrigere der beiden Werte. Trotzdem gilt: Die Behörden (in Deutschland die Bundesnetzagentur) starten die Marktüberwachung ab August 2026. Wer die Basics erfüllt, hat wenig zu befürchten – wer gar nichts tut, wird angreifbar.
Häufige Fragen zum EU AI Act
Gilt der EU AI Act auch für kleine Unternehmen und KMU?
Wurden die Fristen des EU AI Act verschoben?
Was muss ich ab August 2026 konkret beachten?
Muss ich meine Mitarbeiter wirklich schulen?
Welche Bußgelder drohen bei Verstößen?
Woran erkenne ich, in welche Risikoklasse meine KI-Anwendung fällt?
EU AI Act pragmatisch umsetzen – ohne Rechtsabteilung
Wir inventarisieren Ihre KI-Nutzung, ordnen die Risikoklassen ein, schulen Ihr Team nach Art. 4 und richten die Kennzeichnung ein. Unverbindlich und kostenlos im Erstgespräch.
Lieber telefonisch? 040-2286-55-73