EU AI Act: Pflichten für Unternehmen im Überblick
Der EU AI Act (Verordnung (EU) 2024/1689) ist das erste umfassende KI-Gesetz der EU, seit 1. August 2024 in Kraft und stufenweise anwendbar. Er betrifft jedes Unternehmen, das KI-Systeme anbietet oder nutzt, auch KMU. Seit Februar 2025 gelten verbotene Praktiken und die KI-Schulungspflicht, seit 2. August 2026 die Transparenzpflichten für Chatbots und KI-generierte Inhalte.
Stand: August 2026. Diese Seite gibt eine praxisnahe Orientierung und ist keine Rechtsberatung. Für die verbindliche Auslegung im Einzelfall fragen Sie bitte die Rechtsberatung Ihres Unternehmens.
Was ist der EU AI Act?
Der EU AI Act ist eine EU-Verordnung (2024/1689), die Künstliche Intelligenz erstmals einheitlich reguliert. Er gilt direkt in allen Mitgliedstaaten – ohne nationale Umsetzungsgesetze. Grundidee: Je höher das Risiko eines KI-Systems für Menschen, desto strenger die Regeln. Die Verordnung definiert dazu vier Risikoklassen, von verbotenen Praktiken bis zu Anwendungen mit minimalem Risiko. Die vollständige Einordnung mit KMU-Beispielen steht auf unserer Seite EU AI Act Risikoklassen: von verboten bis minimal.
Wichtig für die Praxis: Der EU AI Act richtet sich nicht nur an Konzerne oder KI-Entwickler. Jedes Unternehmen, das KI einsetzt – auch nur ChatGPT im Vertrieb oder einen Chatbot auf der Website – hat Pflichten. Für die meisten typischen KMU-Anwendungen sind diese Pflichten überschaubar und mit klaren Schritten umsetzbar.
Für wen gilt der EU AI Act?
Die Verordnung unterscheidet vor allem zwei Rollen. In welche Rolle Ihr Unternehmen fällt, bestimmt, welche Pflichten auf Sie zukommen.
Betreiber (Deployer)
Wer KI-Systeme im eigenen Unternehmen einsetzt – etwa Textassistenten, Chatbots oder KI-gestützte Auswertungen. Das ist praktisch jedes Unternehmen, das KI nutzt. Die Pflichten sind hier moderat: KI-Kompetenz sicherstellen, Transparenzregeln einhalten, Systeme bestimmungsgemäß verwenden.
Anbieter (Provider)
Wer ein KI-System entwickelt oder unter eigenem Namen auf dem Markt bereitstellt. Anbieter tragen die volle Pflichtenlast. Achtung: Nach Art. 25 werden Sie zum Anbieter, wenn Sie ein fremdes Hochrisiko-System unter Ihrem eigenen Namen anbieten oder wesentlich verändern.
Für die meisten Mittelständler gilt: Sie sind Betreiber. Damit bleiben Ihre Pflichten handhabbar – aber sie sind nicht null. Die drei Kernpflichten, die fast jedes KMU betreffen: die KI-Schulungspflicht nach Art. 4 EU AI Act, das Verbot bestimmter Praktiken nach Art. 5 und die Transparenzpflichten nach Art. 50.
Der Zeitplan: Was gilt wann?
Der EU AI Act tritt stufenweise in Kraft. Durch den sogenannten Digital Omnibus wurden die Hochrisiko-Fristen verschoben – die übrigen Pflichten gelten jedoch unverändert. Wer glaubt, „alles ist verschoben“, irrt.
Verbotene Praktiken + KI-Kompetenz
Art. 5 verbietet u. a. Social Scoring und Emotionserkennung am Arbeitsplatz. Gleichzeitig gilt Art. 4: Unternehmen müssen für ausreichende KI-Kompetenz ihres Personals sorgen.
GPAI-Modelle + Bußgeldrahmen
Pflichten für Anbieter genereller KI-Modelle (GPAI) treten in Kraft, und der Bußgeldrahmen nach Art. 99 gilt.
Transparenzpflichten (Art. 50)
Chatbots müssen sich als KI zu erkennen geben, KI-generierte Inhalte müssen gekennzeichnet werden. Für Altsysteme läuft die Schonfrist bei der maschinenlesbaren Kennzeichnung bis 02.12.2026. Seitdem läuft auch die Marktüberwachung.
Hochrisiko-Systeme (Anhang III)
Volle Pflichten für Hochrisiko-Anwendungen wie KI in der Personalauswahl oder Bonitätsprüfung – verschoben von ursprünglich August 2026.
Hochrisiko in Produkten (Anhang I)
KI in regulierten Produkten (z. B. Maschinen, Medizinprodukte) muss die Anforderungen erfüllen – verschoben von ursprünglich August 2027.
Die Pflichten für Betreiber auf einen Blick
Dieselben Stichtage, nach Pflichten sortiert – und mit dem, was ein Betreiber jeweils selbst tun muss:
| Pflicht | Fundstelle | Gilt | Was Betreiber tun |
|---|---|---|---|
| KI-Kompetenz und Schulung | Art. 4 | seit 02.02.2025 | Beschäftigte schulen, Inhalte und Teilnahme dokumentieren |
| Verbotene Praktiken | Art. 5 | seit 02.02.2025 | Tools prüfen, u. a. Social Scoring und Emotionserkennung am Arbeitsplatz ausschließen |
| Generelle KI-Modelle (GPAI) | Art. 53 ff. | seit 02.08.2025 | betrifft die Modellanbieter; Betreiber nutzen deren Angaben und Nutzungsbedingungen |
| Transparenz und Kennzeichnung | Art. 50 | seit 02.08.2026 | Chatbot und Telefonassistent als KI ausweisen, KI-generierte Inhalte kennzeichnen |
| Hochrisiko nach Anhang III | Art. 26 | ab 02.12.2027 | menschliche Aufsicht sicherstellen, Protokolle aufbewahren, Beschäftigte informieren |
| Hochrisiko in Produkten (Anhang I) | Art. 26 | ab 02.08.2028 | gleiche Betreiberpflichten für KI in regulierten Produkten |
Die 4 Risikoklassen im Überblick
Der EU AI Act sortiert jedes KI-System in eine von vier Risikoklassen. Diese Einordnung ist der erste Schritt jeder Bestandsaufnahme.
Unzulässiges Risiko (verboten)
Praktiken wie Social Scoring, manipulative Systeme oder Emotionserkennung am Arbeitsplatz sind seit Februar 2025 verboten. Hier drohen die höchsten Bußgelder.
Hohes Risiko
Z. B. KI in der Personalauswahl, bei der Leistungsbewertung von Mitarbeitern oder in der Bonitätsprüfung. Strenge Anforderungen an Datenqualität, Dokumentation und menschliche Aufsicht – Pflichten gelten ab Dezember 2027.
Begrenztes Risiko (Transparenz)
Systeme, die mit Menschen interagieren oder Inhalte erzeugen: Chatbots, Voice Agents, KI-generierte Texte und Bilder. Seit August 2026 müssen sie als KI erkennbar sein.
Minimales Risiko
Der Rest: Spamfilter, Suchfunktionen, die meisten Büro-Assistenten. Keine neuen Pflichten – hier dürfte der Großteil der KMU-Anwendungen liegen.
Die ausführliche Einordnung mit KMU-Beispielen und einem Selbstcheck finden Sie auf unserer Detailseite zu den EU AI Act Risikoklassen.
Schulungspflicht und Transparenz: die zwei Pflichten, die jetzt zählen
Art. 4 – KI-Kompetenz (gilt seit 02.02.2025): Anbieter und Betreiber müssen sicherstellen, dass alle Personen, die mit KI-Systemen umgehen, über ausreichende KI-Kompetenz verfügen. Das betrifft auch Unternehmen, die nur Standard-Tools wie ChatGPT nutzen. Ein Zertifikat ist nicht vorgeschrieben – aber Sie sollten die Schulung dokumentieren können. Details und Aufbau einer wirksamen Schulung: KI-Schulungspflicht nach Art. 4 EU AI Act. Passende Formate für Team und Geschäftsführung finden Sie unter Vorträge und Workshops.
Art. 50 – Transparenz (gilt seit 02.08.2026): Wer einen Chatbot oder Voice Agent einsetzt, muss Nutzer darüber informieren, dass sie mit einer KI interagieren. KI-generierte Inhalte müssen gekennzeichnet werden. Für viele KMU ist das die konkreteste neue Pflicht: Der Website-Chatbot braucht einen entsprechenden Hinweis.
Beides lässt sich mit überschaubarem Aufwand angehen – wenn man weiß, was zu tun ist. Genau dabei unterstützen wir: im Rahmen unseres KI-Audits, in der KI-Beratung für den Mittelstand und in unseren Schulungen.
Was KMU jetzt konkret tun sollten
Keine Panik, aber auch kein Abwarten. Vier pragmatische Schritte bringen Sie in eine belastbare Position:
KI-Nutzung inventarisieren
Listen Sie, welche KI-Systeme im Unternehmen tatsächlich genutzt werden – offizielle Tools und Schatten-KI (privat genutzte Tools der Mitarbeiter). Ohne Bestandsaufnahme keine Einordnung.
Risikoklassen prüfen und KI-Richtlinie erstellen
Ordnen Sie jede Anwendung einer Risikoklasse zu und legen Sie in einer kurzen KI-Richtlinie fest, welche Tools erlaubt sind und welche Daten nie in öffentliche KI-Systeme gehören.
Mitarbeiter schulen und dokumentieren
Gehen Sie Art. 4 mit einer praxisnahen Schulung an – inklusive Teilnahmebestätigungen als Nachweis. Formate dazu: Vorträge und Workshops.
Kennzeichnung einrichten
Prüfen Sie, wo KI mit Kunden interagiert (Chatbot, Telefonassistent, generierte Inhalte), und richten Sie die Hinweise ein – die Pflicht gilt seit August 2026.
Diese Seite ersetzt keine Rechtsberatung. ProvenAI berät technisch-organisatorisch; für die verbindliche rechtliche Einstufung einzelner Systeme fragen Sie bitte die Rechtsberatung Ihres Unternehmens. Eine weitere Anlaufstelle ist der KI-Service-Desk der Bundesnetzagentur.
Bußgelder: Was im Ernstfall droht
bis 35 Mio. € oder 7 %
des weltweiten Jahresumsatzes bei Verstoß gegen die verbotenen Praktiken (Art. 5).
bis 15 Mio. € oder 3 %
bei Verstößen gegen die meisten anderen Pflichten – einschließlich der Transparenzpflichten nach Art. 50.
bis 7,5 Mio. € oder 1 %
bei falschen oder irreführenden Angaben gegenüber den Behörden.
Wichtig für KMU: Bei kleinen und mittleren Unternehmen gilt jeweils der niedrigere der beiden Werte. Trotzdem gilt: Die Marktüberwachung läuft seit August 2026; in Deutschland ist dafür die Bundesnetzagentur vorgesehen. Wer die Grundpflichten erkennbar angeht und dokumentiert, ist deutlich besser aufgestellt als ein Betrieb ohne jede Maßnahme.
Häufige Fragen zum EU AI Act
Was ist der EU AI Act?
Gilt der EU AI Act auch für kleine Unternehmen und KMU?
Wurden die Fristen des EU AI Act verschoben?
Was gilt seit August 2026 konkret?
Muss ich meine Mitarbeiter wirklich schulen?
Welche Bußgelder drohen bei Verstößen?
Woran erkenne ich, in welche Risikoklasse meine KI-Anwendung fällt?
EU AI Act pragmatisch angehen – Schritt für Schritt
Wir inventarisieren Ihre KI-Nutzung, liefern eine Ersteinschätzung zur Risikoklasse, schulen Ihr Team zu Art. 4 und richten die Kennzeichnung ein. Unverbindlich und kostenlos im Erstgespräch.
Lieber telefonisch? 040-2286-55-73