EU AI Act 2026: Die wichtigsten Pflichten und wie Sie sich vorbereiten

Künstliche Intelligenz ist im Arbeitsalltag angekommen – vom Chatbot auf der Webseite bis zur KI-gestützten Bewerberauswahl. Mit dem EU AI Act gibt es dafür erstmals einen verbindlichen Rechtsrahmen. Er betrifft nicht nur große Tech-Konzerne, sondern jedes Unternehmen, das KI einsetzt – auch kleine und mittlere Betriebe in der Metropolregion Hamburg und im Umland.

Das Wichtigste in Kürze

• Der AI Act gilt schrittweise: Verbote und die Pflicht zur KI-Kompetenz gelten seit Februar 2025, die Regeln für KI-Basismodelle seit August 2025. Seit dem 2. August 2026 greifen die Transparenzpflichten.
• Transparenz ist jetzt Pflicht: Wer Chatbots einsetzt oder KI-generierte Inhalte veröffentlicht, muss dies offenlegen und kennzeichnen – das betrifft auch KMU, nicht nur die großen KI-Anbieter.
• Hochrisiko-Pflichten wurden verschoben: Der „Digital Omnibus" hat die strengsten Anforderungen auf Dezember 2027 bzw. August 2028 verlegt. Das ist keine Entwarnung, sondern Vorbereitungszeit.
• Die Bußgelder sind hoch: Bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes bei verbotenen Praktiken – mehr als die DSGVO vorsieht.
• Der Aufwand ist beherrschbar: Ein KI-Inventar, eine Risikoeinstufung, klare Regeln und geschulte Mitarbeitende decken den Großteil der Anforderungen ab.

Warum der AI Act auch kleine Unternehmen betrifft

Viele Betriebe gehen davon aus, der AI Act sei ein Thema für Tech-Konzerne. Das ist ein Trugschluss. Die Verordnung knüpft nicht daran an, ob Sie KI entwickeln, sondern daran, ob Sie KI einsetzen.

Sobald ein Unternehmen einen Chatbot mit eigenem Namen betreibt, KI-generierte Texte oder Bilder veröffentlicht oder KI zur Bewerberauswahl nutzt, fällt es unter konkrete Pflichten. Die Verordnung gilt zudem für alle Unternehmen, die ihre Produkte oder Dienste auf dem EU-Markt anbieten – unabhängig vom Firmensitz. Wer KI nutzt, sollte deshalb wissen, in welche Kategorie die eigenen Anwendungen fallen.

Der risikobasierte Ansatz: vier Klassen

Der AI Act reguliert nicht die Technologie als solche, sondern das Risiko der jeweiligen Anwendung.

1. Verbotene Praktiken (inakzeptables Risiko)

Bestimmte Anwendungen sind seit Februar 2025 komplett untersagt – etwa Social Scoring, das Ausnutzen der Schutzbedürftigkeit von Personen sowie Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen. Verstöße werden am härtesten sanktioniert.

2. Hochrisiko-KI

Systeme mit erheblichem Einfluss auf Menschen – etwa in Personalauswahl, Kreditvergabe, Bildung oder kritischer Infrastruktur. Hier gelten die umfangreichsten Pflichten: Risikomanagement, technische Dokumentation, menschliche Aufsicht und Konformitätsbewertung. Genau diese Anforderungen wurden zeitlich verschoben (siehe unten).

3. Begrenztes Risiko (Transparenzpflicht)

Chatbots, KI-generierte Inhalte, Deepfakes und Emotionserkennung. Hier gilt: offenlegen und kennzeichnen. Diese Pflichten greifen seit dem 2. August 2026 und betreffen die meisten Unternehmen am direktesten.

4. Minimales Risiko

Die große Mehrheit der Anwendungen – etwa Spamfilter. Hier bestehen keine besonderen Pflichten.

Was seit August 2026 konkret gilt

Zum 2. August 2026 sind die Transparenzpflichten wirksam geworden:

• Chatbots kennzeichnen. Nutzer müssen klar erkennen, dass sie mit einer KI sprechen – nicht mit einem Menschen.
• KI-Inhalte markieren. Künstlich erzeugte Inhalte müssen maschinenlesbar als KI-generiert erkennbar sein. Für Systeme, die vor dem 2. August 2026 auf dem Markt waren, gilt eine Schonfrist bis zum 2. Dezember 2026.
• Deepfakes offenlegen. KI-generierte Bild-, Ton- oder Videoinhalte, die realen Personen ähneln, müssen kenntlich gemacht werden.
• Emotionserkennung transparent machen. Betroffene müssen informiert werden, wenn solche Systeme zum Einsatz kommen.

Ebenfalls seit dem 2. August 2026 haben die nationalen Marktüberwachungsbehörden ihre Durchsetzungsbefugnisse. Zusätzlich gilt bereits seit Februar 2025 die Pflicht zur KI-Kompetenz: Wer KI einsetzt, muss dafür sorgen, dass Mitarbeitende ausreichend geschult sind.

Die verschobenen Fristen: Was der „Digital Omnibus" ändert

Im Frühjahr 2026 einigten sich EU-Rat, Parlament und Kommission auf den „Digital Omnibus on AI" – das erste Änderungspaket seit Verabschiedung der Verordnung. Der Hauptgrund: Die harmonisierten technischen Normen, auf denen die Hochrisiko-Anforderungen aufbauen, waren noch nicht fertig.

Das Paket verschiebt die Hochrisiko-Pflichten gestaffelt:

• Eigenständige Hochrisiko-Systeme (Anhang III) – etwa in Personalwesen oder Kreditvergabe: von August 2026 auf den 2. Dezember 2027.
• In Produkte eingebettete Systeme (Anhang I) – etwa in Medizinprodukten oder Maschinen: von August 2027 auf den 2. August 2028.

Wichtig: Die Verschiebung betrifft ausschließlich die Hochrisiko-Klasse. Verbote, KI-Kompetenz und Transparenzpflichten bleiben unverändert wirksam. Der Aufschub ist also kein Freifahrtschein, sondern zusätzliche Zeit, um anspruchsvolle Anforderungen sauber vorzubereiten.

Was bei Verstößen droht

Der AI Act sieht ein gestaffeltes Bußgeldsystem vor, das sich am jeweils höheren Betrag orientiert:

• Verbotene Praktiken: bis zu 35 Mio. Euro oder 7 Prozent des weltweiten Jahresumsatzes.
• Verstöße gegen sonstige Pflichten: bis zu 15 Mio. Euro oder 3 Prozent.
• Falsche Angaben gegenüber Behörden: bis zu 7,5 Mio. Euro oder 1 Prozent.

Für KMU greift jeweils der niedrigere Wert. Zum Vergleich: Die DSGVO-Obergrenze liegt bei 4 Prozent – der AI Act geht in der Spitze also darüber hinaus.

So bereiten Sie Ihr Unternehmen vor

Auch wenn die strengsten Pflichten erst 2027/2028 greifen, lohnt sich der Einstieg jetzt:

1. KI-Inventar erstellen. Verschaffen Sie sich zuerst einen Überblick: Welche KI-Systeme sind im Einsatz – auch die inoffiziellen?
2. Anwendungen einstufen. Ordnen Sie jedes System einer Risikoklasse zu.
3. Transparenz umsetzen. Kennzeichnen Sie Chatbots und KI-generierte Inhalte – das ist bereits heute Pflicht.
4. KI-Kompetenz aufbauen. Schulen Sie Mitarbeitende im sicheren und regelkonformen Umgang mit KI.
5. Interne KI-Regeln festlegen. Klare Vorgaben, wer welche Tools mit welchen Daten nutzen darf, reduzieren Haftungsrisiken.
6. Sicherheit mitdenken. Prüfen Sie KI-Anwendungen früh auf Schwachstellen – etwa mit einem Penetrationstest.
7. Verantwortlichkeit klären. Benennen Sie eine zuständige Stelle für KI-Governance und dokumentieren Sie Ihre Maßnahmen.

AI Act und Compliance: der NIS2-Bezug

Der AI Act steht nicht für sich allein. Er verzahnt sich mit DSGVO, NIS2, DORA und dem Cyber Resilience Act zu einem Regelwerk mit demselben Grundgedanken: nachweisbare Risikosteuerung statt punktueller Maßnahmen. Wer im Rahmen von NIS2 bereits Risikomanagement, Verantwortlichkeiten und Prozesse aufgebaut hat, muss für den AI Act vieles nicht neu erfinden. Mehr dazu in unserer NIS2-Beratung.

Häufige Fragen (FAQ)

Was ist der EU AI Act? Die weltweit erste umfassende Regulierung für Künstliche Intelligenz. Sie ist seit August 2024 in Kraft und wird schrittweise anwendbar. Die Verordnung stuft KI-Anwendungen nach Risiko ein und knüpft daran unterschiedlich strenge Pflichten.

Gilt der AI Act auch für kleine Unternehmen? Ja. Entscheidend ist nicht die Unternehmensgröße, sondern ob und wie KI eingesetzt wird. Schon der Betrieb eines eigenen Chatbots löst Transparenzpflichten aus.

Was gilt seit August 2026? Die Transparenzpflichten: Chatbots und KI-generierte Inhalte müssen erkennbar sein, Deepfakes und Emotionserkennung müssen offengelegt werden.

Wurden Fristen verschoben? Ja. Der „Digital Omnibus" hat die Hochrisiko-Pflichten auf Dezember 2027 bzw. August 2028 verlegt. Verbote, KI-Kompetenz und Transparenzpflichten bleiben davon unberührt.

Wie hoch sind die Bußgelder? Bis zu 35 Mio. Euro oder 7 Prozent des weltweiten Jahresumsatzes bei verbotenen Praktiken – damit über der DSGVO.

Was sollten wir zuerst tun? Ein KI-Inventar erstellen und die eingesetzten Systeme nach Risiko einstufen.

Wie CruSec Solutions unterstützt

Wir helfen Unternehmen, KI-Compliance und IT-Sicherheit belastbar aufzustellen – verständlich, praxisnah und ohne unnötigen Beraterdeutsch:

• IT-Beratung – KI-Systeme erfassen, einstufen und Governance aufbauen
• NIS2-Beratung – Grundlagen schaffen, die auf AI Act, NIS2 und DSGVO zugleich einzahlen
• Security Awareness Training – KI-Kompetenz im Team aufbauen
• Penetrationstest – KI-Anwendungen und Systeme auf Schwachstellen prüfen

Sie sind unsicher, wo Ihr Unternehmen beim AI Act steht? Sprechen Sie uns direkt an.

---

Quellen: Europäische Kommission – AI Act Service Desk, Verordnung (EU) 2024/1689, Digital Omnibus on AI (2026), Norton Rose Fulbright Data Protection Report, Covington Inside Global Tech. Dieser Beitrag dient der allgemeinen Information und stellt keine Rechtsberatung dar.