Der EU AI Act einfach erklärt

Kaum ein Gesetz wird gerade so oft erwähnt und so selten wirklich verstanden wie der EU AI Act. Viele Unternehmen wissen, dass es ihn gibt, wissen aber nicht, ob und wie er sie betrifft, und verlassen sich dabei oft auf Bruchstücke aus Nachrichtenüberschriften statt auf eine ruhige Einordnung. Hier die Grundlagen, verständlich erklärt, mit dem aktuellen Stand zum Zeitplan, der sich in diesem Jahr noch einmal spürbar verändert hat.

Ein Hinweis vorab, weil er für den ganzen Beitrag gilt: Dieser Text ersetzt keine Rechtsberatung. Der AI Act ist komplex, und die konkrete Einstufung deiner KI-Anwendung hängt stark vom Einzelfall ab. Wenn du unsicher bist, ob und wie du betroffen bist, lohnt sich der Rat einer spezialisierten Anwältin oder eines spezialisierten Anwalts für IT- und Datenschutzrecht. Was hier folgt, ist eine allgemeine Einordnung für ein besseres Grundverständnis, keine Prüfung deines konkreten Falls.

Vier Risikostufen, ein Gesetz

Der AI Act ist das erste umfassende KI-Gesetz der EU. Statt KI pauschal zu regulieren, unterscheidet er nach Risiko. Je größer das Risiko einer KI-Anwendung für Menschen, desto strenger die Vorgaben. Das ist der Grundgedanke, der sich durch das gesamte Gesetz zieht und der auch erklärt, warum die Pflichten für die meisten kleinen und mittleren Unternehmen deutlich überschaubarer sind, als es die Schlagzeilen manchmal vermuten lassen.

Ganz grob, ohne jedes juristische Detail, lassen sich vier Stufen unterscheiden. Verbotene Praktiken, etwa KI, die Menschen manipuliert oder ein soziales Punktesystem wie in autoritären Überwachungsstaaten aufbaut, sind komplett untersagt. Hochrisiko-Systeme, etwa KI in der Personalauswahl, in der Kreditvergabe oder in medizinischen Anwendungen, unterliegen strengen Auflagen zu Dokumentation, Transparenz und menschlicher Aufsicht. Systeme mit begrenztem Risiko, wie Chatbots oder Anwendungen, die Bilder oder Texte erzeugen, müssen vor allem transparent machen, dass hier KI im Spiel ist. Und Anwendungen mit minimalem Risiko, die meisten alltäglichen KI-Tools, unterliegen kaum zusätzlichen Pflichten.

Für die Einordnung des eigenen Unternehmens lohnt sich deshalb zuerst die Frage, in welche dieser vier Stufen die eigene KI-Nutzung überhaupt fällt, bevor man sich mit einzelnen Fristen beschäftigt. Die meisten Anwendungen, die kleinere Unternehmen im Alltag nutzen, Textassistenten, Bildbearbeitung, einfache Automatisierung, landen in der untersten oder zweituntersten Stufe.

Diese Einordnung ist keine akademische Übung, auch wenn sie auf den ersten Blick danach klingt. Sie entscheidet direkt darüber, wie viel Aufwand tatsächlich auf ein Unternehmen zukommt. Ein Unternehmen, das ausschließlich einen KI-Chatbot für Kundenfragen einsetzt, hat eine überschaubare Transparenzpflicht zu erfüllen. Ein Unternehmen, das KI zur automatisierten Vorsortierung von Bewerbungen nutzt, bewegt sich dagegen potenziell im Hochrisiko-Bereich, mit deutlich umfangreicheren Anforderungen an Dokumentation und menschliche Aufsicht. Zwischen diesen beiden Fällen liegt ein großer Unterschied, den viele Unternehmen zu Beginn nicht klar auf dem Schirm haben.

Diese Teile sind bereits in Kraft

Ein Teil des Gesetzes ist längst in Kraft, unabhängig von allen späteren Verschiebungen im Zeitplan. Die verbotenen Praktiken gelten bereits seit Anfang 2025. Pflichten für Anbieter besonders leistungsfähiger, allgemein einsetzbarer KI-Modelle gelten seit Mitte 2025. Diese beiden Bereiche betreffen in der Praxis vor allem große KI-Anbieter selbst, also die Unternehmen, die Modelle wie ChatGPT oder Claude entwickeln, nicht die Unternehmen, die deren Tools im Alltag einfach nur nutzen.

Wichtig ist deshalb, zwischen zwei Rollen zu unterscheiden: dem Anbieter, der ein KI-System entwickelt und auf den Markt bringt, und dem Betreiber, der ein bestehendes System einsetzt. Die meisten kleinen und mittleren Unternehmen sind Betreiber, nicht Anbieter, was die Zahl der Pflichten, die sie tatsächlich betreffen, deutlich reduziert.

Ein einfaches Beispiel für diesen Unterschied: Ein Unternehmen, das ChatGPT oder ein ähnliches Werkzeug für interne Texte nutzt, ist Betreiber eines fremden Systems. Die Pflichten für die technische Entwicklung und Prüfung des Modells liegen beim Anbieter dahinter, nicht beim Unternehmen, das es einsetzt. Erst wenn ein Unternehmen selbst ein KI-System entwickelt oder ein bestehendes System so anpasst, dass es faktisch zu einem neuen Produkt wird, rückt es in die Anbieterrolle und damit in einen deutlich umfangreicheren Pflichtenkatalog. Für die meisten Unternehmen, die diesen Beitrag gerade lesen, dürfte die Betreiberrolle die realistischere Ausgangslage sein.

Der Zeitplan hat sich geändert, und das ist inzwischen final

Der ursprüngliche Zeitplan sah vor, dass ab August 2026 auch die Pflichten für Hochrisiko-Systeme greifen sollten. Die EU hat diesen Zeitplan im Rahmen eines sogenannten Digital Omnibus überarbeitet, mit dem Ziel, Unternehmen mehr Vorbereitungszeit zu geben. Anders als noch vor einigen Monaten ist das inzwischen keine bloße Ankündigung mehr, sondern beschlossene Sache: Der Digital Omnibus ist Ende Juli 2026 offiziell in Kraft getreten, nur wenige Tage vor der ursprünglichen Frist im August.

Nach dem aktuellen, finalen Stand verschieben sich mehrere wichtige Fristen. Die Pflichten für Hochrisiko-Systeme aus dem Bereich, in dem die meisten Unternehmen betroffen wären, etwa bei Personalauswahl oder Kreditentscheidungen, rücken von August 2026 auf Dezember 2027. Für Hochrisiko-Systeme, die direkt in Produkte eingebaut sind, etwa in bestimmten Maschinen oder Geräten, verschiebt sich die Frist von August 2027 auf August 2028.

Bei der Kennzeichnung von KI-Inhalten lohnt sich ein genauerer Blick, weil hier in vielen Zusammenfassungen im Netz etwas durcheinandergebracht wird. Verschoben, auf Dezember 2026, ist speziell die technische Wasserzeichen-Pflicht für Anbieter von KI-Systemen, die Inhalte erzeugen, also die maschinenlesbare Kennzeichnung im Hintergrund. Die allgemeinere Transparenzpflicht, dass Menschen erkennen können müssen, wenn sie mit einem Chatbot sprechen oder offensichtlich KI-generierte Inhalte vor sich haben, gilt dagegen weiterhin ab August 2026 und wurde durch den Digital Omnibus nicht verschoben. Wer also einen Chatbot auf der eigenen Webseite einsetzt, kommt um diese Kennzeichnung nicht herum, unabhängig von der verschobenen Wasserzeichen-Frist, die vor allem technische Anbieter betrifft, nicht die einsetzenden Unternehmen selbst.

Diese Fristen sind, Stand heute, final beschlossen und veröffentlicht. Trotzdem gilt bei einem Thema, das sich in den letzten Monaten mehrfach verschoben hat: Wer sich konkret vorbereitet, sollte den aktuellen Stand vor größeren Entscheidungen noch einmal direkt bei offiziellen Quellen prüfen, statt sich allein auf einzelne Artikel im Netz zu verlassen, auch auf diesen hier.

Zur Einordnung, warum sich diese Fristen überhaupt so lange und so kontrovers in der Diskussion befunden haben: Der ursprüngliche Zeitplan des AI Acts war ambitioniert gedacht, gerade im Vergleich zu anderen großen EU-Regulierungen, die oft mehrere Jahre Vorlauf hatten. Aus der Wirtschaft und aus den Mitgliedstaaten selbst kam über Monate hinweg die Rückmeldung, dass die technischen Grundlagen für eine saubere Umsetzung schlicht noch nicht reif genug waren. Der Digital Omnibus ist im Kern die Antwort der EU auf genau diese Rückmeldung, keine grundsätzliche Abkehr von der Regulierung selbst.

Für die meisten Unternehmen ändert sich wenig Dramatisches

Für die meisten kleinen und mittleren Unternehmen, die KI-Chatbots, Textwerkzeuge oder ähnliche alltägliche Tools im Tagesgeschäft nutzen, ändert sich durch den AI Act wenig Dramatisches. Die wichtigste Pflicht in diesem Bereich bleibt und blieb schon immer Transparenz. Menschen müssen erkennen können, wenn sie es mit KI zu tun haben, etwa bei einem Chatbot auf deiner Webseite oder bei KI-generierten Inhalten, die auf den ersten Blick wie von einem Menschen verfasst wirken könnten.

Anders sieht es aus, wenn dein Unternehmen KI in sensibleren Bereichen einsetzt, etwa bei der automatisierten Vorauswahl von Bewerbungen, bei Kreditentscheidungen oder in medizinisch relevanten Anwendungen. Hier lohnt sich eine genauere Prüfung, ob eine Hochrisiko-Einstufung infrage kommt, auch wenn die konkreten Pflichten jetzt später greifen als ursprünglich geplant. Die verschobene Frist ist kein Grund, das Thema komplett zu vertagen, sie ist eher zusätzliche Zeit, um es sauber statt hastig anzugehen.

Gerade in diesen sensibleren Bereichen lohnt sich frühzeitig externe fachliche Einschätzung, weil eine falsche Selbsteinschätzung hier teurer wird als in fast jedem anderen Bereich der Digitalisierung. Ein Unternehmen, das eine Anwendung fälschlicherweise als unkritisch einstuft, merkt das im schlechtesten Fall erst, wenn eine Prüfung oder eine Beschwerde ansteht, nicht schon vorher, wenn eine Korrektur noch einfach und günstig gewesen wäre.

Ein Bereich, der in vielen Unternehmen übersehen wird: KI, die nicht bewusst als KI-Projekt eingeführt wurde, sondern einfach in bestehender Software mitläuft. Ein Bewerbermanagement-System mit eingebauter automatischer Vorsortierung, eine Buchhaltungssoftware mit automatischer Risikobewertung, ein CRM-System, das Kundendaten automatisch priorisiert. Wer nur nach eigenen, bewusst eingeführten KI-Projekten sucht, übersieht leicht genau diese Fälle, weil sie sich unauffällig in Werkzeuge einschleichen, die längst zum Alltag gehören.

Ein einfacher erster Schritt, um diese versteckten Fälle aufzuspüren: Geh die Software durch, die dein Unternehmen im Alltag nutzt, und frag bei jedem größeren Programm gezielt nach, ob und wo KI-Funktionen eingebaut sind. Anbieter listen das inzwischen meist in ihren Produktbeschreibungen oder Release-Notes, weil sie selbst wissen, dass diese Frage zunehmend gestellt wird.

Drei Dinge, die sich trotzdem jetzt schon lohnen

Auch wenn sich Fristen verschieben, lohnt sich Vorbereitung schon jetzt, aus einem einfachen Grund: Was jetzt in Ruhe passiert, muss später nicht unter Zeitdruck nachgeholt werden.

• Mach dir bewusst, wo in deinem Unternehmen überhaupt KI zum Einsatz kommt. Viele Unternehmen wissen das selbst nicht vollständig, weil KI längst in vielen Tools mitläuft, ohne dass es jemand als eigenes Projekt wahrnimmt.

• Kennzeichne KI-generierte Inhalte transparent, auch bevor jede einzelne Pflicht dazu greift. Es schafft Vertrauen bei deinen Kunden, und du bist vorbereitet, wenn eine Frist tatsächlich kommt, statt kurzfristig reagieren zu müssen.

• Dokumentiere, wo und wie KI in wichtigen Entscheidungen eine Rolle spielt, etwa bei Personalfragen oder Kundenbewertungen. Das erleichtert dir jede spätere Prüfung erheblich und zeigt im Zweifel, dass dein Unternehmen das Thema ernst genommen hat, lange bevor es eine harte Pflicht dazu gab.

Keiner dieser drei Punkte erfordert ein großes Compliance-Projekt. Sie lassen sich mit ein paar Stunden Aufwand angehen und schaffen trotzdem eine solide Grundlage für alles, was später kommt.

Wer etwas systematischer vorgehen möchte, kann sich an einer einfachen internen Liste orientieren: Welche Tools mit KI-Funktion nutzt das Team, wer ist intern dafür verantwortlich, und wo fließen Ergebnisse aus KI-Nutzung in Entscheidungen ein, die Kunden oder Mitarbeitende direkt betreffen? Eine solche Liste passt oft auf eine einzige Seite und lässt sich in ein oder zwei Stunden gemeinsam mit dem Team erstellen, ganz ohne externe Beratung, zumindest für den ersten Überblick.

Warum sich die Fristen überhaupt verschoben haben

Interessant ist auch die Begründung hinter der Verschiebung, weil sie etwas über die praktische Umsetzbarkeit des Gesetzes aussagt. Ein zentraler Kritikpunkt an den ursprünglichen Fristen war, dass die technischen Standards und Prüfverfahren, die Unternehmen für die Einhaltung der Hochrisiko-Pflichten eigentlich gebraucht hätten, zum vorgesehenen Starttermin noch gar nicht vollständig vorlagen. Eine Pflicht ohne die dazugehörigen praktischen Werkzeuge hätte viele Unternehmen in eine Lage gebracht, in der sie formal etwas hätten einhalten müssen, ohne die Mittel dazu zu haben.

Diese Verschiebung ist deshalb weniger ein Zeichen dafür, dass das Thema an Bedeutung verliert, als ein Zugeständnis daran, dass gute Regulierung Zeit braucht, um praktisch umsetzbar zu sein. Für Unternehmen bedeutet das: Die zusätzliche Zeit sollte tatsächlich genutzt werden, nicht als Signal verstanden werden, dass sich das Thema erledigt hat.

Ein weiterer, oft übersehener Nebeneffekt der Verschiebung: Auch die konkreten Prüf- und Zertifizierungsstellen, die Unternehmen später für bestimmte Hochrisiko-Systeme brauchen werden, haben dadurch mehr Zeit, sich aufzubauen. Wer heute schon vorbereitet ist, wenn diese Strukturen stehen, wird die eigentliche Prüfung später schneller durchlaufen als ein Unternehmen, das erst dann anfängt, sich überhaupt mit dem Thema zu beschäftigen.

Fazit: Kein Grund zur Panik, aber ein Grund zum Hinschauen

Der AI Act wird für die meisten kleinen und mittleren Unternehmen weniger dramatisch, als es die Schlagzeilen vermuten lassen, vor allem, weil sich die strengsten Pflichten inzwischen final weiter nach hinten verschoben haben. Trotzdem lohnt sich ein ehrlicher Blick darauf, wo KI in deinem Unternehmen bereits eine Rolle spielt, bevor die neuen Fristen näher rücken, auch wenn Dezember 2027 heute noch weit weg klingt.

Und noch einmal, weil es wichtig genug ist, um am Ende zu wiederholen: Dieser Beitrag gibt eine allgemeine Orientierung, ersetzt aber keine individuelle Rechtsberatung. Bei konkreten Unsicherheiten zur eigenen Einstufung hilft eine spezialisierte Anwältin oder ein spezialisierter Anwalt für IT- und Datenschutzrecht weiter, nicht ein Blogartikel, auch nicht dieser.

Willst du wissen, wo dein Unternehmen beim Thema KI und Compliance steht?

Wir schauen uns gemeinsam an, wo KI in deinem Unternehmen bereits eine Rolle spielt und wo sich eine genauere Prüfung lohnt, ohne dabei eine rechtliche Bewertung zu ersetzen. Schreib uns kurz über das Kontaktformular. Wir antworten innerhalb von 24 Stunden, persönlich und ohne Vertriebsgespräch.