Kurzantwort: Der AI Act (KI-Verordnung, Verordnung (EU) 2024/1689) gilt in gestaffelten Schritten. Für die meisten Unternehmen, die KI-Tools nutzen, sind aktuell vor allem die KI-Kompetenz-Pflicht (Art. 4), die Transparenzregeln und das Verbot bestimmter Praktiken relevant. Wer KI im Personalwesen oder bei Bewertungen einsetzt, muss auf Hochrisiko-Regeln achten.
Stand: Oktober 2026. Dieser Beitrag ist eine allgemeine Information und keine Rechtsberatung. Die Rechtslage kann sich ändern; prüfe aktuelle Vorgaben und lass dich bei Unsicherheit anwaltlich oder durch eine Datenschutzbeauftragte beraten.
Was ist der AI Act?
Der AI Act ist die europäische Verordnung für Künstliche Intelligenz. Sie ist am 1. August 2024 in Kraft getreten und gilt in Stufen. Sie ordnet KI-Systeme nach Risiko ein und knüpft daran unterschiedliche Pflichten.
Zeitplan im Überblick
- Seit 2. Februar 2025: Verbote bestimmter KI-Praktiken (Art. 5) und die Pflicht zur KI-Kompetenz (Art. 4).
- Seit 2. August 2025: Regeln für KI-Modelle mit allgemeinem Verwendungszweck sowie Governance-Strukturen.
- Ab 2. August 2026 und später: Weitere Pflichten, unter anderem Transparenzpflichten und Pflichten für Hochrisiko-Systeme; für KI in regulierten Produkten gelten teils spätere Fristen. Über Verschiebungen einzelner Fristen wird auf EU-Ebene diskutiert, prüfe deshalb den aktuellen Stand bei der EU-Kommission oder der zuständigen deutschen Behörde.
Die vier Risikostufen
- Unannehmbares Risiko (verboten): zum Beispiel Social Scoring oder bestimmte manipulative Systeme.
- Hohes Risiko: zum Beispiel KI im Personalmanagement, bei der Bewertung der Kreditwürdigkeit oder beim Zugang zu Bildung. Hier gelten strenge Anforderungen an Dokumentation, Aufsicht und Qualität.
- Begrenztes Risiko (Transparenz): zum Beispiel Chatbots, die sich als KI zu erkennen geben müssen, und die Kennzeichnung KI-generierter Inhalte wie Deepfakes.
- Minimales Risiko: die meisten alltäglichen KI-Anwendungen, ohne besondere Pflichten.
Anbieter oder Betreiber: Welche Rolle hast du?
Wer ein KI-System entwickelt und auf den Markt bringt, ist Anbieter. Wer ein KI-System im Unternehmen einsetzt, ist Betreiber. Die meisten Unternehmen, die ChatGPT, Copilot oder ein Tool aus dem Verzeichnis nutzen, sind Betreiber. Für sie sind vor allem diese Punkte wichtig: KI-Kompetenz im Team, Einsatz nach Gebrauchsanweisung, menschliche Aufsicht und Transparenz gegenüber Betroffenen.
Was Unternehmen jetzt tun sollten
- KI-Inventar anlegen: Welche KI-Tools und KI-Funktionen werden im Unternehmen genutzt, von wem und wofür?
- Risiko einordnen: Fällt ein Einsatz in einen sensiblen Bereich wie Personal oder Bewertung von Personen?
- KI-Kompetenz aufbauen: Siehe KI-Kompetenz-Pflicht (Art. 4).
- Regeln festlegen: Eine KI-Richtlinie schafft Klarheit, was erlaubt ist.
- Anbieter prüfen: Datenschutz, AV-Vertrag und Standort klären. Im Verzeichnis siehst du die DSGVO-Ampel je Tool.
- Transparenz sicherstellen: Chatbots und KI-generierte Inhalte kennzeichnen, wo es erforderlich ist.
Häufige Fragen
Gilt der AI Act auch für kleine Unternehmen?
Ja. Die KI-Verordnung gilt für Anbieter und Betreiber von KI-Systemen unabhängig von der Unternehmensgröße. Für kleine und mittlere Unternehmen sieht sie teils Erleichterungen vor, etwa bei Dokumentationspflichten.
Bin ich als Nutzer von ChatGPT oder Copilot „Betreiber“?
In der Regel ja: Wer ein KI-System in eigener Verantwortung beruflich einsetzt, ist Betreiber im Sinne der Verordnung. Betreiber haben insbesondere die Pflicht zur KI-Kompetenz und, bei Hochrisiko-Systemen, weitergehende Pflichten.
Wann ist KI im Unternehmen „Hochrisiko“?
Typische Beispiele aus der Verordnung sind KI-Systeme für Personalmanagement und Bewerberauswahl, für die Bewertung der Kreditwürdigkeit oder für den Zugang zu Bildung. Ob ein konkretes Tool darunter fällt, muss im Einzelfall geprüft werden.
Welche Strafen drohen?
Die Verordnung sieht je nach Verstoß Bußgelder von bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes (verbotene Praktiken) bzw. bis zu 15 Millionen Euro oder 3 % bei anderen Verstößen vor. Für KMU gilt jeweils der niedrigere der beiden Beträge.
