EU AI Act 2026: Diese Pflichten treffen Unternehmen jetzt

Die weltweit erste umfassende KI-Regulierung nimmt Gestalt an. Nach der Verabschiedung im März 2024 greift die EU-Verordnung über künstliche Intelligenz (AI Act) nun schrittweise. Für Unternehmen bedeutet das konkrete Compliance-Pflichten, deren Nichteinhaltung empfindliche Sanktionen nach sich zieht.

Risikobasierter Ansatz: Vier Stufen

Der AI Act kategorisiert KI-Systeme nach ihrem Gefährdungspotenzial. Diese Klassifizierung bestimmt den Umfang der regulatorischen Anforderungen.

Unzulässiges Risiko: Systeme, die grundlegende Rechte verletzen, sind vollständig verboten. Dazu zählen Social-Scoring-Mechanismen nach chinesischem Vorbild, biometrische Echtzeit-Überwachung im öffentlichen Raum (außer bei schweren Straftaten), unterschwellige Manipulation sowie KI-Systeme, die gezielt Schwachstellen von Kindern oder Menschen mit Behinderungen ausnutzen.

Hohes Risiko: KI-Anwendungen in kritischen Bereichen unterliegen strengen Auflagen. Betroffen sind Gesundheitswesen, Bildung, Personalwesen, kritische Infrastruktur, Rechtswesen und Strafverfolgung. Anbieter müssen Risikomanagementsysteme implementieren, Trainingsdaten dokumentieren, technische Dokumentation führen und CE-Kennzeichnung anbringen.

Begrenztes Risiko: Transparenzpflichten greifen bei Chatbots, Deepfakes und emotionserkennenden Systemen. Nutzer müssen eindeutig informiert werden, dass sie mit KI interagieren oder KI-generierte Inhalte konsumieren.

Minimales Risiko: Die Mehrheit der KI-Systeme (Spamfilter, Empfehlungsalgorithmen) bleibt weitgehend unreguliert. Freiwillige Verhaltenskodizes werden gefördert.

Zeitplan: Gestaffelte Umsetzung

Die Verordnung wird nicht auf einen Schlag wirksam. Die Kommission hat einen dreistufigen Fahrplan festgelegt.

Seit Februar 2025 gelten die Verbote für unzulässige Praktiken. Unternehmen, die Social Scoring oder verbotene Überwachungstechnologien einsetzen, riskieren bereits jetzt Sanktionen.

Ab August 2026 greifen die Compliance-Pflichten für Hochrisiko-Systeme. Betreiber kritischer KI-Anwendungen müssen dann Konformitätsbewertungen abgeschlossen und Dokumentationspflichten erfüllt haben.

Der vollständige Regelungsrahmen, inklusive Governance-Strukturen und Marktüberwachung, ist bis August 2027 implementiert.

Bußgelder: Abschreckung auf amerikanischem Niveau

Die Sanktionsmechanismen orientieren sich an der DSGVO. Bei Verstößen gegen verbotene Praktiken drohen Geldbußen von bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ausfällt.

Falsche oder unvollständige Angaben gegenüber Behörden sowie Verstöße gegen sonstige Pflichten können mit bis zu 15 Millionen Euro oder 3 Prozent des Jahresumsatzes geahndet werden.

Für KMU sieht die Verordnung Obergrenzregelungen vor. Die Bußgelder werden an die Unternehmensgröße angepasst, um unverhältnismäßige Härten zu vermeiden.

Transparenzpflichten: Kennzeichnung wird Pflicht

Konversations-KI muss sich zu erkennen geben. Betreiber von Chatbots und virtuellen Assistenten sind verpflichtet, Nutzer darüber zu informieren, dass sie mit einem KI-System kommunizieren.

Deepfakes und synthetische Medieninhalte benötigen eine deutliche Kennzeichnung. Dies gilt für Bilder, Audio und Video. Die Regelung zielt darauf ab, Desinformation einzudämmen und Manipulation vorzubeugen.

Emotionserkennungssysteme unterliegen ebenfalls der Offenlegungspflicht. Wer KI zur Analyse emotionaler Zustände einsetzt, muss Betroffene vorab informieren.

Sonderregelungen für KMU

Kleine und mittlere Unternehmen erhalten Unterstützung bei der Umsetzung. Die Kommission hat erkannt, dass die Compliance-Kosten für kleinere Akteure überproportional hoch ausfallen.

Regulatory Sandboxes ermöglichen es KMU, KI-Systeme unter Aufsicht zu testen, ohne sofort alle Anforderungen erfüllen zu müssen. Nationale Behörden richten diese kontrollierten Testumgebungen ein.

Verlängerte Übergangsfristen verschaffen zusätzlichen Spielraum. KMU können Anpassungsmaßnahmen in einem realistischeren Zeitrahmen umsetzen.

Reduzierte Dokumentationspflichten entlasten Ressourcen. Die Verordnung sieht vereinfachte Nachweisverfahren für kleinere Organisationen vor.

Hochrisiko-Bereiche: Wo es ernst wird

Im Gesundheitswesen gelten verschärfte Anforderungen für diagnostische KI-Systeme und Entscheidungsunterstützung. Jede Anwendung, die medizinische Diagnosen beeinflusst oder Behandlungsentscheidungen trifft, fällt in die Hochrisiko-Kategorie.

Bildungseinrichtungen müssen KI-gestützte Bewertungssysteme und Zulassungsverfahren offenlegen und validieren. Algorithmen, die über Studienplätze oder Prüfungsergebnisse entscheiden, benötigen Konformitätsnachweise.

Im Personalwesen betrifft die Regulierung Bewerbermanagement-Systeme, automatisierte Leistungsbeurteilung und KI-gestützte Kündigungsentscheidungen. Arbeitgeber tragen die Beweislast für Diskriminierungsfreiheit.

Kritische Infrastruktur, von Energienetzen bis Verkehrssystemen, verlangt nach besonders robusten Sicherheitsmechanismen. Ausfälle oder Manipulation können hier existenzielle Folgen haben.

Marktüberwachung und Durchsetzung

Nationale Behörden bauen derzeit ihre Kapazitäten auf. Deutschland hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) und die Bundesnetzagentur mit erweiterten Befugnissen ausgestattet.

Ein europäisches KI-Büro koordiniert grenzüberschreitende Fälle und entwickelt technische Standards. Die Kommission plant regelmäßige Evaluierungen der Durchsetzungspraxis.

Whistleblower-Mechanismen sollen Insiderhinweise auf Verstöße erleichtern. Unternehmen sind gut beraten, interne Compliance-Strukturen frühzeitig aufzubauen.

Was Unternehmen jetzt tun sollten

Bestandsaufnahme: Inventarisieren Sie alle eingesetzten KI-Systeme und klassifizieren Sie diese nach Risikostufen. Viele Organisationen unterschätzen die Breite ihrer KI-Nutzung.

Gap-Analyse: Gleichen Sie bestehende Prozesse mit den Anforderungen des AI Act ab. Identifizieren Sie Lücken in Dokumentation, Risikomanagement und technischen Maßnahmen.

Governance etablieren: Benennen Sie Verantwortliche, definieren Sie Prozesse für Konformitätsbewertungen und richten Sie Monitoring-Mechanismen ein.

Lieferanten prüfen: Fordern Sie von Drittanbietern Nachweise über AI-Act-Konformität. Die Haftung endet nicht an der Organisationsgrenze.

Schulungen durchführen: Sensibilisieren Sie Entwicklungsteams, Einkauf und Management für die neuen Anforderungen. Unwissenheit schützt vor Strafe nicht.

Die EU hat mit dem AI Act regulatorisches Neuland betreten. Ob der risikobasierte Ansatz Innovation fördert oder hemmt, wird sich in den kommenden Jahren zeigen. Sicher ist: Wer jetzt handelt, verschafft sich einen Wettbewerbsvorteil gegenüber jenen, die auf die ersten Bußgeldbescheide warten.