Der EU AI Act (Verordnung (EU) 2024/1689) ist das erste umfassende KI-Gesetz der EU. Er betrifft jedes Unternehmen, das KI entwickelt oder einsetzt, gestaffelt nach Risiko der jeweiligen Anwendung. Dieser Leitfaden ordnet Risikoklassen, Anbieter- und Betreiberpflichten, Fristen und das Zusammenspiel mit der DSGVO, ohne Paragrafen-Deutsch. Für Entscheider, nicht für Juristen.
◆Stand: Juli 2026 · Rechtsanwältin & zertifizierte KI-Compliance-Beauftragte · 8 Jahre Praxis aus der Wirtschaft
Der EU AI Act ist das erste umfassende KI-Gesetz der EU. Er reguliert risikobasiert: Je höher das Risiko einer KI-Anwendung für Sicherheit und Grundrechte, desto strenger die Pflichten. Anwendungen mit geringem Risiko bleiben weitgehend frei.
Für Softwareunternehmen gilt der AI Act unabhängig davon, ob sie KI selbst entwickeln oder nur einsetzen, und er kann auch Unternehmen außerhalb der EU treffen, wenn die Ergebnisse ihrer KI in der EU verwendet werden.
Der AI Act unterscheidet vor allem zwei Rollen und daran hängt, welche Pflichten Sie treffen:
Beide Rollen können gleichzeitig zutreffen: Wer ein fremdes KI-Modell in das eigene Produkt einbaut und ausliefert, wird für diesen Teil schnell selbst zum Anbieter. Die saubere Einstufung ist der erste Schritt. Sie entscheidet, welche Pflichten gelten und welche Sie ignorieren dürfen.
Der AI Act ordnet jede Anwendung einer von vier Stufen zu:
Bestimmte KI-Praktiken sind untersagt (Art. 5), etwa Social Scoring oder manipulative Systeme. Diese Verbote gelten seit dem 2. Februar 2025.
KI in sensiblen Bereichen (z. B. Personalauswahl, Kreditwürdigkeit, kritische Infrastruktur). Strengste Pflichten: Risikomanagement, technische Dokumentation, menschliche Aufsicht.
Vor allem Transparenzpflichten: Nutzer müssen erkennen können, dass sie mit KI interagieren oder dass Inhalte KI-generiert sind (z. B. Chatbots).
Die große Mehrheit der Anwendungen, etwa Spamfilter. Keine besonderen Pflichten aus dem AI Act.
Der AI Act gilt gestaffelt, von bereits scharfen Verboten bis zu Hochrisiko-Pflichten mit längerem Vorlauf. Diese Übersicht wird bewusst nicht an mehreren Stellen gepflegt: die vollständige, laufend aktualisierte Fristenübersicht mit allen Stichtagen und dem aktuellen Digital-Omnibus-Stand finden Sie gesammelt im Beitrag Der Zeitplan des EU AI Act: welche Pflicht ab wann. So vermeiden wir widersprüchliche Angaben zwischen den Beiträgen dieser Seite.
Wer früh ordnet, geht ohne Zeitdruck und mit dokumentierter Compliance hinein, statt im Hauruck kurz vor der Frist.
Wenn Sie KI entwickeln und ausliefern, kommen, abhängig von der Risikoklasse, u. a. diese Pflichten auf Sie zu: Konformitätsbewertung, technische Dokumentation, Transparenz gegenüber Nutzern, Risikomanagement und Vorkehrungen für menschliche Aufsicht. Sauber aufgesetzt wird das zum Verkaufsargument im Enterprise-Sales, statt zum Deal-Blocker, wenn der Einkauf des Kunden nachfragt.
Auch wer KI nur einsetzt, trägt Pflichten: transparenter Einsatz, Beachtung der Anbietervorgaben, Datenschutz und die Auswahl konformer Anbieter. Bei Hochrisiko-Systemen kommen weitere Anforderungen hinzu. Der Pflichtenkreis ist überschaubar, aber er besteht, und er beginnt mit dem Überblick, welche KI in Ihrem Unternehmen überhaupt läuft.
Seit dem 2. Februar 2025 müssen Unternehmen für ausreichende KI-Kompetenz der Personen sorgen, die mit KI arbeiten (Art. 4), nicht erst für Hochrisiko-Systeme. Mit einer praxisnahen, auf Ihre Tools zugeschnittenen Schulung ist diese Pflicht zügig erfüllt und nachgewiesen.
Der AI Act ersetzt die DSGVO nicht. Beide gelten parallel. Wo KI personenbezogene Daten verarbeitet, brauchen Sie weiterhin eine Rechtsgrundlage, ggf. eine Datenschutz-Folgenabschätzung und saubere Regeln für Trainings- und Eingabedaten. In der Praxis lohnt es sich, beide Themen zusammen zu denken, statt zweimal dieselben Systeme zu prüfen.
Der AI Act sieht empfindliche Bußgelder vor: bei verbotenen Praktiken bis zu 35 Mio. € oder 7 % des weltweiten Jahresumsatzes, bei Verstößen gegen sonstige Pflichten bis zu 15 Mio. € oder 3 % (je nachdem, welcher Betrag höher ist). Hinzu kommt das Risiko, dass Enterprise-Kunden ohne belastbare Compliance-Story gar nicht erst unterschreiben.
Der Leitfaden bildet die Grundlagen ab. Wer tiefer in ein einzelnes Thema einsteigen will, findet hier alle vertiefenden Beiträge, gruppiert nach Anlass.
Einstufung: Bin ich betroffen, und in welcher Rolle?
Pflichten: Was konkret zu tun ist, je Rolle
Fristen & Sanktionen: bis wann, und was bei Verstoß droht
Praxis: Umsetzung im Alltag
Sie wollen wissen, wo Sie stehen? Den Leitfaden in Ihre konkrete Lage übersetzen wir im Erstgespräch oder mit dem AI Governance Audit, das Ihr KI-Risiko zum Festpreis schwarz auf weiß einstuft.
AI Act & KI-Recht (Leistung) →
AI Governance Audit →
Weiter: KI im Unternehmen rechtssicher einsetzen →
Ich ordne Ihre KI-Anwendungen ein: Was fällt unter den AI Act, wo besteht Handlungsbedarf, was hat Zeit. Konkret, fundiert, vertraulich (§ 43a BRAO) und ohne Juristendeutsch. Erstreaktion innerhalb von 48 Stunden (werktags).
Erstgespräch vereinbarenoder
info@caroline-herrmann.com