EU AI Act: Der Leitfaden für Softwareunternehmen
Sie entwickeln oder nutzen KI und müssen wissen, welche Pflichten für Ihre Rolle gelten. Der EU AI Act (Verordnung (EU) 2024/1689) unterscheidet nach Risiko und Einsatz der jeweiligen Anwendung. Dieser Leitfaden ordnet Risikoklassen, Anbieter- und Betreiberpflichten, Fristen und das Zusammenspiel mit der DSGVO.
◆Stand: September 2026 · Rechtsanwältin & zertifizierte KI-Compliance-Beauftragte · 8 Jahre in Konzern, KMU und Kanzlei
- 1. Was der EU AI Act regelt
- 2. Gilt er für Sie? Anbieter und Betreiber
- 3. Die vier Risikoklassen
- 4. Die Fristen: wann welche Pflicht greift
- 5. Pflichten für Anbieter
- 6. Pflichten für Betreiber
- 7. KI-Kompetenz: Pflicht seit 2025
- 8. AI Act trifft DSGVO
- 9. Was bei Verstoß droht
- Alle Themen dieses Clusters im Überblick
1. Was der EU AI Act regelt
Der EU AI Act ist das erste umfassende KI-Gesetz der EU. Er reguliert risikobasiert: Je höher das Risiko einer KI-Anwendung für Sicherheit und Grundrechte, desto strenger die Pflichten. Anwendungen mit geringem Risiko bleiben weitgehend frei.
Für Softwareunternehmen gilt der AI Act unabhängig davon, ob sie KI selbst entwickeln oder nur einsetzen, und er kann auch Unternehmen außerhalb der EU treffen, wenn die Ergebnisse ihrer KI in der EU verwendet werden.
2. Gilt der AI Act für Sie? Anbieter und Betreiber
Der AI Act unterscheidet vor allem zwei Rollen und daran hängt, welche Pflichten Sie treffen:
- Anbieter (Provider): Sie entwickeln ein KI-System oder bringen es unter Ihrem Namen in Verkehr. Hier sieht der AI Act die strengsten Pflichten vor.
- Betreiber (Deployer): Sie setzen ein KI-System unter Ihrer Verantwortung ein, etwa ein eingekauftes Tool. Der Pflichtenkreis ist schlanker, aber er besteht.
Beide Rollen können gleichzeitig zutreffen: Wer ein fremdes KI-Modell in das eigene Produkt einbaut und ausliefert, wird für diesen Teil schnell selbst zum Anbieter. Die saubere Einstufung ist der erste Schritt. Sie entscheidet, welche Pflichten gelten und welche Sie ignorieren dürfen.
3. Die vier Risikoklassen
Der AI Act ordnet jede Anwendung einer von vier Stufen zu:
Verboten
Bestimmte KI-Praktiken sind untersagt (Art. 5), etwa Social Scoring oder manipulative Systeme. Diese Verbote gelten seit dem 2. Februar 2025; Verbote für nicht einvernehmliche intime Deepfakes und Darstellungen sexuellen Kindesmissbrauchs kommen ab dem 2. Dezember 2026 hinzu.
Hochrisiko
KI in sensiblen Bereichen (z. B. Personalauswahl, Kreditwürdigkeit, kritische Infrastruktur). Strengste Pflichten: Risikomanagement, technische Dokumentation, menschliche Aufsicht.
Begrenztes Risiko
Vor allem Transparenzpflichten: Nutzer müssen erkennen können, dass sie mit KI interagieren oder dass Inhalte KI-generiert sind (z. B. Chatbots).
Minimales Risiko
Die große Mehrheit der Anwendungen, etwa Spamfilter. Keine risikospezifischen Pflichten; die KI-Kompetenzpflicht nach Art. 4 gilt auch hier.
4. Die Fristen: wann welche Pflicht greift
Der AI Act gilt gestaffelt, von bereits scharfen Verboten bis zu Hochrisiko-Pflichten mit längerem Vorlauf. Diese Übersicht wird bewusst nicht an mehreren Stellen gepflegt: die vollständige, laufend aktualisierte Fristenübersicht mit allen Stichtagen und den durch den KI-Omnibus (VO (EU) 2026/1744) geänderten Fristen finden Sie gesammelt im Beitrag Der Zeitplan des EU AI Act: welche Pflicht ab wann. So vermeiden wir widersprüchliche Angaben zwischen den Beiträgen dieser Seite.
Wer früh ordnet, geht ohne Zeitdruck und mit dokumentierter Compliance hinein, statt im Hauruck kurz vor der Frist.
5. Pflichten für Anbieter
Wenn Sie KI entwickeln und ausliefern, kommen, abhängig von der Risikoklasse, u. a. diese Pflichten auf Sie zu: Konformitätsbewertung, technische Dokumentation, Transparenz gegenüber Nutzern, Risikomanagement und Vorkehrungen für menschliche Aufsicht. Sauber aufgesetzt wird das zum Verkaufsargument im Enterprise-Sales, statt zum Deal-Blocker, wenn der Einkauf des Kunden nachfragt.
6. Pflichten für Betreiber
Auch wer KI nur einsetzt, trägt Pflichten: immer die KI-Kompetenz (Art. 4 KI-VO), Transparenzpflichten in den Fällen des Art. 50 Abs. 3 und 4 KI-VO und den Datenschutz. Aus Sorgfaltsgründen empfiehlt sich zudem, Anbieter auszuwählen, die ihre AI-Act-Pflichten nachweisen. Bei Hochrisiko-Systemen kommen die Betreiberpflichten nach Art. 26 KI-VO hinzu, etwa die Verwendung gemäß Betriebsanleitung. Der Pflichtenkreis ist überschaubar, aber er besteht, und er beginnt mit dem Überblick, welche KI in Ihrem Unternehmen überhaupt läuft.
7. KI-Kompetenz: Pflicht seit 2025
Art. 4 KI-VO gilt seit dem 2. Februar 2025. Seit dem 27. Juli 2026 verlangt er in der Fassung des KI-Omnibus (VO (EU) 2026/1744), dass Anbieter und Betreiber Maßnahmen ergreifen, um die Entwicklung der KI-Kompetenz der Personen zu unterstützen, die in ihrem Auftrag mit KI arbeiten, und zwar unabhängig von der Risikoklasse. Ein bestimmtes Kompetenzniveau müssen sie nicht garantieren. Eine praxisnahe, auf Ihre Tools zugeschnittene Schulung ist ein pragmatischer, dokumentierbarer Weg.
8. AI Act trifft DSGVO
Der AI Act ersetzt die DSGVO nicht. Beide gelten parallel. Wo KI personenbezogene Daten verarbeitet, brauchen Sie weiterhin eine Rechtsgrundlage, ggf. eine Datenschutz-Folgenabschätzung und saubere Regeln für Trainings- und Eingabedaten. In der Praxis lohnt es sich, beide Themen zusammen zu denken, statt zweimal dieselben Systeme zu prüfen.
9. Was bei Verstoß droht
Der AI Act sieht empfindliche Bußgelder vor: bei verbotenen Praktiken bis zu 35 Mio. € oder 7 % des weltweiten Jahresumsatzes, bei Verstößen gegen die in Art. 99 Abs. 4 aufgezählten Pflichten, etwa von Anbietern, Betreibern oder bei der Transparenz, bis zu 15 Mio. € oder 3 % und bei falschen Auskünften gegenüber Behörden bis zu 7,5 Mio. € oder 1 %, jeweils der höhere Betrag. Für KMU und Start-ups gilt der niedrigere Betrag (Art. 99 Abs. 6), für kleine Midcap-Unternehmen bei den beiden unteren Stufen ebenso (Art. 99 Abs. 6a). In Deutschland überwacht nach dem KI-Marktüberwachungs- und Innovationsförderungs-Gesetz (KI-MIG) grundsätzlich die Bundesnetzagentur den AI Act, für KI in Produkten nach Anhang I Abschnitt A die bisherigen Produkt-Marktüberwachungsbehörden und für KI in regulierter Finanztätigkeit die BaFin; diese Behörden verhängen auch die Bußgelder, und § 15 KI-MIG ergänzt nationale Tatbestände bis 50.000 €. Hinzu kommt das Risiko, dass Enterprise-Kunden ohne belastbare Compliance-Story gar nicht erst unterschreiben.
Alle Themen dieses Clusters im Überblick
Der Leitfaden bildet die Grundlagen ab. Wer tiefer in ein einzelnes Thema einsteigen will, findet hier alle vertiefenden Beiträge, gruppiert nach Anlass.
Einstufung: Bin ich betroffen, und in welcher Rolle?
- Anbieter oder Betreiber? Die zwei Rollen im AI Act
- Hochrisiko-KI: Ist mein System betroffen? Der Anhang-III-Check
- KI-Inventur: Überblick über Ihre KI-Systeme verschaffen
Pflichten: Was konkret zu tun ist, je Rolle
- KI-Kompetenz nach Art. 4: die Pflicht, die seit Februar 2025 gilt
- Eingekaufte KI-Tools: Ihre Pflichten als Betreiber (Art. 26)
- GPAI / Foundation Models: Pflichten für Anbieter (Art. 53)
- Transparenzpflichten: KI kennzeichnen (Art. 50)
- Verbotene KI-Praktiken: die roten Linien (Art. 5)
- AI Act und DSGVO: DPIA (Art. 35 DSGVO) und Grundrechte-Folgenabschätzung (Art. 27 KI-VO)
Fristen & Sanktionen: bis wann, und was bei Verstoß droht
Praxis: Umsetzung im Alltag
- EU AI Act: Pflichten-Checkliste nach Rolle
- KI-Reallabore: die regulatorische Sandbox nutzen (Art. 57)
Sie wollen wissen, wo Sie stehen? Den Leitfaden in Ihre konkrete Lage übersetzen wir im Strategiegespräch oder mit dem AI Governance Audit. Die technische Prüfung und die anwaltliche Einstufung haben jeweils einen eigenen Festpreis.
Häufige Fragen
Ihre KI-Rolle bestimmt die Pflichten. Ordnen wir sie ein.
Ich ordne Ihre KI-Anwendungen ein: Was fällt unter den AI Act, wo besteht Handlungsbedarf, was hat Zeit.
Erstgespräch anfragenDas Formular ist der erste Schritt. Ich melde mich innerhalb von 48 Stunden an Werktagen persönlich. Wenn es passt, vereinbaren wir danach den Termin.