Der AI Act – amtlich die Verordnung (EU) 2024/1689 – regelt nicht, ob Sie KI einsetzen dürfen, sondern unter welchen Bedingungen. Für die allermeisten Unternehmen ist das gut beherrschbar, weil sie in die niedrigen Risikoklassen fallen. Die Arbeit besteht darin, das zu belegen statt zu behaupten.

Zuerst: Welche Rolle haben Sie?

Betreiber ist, wer ein KI-System in eigener Verantwortung einsetzt. Das trifft praktisch jedes Unternehmen, das einen Chatbot betreibt, ein Vorschlagssystem im CRM nutzt oder KI-Funktionen verwendet, die still in Office-, Buchhaltungs- oder Bewerbermanagement-Software eingezogen sind.

Anbieter ist, wer ein System entwickelt oder unter eigenem Namen bereitstellt – oder ein fremdes System so wesentlich verändert, dass er rechtlich an die Stelle des Anbieters tritt. Diese Grenze ist wichtiger, als sie klingt: Wer ein Modell feinjustiert und unter eigener Marke anbietet, wechselt die Rolle und damit den Pflichtenkatalog.

Die Fristen im Überblick

2. Feb. 2025gilt Verbotene Praktiken und KI-Kompetenz Social Scoring, Emotionserkennung am Arbeitsplatz und ungezieltes Scraping von Gesichtsbildern sind untersagt. Zugleich sollen Anbieter und Betreiber die KI-Kompetenz ihrer Beschäftigten fördern – der Digital Omnibus hat diese Pflicht von „sicherstellen“ auf „fördern“ abgeschwächt, abgeschafft hat er sie nicht. Art. 5, Art. 4 KI-VO
2. Aug. 2025gilt Pflichten für Allzweck-KI-Modelle Betrifft in erster Linie die Anbieter großer Sprachmodelle. Für Sie als Anwender relevant, weil deren Dokumentation die Grundlage Ihrer eigenen Bewertung ist. Kapitel V KI-VO
2. Aug. 2026gilt Transparenz- und Kennzeichnungspflichten Chatbots müssen offenlegen, dass Menschen mit einer Maschine sprechen. KI-generierte Inhalte brauchen eine maschinenlesbare Markierung, Deepfakes eine sichtbare Kennzeichnung. Für Systeme, die vor diesem Datum im Einsatz waren, läuft eine Übergangsfrist bis zum 2. Dezember 2026. Art. 50 KI-VO
2. Dez. 2027verschoben Hochrisiko-Systeme nach Anhang III Hierunter fällt, was viele Unternehmen direkt betrifft: KI in der Personalauswahl, bei Beförderungsentscheidungen und in der Leistungsüberwachung. Ursprünglich für August 2026 vorgesehen, durch den Digital Omnibus verschoben. Art. 6 Abs. 2, Anhang III KI-VO
2. Aug. 2028verschoben KI als Sicherheitsbauteil in Produkten Relevant für Hersteller, deren Produkte ohnehin einer CE-Konformitätsbewertung unterliegen. Art. 6 Abs. 1, Anhang I KI-VO

Stand: September 2026. Die Fristen für Hochrisiko-Systeme wurden 2026 im Rahmen des Digital Omnibus angepasst; die Verbote und die Transparenzpflichten blieben unverändert.

Was wir für Sie tun

1. KI-Inventar

Ohne Liste keine Bewertung. Wir erfassen, welche KI-Systeme im Haus laufen – auch die, die niemand bewusst eingeführt hat, weil sie als Update in vorhandene Software gekommen sind. Erfahrungsgemäß ist dieser Teil der überraschendste.

2. Einstufung

Je System: Rolle, Risikoklasse, einschlägige Pflichten. Verbotene Praktiken nach Art. 5 scheiden aus, Hochrisiko-Anwendungen nach Anhang III – insbesondere in der Personalauswahl – bekommen einen eigenen Fahrplan, alles Übrige landet bei Transparenz und Kompetenz.

3. Datenschutzrechtliche Bewertung

Parallel, nicht nacheinander: Rechtsgrundlage, Umgang mit Eingaben, Drittlandtransfer, Betroffenenrechte und die Frage, ob eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO nötig ist. Beides fließt in eine Bewertung, statt zwei Verfahren nebeneinander laufen zu lassen.

4. KI-Richtlinie und Schulung

Eine verständliche Regelung, welche Werkzeuge freigegeben sind, was hineingegeben werden darf und was nicht, und wer bei Zweifeln entscheidet. Dazu die Schulung, die aus der Richtlinie gelebte Praxis macht.

Das Verbot ist nicht die Lösung

Wo KI pauschal untersagt wird, nutzen Beschäftigte sie trotzdem – nur eben über private Zugänge, außerhalb jeder Kontrolle und mit Unternehmensdaten. Eine freigegebene Auswahl mit klaren Regeln schützt besser als ein Verbot, an das sich niemand hält.

Und danach?

Inventar, Einstufung und Richtlinie sind Projektarbeit mit einem Ende. Was danach kommt – neue Werkzeuge, neue Fristen, neue Fragen aus den Fachabteilungen – braucht eine Zuständigkeit. Wie sich das lösen lässt, steht auf der Seite zum KI-Beauftragten.

Was der AI Act nicht ersetzt

Die DSGVO gilt unverändert weiter. Wo personenbezogene Daten verarbeitet werden, brauchen Sie nach wie vor eine Rechtsgrundlage, müssen informieren und Betroffenenrechte erfüllen. Der AI Act kommt obendrauf und regelt das System, nicht die Daten. Wer nur eines von beidem betrachtet, hat die Hälfte.

KI-Beratung und KI-Verordnung