Der EU AI Act ist die weltweit erste umfassende Verordnung zur Regulierung künstlicher Intelligenz. Seit Inkrafttreten im August 2024 gilt er stufenweise – und 2026 wird für viele Unternehmen zum entscheidenden Jahr.
Der risikobasierte Ansatz
Das Gesetz teilt KI-Systeme in vier Risikoklassen ein: unannehmbares Risiko (verboten), Hochrisiko (streng reguliert), begrenztes Risiko (Transparenzpflichten) und minimales Risiko (kaum Auflagen). Je höher das Risiko, desto umfangreicher die Pflichten für Anbieter und Betreiber.
Wichtige Fristen im Überblick
Verbotene Praktiken – etwa Social Scoring oder manipulative KI-Systeme – sind bereits seit Februar 2025 untersagt. Seit August 2025 müssen Anbieter neuer General-Purpose-AI-Modelle (GPAI) die Transparenz-, Urheberrechts- und Sicherheitsanforderungen der Artikel 51–55 erfüllen; für bereits am Markt befindliche Modelle gilt eine Übergangsfrist bis August 2027.
Ab dem 2. August 2026 greifen zudem die Kennzeichnungspflichten nach Artikel 50: Chatbots, KI-generierte Inhalte, Deepfakes und Emotionserkennungssysteme müssen als solche erkennbar gemacht werden.
Wichtige Änderung: Der Digital Omnibus
Ursprünglich sollten die Pflichten für Hochrisiko-KI-Systeme ebenfalls ab August 2026 gelten. Mit dem im Mai 2026 verabschiedeten Digital-Omnibus-Paket wurde dieser Termin jedoch verschoben: Eigenständige Hochrisiko-Systeme (Anhang III, z. B. in Personalwesen, Kreditvergabe oder Strafverfolgung) müssen erst bis zum 2. Dezember 2027 konform sein. KI in bereits regulierten Produkten wie Medizingeräten oder Aufzügen (Anhang I) hat sogar bis zum 2. August 2028 Zeit.
Das ist eine spürbare Entlastung – aber kein Freifahrtschein. Die inhaltlichen Anforderungen an Risikomanagement, Datenqualität, Dokumentation und menschliche Aufsicht bleiben bestehen, nur der Zeitpunkt verschiebt sich.
Sanktionen bleiben empfindlich
Verstöße gegen verbotene Praktiken können mit Bußgeldern bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes geahndet werden. Bei Verstößen gegen Hochrisiko-Pflichten drohen bis zu 15 Millionen Euro oder 3 % des Umsatzes.
Was Unternehmen jetzt tun sollten
Auch wenn sich einzelne Fristen verschoben haben, lohnt sich die Vorbereitung schon jetzt: KI-Systeme im Unternehmen inventarisieren und Risikoklassen zuordnen, bestehende Kennzeichnungspflichten ab August 2026 im Blick behalten, interne Zuständigkeiten für KI-Governance festlegen und Dokumentations- sowie Meldeprozesse frühzeitig aufbauen. Wer jetzt startet, vermeidet späteren Zeitdruck – und ist auf die nächste Verschärfung vorbereitet, bevor sie greift.
Hinweis: Der EU AI Act befindet sich weiterhin im Wandel, insbesondere durch das Digital-Omnibus-Paket. Für verbindliche rechtliche Einschätzungen sollte fachkundiger Rat eingeholt werden.