EU AI Act: was sich 2026 für KI-Werkzeuge im Unternehmen konkret ändert

Kurz gefasst.
Die europäische KI-Verordnung reguliert nach Risiko, nicht nach Technologie: Der Anwendungsfall bestimmt die Pflichten, nicht das Werkzeug. Der Zeitplan erstreckt sich bis 2027. Für den Einsatz im Unternehmen liegt der praktische Kern in der Einstufung des Anwendungsfalls und in der Dokumentation, die ihn begleitet.

Das Prinzip: Regulierung nach Risiko, nicht nach Technologie

Der AI Act reguliert nicht „die KI“ als Ganzes. Er stuft Anwendungsfälle nach ihrem Risikoniveau ein und knüpft daran wachsende Pflichten.

Vier Kategorien. Anwendungen mit unannehmbarem Risiko sind untersagt. Hochrisiko-Anwendungen – etwa eine KI, die über einen Kredit entscheidet, Bewerbungen sortiert oder in Bildung, Gesundheit und kritische Infrastrukturen eingreift – sind zulässig, unterliegen aber strengen Anforderungen an Dokumentation, menschliche Aufsicht, Nachvollziehbarkeit und Risikomanagement.

Anwendungen mit begrenztem Risiko, etwa ein Chatbot oder ein Inhaltsgenerator, unterliegen vor allem Transparenzpflichten. Die große Mehrheit der Systeme mit minimalem Risiko unterliegt keiner neuen Pflicht.

Die erste Frage lautet daher nicht „bin ich betroffen?“, sondern: In welche Kategorie fällt jeder einzelne meiner KI-Anwendungsfälle?

Der tatsächliche Zeitplan

Die Verordnung ist am 1. August 2024 in Kraft getreten, ihre Pflichten greifen jedoch in Wellen.

Seit Februar 2025 gelten das Verbot der Praktiken mit unannehmbarem Risiko und – häufig übersehen – eine Pflicht zur KI-Kompetenz: Organisationen müssen dafür sorgen, dass die Personen, die ihre KI-Systeme bedienen, über ausreichende Kenntnisse verfügen.

Seit August 2025 gelten die Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck sowie der Aufbau der europäischen Governance-Strukturen. Der 2. August 2026 ist der große Stichtag, an dem die Mehrzahl der übrigen Regeln anwendbar wird und die Durchsetzung beginnt – insbesondere die Transparenzpflichten: klar zu informieren, dass ein Gegenüber eine KI ist, und KI-erzeugte Inhalte zu kennzeichnen.

Der Zeitplan für Hochrisiko-Systeme wurde gelockert und an die Verfügbarkeit der technischen Referenznormen geknüpft; die entsprechenden Fristen verschieben sich je nach Kategorie in Richtung Ende 2027 und 2028. Diese Lockerung ist keine allgemeine Atempause: Die Pflichten zu Transparenz und KI-Kompetenz bestehen.

Was sich konkret für Sie ändert

Wissen, was Sie einsetzen. Der AI Act setzt ein Inventar Ihrer KI-Systeme voraus, einschließlich der Werkzeuge Dritter und der in Ihrer Software eingebetteten KI-Bausteine. Was man nicht kennt, kann man nicht einstufen. Das ist die erste Baustelle – und meist die, die hinterherhinkt.

Transparenz. Wenn Sie einen dialogfähigen Agenten im Kundenkontakt einsetzen oder KI-erzeugte Inhalte veröffentlichen, müssen Sie darauf hinweisen. Die Zeit der unsichtbaren KI ist vorbei.

Nachvollziehbarkeit und Begründung. Für sensible Anwendungen genügt es nicht mehr, dass die KI eine Antwort liefert: Es muss erklärbar sein, wie sie entstanden ist, auf welchen Daten sie beruht und mit welcher menschlichen Aufsicht. Eine Blackbox ohne Begründung wird zum Compliance-Risiko.

Verantwortung. Die Verordnung sieht abschreckende Sanktionen vor, die sich bei den schwersten Verstößen am weltweiten Umsatz bemessen. Konformität ist damit auch eine finanzielle Exposition, die gesteuert werden will.

Der positive Nebeneffekt: Vertrauen wird zum Aktivposten

Der AI Act wird gern als Belastung dargestellt. Das greift zu kurz. Die Verordnung verlangt genau das, was anspruchsvolle Einkäufer ohnehin schon forderten: transparente, nachvollziehbare und erklärbare KI, deren Daten beherrscht werden.

Für ein Unternehmen wird die Fähigkeit, diese Eigenschaften nachzuweisen, zu einem Vertrauensargument gegenüber Kunden, Aufsichtsbehörden und Partnern.

Das ist die Bauweise von Werkzeugen, die von Anfang an für regulierte Umgebungen entworfen wurden. Optivalue.ai ist dafür ein Beispiel: Jede Antwort nennt ihre Quelle mit Dokument, Seite und Datum, das System enthält sich, statt zu erfinden, wenn keine Grundlage vorliegt, und die Daten können unter souveräner Kontrolle gehostet bleiben.

Ihre minimale Roadmap

Fünf Schritte, die jetzt beginnen können. Erstens: alle KI-Anwendungsfälle erfassen, intern und über Anbieter. Zweitens: jeden nach Risikoniveau einstufen.

Drittens: die Teams für einen sachkundigen Umgang mit diesen Werkzeugen schulen – die Pflicht zur KI-Kompetenz ist bereits aktiv. Viertens: die Transparenzpflichten für alles prüfen, was im Kontakt mit der Öffentlichkeit steht.

Fünftens: erklärbaren und nachvollziehbaren Werkzeugen den Vorzug geben, die ihre Antworten belegen können. Das ist am Tag einer Prüfung die beste Absicherung.

Dieser Beitrag dient der Information und stellt keine Rechtsberatung dar. Zeitplan und Pflichten des EU AI Act entwickeln sich weiter; für Ihre konkreten Pflichten ziehen Sie die amtlichen Texte und eine qualifizierte Fachperson heran.

Häufige Fragen

Bin ich betroffen, wenn ich KI nur einsetze und nicht entwickle?
Ja, in mehreren Punkten: Inventar Ihrer Systeme, Einstufung der Anwendungsfälle, Transparenz gegenüber der Öffentlichkeit und KI-Kompetenz der Nutzenden.

Was gilt bereits heute?
Das Verbot der Praktiken mit unannehmbarem Risiko und die Pflicht zur KI-Kompetenz gelten seit Februar 2025; die Pflichten für Anbieter von Modellen mit allgemeinem Verwendungszweck seit August 2025.

Was ist am 2. August 2026 fällig?
Die Mehrzahl der übrigen Regeln wird anwendbar und die Durchsetzung beginnt, insbesondere die Transparenzpflichten gegenüber den Nutzenden.