Die EU-Verordnung über künstliche Intelligenz, kurz AI Act, ist seit August 2024 in Kraft und gilt als erstes vollständiges Regelwerk für KI-Systeme weltweit. Seit der Verabschiedung hat sich der Zeitplan mehrfach verschoben, zuletzt durch eine politische Einigung im Mai 2026. Für Unternehmen, die KI-Tools im Tagesgeschäft einsetzen, von Chatbots im Kundenservice bis zu Analysesystemen im Personalwesen, bedeutet das: Manche Pflichten gelten bereits, andere erst ab 2027 oder 2028. Wer den Überblick behalten will, sollte geltendes Recht von politischer Absicht unterscheiden.
Der rechtliche Rahmen: Von der Verordnung zum Digital Omnibus
Die Verordnung (EU) 2024/1689 wurde am 12. Juli 2024 im Amtsblatt der Europäischen Union veröffentlicht und trat zwanzig Tage später in Kraft. Seit dem 2. Februar 2025 sind KI-Systeme mit inakzeptablem Risiko verboten, etwa Social Scoring durch Behörden oder bestimmte Formen biometrischer Echtzeitüberwachung im öffentlichen Raum. Seit dem 2. August 2025 gelten zudem die Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck, also Basismodelle, wie sie hinter vielen Chatbots stehen, sowie der vollständige Bußgeldrahmen der Verordnung.
Ursprünglich sollten ab August 2026 auch die Pflichten für Hochrisiko-KI-Systeme greifen, ein Zeitpunkt, der für viele Unternehmen bereits Klassifizierungsarbeit und Dokumentation erfordert hätte. Angesichts solcher Fristen und der häufigen Anpassungen lohnt sich für Unternehmen ohne eigene Rechtsabteilung der Blick auf externe Unterstützung. Eine KI Beratung und Analyse von Be Brave kann helfen, eingesetzte Systeme korrekt einzuordnen und den tatsächlichen Handlungsbedarf von politischer Ankündigung zu unterscheiden.
Am 7. Mai 2026 einigten sich Rat und Europäisches Parlament im Trilog auf den sogenannten Digital Omnibus, eine Anpassung der Verordnung. Laut Pressemitteilung des Rates der Europäischen Union verschiebt die Einigung die Fristen für Hochrisiko-Systeme deutlich nach hinten. Eigenständige Hochrisiko-Systeme nach Anhang III, etwa zur Bewerberauswahl oder Kreditvergabe, müssen die Vorgaben nun bis zum 2. Dezember 2027 erfüllen. In Produkte eingebettete Hochrisiko-KI, beispielsweise in Medizingeräten oder Maschinen, erhält bis zum 2. August 2028 Zeit. Die Einigung ist politisch beschlossen, aber noch nicht im Amtsblatt veröffentlicht. Bis zur formellen Verabschiedung gilt rechtlich weiterhin die ursprüngliche Frist im August 2026. Ein Grund für die Verschiebung liegt in den noch fehlenden harmonisierten technischen Normen der Standardisierungsorganisationen CEN und CENELEC, auf deren Grundlage Unternehmen ihre Konformitätsbewertung überhaupt erst durchführen können.
Risikoklassen und Pflichten im Überblick
Der AI Act unterteilt KI-Systeme in vier Kategorien. Systeme mit inakzeptablem Risiko sind verboten. Hochrisiko-Systeme nach Anhang III betreffen sensible Bereiche wie Beschäftigung, Bildung, kritische Infrastruktur, Strafverfolgung und Migration. Sie unterliegen Pflichten zu Risikomanagement, technischer Dokumentation, menschlicher Aufsicht, Konformitätsbewertung und Registrierung in einer EU-Datenbank. Systeme mit begrenztem Risiko, etwa Chatbots oder Inhalte, die als KI-generiert kennzeichnungspflichtig sind, unterliegen Transparenzpflichten nach Artikel 50. Systeme mit minimalem Risiko, der Großteil heutiger Anwendungen, bleiben weitgehend unreguliert.
Eine Pflicht gilt unabhängig von der Risikoklasse und wurde durch den Digital Omnibus nicht verschoben: die KI-Kompetenz nach Artikel 4. Seit Februar 2025 müssen Unternehmen sicherstellen, dass Personal, das KI-Systeme bedient oder einsetzt, über ausreichendes Wissen zu Funktionsweise, Chancen und Risiken verfügt. Das betrifft jedes Unternehmen, das beispielsweise Sprachmodelle oder vergleichbare Werkzeuge im Arbeitsalltag nutzt, nicht nur Entwickler von KI-Systemen.
Bei Verstößen gegen verbotene Praktiken drohen Geldbußen von bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Für andere Pflichtverletzungen liegt der Rahmen niedriger, bei bis zu 15 Millionen Euro oder 3 Prozent des Umsatzes. Diese Bußgeldregelung ist seit August 2025 anwendbar.
Praktische Schritte zur Vorbereitung
Trotz verschobener Fristen für Hochrisiko-Systeme sprechen mehrere Gründe dafür, das Thema nicht aufzuschieben. Die Kompetenzpflicht gilt bereits. Die Omnibus-Einigung ist zudem noch nicht formell verabschiedet, eine rechtssichere Planung sollte daher beide Zeitlinien im Blick behalten, die ursprüngliche und die neue. Eine spätere Umsetzung unter Zeitdruck verlangt erfahrungsgemäß mehr Aufwand als eine frühzeitige.
Ein praktikabler Einstieg beginnt mit einer Bestandsaufnahme aller im Unternehmen eingesetzten KI-Systeme, intern entwickelt oder zugekauft. Darauf folgt die Einordnung in die vier Risikoklassen, je nach Einsatzzweck und betroffenem Lebensbereich. Für Systeme mit höherem Risiko sind Dokumentation, Verantwortlichkeiten und Prüfprozesse festzulegen. Parallel dazu sollten Schulungen für Mitarbeitende geplant werden, die mit KI-Anwendungen arbeiten, um die Anforderungen aus Artikel 4 nachweisbar zu erfüllen.
Ergänzend empfiehlt sich die Benennung einer verantwortlichen Person oder eines kleinen Gremiums für KI-Governance, das Anschaffungen prüft, bevor neue Tools im Unternehmen eingesetzt werden. So lässt sich verhindern, dass einzelne Fachabteilungen unabgestimmt KI-Systeme einführen, die später als Hochrisiko-Anwendung eingestuft werden müssen.
Wer diese Schritte ohne externe Unterstützung angehen will, sollte realistisch einschätzen, wie viel Zeit interne Teams neben dem Tagesgeschäft dafür aufbringen können. Strukturierte Beratung kann diesen Prozess beschleunigen und Fehlklassifizierungen vermeiden, die später kostspielig werden.
Der AI Act bleibt in Bewegung. Bis zur endgültigen Veröffentlichung des Digital Omnibus im Amtsblatt sollten Unternehmen ihre Vorbereitung an der ursprünglichen Frist im August 2026 ausrichten und gleichzeitig die neuen Termine im Blick behalten. Wer jetzt mit einer Bestandsaufnahme beginnt, vermeidet spätere Hektik und schafft eine belastbare Grundlage für künftige regulatorische Anpassungen.
