EU AI Act 2026: Zeitplan und nächste Schritte.

Beim EU AI Act geht es nicht darum, jedes KI-Werkzeug vorsorglich als Hochrisiko-System zu behandeln. Entscheidend sind der konkrete Zweck, die Rolle des Unternehmens und die möglichen Auswirkungen einer Anwendung.

Dieser Überblick berücksichtigt die seit 27. Juli 2026 geltende Digital-Omnibus-Verordnung (EU) 2026/1744. Seit 2. August 2026 ist der AI Act grundsätzlich anwendbar; für Hochrisiko-Systeme gelten die unten genannten späteren Zeitpunkte.

Welche Regeln wann relevant werden

• Seit 2. Februar 2025: Verbote bestimmter KI-Praktiken und Anforderungen an AI Literacy gelten bereits.
• Seit 2. August 2025: Governance-Regeln und Pflichten für Anbieter von General-Purpose-AI-Modellen sind anwendbar.
• Seit 2. August 2026: Der AI Act ist grundsätzlich anwendbar; wichtige Transparenzpflichten greifen etwa bei Chatbots und bestimmten KI-generierten oder manipulierten Inhalten.
• Ab 2. Dezember 2027: Die Hochrisiko-Regeln für Systeme nach Art. 6 Abs. 2 und Annex III werden anwendbar.
• Ab 2. August 2028: Die Hochrisiko-Regeln für Systeme in regulierten Produkten nach Art. 6 Abs. 1 und Annex I werden anwendbar.

Wo genauer hingeschaut werden muss

Bestimmte Anwendungen können erhebliche Auswirkungen auf Sicherheit oder Grundrechte haben. Ob ein konkretes System tatsächlich als hochriskant gilt, hängt von seiner Funktion, seinem vorgesehenen Zweck und seiner Ausgestaltung ab. Relevante Bereiche sind unter anderem:

• Biometrische Identifikation, Kategorisierung und bestimmte Formen der Emotionserkennung
• Sicherheitsrelevante Anwendungen in kritischer Infrastruktur
• Zugang, Bewertung und Auswahl in Bildung und Beschäftigung
• Bestimmte Entscheidungen über Kredit, Versicherung oder öffentliche Leistungen
• Ausgewählte Anwendungen in Strafverfolgung, Migration, Grenzkontrolle und Rechtspflege

Die Einordnung sollte nicht allein anhand eines Branchenbegriffs erfolgen. Ein Recruiting-Tool kann beispielsweise je nach Funktion unterschiedlich zu bewerten sein. Zusätzlich können Datenschutz, Informationssicherheit, Branchenrecht und Mitbestimmung relevant werden.

GPAI: Die eigene Rolle sauber trennen

Die seit August 2025 anwendbaren GPAI-Pflichten richten sich insbesondere an Anbieter solcher Modelle. Ein Unternehmen, das einen fertigen Dienst nutzt, wird dadurch nicht automatisch selbst zum GPAI-Anbieter.

Trotzdem sollte auch ein nutzendes Unternehmen wissen, welche Modelle und Dienste eingesetzt werden, welche Daten einfließen und für welchen Zweck Ergebnisse verwendet werden. Andere Pflichten — etwa zu AI Literacy, Transparenz oder einer konkreten Hochrisiko-Anwendung — können unabhängig davon relevant sein.

Governance beginnt mit Sichtbarkeit

Ein KI-Register ist ein sinnvoller Ausgangspunkt. Es sollte produktive Systeme ebenso erfassen wie Pilotprojekte und relevante Funktionen in bestehender Software. Nützlich sind mindestens Zweck, eingesetztes Modell oder Dienst, betroffene Daten, verantwortliche Person und aktueller Prüfstatus.

Das Register ist kein Selbstzweck. Es macht sichtbar, wo weitere Fragen notwendig sind und welche Anwendungen mit einfachen Regeln gut handhabbar bleiben.

Dokumentation muss Entscheidungen erklären

Gute Dokumentation beantwortet verständlich: Warum wird das System eingesetzt? Welche Grenzen sind bekannt? Wer hat den Einsatz freigegeben? Wie werden Ergebnisse geprüft und Vorfälle behandelt?

Vorlagen und Standards können dabei helfen. Sie ersetzen aber nicht die Einordnung des konkreten Systems. Harmonisierten Standards kommt künftig besondere Bedeutung zu; ihre Anwendung bleibt grundsätzlich freiwillig, kann aber einen nachvollziehbaren Weg zur Konformität unterstützen.

Menschliche Aufsicht konkret gestalten

Wo menschliche Aufsicht erforderlich ist, braucht es mehr als einen allgemeinen Hinweis. Die zuständige Person muss das System verstehen, Ergebnisse beurteilen und bei Bedarf eingreifen oder die Nutzung stoppen können.

Verantwortung ist eine Organisationsaufgabe

Der AI Act ordnet Pflichten unterschiedlichen Rollen wie Anbietern und Deployern zu. Unternehmen sollten deshalb klare Zuständigkeiten für Freigabe, Betrieb, Überwachung, Änderungen und Vorfälle definieren.

Daraus folgt jedoch keine pauschale automatische persönliche Haftung von Vorständen oder Geschäftsführungen. Ob persönliche Verantwortung oder Haftung entsteht, hängt zusätzlich vom nationalen Recht, der Unternehmensform, internen Zuständigkeiten und dem konkreten Verhalten ab.

Checkliste: Was Unternehmen jetzt klären sollten

• KI-Systeme erfassen: Welche Modelle, Funktionen und Dienste werden offiziell oder informell genutzt — wofür und von wem?
• Die eigene Rolle klären: Ist das Unternehmen Anbieter, Deployer, Importeur, Händler oder Teil einer Produktkette?
• Risiken einordnen: Welche Entscheidungen unterstützt das System und welche Folgen kann ein Fehler für Menschen oder Sicherheit haben?
• Verantwortung benennen: Wer entscheidet über Freigabe, Änderungen, Überwachung und Abschaltung?
• AI Literacy passend gestalten: Welches Wissen benötigen Mitarbeitende entsprechend ihrer Rolle, Erfahrung und des Nutzungskontexts?
• Nachweise aufbauen: Welche Dokumentation, Prüfungen und Protokolle sind für die konkrete Anwendung sinnvoll oder vorgeschrieben?

Häufige Fragen

Gilt der EU AI Act auch für kleine Unternehmen?

Die Größe allein entscheidet nicht, ob der AI Act anwendbar ist. Maßgeblich sind unter anderem Rolle, Marktbezug und konkreter Einsatz. Für kleinere Unternehmen und Small Mid-Caps sind Erleichterungen vorgesehen; die genaue Einordnung hängt vom Fall ab.

Wir setzen nur ChatGPT ein — betrifft uns das?

Die Nutzung eines Chatbots allein sagt noch nicht, welche Pflichten gelten. Relevant sind der Zweck, die verarbeiteten Daten, die Interaktion mit Menschen und die Rolle des Unternehmens. Ein interner Texthilfsdienst ist anders zu beurteilen als der Einsatz bei einer folgenreichen Entscheidung.

Macht ein Managementstandard automatisch konform?

Nein. Management- und Risikostandards können Struktur geben, ersetzen aber nicht die rechtliche Bewertung und die Anforderungen an das konkrete System. Bei harmonisierten Standards kann künftig eine Konformitätsvermutung für abgedeckte Anforderungen relevant werden.

Fazit

Der beste Einstieg ist kein umfangreiches Compliance-Programm, sondern ein verlässlicher Überblick: Systeme sichtbar machen, Rollen klären, Risiken einordnen und Verantwortung benennen.

Damit entsteht eine Grundlage, auf der Technik, Organisation und rechtliche Prüfung sinnvoll zusammenarbeiten können. Das aktuelle EU AI Act Briefing fasst die nächsten Schritte kompakt zusammen.

Offizielle Quellen

• Europäische Kommission: AI Act und aktueller Anwendungszeitplan
• Europäische Kommission: Standardisierung und Zeitplan für Hochrisiko-Systeme
• EUR-Lex: Verordnung (EU) 2024/1689
• EUR-Lex: Digital-Omnibus-Verordnung (EU) 2026/1744

Stand: 8. August 2026. Dieser Artikel dient der allgemeinen Orientierung und ersetzt keine Rechtsberatung.