Der EU AI Act ist das weltweit erste umfassende Regelwerk für Künstliche Intelligenz. Für Unternehmen heißt das: KI-Systeme müssen künftig nach ihrem Risiko eingeordnet, teils dokumentiert und überwacht werden. Entscheidend ist dabei nicht, dass Sie KI nutzen, sondern wie – denn die Verordnung gilt ausdrücklich auch für Betreiber, nicht nur für Anbieter. Die gute Nachricht: Die meisten Unternehmen sind deutlich weniger betroffen, als die Schlagzeilen vermuten lassen.
Vier Risikoklassen – und wo die meisten Unternehmen stehen
Der AI Act unterscheidet vier Stufen: verbotene KI (z. B. Social Scoring oder manipulative Systeme), Hochrisiko-KI (z. B. KI im Recruiting, bei der Kreditvergabe, in kritischer Infrastruktur, Medizin oder Bildung), begrenztes Risiko (z. B. Chatbots und KI-generierte Inhalte mit Transparenzpflicht) und minimales Risiko (z. B. KI für interne Texte). Wer ChatGPT, Copilot oder Claude für Texte, Recherche oder Code nutzt, bewegt sich meist im minimalen oder begrenzten Bereich. Zum Hochrisiko-Fall wird es schnell dort, wo KI über Menschen entscheidet – etwa bei der automatisierten Bewerbervorauswahl.
Was schon heute gilt – und welche Fristen verschoben wurden
Bereits in Kraft: Seit Februar 2025 sind verbotene Praktiken untersagt, und es gilt die KI-Kompetenzpflicht nach Art. 4 – unabhängig von der Unternehmensgröße. Jedes Unternehmen, das KI beruflich einsetzt, muss sicherstellen, dass die Mitarbeitenden Chancen, Grenzen und Risiken ausreichend verstehen. Seit August 2025 gelten zusätzlich Regeln für allgemeine KI-Modelle (GPAI).
Die schweren Hochrisiko-Pflichten waren ursprünglich ab August 2026 vorgesehen. Über den „Digital Omnibus“ haben sich EU-Parlament und Rat im Mai 2026 jedoch auf eine Verschiebung geeinigt: Eigenständige Hochrisiko-Systeme greifen voraussichtlich erst ab Dezember 2027, in Produkte eingebettete ab August 2028; Kennzeichnungspflichten für KI-Inhalte folgen Ende 2026. Die formale Verabschiedung wird für Sommer 2026 erwartet.
Bußgelder – und was Unternehmen jetzt tun sollten
Die möglichen Sanktionen sind DSGVO-ähnlich erheblich: bis zu 35 Mio. € oder 7 % des weltweiten Jahresumsatzes. Trotz der verschobenen Fristen lohnt sich der Einstieg jetzt – pragmatisch statt bürokratisch:
- KI-Inventur: Welche Tools werden von wem und wofür genutzt?
- Risikoklassifizierung: minimal, begrenzt oder Hochrisiko?
- KI-Richtlinie: zugelassene Tools, erlaubte Daten, Verantwortlichkeiten, Kennzeichnung.
- Schulung: ausreichende KI-Kompetenz nach Art. 4 – angepasst an Rolle und Risiko.
- Transparenz: Hinweis auf KI bei Chatbots und KI-generierten Inhalten.
Fazit: pragmatische KI-Governance statt Aktionismus
Für die meisten Mittelständler ist nicht die juristische Tiefe das Problem, sondern das Fehlen einer dokumentierten, gelebten KI-Governance. Genau hier setzt der AI Act schon heute an – und genau hier lässt sich mit überschaubarem Aufwand viel erreichen. Eine schlanke KI-Richtlinie, ein Tool-Verzeichnis und eine kurze Schulung decken den realistischen Bedarf vieler Unternehmen bereits ab.
Sie möchten KI rechtssicher und transparent in Ihre Website und Prozesse einbinden? Sprechen Sie uns an – wir unterstützen bei KI-Governance, transparenter Kennzeichnung und der sauberen technischen Umsetzung in WordPress.
Dieser Beitrag bietet allgemeine Informationen und ersetzt keine Rechtsberatung.


















