EU AI Act für Unternehmen¶
Regelungsbereich und betroffene Unternehmen¶
Der EU AI Act reguliert KI-Systeme nach Risiko. Er betrifft nicht nur große Sprachmodelle, sondern potenziell jedes System, das maschinengestützt arbeitet, in unterschiedlichem Grad autonom ist und aus Eingaben Vorhersagen, Inhalte, Empfehlungen oder Entscheidungen ableitet, die eine Umgebung beeinflussen können (Niessner 2026).
Für die meisten Unternehmen ist die Betreiberrolle entscheidend. Anbieter entwickeln oder lassen KI-Systeme entwickeln und bringen sie in Verkehr. Betreiber setzen KI-Systeme beruflich in eigener Verantwortung ein. Nutzer:innen verwenden KI-Systeme. Auch Drittlandanbieter fallen in den Anwendungsbereich, wenn die KI in der EU eingesetzt wird (Niessner 2026).
Abbildung: Die Rollen Anbieter, Betreiber und Nutzer bestimmen, welche Pflichten ein Unternehmen im AI Act prüfen muss. Die meisten Unternehmen sind Betreiber, weil sie KI-Lösungen einkaufen und in eigener Verantwortung einsetzen. Quelle: Niessner 2026.
Konkrete Pflichten und Prüfpunkte¶
Für KMU ist diese Einordnung besonders wichtig, weil die meisten alltäglichen Anwendungen nicht automatisch Hochrisiko-Systeme sind. Eine einfache Prüf-Reihenfolge lautet: zuerst klären, ob überhaupt KI vorliegt, dann die eigene Rolle und Risikoklasse bestimmen, danach Datenschutz, Urheberrecht, Cybersecurity, Human-in-the-Loop, Faktencheck und Biascheck einbauen (Illibauer 2026).
Ordnen Sie jedes KI-System zuerst einer Risikogruppe zu: verbotenes inakzeptables Risiko, Hochrisiko, begrenztes Risiko oder minimales Risiko. Je höher das Risiko, desto strenger werden Pflichten, Dokumentation, Kontrolle und Sanktionen (Niessner 2026).
Abbildung: Die Risikopyramide macht das Grundprinzip des AI Act sichtbar: minimale Risiken haben kaum Pflichten, begrenzte Risiken Transparenzpflichten, Hochrisiko-Systeme strenge Anforderungen und inakzeptable Risiken sind verboten. Quelle: Niessner 2026.
Verbotene Praktiken umfassen unter anderem Social Scoring, bestimmte Emotionserkennung am Arbeitsplatz und im Bildungswesen, Ausnutzung von Schwächen, unterschwellige Manipulation, ungezieltes Auslesen von Bildern für Gesichtserkennung, biometrische Kategorisierung sensibler Merkmale und bestimmte Predictive-Policing-Anwendungen. Verstöße können mit bis zu 7 Prozent des weltweiten Jahresumsatzes sanktioniert werden (Niessner 2026).
Hochrisiko-Systeme betreffen unter anderem Sicherheitskomponenten, biometrische Systeme, kritische Infrastruktur, Bildung, Beschäftigung, öffentliche Dienste, Strafverfolgung und Justiz. Für normale Unternehmen ist besonders HR relevant: Einstellung, Beförderung, Kündigung oder vergleichbare Personalentscheidungen können Hochrisiko-Pflichten auslösen (Niessner 2026).
Abbildung: Hochrisiko-KI verlangt unter anderem Grundrechte-Folgenabschätzung, Registrierung, Risikomanagement, Data Governance, Dokumentation, menschliche Aufsicht sowie Robustheit und Security. Betreiber müssen prüfen, ob Anbieter diese Anforderungen belastbar erfüllen. Quelle: Niessner 2026.
Begrenztes Risiko betrifft viele generative KI-Anwendungen wie Chatbots, Bildgeneratoren, Video- und Audio-KI. Die Hauptpflicht ist Transparenz: Nutzer:innen sollen erkennen, dass sie mit KI interagieren oder KI-generierte Inhalte sehen. Bei General-Purpose-AI-Modellen mit systemischem Risiko kommen zusätzliche Pflichten wie Evaluierungen, Red-Teaming und Incident Reporting hinzu (Niessner 2026).
Abbildung: Bei begrenztem Risiko steht Transparenz im Vordergrund. Chatbots müssen als KI erkennbar sein, KI-generierte Inhalte brauchen Kennzeichnung und Anbieter müssen unter anderem Urheberrecht, Bias-Maßnahmen und Effizienz adressieren. Quelle: Niessner 2026.
Typische Risiken und Praxisfehler¶
Viele KMU überschätzen oft die Strafdrohung und unterschätzen gleichzeitig die einfachen organisatorischen Pflichten. Die künftige Aufsicht wird voraussichtlich stark auf Beratung, nachvollziehbare Auseinandersetzung und Verbesserung setzen; wer Fragen ignoriert oder Auflagen nicht umsetzt, erhöht dagegen das Sanktionsrisiko (Illibauer 2026).
Viele Unternehmen glauben, der AI Act sei nur ein Thema für Anbieter großer Modelle. Tatsächlich müssen auch Betreiber prüfen, welche KI-Systeme sie einsetzen, in welcher Risikokategorie diese liegen und ob Anbieterunterlagen, Transparenz, Schulung, Dokumentation und interne Verantwortung passen (Niessner 2026).
Ein zweiter Fehler liegt in fehlender KI-Kompetenz. Art. 4 AIA verpflichtet Anbieter und Betreiber, nach besten Kräften sicherzustellen, dass Personen, die KI-Systeme betreiben oder nutzen, über ausreichende KI-Kompetenz verfügen. Die Art der Schulung ist nicht festgelegt; die Pflicht konkretisiert aber unternehmerische Sorgfalt (Niessner 2026).
Für die Management-Praxis hilft eine einfache Reihenfolge: Zuerst prüfen, ob ein KI-System oder nur ein KI-Modell vorliegt; danach Rolle, Risikoklasse, Einsatzbereich und Zweck bestimmen; erst dann Dokumentationspflichten, Transparenz und Schulung planen. Für Führungskräfte ist diese Reihenfolge wichtiger als juristische Detailbegriffe, weil sie den Einstieg in die Compliance-Arbeit strukturiert (Rohrlich 2025).
Als Mindestdokumentation sollten Betreiber auch bei nicht hochriskanten Systemen festhalten: Tool, Anbieter, Zweck, Datenarten, Nutzergruppen, Risikoeinstufung, Freigabe, Schulungsnachweis, Transparenzhinweise und menschliche Prüfpflichten. Bei Hochrisiko-Systemen kommen strengere Nachweise hinzu, etwa Protokolle, Grundrechte-Folgenabschätzung und Nachweise zur Anbieter-Compliance (Rohrlich 2025).
Abbildung: Die Folie zeigt die Sanktionslogik des AI Act: bis zu 7 Prozent Jahresumsatz oder 35 Millionen Euro bei verbotenen Praktiken, 3 Prozent oder 15 Millionen Euro bei sonstigen Verstößen und 1,5 Prozent oder 7,5 Millionen Euro bei falschen Informationen. Quelle: Niessner 2026.
Stand der Einordnung¶
Diese Seite fasst AI-Act-Grundlagen für Unternehmen zusammen und ergänzt sie um eine KMU-Perspektive. Stand der Wiki-Einordnung: 2026-05-29. Da einzelne Fristen, Auslegung und geplante Änderungen laufend konkretisiert werden, sollten Unternehmen für konkrete Systeme Risikoklassifizierung, Anbieterunterlagen und interne Pflichten aktuell prüfen (Niessner 2026).
Weitere praktische Einordnung bietet AI Act Checkliste für KMU (Illibauer 2026).