EU AI Act 2026: Was Unternehmen jetzt umsetzen müssen

Der EU AI Act wird 2026 für die meisten Organisationen in der EU wirksam – und betrifft nicht nur Entwickler, sondern alle Unternehmen, die KI einkaufen, integrieren oder betreiben. Wer jetzt strukturiert vorgeht, vermeidet Reibungsverluste, unnötige Kosten und rechtliche Risiken.

Dieser Leitfaden bündelt die wichtigsten Pflichten für Unternehmen, erklärt Rollen und Risikoklassen, und liefert eine sofort nutzbare Roadmap inklusive Checklisten. So kommen Sie zügig von der Inventur zur belastbaren AI Compliance 2026.

Sie erhalten außerdem Best Practices, typische Fehler und eine Einkaufs-Checkliste für Anbieter. Ziel: schnelle Orientierung, pragmatische Umsetzung und Sicherheit bei Audit und Nachweispflichten.

TL;DR

Der EU AI Act ordnet KI in Risikoklassen ein; daraus folgen konkrete Pflichten für Anbieter und Betreiber.
Unternehmen müssen bis 2026 ein KI-Inventar, Risikobewertungen, Governance-Prozesse und Dokumentation aufsetzen.
Für generative KI gelten Transparenz- und Kennzeichnungspflichten; High-Risk-KI erfordert ein formales Risikomanagement.
Bestehende Compliance (z. B. DSGVO, ISO 27001) nutzen und mit AI-spezifischen Kontrollen ergänzen.
Starten Sie mit einer 6-Schritte-Roadmap: Inventur, Klassifizierung, Policies, Maßnahmen, Verträge, Monitoring.

Was bedeutet der EU AI Act? Definition

Der EU AI Act ist eine EU-Verordnung, die den Einsatz von Künstlicher Intelligenz nach Risiken reguliert. Er legt Pflichten für unterschiedliche Rollen fest (z. B. Anbieter, Inverkehrbringer, Händler, Betreiber/Nutzer) und definiert Anforderungen an Datenqualität, Dokumentation, Transparenz, menschliche Aufsicht, Sicherheit und Überwachung im Betrieb.

Ziel ist es, KI vertrauenswürdig und sicher zu gestalten, ohne Innovation abzuwürgen. Für Unternehmen heißt das: systematisch prüfen, wo KI genutzt wird, welche Risiken bestehen und welche Nachweise erbracht werden müssen.

EU AI Act: Pflichten für Unternehmen 2026 im Überblick

Nicht nur Entwicklungsabteilungen sind betroffen. Jede Organisation, die KI einkauft, integriert oder einsetzt, fällt unter die Verordnung. Die wichtigsten Pflichten für Unternehmen (deployer/Betreiber) und ggf. für Anbieter (provider), wenn Sie selbst KI-Systeme entwickeln und vermarkten:

KI-Inventar und Risiko-Klassifizierung aller Anwendungsfälle
Governance: Rollen, Verantwortlichkeiten, Freigabeprozesse, Schulungen
Technische und organisatorische Maßnahmen (TOMs) inkl. Daten- und Modellkontrollen
Dokumentation: Systembeschreibungen, Datenquellen, Tests, menschliche Aufsicht
Transparenz: Nutzerhinweise, Kennzeichnung KI-generierter Inhalte (wo gefordert)
Monitoring im Betrieb, Vorfall- und Verbesserungsprozesse
Lieferanten- und Vertragsmanagement mit AI-relevanten Zusicherungen

Praxis-Tipp: Verknüpfen Sie AI Compliance mit bestehenden GRC-Prozessen (z. B. ISMS, DSGVO, Produkt-Compliance). So vermeiden Sie Parallelwelten und Audit-Dopplungen.

Risikoklassen und AI Act Pflichten

Der EU AI Act unterscheidet grob vier Risikokategorien. Daraus ergeben sich abgestufte Pflichten.

Risikoklasse	Typische Beispiele (vereinfacht)	Hauptpflichten Anbieter (Provider)	Hauptpflichten Betreiber (Deployer)
Verboten	Bestimmte manipulative Systeme, unzulässige Überwachung	Nicht in Verkehr bringen	Nicht einsetzen
Hoch-Risiko	KI in kritischen Bereichen (z. B. HR/Recruiting, Bildung, Gesundheit, kritische Infrastrukturen, bestimmte biometrische Systeme)	Risikomanagement, Daten- und Modell-Governance, Technische Dokumentation, Logging, Robustheit/Sicherheit, Konformitätsbewertung, Post-Market-Monitoring	Geeignete Daten, Schulung/Aufsicht, Zweckbindung, Transparenz ggü. Nutzern, Logging/Monitoring, Incident-Handling, Gebrauch im Rahmen der Anweisungen
Begrenztes Risiko	Chatbots, Empfehlungssysteme, generative KI im Office-Kontext	Transparenzinformationen, ggf. Kennzeichnung	Nutzerhinweise, Kennzeichnung, angemessene Kontrollen, Missbrauchsprävention
Minimales Risiko	Interne Tools mit geringem Einfluss	Good Practices	Good Practices

Hinweis: Die konkrete Einordnung hängt vom Use Case, dem Kontext und dem Einfluss auf Personen ab.

Rollen verstehen: Wer ist wofür verantwortlich?

Anbieter (Provider): Entwickeln ein KI-System und bringen es in Verkehr. Tragen umfangreiche Pflichten bzgl. Qualität, Dokumentation, Konformitätsbewertung.
Inverkehrbringer/Importeur/Händler: Bringen Systeme in die EU oder vertreiben sie. Prüfen Konformität und informieren über Änderungen/Vorfälle.
Betreiber/Nutzer (Deployer): Setzen KI im eigenen Kontext ein. Müssen Vorgaben befolgen, Transparenz sicherstellen, Datenqualität wahren, Monitoring betreiben.
Integrator/Systemhaus: Kann je nach Änderungstiefe selbst zum Anbieter werden.

Praxis-Tipp: Rollen können gleichzeitig vorliegen. Beispiel: Sie kaufen ein Modell ein, bauen eine domänenspezifische Lösung darum und vertreiben diese an Kunden – dann sind Sie sowohl Deployer als auch Provider.

Schritt-für-Schritt: Ihre AI-Compliance-Roadmap bis 2026

Use-Case-Inventur

Liste aller KI-gestützten Prozesse/Tools anlegen (inkl. Shadow-IT einsammeln)
Zweck, betroffene Personengruppen, Datenarten, Entscheidungseinfluss dokumentieren

Risiko-Klassifizierung

Vorläufige Zuordnung in Risiko-Kategorien nach AI Act
Schnittstelle zur DSGVO-Folgenabschätzung (wo personenbezogene Daten betroffen sind)

Governance und Policies

Rollen/Verantwortlichkeiten (Product Owner, Risk Owner, Human Oversight) festlegen
AI Policy, Prompt/Use-Guidelines, Zulassungsprozess für neue KI-Systeme definieren

Technische und organisatorische Maßnahmen

Daten-Governance (Datenquellen, Qualität, Bias-Prüfungen)
Evaluations- und Testkonzepte, Red-Teaming bei sensiblen Use Cases
Logging, Versionierung, Rollback-Strategien, Not-Aus (Kill Switch)

Lieferanten- und Vertragsmanagement

AI-spezifische Vertragsklauseln (Transparenz, Model Cards, Support bei Audits)
Sicherheit, IP/Urheberrechte, Trainingsdaten-Herkunft, Subprozessoren

Betrieb, Monitoring, Vorfälle

KPIs/Trigger für Re-Tests, Änderungsmanagement
Melde- und Eskalationsprozesse für Vorfälle, kontinuierliche Verbesserung

Praxis-Tipp: Starten Sie mit einer Pilot-Produktlinie oder einem priorisierten Geschäftsprozess. Lernen, standardisieren, dann skalieren.

Technische und organisatorische Maßnahmen (TOMs) für AI Compliance

Datenqualität und -herkunft: Dokumentieren Sie Quellen, Bereinigungen, Lizenzlage.
Trainings-/Eval-Splits: Reproduzierbare Experimente, Baselines, Drift-Überwachung.
Bias/Risk-Assessments: Methodisch sauber, mit Domänenwissen verankert.
Human-in-the-Loop: Entscheidungsstufen mit klarer menschlicher Kontrolle.
Transparenz: Nutzerhinweise, Modell-/Systemkarten, Limitations, bekannte Failure Modes.
Content-Kennzeichnung: Wo gefordert, KI-generierte Inhalte kenntlich machen.
Sicherheit: Schnittstellenhärtung, Rate Limits, Prompt Injection- und Data-Exfiltration-Schutz.
Logging: Eingaben/Ausgaben, Modelle/Versionen, Entscheidungen, Overrides.

Optionales Artefakt-Beispiel für Ihr internes KI-Register:

# ki-systemregister.yml
- id: HR-001
  name: CV-Screening-Assistent
  rolle: deployer
  risikoklasse: hoch
  daten: ["Lebenslaufdaten", "Notizen HR"]
  oversight: "Vier-Augen-Prinzip, Freigabe HR-Lead"
  kontrolle: ["Bias-Test quartalsweise", "Drift-Monitoring"]
  lieferant: "VendorX v3.2"
  letzte_pruefung: "2026-01-15"

Integration mit bestehenden Frameworks und DSGVO

DSGVO: Prüfen Sie Rechtsgrundlagen, Transparenzpflichten, Betroffenenrechte und Datensparsamkeit. AI Act ergänzt, ersetzt aber keine Datenschutzpflichten.
Informationssicherheit: ISO/IEC 27001/27701-Inhalte für Zugriff, Logging, Lieferantensteuerung nutzen.
AI-Management: Orientieren Sie sich an etablierten Frameworks (z. B. NIST AI RMF, ISO/IEC 23894 für Risikomanagement, ISO/IEC 42001 für AI-Managementsysteme), wenn passend.
Produkt- und Haftungsrecht: Behalten Sie Produktsicherheit und mögliche Haftungsfragen im Blick, insbesondere bei KI-gestützten Entscheidungen.

Praxis-Tipp: Vermeiden Sie Doppelprüfungen. Verankern Sie AI-Risiken im bestehenden Risiko-Register und referenzieren Sie AI-spezifische Kontrollen dort.

Typische Fehler bei der Umsetzung – und wie Sie sie vermeiden

Zu spät starten: Inventur und Rollenklärung dauern. Beginnen Sie sofort mit einem Minimal-Register.
Nur auf Technik fokussieren: Ohne Governance, Schulung und Verträge bleibt die Kontrolle lückenhaft.
Unklare Verantwortung: Benennen Sie einen AI Compliance Lead und Risk Owner pro Use Case.
Fehlende Dokumentation: „Wenn es nicht dokumentiert ist, existiert es im Audit nicht.“
Lieferanten-Blackbox: Verlangen Sie Artefakte (System-/Model Cards, Evaluations), nicht nur Marketingfolien.

Beschaffung und Vendor-Management: Fragen an Anbieter

Welche Trainingsdaten-Quellen wurden genutzt und wie ist die Lizenz-/Rechtslage?
Gibt es Model/System Cards, Limitations und dokumentierte Failure Modes?
Welche Evaluations (Bias, Robustheit, Security) wurden durchgeführt – mit welchen Metriken?
Unterstützt der Anbieter Audits, liefert Logs/Exporte und informiert proaktiv über signifikante Änderungen?
Wie werden Vorfälle gemeldet, Patches verteilt und Modelle versioniert?
Welche Maßnahmen existieren gegen Prompt Injection, Jailbreaks und Datenabfluss?

Praxis-Tipp: Verankern Sie AI-spezifische Zusicherungen in SLAs. Beispiel: Reaktionszeiten bei Vorfällen, Offenlegung signifikanter Modellupdates, Bereitstellung von Testumgebungen.

Transparenz und Kennzeichnung von KI-Inhalten

Für viele „begrenzte Risiken“ verlangt der AI Act verständliche Hinweise, dass Nutzer mit KI interagieren. Bei generativen Systemen kann eine Kennzeichnung KI-erzeugter Inhalte erforderlich sein, abhängig vom Kontext.

Pragmatische Umsetzung:

Nutzer-Hinweis in UI und Hilfecenter
Wasserzeichen/Metadaten, wo praktikabel
Redaktionsrichtlinien für menschliche Prüfung vor externer Veröffentlichung

Dokumentation, Monitoring und Vorfälle

Dokumentation: Zweck, Architektur, Daten, Evaluations, Grenzen, Aufsichtsmechanismen.
Monitoring: Qualitätsmetriken, Nutzungsanomalien, Daten-/Modell-Drift.
Änderungen: Release-Gates mit Risiko-Check; Re-Evaluations bei signifikanten Updates.
Vorfälle: Meldekanal, Erstbewertung, Eskalation, Korrekturmaßnahmen, Lessons Learned.

Checkliste Betrieb:

KPIs und Alarme definiert
Review-Kadenz (monatlich/vierteljährlich) geplant
Änderungsmanagement mit Freigaben
Schulungen und Awareness aktuell
Vorfallübungen (Tabletop) durchgeführt

Abgrenzung: EU AI Act und „KI Gesetz Deutschland“

Häufig wird vom „KI Gesetz Deutschland“ gesprochen. Der maßgebliche Rechtsrahmen ist jedoch der EU AI Act als EU-Verordnung. Nationale Stellen in Deutschland werden Aufsicht und Verfahren konkretisieren, doch die materiellen Pflichten ergeben sich primär aus der EU-Regelung. Unternehmen sollten sich daher auf die EU-Vorgaben fokussieren und ergänzende nationale Leitlinien beachten.

Häufige Fragen (FAQ)

Gilt der EU AI Act auch, wenn wir nur fertige KI-Produkte einkaufen?

Ja. Auch als Betreiber/Nutzer (deployer) haben Sie Pflichten, z. B. Transparenz, Datenqualität, Monitoring und die Nutzung im vorgesehenen Zweck. Zudem sollten Lieferverträge AI-relevante Nachweise absichern.

Betrifft der AI Act auch kleine und mittlere Unternehmen (KMU)?

Grundsätzlich ja, allerdings ist die Belastung abhängig von Ihren Use Cases und Rollen. Nutzen Sie risikobasierte Priorisierung und standardisierte Vorlagen, um Aufwand zu begrenzen.

Wie unterscheiden sich Anbieter und Betreiber konkret?

Anbieter entwickeln und bringen KI in Verkehr und tragen umfassende Pflichten zu Entwicklung, Dokumentation und Konformität. Betreiber setzen Systeme ein und müssen u. a. Transparenz, geeignete Daten, Aufsicht und Monitoring sicherstellen.

Müssen wir alle generativen KI-Ausgaben kennzeichnen?

Das hängt vom Einsatzkontext ab. Wo Nutzer sonst annehmen würden, mit Menschen oder Originalinhalten zu interagieren, ist ein deutlicher Hinweis bzw. eine Kennzeichnung angezeigt. Richten Sie klare Redaktions- und Freigabeprozesse ein.

Wie passt der EU AI Act zur DSGVO?

Beide greifen ineinander: Der AI Act adressiert KI-spezifische Risiken und Nachweise; die DSGVO bleibt für personenbezogene Daten maßgeblich. Prüfen Sie beides gemeinsam, insbesondere Transparenz, Rechtsgrundlage und Betroffenenrechte.

Welche Strafen drohen bei Verstößen?

Es sind spürbare, teils umsatzbezogene Sanktionen vorgesehen. Entscheidend ist die Schwere des Verstoßes (z. B. verbotene Praktiken versus Dokumentationsmängel). Prävention und saubere Nachweise reduzieren das Risiko erheblich.

Dürfen wir Open-Source-Modelle einsetzen?

Ja, sofern Sie die Pflichten als Betreiber erfüllen und Lizenzen sowie Trainingsdaten-Herkunft berücksichtigen. Dokumentation, Evaluations und Sicherheit sind auch bei Open Source essenziell.

Sind Foundation-/General-Purpose-Modelle (GPAI) besonders geregelt?

Für breite Basismodelle bestehen zusätzliche Transparenz- und Sicherheitsanforderungen auf Anbieterseite. Als Betreiber sollten Sie entsprechende Nachweise vom Anbieter einfordern und den konkreten Einsatzkontext absichern.

Brauchen wir ein eigenes AI-Managementsystem?

Nicht zwingend, aber empfehlenswert. Ein schlankes AI-Managementsystem (z. B. angelehnt an ISO 42001) integriert Rollen, Prozesse und Artefakte und erleichtert Audits sowie Skalierung.

Ab wann müssen wir konkret compliant sein?

Es gibt gestaffelte Übergangsfristen. Wer 2026 einsatzbereit sein will, sollte 2025 mit Inventur, Governance und Kernkontrollen starten und priorisierte Use Cases frühzeitig zur Reife bringen.

Fazit

Der EU AI Act bringt Klarheit – und Arbeit. Wer jetzt ein Inventar aufbaut, Risiken klassifiziert, Governance etabliert und Lieferanten in die Pflicht nimmt, schafft bis 2026 eine tragfähige AI Compliance. Nutzen Sie vorhandene GRC-Strukturen, ergänzen Sie AI-spezifische Kontrollen und dokumentieren Sie konsequent.

Benötigen Sie Unterstützung bei Inventar, Risikoklassifizierung oder AI-Policies? Buchen Sie unsere Compliance-Beratung: Wir entwickeln mit Ihnen eine passgenaue Roadmap, liefern Vorlagen und bringen Ihre KI-Projekte sicher durch 2026.

Lasst uns über eure Zukunft sprechen