EU AI Act
EU AI Act: Pflichten für Unternehmen ab 2026
Ab 2. August 2026 gelten die zentralen Pflichten für Hochrisiko-Systeme und Transparenz.
Der EU AI Act (Verordnung 2024/1689/EU) staffelt seine Pflichten in mehreren Stufen. Die meisten Unternehmen trifft der 2. August 2026: Hochrisiko-Systeme, Kennzeichnungspflichten und Nachweise zur KI-Kompetenz werden verbindlich. AI Link erfüllt zentrale technische Anforderungen von Anfang an, mit Kennzeichnung, lückenlosem Prüfprotokoll (Audit-Trail) und menschlicher Freigabe kritischer Aktionen.
EU AI Act
technisch vorbereitet
2. Aug. 2026
nächste Pflicht-Stufe
Kurz erklärt
Was ändert sich am 2. August 2026?
Ab diesem Datum gelten die Pflichten für Hochrisiko-KI-Systeme nach Anhang III, die Transparenzpflichten aus Art. 50 (etwa Kennzeichnung von Chatbots und KI-generierten Inhalten) sowie die volle Bußgeldregelung. Verstöße können mit bis zu 35 Mio. € oder 7 % des weltweiten Jahresumsatzes geahndet werden (Art. 99).
Die Pflichten im Überblick
Was der EU AI Act konkret verlangt
Vier Bausteine, unabhängig von der Unternehmensgröße.
Der EU AI Act unterscheidet nach Risikoklasse, nicht nach Unternehmensgröße. Auch ein einzelner Chatbot kann in den Anwendungsbereich fallen, sobald er mit Kund:innen kommuniziert.
Risiko einordnen
Jeder KI-Anwendungsfall fällt in eine Risikoklasse: verboten, hochriskant, begrenztes oder minimales Risiko. Die Pflichten hängen komplett davon ab.
Transparenz herstellen
KI-generierte Inhalte, Chatbots und Deepfakes (täuschend echte KI-Fälschungen) müssen eindeutig gekennzeichnet sein (Art. 50). Nutzer:innen müssen wissen, dass sie mit einer KI interagieren.
Mitarbeitende schulen
Alle, die KI-Systeme bedienen oder deren Ausgaben nutzen, brauchen ausreichende KI-Kompetenz (Art. 4), seit Februar 2025 bereits Pflicht.
Nachweise führen
Für Hochrisiko-Systeme: Risikomanagement, Daten-Governance, technische Dokumentation und menschliche Aufsicht müssen belegbar sein, nicht nur zugesichert.
Der Zeitplan
Vier Stichtage, die zählen
Der EU AI Act gilt seit 2024, aber gestaffelt.
Verordnung (EU) 2024/1689 ist seit August 2024 in Kraft. Ihre Pflichten werden in vier Stufen anwendbar, jede davon verbindlich, sobald sie greift.
- 01
2. Februar 2025 – verbotene KI-Praktiken (Art. 5) und die Pflicht zur KI-Kompetenz der Mitarbeitenden (Art. 4) gelten bereits.
- 02
2. August 2025 – Pflichten für KI-Modelle mit allgemeinem Verwendungszweck (sogenannte GPAI-Modelle) und die Aufsichtsstruktur der Mitgliedstaaten greifen.
- 03
2. August 2026 – Hochrisiko-Systeme, Transparenzpflichten (Art. 50) und die volle Bußgeldregelung gelten für die meisten Unternehmen.
- 04
2. August 2027 – letzte Übergangsfrist für Hochrisiko-Systeme, die Sicherheitsbauteile bereits regulierter Produkte sind (Anhang I).
Für AI-Link-Kundschaft: Kennzeichnung, Prüfprotokoll und menschliche Freigabe kritischer Aktionen sind von Anfang an aktiv, nicht erst ab einer gesetzlichen Frist.
Zwei Wege, die Pflichten zu erfüllen
Richtlinie auf Papier vs. Durchsetzung im System
Der EU AI Act verlangt Nachweise, keine Absichtserklärungen.
- KI-Kompetenz-Nachweis
- Liste, meist einmalig gepflegt
- Kennzeichnung von KI-Interaktionen
- Manuell in Fußzeile oder Hinweistext
- Menschliche Aufsicht
- Dokumentiert, aber nicht erzwungen
- Nachweisbarkeit
- Screenshots, E-Mail-Verlauf
- Reaktion bei einer Kontrolle
- Nachträglich rekonstruieren
- KI-Kompetenz-Nachweis
- Rollen- und Zugriffsprotokoll pro Nutzer:in
- Kennzeichnung von KI-Interaktionen
- Automatisch in jedem Chat-Gespräch
- Menschliche Aufsicht
- Technische Freigabe-Schranke vor kritischen Aktionen
- Nachweisbarkeit
- Lückenloses, exportierbares Prüfprotokoll
- Reaktion bei einer Kontrolle
- Sofort exportierbarer Nachweis
Was AI Link® mitbringt
Pflichten, die das Produkt schon erfüllt
Sechs Bausteine, die aus einer gesetzlichen Pflicht eine eingebaute Eigenschaft machen.
Automatische Kennzeichnung
Jedes Chat-Gespräch ist eindeutig als KI-Unterhaltung erkennbar und erfüllt die Transparenzpflicht aus Art. 50 automatisch. Dasselbe gilt für den angekündigten Telefon-Assistenten, sobald er verfügbar ist.
Freigabe-Schranke für Agenten
Kritische Aktionen selbstständig arbeitender KI-Agenten laufen erst nach menschlicher Freigabe. Das erfüllt die Pflicht zur menschlichen Aufsicht direkt im Arbeitsablauf.
Lückenloses Prüfprotokoll
Jede Anfrage, jede Anonymisierung und jede Freigabe ist protokolliert und für Behörden oder interne Prüfungen exportierbar (ein sogenannter Audit-Trail).
Einführung mit KI-Kompetenz
Jede Team-Einführung vermittelt die Grundlagen im Umgang mit KI-Systemen, dokumentiert für den Art.-4-Nachweis.
Risikoklassifizierung inklusive
Wir helfen einordnen, welche Anwendungsfälle als hochriskant gelten und welche Pflichten konkret daraus folgen.
PII-Anonymisierung vorgeschaltet
Personenbezogene Daten werden anonymisiert, bevor ein Modell sie sieht, unabhängig von der Risikoklasse ein zusätzliches Sicherheitsnetz.
Verwandte Themen
Tiefer einsteigen
Verwandte Themen rund um Datenschutz, Pflichten und KI im Unternehmen.
DSGVO-konforme KI im Detail
Automatische Anonymisierung, Hosting in Deutschland und Rechtsgrundlagen, technisch statt nur vertraglich.
KI-Kompetenz nach Art. 4
Seit Februar 2025 Pflicht: was der EU AI Act an nachweisbarer KI-Kompetenz verlangt und wie du sie aufbaust.
Mit deinem Datenschutzbeauftragten sprechen
30 Minuten, um Risikoklassifizierung und Nachweispflichten konkret für euren Anwendungsfall durchzugehen.
Häufige Fragen
Häufige Fragen zum EU AI Act
Antworten auf die Fragen, die uns Geschäftsführung und Datenschutzbeauftragte stellen.
Für wen gilt der EU AI Act?
Für jedes Unternehmen, das KI-Systeme innerhalb der EU anbietet, betreibt oder deren Ergebnisse nutzt, unabhängig vom Firmensitz. Entscheidend ist nicht die Unternehmensgröße, sondern ob ein Anwendungsfall in eine der vier Risikoklassen fällt: verboten, hochriskant, begrenztes oder minimales Risiko.
Was passiert konkret am 2. August 2026?
Die Pflichten für Hochrisiko-KI-Systeme nach Anhang III werden anwendbar, ebenso die Transparenzpflichten aus Art. 50, etwa die Kennzeichnung von Chatbots und KI-generierten Inhalten. Für die meisten Unternehmen ist das der Stichtag, an dem der EU AI Act vom Konzept zur täglichen Pflicht wird.
Welche Bußgelder drohen bei Verstößen?
Nach Art. 99 EU AI Act drohen je nach Verstoß bis zu 35 Mio. € oder 7 % des weltweiten Jahresumsatzes für verbotene Praktiken, bis zu 15 Mio. € oder 3 % für andere Pflichtverletzungen und bis zu 7,5 Mio. € oder 1 % für falsche Angaben gegenüber Behörden. Es gilt jeweils der höhere Betrag.
Reicht eine interne Richtlinie zur KI-Nutzung aus?
Als Ausgangspunkt ja, als alleiniger Nachweis nicht. Der EU AI Act verlangt Nachweise: Risikomanagement, technische Dokumentation, Protokollierung und im Streitfall belastbare Belege. Eine Richtlinie ohne technische Durchsetzung lässt sich im Ernstfall schwer beweisen.
Was bedeutet die Pflicht zur KI-Kompetenz aus Art. 4?
Seit Februar 2025 müssen Anbieter und Betreiber von KI-Systemen sicherstellen, dass ihr Personal über ausreichende Kenntnisse im Umgang mit KI verfügt, angemessen zu Technik, Risiken und Grenzen des jeweiligen Systems. Eine einmalige Einführung reicht dafür in der Regel nicht.
Ist ein einzelner Chatbot schon ein Hochrisiko-System?
In den meisten Fällen nicht automatisch, aber die Transparenzpflicht aus Art. 50 gilt trotzdem: Nutzer:innen müssen erkennen können, dass sie mit einer KI kommunizieren. Ob ein System als hochriskant gilt, hängt vom konkreten Einsatzzweck ab, etwa bei Personalentscheidungen, Kreditvergabe oder kritischer Infrastruktur.
Wie unterstützt AI Link bei der Umsetzung?
AI Link erfüllt zentrale technische Anforderungen von Haus aus: automatische Kennzeichnung von KI-Unterhaltungen, eine Freigabe-Schranke vor kritischen Agenten-Aktionen, ein lückenloses Prüfprotokoll und vorgeschaltete Anonymisierung personenbezogener Daten. Eine vollständige Rechtsprüfung ersetzt das nicht, reduziert aber den organisatorischen Aufwand erheblich.
Bereit vor der Frist
Bereite dich auf den EU AI Act vor, nicht nur auf dem Papier
30 Minuten, um zu klären, welche Pflichten euren Anwendungsfall betreffen.
Wir zeigen dir in einer Demo, wie Kennzeichnung, Freigabe-Schranke und Prüfprotokoll bei AI Link konkret aussehen.