EU AI Act: was gilt, ab wann, und was Sie klären müssen

Kurz gesagt

Der EU AI Act ist eine europäische Verordnung, die seit August 2024 in Kraft ist und seitdem in Stufen anwendbar wird; die Omnibus-Verordnung vom Juli 2026 hat Fristen verschoben und Artikel 4 zur KI-Kompetenz neu gefasst. Das Gesetz knüpft seine Pflichten an Rollen wie Anbieter und Betreiber und an Merkmale eines KI-Systems. Dieser Leitfaden führt durch Fristen, Begriffe, Kapitel, Artikel 4 und die Bestandsaufnahme. Für Ihr Unternehmen heißt das: Den Sachverhalt tragen Sie selbst zusammen, die Einordnung ist Sache einer rechtlichen Prüfung.

Worum es im EU AI Act geht

Der EU AI Act ist die Verordnung (EU) 2024/1689, auf Deutsch KI-Verordnung. Nach ihrem Schlusssatz ist sie in allen ihren Teilen verbindlich und gilt unmittelbar in jedem Mitgliedstaat. Sie ist am 1. August 2024 in Kraft getreten und wird kapitelweise anwendbar; die Omnibus-Verordnung, Verordnung (EU) 2026/1744, hat diesen Zeitplan im Juli 2026 geändert.

Die Verordnung verteilt Pflichten auf Rollen: vor allem auf den Anbieter, der ein KI-System entwickelt oder entwickeln lässt und unter eigenem Namen in Verkehr bringt oder in Betrieb nimmt, und den Betreiber, der es in eigener Verantwortung verwendet, außer im Rahmen einer persönlichen und nicht beruflichen Tätigkeit. Welche Vorschriften gelten, hängt außerdem an Merkmalen der Anwendung; die Verordnung ordnet verbotene Praktiken, Hochrisiko-KI-Systeme, Transparenzfälle und KI-Modelle mit allgemeinem Verwendungszweck in eigenen Kapiteln.

Was dieser Leitfaden leistet und was nicht

Die Bausteine zum EU AI Act referieren. Sie geben wieder, was im Gesetzestext und in den amtlichen Quellen steht, jeweils mit Fundstelle und Prüfdatum. Sie sagen nicht, ob ein bestimmtes Unternehmen Anbieter oder Betreiber ist, ob eine Anwendung hochriskant ist oder welche Pflicht es trifft. Das sind Einordnungen im Einzelfall, und sie gehören zu einer rechtlichen Prüfung, sei es durch die eigene Rechtsabteilung, eine externe Beratung oder eine andere fachkundige Stelle.

Was die Bausteine leisten können, ist die Vorbereitung dieser Prüfung: den Wortlaut kennen, nach dem sie fragt, und den Sachverhalt beschreiben, den sie braucht.

Zwei Lesewege

Wer einen Überblick braucht, liest die Fristenübersicht und danach die Bestandsaufnahme. Das genügt, um zu wissen, was bereits gilt, und um die eigenen Anwendungen für eine Prüfung aufzubereiten.

Wer die offenen Fragen der Bestandsaufnahme selbst verstehen will, bevor er sie weitergibt, liest die Bausteine in dieser Folge: Begriffe, Kapitel, Artikel 4.

Fristen und Änderungen. Der AI Act gilt in Stufen, und die Omnibus-Verordnung hat den Zeitplan geändert, unter anderem für Hochrisiko-KI-Systeme und für Maschinen. Die Übersicht nennt jeden Zeitpunkt mit Zustand, Fundstelle und Prüfdatum, dazu die Übergangsregeln für Bestehendes und eine datierte Liste der Änderungen: EU AI Act: Fristen und Änderungen im Überblick.

Begriffe. Die Verordnung fragt, ob etwas ein KI-System ist, in welcher Rolle jemand dazu steht und ob die Tätigkeit in ihren Anwendungsbereich fällt. Bei Hochrisiko-KI-Systemen können Betreiber und Dritte nach Artikel 25 als Anbieter gelten, etwa wenn sie ein solches System mit ihrem Namen versehen, es wesentlich verändern oder die Zweckbestimmung eines bisher nicht hochriskanten Systems so verändern, dass es hochriskant wird. Die Begriffe im Wortlaut: Anbieter, Betreiber, KI-System: die Begriffe des AI Act.

Kapitel. Verbote, Hochrisiko-KI-Systeme und Transparenzpflichten knüpfen an verschiedene Merkmale an: an Praktiken mit bestimmtem Ziel oder bestimmter Wirkung, an die vom Anbieter festgelegte Zweckbestimmung, an Produkt und Konformitätsbewertung, an Art und Veröffentlichung eines Inhalts. Was in welchem Kapitel steht: Verbote, Hochrisiko, Transparenz: wie der AI Act KI ordnet.

Artikel 4. Die Vorschrift zur KI-Kompetenz nennt Anbieter und Betreiber von KI-Systemen, ohne nach Kapiteln zu unterscheiden, und ist durch die Omnibus-Verordnung neu gefasst. Beide Wortlaute nebeneinander und die amtliche Begründung: KI-Kompetenz nach Artikel 4: Wortlaut und Stand.

Bestandsaufnahme. Je KI-Anwendung ein Zusatzblatt zur Abhängigkeitsliste mit den Angaben, an die die Verordnung anknüpfen kann, dazu die Unterlagen und die offenen Fragen, an einem konstruierten Beispiel: Die KI-Bestandsaufnahme: Unterlagen für die rechtliche Klärung.

Was bei der Geschäftsführung bleibt

Die Einordnung liegt bei der rechtlichen Prüfung, die Entscheidungen nicht. Drei Dinge bleiben bei der Geschäftsführung, und keines davon beantwortet das Gesetz:

• Wer die Bestandsaufnahme führt. Eine Liste braucht jemanden, der sie aktuell hält. Ob das die IT, die Rechtsabteilung, der Datenschutz oder eine Stabsstelle übernimmt, ist eine Organisationsentscheidung.
• Wer prüft und wann. Ob eine Frage im Haus beantwortet werden kann oder eine externe Beratung braucht, und zu welchen Anlässen die Blätter vorgelegt werden. Einen Vorschlag für solche Anlässe enthält die Bestandsaufnahme im Abschnitt Wann die rechtliche Prüfung dazukommt.
• Was aus der Antwort folgt. Eine Einordnung sagt, welche Vorschriften gelten. Ob ein Unternehmen eine Anwendung dann anpasst, zurückstellt oder mit dem nötigen Aufwand weiterführt, entscheidet es selbst.

Wie der KI-Einsatz insgesamt geführt wird, mit Richtung, Zuständigkeiten, Regeln und Befähigung, behandelt der Themenstrang zu Führung und Verantwortung, beginnend mit KI im Unternehmen führen: Richtung geben, Menschen befähigen.