Aktualisiert im Oktober 2026: Fristen und Pflicht zur KI‑Kompetenz an den inzwischen in Kraft getretenen „Digital Omnibus“ angepasst.

Die Europäische Union hat mit dem EU AI Act (Verordnung (EU) 2024/1689) einen Meilenstein in der Regulierung von Künstlicher Intelligenz gesetzt. Die Verordnung ist seit dem 1. August 2024 in Kraft und wird stufenweise anwendbar – seit August 2026 gilt ein großer Teil der Pflichten; die Hochrisiko‑Vorschriften wurden durch den „Digital Omnibus“ allerdings auf Dezember 2027 bzw. August 2028 verschoben. Unternehmen, die KI‑Lösungen entwickeln oder einsetzen, stehen vor Pflichten von der Risiko‑Klassifizierung über Transparenz und menschliche Aufsicht bis hin zu klaren Fristen. In diesem Beitrag beleuchten wir die wichtigsten Regeln, geben einen Überblick über die Klassifizierung von High‑Risk‑Anwendungen und stellen eine praxisorientierte Checkliste vor.

1. Überblick über den EU AI Act

Der EU AI Act ist die erste umfassende KI‑Gesetzgebung weltweit. Er teilt KI‑Systeme nach ihrem Risiko ein und definiert Pflichten vor allem für Anbieter (wer ein KI‑System entwickelt und in Verkehr bringt) und Betreiber (wer es beruflich einsetzt). Die Regeln gelten auch für Unternehmen außerhalb der EU, wenn ihre Systeme in der EU angeboten werden oder ihre Ergebnisse hier verwendet werden. Im Fokus stehen der Schutz von Grundrechten, Sicherheit und Transparenz.

Ein zentrales Element ist der risikobasierte Ansatz: Bestimmte Praktiken mit unannehmbarem Risiko sind verboten (etwa Social Scoring oder manipulative Systeme). High‑Risk‑Systeme unterliegen den strengsten Anforderungen – Risikomanagement, Datenqualität, technische Dokumentation, Protokollierung, menschliche Aufsicht und Konformitätsbewertung. Für Systeme mit begrenztem Risiko gelten Transparenzpflichten (z. B. müssen Chatbots sich als KI zu erkennen geben und Deepfakes gekennzeichnet werden). Für die große Mehrheit der Anwendungen mit minimalem Risiko gibt es keine neuen Pflichten. Daneben gelten eigene Regeln für KI‑Modelle mit allgemeinem Verwendungszweck (General Purpose AI).

Eine bestimmte Rolle wie einen „KI‑Governance‑Officer“ schreibt der AI Act nicht vor, und auch ein eigenes „Ethik‑Framework“ ist keine Pflicht. Verbindlich sind dagegen unter anderem die menschliche Aufsicht über High‑Risk‑Systeme (Art. 14) und – für alle Anbieter und Betreiber – die Pflicht, Maßnahmen zur Förderung der KI‑Kompetenz der eigenen Mitarbeitenden zu ergreifen (Art. 4; seit dem Digital Omnibus eine Bemühens‑, keine Erfolgspflicht). Viele Unternehmen bündeln diese Aufgaben dennoch sinnvollerweise in einer klar benannten Governance‑Funktion.

Wichtig für die Planung: Mit dem sogenannten „Digital Omnibus“ hat die EU die KI‑Verordnung im Jahr 2026 geändert. Nach der politischen Einigung im Mai stimmten das Europäische Parlament am 16. Juni und der Rat am 29. Juni 2026 zu; die Änderungsverordnung ist seit dem 27. Juli 2026 in Kraft. Die wichtigsten Änderungen: Die Pflichten für eigenständige High‑Risk‑Systeme (Anhang III) gelten erst ab dem 2. Dezember 2027, für High‑Risk‑KI in regulierten Produkten (Anhang I) ab dem 2. August 2028 – unter anderem, weil die nötigen harmonisierten Normen nicht rechtzeitig fertig wurden. Die Pflicht zur KI‑Kompetenz wurde abgeschwächt, und neu verboten sind ab dem 2. Dezember 2026 KI‑Systeme, die Darstellungen sexuellen Kindesmissbrauchs oder nicht einvernehmliche intime Bilder erzeugen.

2. Risiko‑Klassifizierung und High‑Risk‑Anwendungen

Die Risiko‑Klassifizierung ist das Herzstück des EU AI Acts. Unternehmen müssen zunächst bestimmen, ob ihre KI‑Systeme als High‑Risk eingestuft werden. Kriterien hierfür sind die potenzielle Auswirkung auf die Rechte und die Sicherheit von Personen, die Art der Datenverarbeitung und die Einsatzumgebung.

Ein Beispiel: Ein KI‑gestütztes Kredit‑Scoring‑System, das personenbezogene Daten verarbeitet und Entscheidungen über Kreditvergabe trifft, fällt eindeutig in die High‑Risk‑Kategorie. Ebenso zählen KI‑Anwendungen in der Strafjustiz, im Gesundheitswesen oder in der Personalbeschaffung.

Die Klassifizierung erfolgt in drei Stufen:

1. Grundlegende Risikobewertung – Analyse der Datenquellen, des Modells und der Entscheidungslogik.
2. Konformitätsbewertung – Prüfung gegen die EU‑Regelwerke, einschließlich der Anforderungen an Datensicherheit, Bias‑Reduktion und Transparenz.
3. Konformitätsbewertung, CE‑Kennzeichnung und Registrierung – Die meisten High‑Risk‑Systeme aus Anhang III werden per interner Kontrolle bewertet; eine benannte Stelle ist nur in bestimmten Fällen nötig, etwa bei biometrischen Systemen oder bei Produkten, die ohnehin einer Drittprüfung unterliegen. Anschließend folgen CE‑Kennzeichnung und Eintrag in die EU‑Datenbank.

Unternehmen sollten ein Risikoregister führen, das alle KI‑Projekte, ihre Klassifizierung und die jeweiligen Compliance‑Maßnahmen dokumentiert. Dieses Register dient nicht nur als internes Kontrollinstrument, sondern auch als Nachweis gegenüber Aufsichtsbehörden.

3. Explainable AI (XAI) – Anforderungen und Umsetzung

Der AI Act verlangt keine bestimmte Erklärtechnik, wohl aber Nachvollziehbarkeit: Anbieter von High‑Risk‑Systemen müssen Protokollierung (Art. 12), verständliche Gebrauchsanweisungen und Transparenz gegenüber den Betreibern (Art. 13) sowie wirksame menschliche Aufsicht (Art. 14) sicherstellen. Personen, die von einer Entscheidung auf Basis eines High‑Risk‑Systems aus Anhang III betroffen sind, haben zudem ein Recht auf eine Erklärung der Rolle des KI‑Systems (Art. 86). Methoden der Explainable AI (XAI) sind ein praktisches Mittel, diese Anforderungen zu erfüllen.

Um XAI zu implementieren, können Unternehmen folgende Ansätze nutzen:

• Feature‑Importance‑Methoden wie SHAP oder LIME, die die wichtigsten Einflussfaktoren für einzelne Entscheidungen visualisieren.
• Model‑agnostische Erklärungen, die unabhängig von der Modellarchitektur funktionieren und somit für komplexe Deep‑Learning‑Modelle geeignet sind.
• Dokumentations‑Frameworks, die automatisch Erklärungen generieren und in die technische Dokumentation einbinden.

Ein weiterer wichtiger Aspekt ist die Kontinuierliche Validierung. Unternehmen sollten regelmäßige Audits durchführen, um sicherzustellen, dass die Erklärungen aktuell bleiben, insbesondere wenn Modelle weiterentwickelt oder neue Datenquellen integriert werden.

4. Praktische Checkliste für Unternehmen

Um die Pflichten des EU AI Acts erfolgreich zu erfüllen, empfiehlt sich eine strukturierte Checkliste. Diese deckt alle wesentlichen Schritte ab, von der Risiko‑Bewertung bis zur Dokumentation und dem Aufbau eines Governance‑Teams.

1. Projekt‑Inventarisierung – Erstellen Sie eine vollständige Liste aller KI‑Projekte und klassifizieren Sie sie nach Risiko.
2. Datenschutz‑ und Bias‑Analyse – Führen Sie eine Daten‑Audit durch, um Bias‑Risiken zu identifizieren und zu mitigieren.
3. Technische Dokumentation – Dokumentieren Sie Modellarchitektur, Trainingsdaten, Hyperparameter und Versionierung.
4. XAI‑Implementierung – Integrieren Sie erklärbare Modelle oder Erklärungs‑Layer in Ihre Produktionspipeline.
5. Governance‑Struktur – Legen Sie klare Verantwortlichkeiten fest und etablieren Sie ein interdisziplinäres Team (eine bestimmte Rolle wie einen „KI‑Officer“ schreibt das Gesetz nicht vor).
6. Kontinuierliche Überwachung – Richten Sie ein Monitoring‑System ein, das Leistungs‑ und Risiko‑Indikatoren in Echtzeit verfolgt.
7. KI‑Kompetenz – Anbieter und Betreiber müssen Maßnahmen ergreifen, um die KI‑Kompetenz ihrer Mitarbeitenden zu fördern (Art. 4); Betreiber von High‑Risk‑Systemen müssen das Bedienpersonal zusätzlich schulen. Dokumentieren Sie Schulungen.

Die Checkliste sollte als lebendiges Dokument geführt werden, das regelmäßig aktualisiert wird, sobald neue Projekte starten oder bestehende Modelle angepasst werden.

5. Fristen, Sanktionen und Compliance‑Strategien

Die Fristen sind gestaffelt: Seit dem 2. Februar 2025 gelten die Verbote und die Regeln zur KI‑Kompetenz, seit dem 2. August 2025 die Pflichten für General‑Purpose‑AI‑Modelle und die Sanktionsregeln. Seit dem 2. August 2026 gelten unter anderem die Transparenzpflichten nach Art. 50; für die maschinenlesbare Kennzeichnung KI‑generierter Inhalte haben Systeme, die vor diesem Datum auf den Markt kamen, eine Übergangsfrist bis zum 2. Dezember 2026. Durch den Digital Omnibus gelten die Pflichten für High‑Risk‑Systeme nach Anhang III erst ab dem 2. Dezember 2027, für High‑Risk‑KI in Produkten nach Anhang I ab dem 2. August 2028. Die gewonnene Zeit sollten Unternehmen für die Vorbereitung nutzen – aufgehoben sind die Pflichten nicht.

Die Bußgelder sind gestaffelt: Verstöße gegen die verbotenen Praktiken können mit bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes geahndet werden, Verstöße gegen die meisten übrigen Pflichten mit bis zu 15 Millionen Euro oder 3 %, falsche Angaben gegenüber Behörden mit bis zu 7,5 Millionen Euro oder 1 % – jeweils der höhere Betrag, für KMU der niedrigere. Darüber hinaus können Aufsichtsbehörden verlangen, dass nicht konforme Systeme vom Markt genommen werden.

Um diese Risiken zu minimieren, sollten Unternehmen eine Compliance‑Roadmap entwickeln, die folgende Elemente umfasst:

• Gap‑Analyse: Identifizieren Sie Lücken zwischen aktuellen Praktiken und den gesetzlichen Anforderungen.
• Ressourcen‑Planung: Stellen Sie sicher, dass ausreichende personelle und finanzielle Mittel für die Umsetzung bereitstehen.
• Externe Audits: Nutzen Sie unabhängige Prüfer, um die Konformität zu validieren und Vertrauen bei Aufsichtsbehörden aufzubauen.
• Stakeholder‑Kommunikation: Informieren Sie Kunden, Partner und Investoren transparent über Ihre Governance‑Maßnahmen.

Durch proaktive Maßnahmen und eine klare Governance‑Strategie können Unternehmen nicht nur Strafen vermeiden, sondern auch einen Wettbewerbsvorteil erlangen, indem sie Vertrauen und Transparenz in ihren KI‑Lösungen demonstrieren.

Fazit

Der EU AI Act stellt Unternehmen vor neue, aber klar umrissene Pflichten – ein Teil gilt bereits, die strengen High‑Risk‑Pflichten folgen ab Dezember 2027. Durch eine systematische Risiko‑Klassifizierung, saubere Dokumentation, wirksame menschliche Aufsicht und die konsequente Nutzung einer praxisorientierten Checkliste können Sie nicht nur gesetzeskonform bleiben, sondern auch das Vertrauen Ihrer Kunden stärken. Die Fristen sind eng, die Sanktionen hoch – aber mit einer gut strukturierten Governance‑Strategie sind Sie gut gerüstet.

Quellen: Freshfields: The final Digital Omnibus on AI; Usercentrics: Digital Omnibus now in force; Law & Technology: Art. 4 nach dem Digital Omnibus