EU AI Act: Der Leitfaden für Unternehmen zur KI-Compliance

Das Wichtigste in Kürze

• Der EU AI Act stuft KI-Systeme in vier Risikokategorien ein: Verboten, Hochrisiko, begrenztes Risiko und minimales Risiko

• Verboten sind seit Februar 2025 u. a. Social Scoring, biometrische Massenüberwachung und Emotion Recognition am Arbeitsplatz und ab Dezember 2026 zusätzlich Nudification-Apps (Beschluss des AI Omnibus, Mai 2026)

• Hochrisiko-Systeme unterliegen den strengsten Auflagen: Konformitätsbewertung, technische Dokumentation, Risikomanagementsystem und Human Oversight  

• Chatbots und generative KI müssen ab August 2026 transparent gekennzeichnet sein, das heißt Nutzer müssen erkennen, dass sie mit KI interagieren

• Auch Betreiber:innen tragen konkrete Pflichten: Sie müssen den Verwendungszweck prüfen, Human Oversight sicherstellen und Vorfälle dokumentieren

Was ist der EU AI Act?

Der EU AI Act ist 2024 in Kraft getreten und hat seither gestaffelte Umsetzungsfristen. Er ist die erste umfassende KI-Verordnung der EU mit dem Ziel, einen vertrauenswürdigen und sicheren KI-Einsatz unter Wahrung der Grundrechte zu ermöglichen und folgt einem risikobasierten Ansatz mit vier Risikoklassen: (1) verbotene Praktiken, (2) Hochrisiko-KI, (3) begrenztes Risiko und (4) minimales Risiko. Die meisten Pflichten treffen Hochrisiko-KI-Systeme und betreffen sowohl Anbieter:innen als auch Betreiber:innen.

Hintergrund der KI-Verordnung: Warum wurde der EU AI Act eingeführt?

Die Europäische Kommission hat den EU AI Act aus verschiedenen Motiven heraus initiiert:

1. Ein wichtiger Aspekt ist der Schutz vor Grundrechten, da KI-Anwendungen Diskriminierung, Manipulation und Überwachung verstärken können. Der EU AI Act verbietet dies, insbesondere bei biometrischer Videoüberwachung und Social Scoring.
2. Des Weiteren sollen die EU-weiten einheitlichen Anforderungen eine Fragmentierung des EU-Binnenmarkts durch unterschiedliche nationale KI-Gesetze verhindern und faire Wettbewerbsbedingungen schaffen.

Letzteres soll Europa durch Rechtssicherheit und klare Standards ein attraktiver Standort für vertrauenswürdige KI-Entwicklung werden. Der EU AI Act ergänzt dabei bestehende Rechtsrahmen wie die Datenschutzgrundverordnung (DSGVO) und schreibt verbindliche Anforderungen an Transparenz, Sicherheit und menschliche Aufsicht beim Einsatz von KI-Systemen fest.

Zeitplan und Fristen des EU AI Act

*Neue Fristen durch AI Omnibus (politische Einigung Mai 2026)

Wen betrifft der EU AI Act?

Der EU AI Act unterscheidet grundsätzlich zwischen verschiedenen Akteursgruppen entlang des Lebenszyklus eines KI-Systems. Im Mittelpunkt stehen dabei insbesondere Anbieter:innen und Betreiber:innen, deren Pflichten sich je nach Rolle und Verantwortung unterscheiden. Ergänzend regelt der AI Act die Anforderungen an Importeure, Distributoren sowie Unternehmen außerhalb der EU mit Bezug zum europäischen Markt.

Anbieter:innen von KI-Systemen

Anbieter:innen meinen Unternehmen oder Einzelpersonen, die ein KI-System unter eigenem Namen auf dem EU-Markt anbieten. Sie tragen die umfangreichsten Pflichten: Bei Hochrisiko-Systemen umfassen diese Konformitätsbewertung, Dokumentationspflichten, CE-Kennzeichnung, Registrierung, Marktüberwachung. Risikoklassenübergreifend gelten zudem Transparenz- und AI Literacy-Pflichten.

Betreiber:innen von KI-Systemen

Betreiber:innen bezeichnet Unternehmen, die ein KI-System im professionellen Kontext einsetzen. Auch Betreiber:innen haben konkrete Pflichten: Beim Betrieb von Hochrisiko-Systemen müssen sie den Verwendungszweck mit dem vorgesehenen Einsatzbereich in Einklang bringen, Human Oversight sicherstellen und Vorfälle dokumentieren. KI-Systeme mit begrenztem Risiko müssen Transparenzpflichten erfüllen.

Importeure und Distributoren von KI-Systemen

Wer KI-Produkte aus Drittländern in die EU bringt oder im Binnenmarkt weitervertreibt, muss sicherstellen, dass die Systeme konform sind und haftet gegebenenfalls subsidiär.

Unternehmen außerhalb der EU mit EU-Marktbezug

Analog zur DSGVO gilt der EU AI Act extraterritorial: Jedes Unternehmen, dessen KI-Systeme in der EU eingesetzt werden oder dessen Outputs EU-Bürger betreffen, fällt in den Anwendungsbereich unabhängig vom Unternehmenssitz.

Der risikobasierte Ansatz des EU AI Act

*Neu hinzugefügt durch AI Omnibus (politische Einigung Mai 2026)

1. Verbotene KI-Systeme (Art. 5)

Diese KI-Anwendungen sind seit Februar 2025 vollständig verboten. Der EU AI Act nennt u.a. folgende verbotene Praktiken

• Schädliche KI-basierte Manipulation und Täuschung (z. B. unterschwellige Techniken, Ausnutzung von Schwächen)
• Schädliche Ausnutzung von Vulnerabilitäten bestimmter Personengruppen (Kinder, ältere Menschen)
• Social Scoring: Bewertung oder Klassifizierung von Personen anhand sozialen Verhaltens durch staatliche oder private Akteure
• Individuelle Kriminalitätsprognose auf Basis von Profiling oder Persönlichkeitsmerkmalen
• Massenhaftes ungerichtetes Scraping des Internets oder von CCTV-Material zum Aufbau von Gesichtserkennungsdatenbanken
• Emotion Recognition: Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen
• Biometrische Kategorisierung zur Ableitung sensibler Merkmale (politische Ansichten, Religion, sexuelle Orientierung)
• Biometrische Echtzeit-Fernidentifizierung: im öffentlichen Raum durch biometrische Videoüberwachung (sehr enge Ausnahmen für Strafverfolgungsbehörden)
• NEU (AI Omnibus, Mai 2026): KI-Systeme, die nicht-einvernehmliche sexuell explizite Inhalte oder Kindesmissbrauchsmaterial generieren (Nudification-Apps)

2. Hochrisiko-KI-Systeme (Art. 6 und Annex I und III)

Hochrisiko-KI-Systeme sind zulässig, unterliegen aber strengen Auflagen. Die Kommission veröffentlichte im Mai 2026 einen Entwurf für Leitlinien zur genauen Klassifizierung. Typische Unternehmensbeispiele sind:

• HR & Recruiting: KI-gestützte Bewerber:innenvorauswahl, Leistungsbewertung, Kündigungsentscheidungen
• Finanzdienstleistungen: Automatisierte Kreditentscheidungen, Bonitätsprüfung, Betrugserkennung mit Entscheidungsrelevanz
• Gesundheitswesen: Medizinische KI-Diagnose- und Therapieentscheidungssysteme
• Kritische Infrastruktur: KI in Energie-, Wasser- und Verkehrssteuerung
• Bildung: Systeme zur Bewertung von Lernenden und zur Steuerung von Bildungszugängen
• Migration & Asyl: Automatisierte Prüfung von Visumsanträgen, Risikoeinschätzungen

Justiz: Risikobewertungstools, Beweisauswertung, Entscheidungsunterstützung in Gerichtsverfahren

3. Begrenztes Risiko (Art. 50)

KI-Systeme mit begrenztem Risiko unterliegen Transparenzanforderungen. Diese umfassen:

• Chatbots und KI-Assistenten: Nutzer müssen informiert werden, dass sie mit einem KI-System interagieren
• Generative KI (GenAI): Anbieter:innen müssen KI-generierte Inhalte maschinenlesbar kennzeichnen; Betreiber:innen müssen auf Deepfakes und KI-generierte Veröffentlichungen zu Angelegenheiten von öffentlichem Interesse hinweisen
• Emotion Recognition & biometrische Kategorisierung: Betreiber:innen müssen betroffene Personen über den Einsatz informieren (sofern es nicht unter Art. 5 fällt)

4. Minimales Risiko

Die große Mehrheit der heute eingesetzten KI-Anwendungen fällt in diese Kategorie und unterliegt keinen spezifischen Pflichten. Freiwillige Verhaltenskodizes werden empfohlen für:

• Spam-Filter und E-Mail-Kategorisierung
• Produktempfehlungssysteme in Online-Shops
• KI in Videospielen
• Einfache Prozessautomatisierung ohne Entscheidungsrelevanz für Personen

Was bedeutet der EU AI Act konkret für Unternehmen?

Der EU AI Act ist kein rein operatives Compliance-Thema, sondern er verändert strategische Prioritäten. Unternehmen, die frühzeitig in Regulatory Readiness investieren und ein solides AI-Governance-Framework aufbauen, sichern sich Handlungsfähigkeit und reduzieren regulatorische Risiken. Die durch den AI Omnibus verlängerten Hochrisiko-Fristen geben zwar zusätzliche Vorbereitungszeit (bis zu 16 bzw. 24 Monaten), die Umsetzung der Anforderungen sollte jedoch nicht unterschätzt werden.

Auswirkungen auf KI-Projekte

Jedes neue KI-Projekt sollte ab sofort einem AI Compliance Check folgen: Vor dem Start ist eine Risikoklassifizierung nach den EU AI Act-Kategorien vorzunehmen. Hochrisiko-Projekte erfordern von Beginn an Risikomanagementsysteme, Dokumentationspflichten und Human Oversight. Des Weiteren ist AI Literacy im Team entscheidend: Mitarbeitende müssen verstehen, welche Konsequenzen der Einsatz ihrer KI-Systeme hat.

Auswirkungen auf Einkauf von KI-Lösungen

Wer als Betreiber:innen KI-Lösungen von Drittanbieter:innen beschafft, ist nicht automatisch aus der Verantwortung entlassen. Einkaufs- und IT-Abteilungen müssen sicherstellen, dass beschaffte Systeme konform sind und Anbieter:innen die notwendige Dokumentation und Konformitätsnachweise bereitstellen.

Vor Vertragsabschluss ist eine strukturierte Prüfung des Anbieter:innens unabdingbar: Risikoklasse des Systems, Existenz von Konformitätsnachweisen sowie vertragliche Verankerung von Audit- und Kontrollrechten.

Welche Fragen Unternehmen ihren KI-Anbieter:innen stellen sollten

• In welche Risikokategorie klassifizieren Sie das KI-System gemäß EU AI Act?
• Liegt eine Konformitätsbewertung vor? (Bei Hochrisiko-Systemen Pflicht; CE-Kennzeichnung erforderlich)
• Sind Sie im EU-weiten KI-Register (für Hochrisiko-Systeme) registriert?
• Welche technische Dokumentation stellen Sie bereit?
• Wie wird Human Oversight im System sichergestellt?
• Wie erfüllen Sie die Transparenzanforderungen (Kennzeichnung KI-generierter Inhalte, Chatbot-Offenlegung)?
• Wie gehen Sie mit Datenschutz um – im Einklang mit der DSGVO?
• Wie werden Sicherheitsupdates und Vorfallmeldungen (Incident Reporting) gehandhabt?

Welche Pflichten entstehen für Unternehmen?

Dokumentationspflichten

Anbieter:innen und Betreiber:innen von Hochrisiko-KI-Systemen sind zur umfangreichen Dokumentation verpflichtet: Technische Unterlagen (Design, Daten, Trainingsmethoden), Risikoanalysen, Testergebnisse und Konformitätsnachweise. Die Unterlagen müssen für mindestens 10 Jahre nach Inverkehrbringen aufbewahrt und der Marktüberwachungsbehörde auf Anfrage vorgelegt werden.

Risikomanagement

Für Hochrisiko-KI-Systeme ist ein kontinuierliches Risikomanagementsystem Pflicht: Identifikation und Analyse Risiken, Implementierung von Minderungsmaßnahmen sowie laufende Überprüfung der Wirksamkeit von Maßnahmen und Evaluierung von Risiken. Risikomanagement ist kein einmaliger Akt, sondern ein dauerhafter Prozess.

Transparenzanforderungen

Kennzeichnung von KI-generierten Inhalten

Anbieter:innen von generativer KI müssen sicherstellen, dass KI-generierte Inhalte (Texte, Bilder, Audio, Video) maschinenlesbar markiert sind, damit sie technisch als KI-generiert erkannt werden können. Dies gilt insbesondere für Deepfakes und KI-generierte Veröffentlichungen zu Angelegenheiten von öffentlichem Interesse.

Deepfake-Kennzeichnung

Betreiber:innen müssen Personen informieren, wenn sie synthetischen Medien (Deepfakes) ausgesetzt sind. KI-generierte Bild-, Audio- oder Videoinhalte, die reale Personen, Orte oder Ereignisse zeigen, sind ausdrücklich zu kennzeichnen.

Offenlegungspflichten

Wenn Personen mit einem KI-System interagieren (z. B. Chatbot), müssen sie darüber in Kenntnis gesetzt werden (es sei denn, der KI-Einsatz ist offensichtlich). Betreiber:innen von Emotion-Recognition- oder biometrischen Kategorisierungssystemen müssen betroffene Personen informieren. Hochrisiko-Systeme müssen in der EU-Datenbank registriert werden.

Human Oversight

Human Oversight ist eine der zentralen Anforderungen des EU AI Acts für Hochrisiko-Systeme. Menschen müssen in der Lage sein, das KI-System zu überwachen, zu verstehen, zu korrigieren und bei Bedarf zu deaktivieren. Dies erfordert technische Maßnahmen (Eingriffsoptionen, Erklärbarkeit) und organisatorische Strukturen (definierte Verantwortlichkeiten, Schulungen).

Monitoring und Auditierbarkeit

Hochrisiko-KI-Systeme müssen nach der Markteinführung kontinuierlich überwacht werden (Post-Market-Monitoring). Schwerwiegende Vorfälle sind den Marktüberwachungsbehörden zu melden. Entscheidungen müssen nachvollziehbar sein. Hierbei sind Auditierbarkeit und Erklärbarkeit technische Grundanforderungen.

Datenqualität und Governance

Hochrisiko-KI-Systeme erfordern hochwertige Trainingsdaten: repräsentativ, fehlerfrei und dem Systemzweck entsprechend. Data Governance umfasst die gesamte Datenpipeline von der Erhebung über die Verarbeitung bis zur Löschung.

EU AI Act und generative KI (ChatGPT, LLMs, Copilot)

Sind ChatGPT-Anwendungen betroffen?

Ja. Generative KI-Systeme (GenAI) in Form von Large Language Models wie Claude, ChatGPT, Microsoft Copilot, Google Gemini oder anderen fallen als General Purpose AI (GPAI) unter den EU AI Act.

Entscheidend ist die Trennung der Verantwortlichkeiten: Das zugrundeliegende Modell ist Sache des Anbieter:innens (z. B. OpenAI); das Unternehmen, das das Modell in eine Unternehmensanwendung integriert, trägt als Betreiber:innen eigene Verantwortung für die konkrete Nutzung.

Anforderungen an General Purpose AI

GPAI-Anforderungen gelten seit August 2025. Im Juli 2025 veröffentlichte die Kommission drei Schlüsselinstrumente:

1. Leitlinien zum Anwendungsbereich der GPAI-Pflichten,
2. den GPAI Code of Practice (freiwilliges Compliance-Instrument) sowie
3. eine Vorlage für die öffentliche Zusammenfassung der Trainingsdaten.

Für GPAI-Modelle mit systemischem Risiko (sehr hohe Rechenkapazität, breite Verbreitung) gelten zusätzlich: Red-Teaming, erweiterte Risikobewertung und Incident Reporting gegenüber dem AI Office.

Was Unternehmen beim Einsatz generativer KI beachten müssen

• Kennzeichnung (ab 2. Aug. 2026): Alle mit GenAI erstellten Inhalte müssen maschinenlesbar als KI-generiert markiert werden; Deepfakes sind sichtbar zu kennzeichnen.
• Nutzungsrichtlinien: Interne KI-Richtlinien (Acceptable Use Policies) definieren, für welche Zwecke GenAI genutzt werden darf.
• Datenschutz: Die Eingabe personenbezogener oder vertraulicher Daten in externe KI-Systeme muss auf DSGVO-Konformität geprüft werden.
• AI Literacy: Mitarbeitende müssen im Umgang mit GenAI-Tools geschult werden sowohl technisch als auch rechtlich.
• Anbieter:innenverträge: Verträge mit GenAI-Anbieter:innenn sollten Compliance-Zusicherungen, Datenverarbeitungsvereinbarungen (AVV) und Haftungsregelungen enthalten.

Die EFS Consulting EU AI Act Checkliste für Unternehmen

Bestandsaufnahme aller KI-Systeme

• Inventarüberischt aller genutzten und entwickelten KI-Anwendungen erstellen (inkl. GenAI-Tools wie Copilot, ChatGPT)
• Unterscheidung treffen: Eigenentwicklung vs. Bezug von Drittanbieter:innen
• Einsatzbereiche, Zweck und betroffene Personengruppen je System dokumentieren
• Datenflüsse und Schnittstellen zu anderen Systemen erfassen

Risikoklassifizierung durchführen

• Jedes KI-System anhand der vier EU AI Act-Risikostufen einordnen (die Klassifizierungsleitlinien der Kommission (erwartet vor Aug. 2026) können einbezogen werden)
• Klassifizierungsentscheidungen schriftlich begründen und dokumentieren
• Regelmäßige Überprüfung und Aktualisierung der Risikoklassifizierung (z.B. bei Systemänderungen oder neuen Anwendungsfällen)

Prüf- und Freigabeprozesse und Enterprise AI definieren

• Freigabeworkflow für neue KI-Anwendungsfälle und -Tools definieren
• Prüfkriterien für Sonderanwendungen (z.B. Individualentwicklungen, Agenten-basierte Systeme) festlegen
• Zuständigkeiten für Freigabeentscheidungen klären

Verantwortlichkeiten definieren

• KI-Compliance-Verantwortliche(n) benennen
• Eskalationswege und Entscheidungsprozesse für KI-Governance festlegen
• Schnittstellen zu Datenschutz-, Legal- und IT-Sicherheitsabteilungen etablieren

Governance etablieren

• KI-Richtlinie und Acceptable Use Policy einführen
• Prozesse für Konformitätsbewertung und CE-Kennzeichnung (Hochrisiko) implementieren
• Dokumentationsstandards und -pflichten operationalisieren
• AI Literacy Trainings für Mitarbeitende durchführen
• Data Governance Framework im Einklang mit DSGVO und EU AI Act umsetzen
• Transparenzmechanismen für Chatbots und GenAI-Tools bis August 2026 einrichten

Regelungen für Mitarbeitende definieren

• Nutzungsrichtlinien für Chatbots und GenAI-Tools am Arbeitsplatz festlegen
• Erlaubte vs verbotene Anwendungsfälle für Mitarbeitende kommunizieren
• Meldewege bei Verdacht auf unsachgemäße KI-Nutzung (Shadow AI) definieren

Monitoring implementieren

• Post-Market-Monitoring für Hochrisiko-Systeme einrichten
• Incident-Reporting-Prozesse definieren und testen
• Regelmäßige Überprüfung der Risikoklassifizierung, insbesondere nach finalen Kommissionsleitlinien
• KPIs und Metriken für KI-Performance und Compliance definieren

Audit vorbereiten

• Technische Dokumentation vollständig und aktuell halten
• Konformitätsnachweise (Konformitätsbewertung, CE) bereitstellen
• Hochrisiko-Systeme in EU-Datenbank registrieren (spätestens bis zu den jeweiligen Anwendungsfristen)

Fazit

Der EU AI Act markiert einen Wendepunkt: Künstliche Intelligenz muss sicher, transparent und menschenzentriert gestaltet sein und das ist keine Option, sondern Pflicht. Die aktuellen Entwicklungen wie der AI Omnibus, neue Verbotsregeln und laufende Leitlinienkonsultationen zeigen: Der Rechtsrahmen entwickelt sich dynamisch, und Unternehmen müssen auf dem Laufenden bleiben. Unternehmen, die jetzt handeln, verwandeln Compliance-Anforderungen in strategische Stärke.

EFS Consulting begleitet Sie mit praxiserprobter Expertise auf dem gesamten Weg zur Regulatory Readiness: Von der ersten Bestandsaufnahme über die Risikoklassifizierung bis zum vollständigen AI Compliance Framework.