EU AI Act (KI-Verordnung): Was Unternehmen 2026 wissen und tun müssen

Mit dem EU AI Act, auf Deutsch KI-Verordnung, hat die Europäische Union das weltweit erste umfassende Gesetz zur Künstlichen Intelligenz geschaffen. Es ist seit dem 1. August 2024 in Kraft und betrifft praktisch jedes Unternehmen, das KI-Systeme einsetzt oder anbietet. Im Juli 2026 hat der Digital Omnibus wichtige Fristen und Pflichten geändert.

Dieser Leitfaden fasst den Stand nach dem Omnibus zusammen: Risikoklassen, Stichtage, Bußgelder, zuständige Behörden und die Schritte, die Unternehmen jetzt angehen sollten.

1. Was ist der EU AI Act?

Der EU AI Act ist die Verordnung (EU) 2024/1689 und seit dem 1. August 2024 in Kraft. Er teilt KI-Systeme in vier Risikoklassen ein und knüpft daran gestaffelte Pflichten. Der EU AI Act ist die Verordnung (EU) 2024/1689 und seit dem 1. August 2024 in Kraft. Er teilt KI-Systeme in vier Risikoklassen ein und knüpft daran gestaffelte Pflichten. Die Verbote nach Art. 5 und die Pflicht zur KI-Kompetenz nach Art. 4 gelten seit dem 2. Februar 2025. Die vollen Hochrisiko-Pflichten greifen nach der Änderung durch den Digital Omnibus erst am 2. Dezember 2027 beziehungsweise am 2. August 2028.

Auch bekannt als KI-Verordnung oder AI Act, ist er das weltweit erste umfassende Gesetz seiner Art und verfolgt drei zentrale Ziele:

• Schutz der Grundrechte, Gesundheit und Sicherheit der Menschen in der EU
• Förderung vertrauenswürdiger und transparenter KI
• Sicherstellung eines funktionierenden Binnenmarkts für KI-Anwendungen

Der EU AI Act folgt einem risikobasierten Ansatz: Je höher das Risiko, das von einer KI-Anwendung ausgeht, desto strenger sind die Anforderungen. Damit unterscheidet er sich grundlegend von technologieneutralen Regulierungen wie der DSGVO.

Wichtig zu wissen: Der EU AI Act gilt extraterritorial. Auch Unternehmen außerhalb der EU müssen ihn einhalten, wenn ihre KI-Systeme in der EU genutzt werden oder ihre Ausgaben dort verwendet werden.

2. Wer ist vom EU AI Act betroffen?

Der EU AI Act unterscheidet vier Rollen, die jeweils eigene Pflichten haben:

• Anbieter (Provider): Unternehmen, die KI-Systeme entwickeln oder unter eigenem Namen in Verkehr bringen
• Betreiber (Deployer): Unternehmen, die KI-Systeme in ihrer beruflichen Tätigkeit einsetzen
• Importeure und Händler: Unternehmen, die KI-Systeme aus Drittländern in die EU bringen oder weitergeben

In der Praxis sind die meisten Unternehmen Betreiber, etwa wenn sie ChatGPT, Microsoft Copilot oder andere KI-Tools im Arbeitsalltag nutzen. Achtung: Wer ein bestehendes KI-System wesentlich verändert oder für einen neuen Zweck einsetzt, kann zum Anbieter werden und übernimmt dann deutlich umfangreichere Pflichten (Art. 25 Abs. 1).

Gilt der EU AI Act auch für kleine Unternehmen?

Ja. Der EU AI Act sieht keine generelle Ausnahme für KMU oder Startups vor. Art. 62 enthält aber Erleichterungen, etwa bevorzugten Zugang zu KI-Reallaboren, und Art. 99 Abs. 6 begrenzt die Bußgelder auf den jeweils niedrigeren Betrag. Der Digital Omnibus hat einen Teil dieser Erleichterungen, zum Beispiel die vereinfachte technische Dokumentation, auf kleine Midcaps ausgeweitet.

3. Welche Risikoklassen unterscheidet der EU AI Act?

Das Herzstück des EU AI Act ist die vierstufige Risikoklassifizierung. Je höher das Risiko, desto strenger die Anforderungen:

Verbotene KI-Praktiken (Art. 5)

Diese KI-Anwendungen sind seit dem 2. Februar 2025 EU-weit untersagt (Art. 5 Abs. 1). Dazu zählen:

• Social Scoring durch öffentliche oder private Stellen
• Manipulative KI, die das Verhalten von Menschen ohne deren Wissen beeinflusst
• Biometrische Echtzeit-Fernidentifizierung im öffentlichen Raum (mit engen Ausnahmen)
• Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen
• Ungezieltes Auslesen von Gesichtsbildern zum Aufbau von Gesichtsdatenbanken
• KI-Systeme zur Erzeugung nicht einvernehmlicher intimer Darstellungen oder von Darstellungen sexuellen Kindesmissbrauchs (durch den Digital Omnibus ergänzt, gilt ab dem 2. Dezember 2026)

Hochrisiko-KI-Systeme

Diese Systeme sind grundsätzlich zulässig, unterliegen aber einem umfangreichen Pflichtenkatalog: Konformitätsbewertung, technische Dokumentation, menschliche Aufsicht und Datenqualitätsstandards. Sie sind in zwei Anhängen geregelt:

Anhang III (eigenständige Hochrisiko-Systeme):

• Biometrie und Emotionserkennung
• Kritische Infrastruktur (Energie, Wasser, Verkehr)
• Bildung und Berufsausbildung
• Personalwesen (Bewerberauswahl, Leistungsbeurteilung, Beförderung)
• Kreditvergabe und Versicherungen
• Strafverfolgung, Migration und Justiz

Anhang I (KI als Sicherheitskomponente in regulierten Produkten):

• Medizinprodukte
• Aufzüge, Spielzeug
• Maschinen und Fahrzeuge
• Sonstige Produkte mit EU-Konformitätsbewertung

Im HR-Bereich sind viele KI-Anwendungen hochrisiko-relevant. Eine Vertiefung mit konkreten Schulungsanforderungen liefert unser Artikel zur KI-Schulungspflicht nach Art. 4 EU AI Act.

Begrenztes Risiko (Art. 50)

Diese Kategorie umfasst KI-Systeme mit Transparenzpflichten. Sie gelten seit dem 2. August 2026 EU-weit:

• Chatbots müssen offenlegen, dass es sich um KI handelt
• KI-generierte Inhalte (Text, Bild, Audio, Video) müssen gekennzeichnet werden
• Deepfakes sind verpflichtend als solche zu markieren

Für generative KI-Systeme, die schon vor dem 2. August 2026 auf dem Markt waren, gilt bei der maschinenlesbaren Kennzeichnung (Art. 50 Abs. 2) eine Übergangsfrist bis zum 2. Dezember 2026.

Minimales Risiko

Spam-Filter, KI-gestützte Empfehlungssysteme oder einfache Automatisierungen fallen in diese Klasse. Hier gelten keine spezifischen Pflichten, lediglich freiwillige Verhaltenskodizes. Die Pflicht zur KI-Kompetenz nach Art. 4 betrifft aber auch Unternehmen, die nur solche Systeme einsetzen.

4. Welche Pflichten gelten ab wann?

Der EU AI Act wird stufenweise anwendbar. Der EU AI Act wird stufenweise anwendbar. So sieht der Zeitplan nach dem Digital Omnibus aus, der am 27. Juli 2026 in Kraft getreten ist:

Datum	Was tritt in Kraft?
1. August 2024	Verordnung tritt formal in Kraft
2. Februar 2025	Verbote (Art. 5) und KI-Kompetenzpflicht (Art. 4)
2. August 2025	Governance-Regeln und Pflichten für KI-Modelle mit allgemeinem Verwendungszweck (GPAI)
27. Juli 2026	Digital Omnibus (Verordnung (EU) 2026/1744) tritt in Kraft, Art. 4 neu gefasst
2. August 2026	Transparenzpflichten (Art. 50), Start der nationalen Aufsicht, in Deutschland durch die Bundesnetzagentur
2. Dezember 2026	Neue Verbote nach Art. 5, Ende der Übergangsfrist für die Kennzeichnung nach Art. 50 Abs. 2 bei Bestandssystemen
2. Dezember 2027	Hochrisiko-Pflichten nach Anhang III (ursprünglich 2. August 2026)
2. August 2028	Hochrisiko-Pflichten nach Anhang I (ursprünglich 2. August 2027)

Was hat der Digital Omnibus geändert?

Die EU-Kommission hat den Digital Omnibus im November 2025 vorgeschlagen, Parlament und Rat haben sich am 7. Mai 2026 politisch geeinigt. Die Verordnung (EU) 2026/1744 wurde am 8. Juli 2026 verabschiedet und gilt seit dem 27. Juli 2026. Hintergrund der Verschiebung: Harmonisierte Normen und Verfahren für die Konformitätsbewertung lagen noch nicht ausreichend vor.

Bereich	Vor dem Omnibus	Nach dem Omnibus
KI-Kompetenz (Art. 4)	Anbieter und Betreiber stellen ein ausreichendes Maß an KI-Kompetenz sicher	Anbieter und Betreiber ergreifen Maßnahmen, um die KI-Kompetenz ihres Personals zu fördern
Hochrisiko nach Anhang III	ab 2. August 2026	ab 2. Dezember 2027
Hochrisiko nach Anhang I	ab 2. August 2027	ab 2. August 2028
Transparenz (Art. 50)	ab 2. August 2026	unverändert ab 2. August 2026, Übergangsfrist für die Kennzeichnung bei Bestandssystemen bis 2. Dezember 2026
Verbote (Art. 5)	seit 2. Februar 2025	unverändert, zusätzliche Verbote ab 2. Dezember 2026
Erleichterungen	für KMU	teilweise auch für kleine Midcaps

Für die Praxis heißt das: Die Schulungspflicht ist nicht weggefallen. Sie verlangt kein festes Kompetenzniveau mehr, aber nachvollziehbare Maßnahmen. Wer schult und das dokumentiert, ist weiterhin auf der sicheren Seite.

5. Der EU AI Act sieht abgestufte Sanktionen je nach Pflichtverletzung vor:

• Verbotene KI-Praktiken: bis zu 35 Mio. Euro oder 7 % des weltweiten Jahresumsatzes (Art. 99 Abs. 3)
• Verstöße gegen andere Pflichten, etwa Hochrisiko- oder Transparenzanforderungen: bis zu 15 Mio. Euro oder 3 % (Art. 99 Abs. 4)
• Falsche Angaben gegenüber Behörden: bis zu 7,5 Mio. Euro oder 1 % (Art. 99 Abs. 5)

Maßgeblich ist jeweils der höhere Betrag. Für KMU und Startups gilt der niedrigere (Art. 99 Abs. 6).

KI-MIG: Das deutsche Durchführungsgesetz

Deutschland setzt den EU AI Act mit dem Gesetz zur Marktüberwachung und Innovationsförderung von künstlicher Intelligenz (KI-MIG) um. Das Bundeskabinett hat den Entwurf im Februar 2026 beschlossen, der Bundestag hat ihn am 11. Juni 2026 verabschiedet und der Bundesrat am 10. Juli 2026 gebilligt. Das Gesetz gilt seit dem 2. August 2026. Es regelt die nationale Marktüberwachung, die Bußgeldverfahren und die Einrichtung von KI-Reallaboren.

Bundesnetzagentur als zentrale KI-Aufsicht

In Deutschland ist die Bundesnetzagentur zentrale Marktüberwachungsbehörde für KI-Systeme, soweit keine Fachbehörde zuständig ist. Für KI im Finanzsektor bleibt zum Beispiel die BaFin zuständig. Bei der Bundesnetzagentur entsteht außerdem eine unabhängige KI-Marktüberwachungskammer für sensible Bereiche wie Strafverfolgung und Justiz. Seit dem 2. August 2026 kann die Aufsicht aktiv prüfen, die vollständige Hochrisiko-Aufsicht folgt mit den Stichtagen 2027 und 2028.

Zivilrechtliche Risiken

Neben Bußgeldern drohen zivilrechtliche Haftungsrisiken. Die neue EU-Produkthaftungsrichtlinie (EU) 2024/2853 erfasst Software und KI-Systeme ausdrücklich als Produkte, die Mitgliedstaaten müssen sie bis zum 9. Dezember 2026 umsetzen. Für die Geschäftsführung gilt außerdem: Wer KI-Pflichten im Unternehmen nicht organisiert, riskiert eine Verletzung der Sorgfaltspflichten und damit persönliche Haftung, etwa nach § 43 Abs. 2 GmbHG oder § 93 Abs. 2 AktG. Mehr dazu im Beitrag zu den Pflichten der Geschäftsführung bei Compliance-Schulungen.ührung bedeutet das: Verstöße gegen den EU AI Act können als Verletzung der Sorgfaltspflichten der Geschäftsleitung zur persönlichen Haftung führen.

6. Was müssen Unternehmen jetzt tun?

Auch wenn die Hochrisiko-Pflichten erst Ende 2027 greifen, sollten die Vorbereitungen jetzt starten. Eine Konformitätsbewertung dauert erfahrungsgemäß mehrere Monate. Wer erst Mitte 2027 beginnt, schafft die Frist kaum.

Ein praxistauglicher Umsetzungsplan in fünf Schritten:

1) KI-Inventar erstellen

Welche KI-Systeme sind im Unternehmen im Einsatz, offiziell und inoffiziell? Wer ist verantwortlich? Welche Daten werden verarbeitet? Dieses Inventar bildet die Grundlage für alle weiteren Schritte und sollte innerhalb weniger Wochen stehen.

2) Risikoklassifizierung

Jedes System wird gegen Anhang III geprüft. Wichtig: Auch wenn das Ergebnis „kein Hochrisiko“ lautet, muss die Bewertung dokumentiert (Art. 6 Abs. 4) und das System in der EU-Datenbank registriert werden (Art. 49 Abs. 2).

3) KI-Kompetenz aufbauen (Art. 4)

Art. 4 verpflichtet alle Anbieter und Betreiber, Maßnahmen zur KI-Kompetenz ihres Personals zu ergreifen. Die Pflicht gilt seit dem 2. Februar 2025. Seit dem Digital Omnibus muss kein bestimmtes Kompetenzniveau mehr sichergestellt werden, gefordert sind aber nachvollziehbare Maßnahmen. Die Pflicht greift unabhängig von Branche und Unternehmensgröße, sobald Beschäftigte KI-Werkzeuge beruflich nutzen. Welche Rollen betroffen sind, welche Inhalte sinnvoll sind und wie sich der Nachweis führen lässt, steht ausführlich unter KI-Schulungspflicht.

4) Governance-Strukturen aufbauen

Risikomanagementsystem, Verantwortlichkeiten, Dokumentationsrahmen: Für Hochrisiko-KI-Systeme müssen diese Strukturen bis zum 2. Dezember 2027 stehen, für Systeme nach Anhang I bis zum 2. August 2028. Weil Aufbau und Abstimmung Zeit brauchen, lohnt es sich, schon 2026 damit zu beginnen.

5) Dokumentation aufsetzen

Standardisierte Informationsblätter für jedes KI-System, technische Dokumentation, Schulungsnachweise: Audit-Sicherheit entsteht durch konsequente Dokumentation. Eine Lernplattform mit revisionssicherer Dokumentation deckt den Schulungs- und Nachweis-Teil zentral ab.

Parallel: Weitere EU-Compliance-Anforderungen

Der EU AI Act ist nicht die einzige neue Regulierung, die HR- und Compliance-Verantwortliche 2026 fordert. Parallel greifen weitere Vorgaben wie die EU-Entgelttransparenzrichtlinie und die NIS2-Schulungspflicht für IT-Sicherheit. Eine integrierte Compliance-Strategie macht die Umsetzung deutlich effizienter.

7. Wie unterstützt ein LMS bei der EU AI Act-Umsetzung?

Ein Learning Management System (LMS) wie reteach unterstützt Unternehmen an mehreren Stellen der EU AI Act-Compliance:

• KI-Kompetenz nach Art. 4: Kurse für alle Mitarbeitenden, automatisch nach Rolle und Abteilung zugewiesen
• Fertige Kursinhalte: ein Kurskatalog mit über 500 anpassbaren Kursen, unter anderem zu KI-Kompetenz, Datenschutz und IT-Sicherheit
• Vertiefte Schulungen für Hochrisiko-Bereiche: Spezialkurse für HR, Recruiting, Compliance und Geschäftsführung
• Revisionssichere Dokumentation: Kursabschlüsse, Zertifikate und Wiederholungsfristen zentral belegt, genau das, worauf es nach der Neufassung von Art. 4 ankommt
• Automatisierte Wiederholungen: Zertifikate mit Ablaufdatum, Erinnerungen, Eskalationen

So lassen sich KI-Kompetenz, digitale Compliance-Schulungen und andere Pflichtschulungen mit deutlich weniger Aufwand für HR und Compliance steuern.

8. Fazit & Nächste Schritte

Der EU AI Act ist die umfangreichste KI-Regulierung weltweit. Für Unternehmen in der EU ist er keine Frage des Ob, sondern des Wann. Der Digital Omnibus hat die Hochrisiko-Pflichten auf 2027 und 2028 verschoben und Art. 4 neu gefasst. Unverändert gilt: KI-Kompetenz ist seit Februar 2025 Pflicht, die Transparenzpflichten greifen seit August 2026, und die Bundesnetzagentur hat ihre Aufsicht aufgenommen.

Wer jetzt mit dem KI-Inventar, der Risikoklassifizierung und der Schulung der Mitarbeitenden beginnt, schafft die Grundlage für eine strukturierte Compliance bis zu den nächsten Stichtagen und stärkt zugleich die digitale Kompetenz im Unternehmen.

Sie möchten konkret in die Umsetzung starten? Sichern Sie sich unser kostenloses Whitepaper zur KI-Schulungspflicht mit Risikoklassen-Übersicht, Umsetzungsplan und weiterführenden Informationen.

Häufig gestellte Fragen