EU AI Act für Unternehmen: für wen er gilt und ab wann

Die häufigste Frage zum EU AI Act lautet nicht, was er regelt, sondern ob er überhaupt für den eigenen Betrieb gilt. Die kurze Antwort: Eine Mitarbeitergrenze gibt es nicht. Wer künstliche Intelligenz beruflich einsetzt, fällt in den Anwendungsbereich – auch der Handwerksbetrieb mit zwölf Beschäftigten, dessen Büro Angebotstexte entwerfen lässt.

Die längere Antwort füllt diesen Beitrag: Welche Rolle Ihr Haus hat, welche Risikostufe Ihre Fälle tragen, seit wann welche Stufe der Verordnung greift, welche Transparenzpflichten im Tagesgeschäft auftauchen und welche sechs Schritte den Aufwand klein halten. Die Grundlagen des Gesetzes selbst stehen im Lexikon unter Was ist der EU AI Act?.

Was der EU AI Act ist – in einem Absatz

Der EU AI Act ist die Verordnung (EU) 2024/1689 über künstliche Intelligenz, im deutschen Sprachgebrauch auch KI-Verordnung genannt. Beide Bezeichnungen meinen dasselbe Gesetz. Als Verordnung gilt sie unmittelbar in allen Mitgliedstaaten; ein deutsches Umsetzungsgesetz ist dafür nicht nötig. Ihre Logik ist die des Produktsicherheitsrechts: Nicht die Technik wird bewertet, sondern der Einsatzzweck und der Schaden, der dabei entstehen kann. Dieselbe generative KI ist deshalb unbedenklich, wenn sie ein Besprechungsprotokoll zusammenfasst, und streng reguliert, wenn sie Bewerbungen vorsortiert.

Für wen der EU AI Act gilt

Die Verordnung knüpft nicht an Branche oder Größe an, sondern an eine Rolle. Vier davon sind für Unternehmen praktisch relevant:

• Anbieter – wer ein KI-System entwickelt oder unter eigenem Namen oder eigener Marke auf den Markt bringt. Das trifft auch zu, wenn Sie ein fremdes Sprachmodell in ein eigenes Produkt einbauen und dieses Kunden anbieten.
• Betreiber – wer ein KI-System in eigener Verantwortung beruflich nutzt. Das ist die Rolle, in der die meisten mittelständischen Betriebe stecken.
• Importeur und Händler – wer ein KI-System aus einem Drittland in der EU in Verkehr bringt oder weitervertreibt.
• Produkthersteller – wer KI als Sicherheitsbauteil in ein eigenes Produkt einbaut, etwa in eine Maschine.

Räumlich reicht die Verordnung über die EU hinaus: Sie betrifft auch Anbieter aus Drittstaaten, deren System in der EU in Verkehr gebracht wird oder dessen Ergebnis in der EU verwendet wird. Deshalb lässt sich die Frage „gilt das bei uns?“ nicht damit beantworten, dass der Anbieter seinen Sitz in den USA hat.

Nicht betroffen sind unter anderem Systeme, die ausschließlich militärischen Zwecken, der Verteidigung oder der nationalen Sicherheit dienen, reine Forschung und Entwicklung vor dem Inverkehrbringen sowie die rein private Nutzung durch Privatpersonen außerhalb einer beruflichen Tätigkeit. Das letzte Stichwort ist im Betrieb wichtig: Sobald eine Kollegin mit dem privaten Konto eines Assistenten Firmenunterlagen bearbeitet, ist die Nutzung beruflich – und das Werkzeug gehört in Ihr Verzeichnis.

Anbieter oder Betreiber: Ihre Rolle entscheidet über den Aufwand

Der Sprung von Betreiber zu Anbieter ist der Punkt, der in Beratungsgesprächen am häufigsten übersehen wird. Wer ein KI-Agentensystem für den eigenen Betrieb baut, bleibt Betreiber. Wer dasselbe System einem Kunden als Produkt verkauft, steht in einer anderen Rolle.

Die vier Risikostufen – und wo Mittelstandsfälle landen

Zwei Dinge sind daran für die Praxis wichtig. Erstens liegt die große Mehrheit der Fälle im Mittelstand in der untersten Stufe – der Aufwand ist dann überschaubar und besteht vor allem aus Schulung und klaren Regeln. Zweitens hängt die Einordnung am Zweck, nicht am Produktnamen: Dasselbe Werkzeug kann im Marketing minimal und in der Personalabteilung hochriskant sein.

Seit wann was gilt: der Stufenplan

Die Verordnung ist im August 2024 in Kraft getreten und wird stufenweise wirksam. Die Stufen der Verordnung selbst sind an den 2. August des jeweiligen Jahres gebunden, mit einer Ausnahme am Anfang. Dazwischen liegt eine Änderung der Verordnung: der Digital-Omnibus.

Die beiden Stufen, die den Mittelstand praktisch betreffen, gelten damit heute: die KI-Kompetenz der Beschäftigten seit dem 2. Februar 2025 – seit dem Digital-Omnibus in der Fassung „fördern“ – und die Transparenzpflichten seit dem 2. August 2026. Verschoben hat der Digital-Omnibus nur einen Teil der Fristen für Hochrisiko-Systeme der Anwendungsliste. Dort liegen im Mittelstand wenige, aber folgenreiche Fälle: das Vorsortieren von Bewerbungen, die Bewertung von Auszubildenden, die automatisierte Entscheidung über Bonität. Steckt bei Ihnen ein solcher Fall, ordnen wir ihn im Erstgespräch ein und nennen die Frist, die dafür gilt; die verbindliche rechtliche Bewertung gehört danach in Ihre Kanzlei.

Transparenzpflicht: was Kunden und Beschäftigte erkennen müssen

Die Transparenzpflichten sind der Teil, der im Alltag am sichtbarsten wird, weil er in Oberflächen, Texte und Ansagen eingreift. Vier Fälle kommen regelmäßig vor:

• Gespräch mit einer KI. Wer mit einem System spricht oder schreibt, muss erkennen können, dass kein Mensch antwortet – es sei denn, es ist aus der Situation offensichtlich. Ein Satz zu Beginn des Chats genügt; versteckt in den Nutzungsbedingungen genügt er nicht. Wie wir das in Website-Chats lösen, steht auf der Seite KI-Chatbot.
• Künstlich erzeugte Inhalte. Bilder, Audio, Video und Text, die von einer KI erzeugt oder verändert wurden, sind als solche kennzeichenbar zu machen. Die maschinenlesbare Markierung ist Sache des Anbieters des Werkzeugs; die sichtbare Offenlegung dort, wo Inhalte echt wirken könnten, ist Ihre.
• Inhalte, die echt wirken sollen. Zeigt ein erzeugtes Foto scheinbar ein echtes Referenzobjekt oder spricht eine synthetische Stimme scheinbar für eine reale Person, muss offengelegt werden, dass der Inhalt künstlich ist. Für Texte zu Angelegenheiten von öffentlichem Interesse gilt dasselbe, solange kein Mensch sie redaktionell verantwortet.
• Emotionserkennung und biometrische Einordnung. Wo solche Systeme erlaubt sind, müssen die betroffenen Personen darüber informiert werden. Am Arbeitsplatz ist Emotionserkennung ohnehin verboten.

Praktisch heißt das: Prüfen Sie Ihre Website, Ihre Telefonansage, Ihre Social-Media-Bilder und Ihre Stellenanzeigen daraufhin, wo eine KI im Spiel ist und ob man es sehen kann. Das ist eine Nachmittagsaufgabe, nicht ein Projekt.

Was ein mittelständischer Betrieb jetzt in sechs Schritten tut

1. Werkzeuge einsammeln. Fragen Sie in jeder Abteilung, welche KI-Werkzeuge im Einsatz sind, und sehen Sie in Abrechnungen und Browser-Erweiterungen. Es werden mehr sein als erwartet, und die privaten Konten gehören dazu.
2. Rolle je Werkzeug festhalten. Betreiber in den meisten Fällen – aber prüfen Sie jedes Produkt, das Sie selbst verkaufen oder wesentlich verändern.
3. Risikostufe zuordnen. Nach Zweck, nicht nach Produktname. Alles, was über Menschen entscheidet oder vorentscheidet, markieren Sie für eine genauere Prüfung.
4. KI-Kompetenz aufbauen und belegen. Diese Pflicht gilt und wird am häufigsten übersehen. Was Artikel 4 verlangt und wie ein Nachweis nach Rollen aussieht, steht im Beitrag KI-Kompetenzpflicht nach EU AI Act; den Begriff erklärt das Lexikon unter KI-Kompetenzpflicht. Schulungen nach Rolle führen wir in unserer Akademie durch.
5. Transparenz herstellen. Chat-Hinweis setzen, erzeugte Inhalte offenlegen, Ansagen prüfen.
6. Regeln und Zuständigkeit aufschreiben. Eine Richtlinie von wenigen Seiten, eine benannte Person, ein Weg zur Freigabe neuer Werkzeuge. Genau das ist KI-Governance; den Begriff erklärt das Lexikon unter KI-Governance.

Die Reihenfolge ist Absicht. Ohne Schritt 1 ist jede Einstufung geraten, und ohne Schritt 4 fehlt die einzige Pflicht, die jeden Betrieb mit KI-Einsatz schon heute sicher trifft.

Verzeichnis der KI-Anwendungen: die kleinste Tabelle, die reicht

Ein förmliches Register verlangt die Verordnung von Betreibern außerhalb des Hochrisiko-Bereichs nicht. Ohne eine Liste lässt sich aber keine Frage einer Aufsicht, eines Auditors oder eines Großkunden beantworten. Acht Spalten genügen:

Wer diese Tabelle führt, kann die Frage nach dem KI-Einsatz in einem Lieferantenfragebogen in zehn Minuten beantworten. Wer sie nicht führt, braucht dafür Wochen.

Aufsicht und Bußgelder

Die Durchsetzung liegt bei nationalen Behörden; in Deutschland ist die Bundesnetzagentur als zentrale Anlaufstelle für die Marktüberwachung vorgesehen. Die Bußgeldrahmen der Verordnung sind gestaffelt: bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes bei Verstößen gegen die Verbote, bis zu 15 Millionen Euro oder 3 Prozent bei Verstößen gegen die meisten übrigen Pflichten und bis zu 7,5 Millionen Euro oder 1 Prozent für falsche oder unvollständige Angaben gegenüber Behörden. Für kleine und mittlere Unternehmen gilt jeweils der niedrigere der beiden Werte.

Für den Mittelstand ist die realistische Gefahr allerdings nicht das Bußgeld, sondern der Alltag: ein Kunde, der im Fragebogen nach dem KI-Einsatz fragt, eine Versicherung, die Regeln sehen will, oder ein Datenschutzvorfall, bei dem sich zeigt, dass Firmenunterlagen in privaten Konten lagen.

AI Act, DSGVO und Governance: was wovon getrennt bleibt

Der AI Act ersetzt die DSGVO nicht, er kommt hinzu. Die DSGVO fragt, ob und wie personenbezogene Daten verarbeitet werden dürfen – dort gehören Rechtsgrundlage, Verzeichnis der Verarbeitungen und der Auftragsverarbeitungsvertrag hin. Der AI Act fragt, ob das System selbst eingeordnet, beaufsichtigt und erkennbar ist. Welche Daten überhaupt in ein Werkzeug dürfen, behandelt der Beitrag ChatGPT im Unternehmen datenschutzkonform nutzen; verlangt ein Fall das Modell im eigenen Rechenzentrum, ist das eine Antwort – siehe Lokale KI.

Beide Gesetze beschreiben Ziele. Wie Ihr Betrieb sie organisiert, ist Governance: Register, Regeln, Rollen, Nachweise. Deshalb ist eine Richtlinie von drei Seiten in der Praxis mehr wert als ein Gutachten von dreißig.

Häufige Fragen zum EU AI Act

Für wen gilt der EU AI Act?

Für Anbieter, Betreiber, Importeure, Händler und Produkthersteller von KI-Systemen – unabhängig von Branche und Unternehmensgröße. Räumlich auch für Anbieter außerhalb der EU, wenn ihr System in der EU in Verkehr gebracht wird oder dessen Ergebnis in der EU genutzt wird. Ausgenommen sind unter anderem militärische Zwecke, nationale Sicherheit, reine Forschung vor dem Inverkehrbringen und die private Nutzung außerhalb einer beruflichen Tätigkeit.

Ab wann gilt der EU AI Act?

Gestuft: Verbote und die KI-Kompetenzpflicht seit dem 2. Februar 2025, die Regeln für Modelle mit allgemeinem Verwendungszweck samt Aufsicht und Sanktionen seit dem 2. August 2025, die grundsätzliche Anwendbarkeit mit den Transparenzpflichten nach Artikel 50 seit dem 2. August 2026 und die Regeln für KI in anderweitig regulierten Produkten ab dem 2. August 2027. Dazwischen steht der Digital-Omnibus (Verordnung (EU) 2026/1744, in Kraft seit dem 27. Juli 2026): er hat den Wortlaut der KI-Kompetenzpflicht abgeschwächt, die Pflicht aber nicht gestrichen, und einen Teil der Fristen für Hochrisiko-Systeme der Anwendungsliste verschoben. Für einen Betrieb ohne Hochrisiko-Fall heißt das: Es gilt heute schon alles, was ihn angeht.

Wann ist der AI Act in Kraft getreten?

Am 1. August 2024. Inkrafttreten und Anwendbarkeit sind beim AI Act zwei verschiedene Dinge: Das Gesetz gilt seit 2024, die einzelnen Pflichten greifen zu den oben genannten Zeitpunkten. Geändert wurde die Verordnung seitdem durch den Digital-Omnibus (Verordnung (EU) 2026/1744, in Kraft seit dem 27. Juli 2026); Grundlage aller Stufen bleibt die Verordnung (EU) 2024/1689.

Heißt die KI-Verordnung der EU jetzt AI Act?

Es ist dasselbe Rechtsgebilde. Amtlich ist die Verordnung (EU) 2024/1689 über künstliche Intelligenz; im Deutschen wird sie KI-Verordnung genannt, umgangssprachlich und international meist EU AI Act.

Gilt der EU AI Act auch für kleine Unternehmen?

Ja. Eine Schwelle nach Mitarbeiterzahl oder Umsatz gibt es nicht. Was sich unterscheidet, ist der Aufwand: Bei minimalem Risiko bestehen die Pflichten im Kern aus KI-Kompetenz der Nutzenden, Transparenz nach außen und nachvollziehbaren Regeln. Für kleine und mittlere Unternehmen sind außerdem die Bußgeldobergrenzen abgemildert, und die Verordnung sieht Erleichterungen bei der Dokumentation vor.

Fällt ChatGPT im Büro unter den AI Act?

Die Nutzung ja, als beruflicher Einsatz in der Rolle des Betreibers. Für das Modell selbst gelten die Pflichten für Modelle mit allgemeinem Verwendungszweck – die treffen den Modellanbieter, nicht Ihr Haus. Bei Ihnen bleiben Schulung, Regeln zur Dateneingabe und die Prüfung jedes Ergebnisses durch einen Menschen.

Müssen wir unseren Website-Chat als KI kennzeichnen?

Wenn Besucher sonst annehmen könnten, ein Mensch zu antworten: ja. Ein kurzer Hinweis zu Beginn des Gesprächs reicht, zusammen mit einem erkennbaren Weg zu einem Menschen. Ein Vermerk nur in den Nutzungsbedingungen erfüllt den Zweck nicht.

Brauchen wir dafür einen Anwalt?

Für die fachliche Einordnung Ihrer Fälle, die Regeln und die Nachweise nicht. Für hochriskante Anwendungen, für Entscheidungen über Beschäftigte und für eigene Produkte mit KI darin gehört die verbindliche rechtliche Bewertung in eine Kanzlei. Dieser Beitrag ist eine fachliche Einordnung und keine Rechtsberatung.

Unklar, in welcher Rolle Sie stecken?

Nennen Sie uns im Erstgespräch Ihre Abteilungen und die KI-Werkzeuge, von denen Sie wissen. Sie erhalten eine erste Einordnung je Fall, den Hinweis auf die Stellen, an denen eine Anbieterrolle entstehen könnte, und eine Einschätzung, wie knapp Ihr Regelwerk ausfallen darf. Steht die Entscheidung über neue KI-Vorhaben noch aus, gehört sie in die KI-Beratung; sind Fälle entschieden, planen wir Einstufung und Transparenz bei der KI-Implementierung von Anfang an mit. Vereinbaren Sie ein kostenfreies Erstgespräch.