Seit dem 2. August 2026 gelten die Transparenzpflichten des EU AI Act. Für Ihren Betrieb beginnt die Umsetzung mit einer konkreten Frage: Entwirft die KI nur Texte, spricht sie direkt mit Kunden oder bewertet sie Menschen? Erfassen Sie die eingesetzten Systeme und ihren Zweck, klären Sie die Verantwortung und prüfen Sie erforderliche Hinweise. Ein Schreibassistent löst andere Pflichten aus als ein Werkzeug, das Bewerbungen vorsortiert.
Eine Liste mit Werkzeug, Einsatzzweck, verwendeten Daten und verantwortlicher Person ist ein brauchbarer Ausgangspunkt. Damit lassen sich gewöhnliche Bürohilfen von Anwendungen trennen, die eine genauere rechtliche Prüfung brauchen. Datenschutz und andere Fachgesetze gelten neben dem AI Act weiter.
Der Zeitplan, und was sich 2026 daran geändert hat
Der AI Act ist bereits seit dem 1. August 2024 in Kraft, wird aber gestaffelt wirksam. Seit dem 2. Februar 2025 gelten die Verbote bestimmter Praktiken, etwa Social Scoring oder manipulative Systeme. Seit dem 2. August 2025 greifen die Regeln für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck, also die großen Basismodelle. Seit dem 2. August 2026 gelten die Transparenzpflichten des Artikels 50, und die nationalen Aufsichtsbehörden haben ihre vollen Durchsetzungs- und Sanktionsbefugnisse.
Der aktuelle Zeitplan der Europäischen Kommission berücksichtigt den AI Omnibus, der am 27. Juli 2026 in Kraft getreten ist. Die Hochrisiko-Regeln für die in Anhang III erfassten Bereiche gelten ab dem 2. Dezember 2027; für Hochrisiko-KI in regulierten Produkten ab dem 2. August 2028. Diese Verschiebung setzt die bereits geltenden Transparenzpflichten nicht aus.
Die Logik dahinter: Risiko statt Gießkanne
Der AI Act reguliert nicht „KI“ als Technologie, sondern konkrete Einsatzzwecke, gestaffelt nach Risiko. Ganz oben stehen verbotene Praktiken. Darunter liegen Hochrisiko-Anwendungen, für die strenge Anforderungen an Datenqualität, Dokumentation, menschliche Aufsicht und Risikomanagement gelten. Darunter wiederum Systeme mit begrenztem Risiko, für die im Wesentlichen Transparenzpflichten greifen. Und ganz unten der große Rest, für den der AI Act kaum spezifische Vorgaben macht.
Ein Unternehmen, das mit einem KI-Assistenten E-Mails vorformuliert, Protokolle zusammenfasst oder Angebotstexte entwirft, betreibt kein Hochrisiko-System. Es bewegt sich in der untersten oder zweituntersten Stufe, und dort sind die Pflichten überschaubar.
Was für die meisten Betriebe konkret gilt
Für Unternehmen, die gewöhnliche KI-Werkzeuge nutzen, sind zwei Themen besonders praktisch: ein kompetentes Team und die erforderliche Transparenz.
Erstens braucht das Team ein angemessenes Verständnis seiner Werkzeuge. Mitarbeitende sollten wissen, was die KI kann, wo sie typischerweise irrt und welche Daten hineindürfen. Artikel 4 zur KI-Kompetenz wurde durch den AI Omnibus geändert; die Kommission kennzeichnet ihre bisherige Artikelfassung ausdrücklich als noch nicht aktualisiert. Aus diesem älteren Wortlaut sollte deshalb keine unveränderte allgemeine Schulungspflicht abgeleitet werden. Für Hochrisiko-Anwendungen sind die jeweiligen Anforderungen gesondert zu prüfen.
Zweitens gelten seit dem 2. August 2026 die Transparenzpflichten nach Artikel 50. Anbieter müssen direkte KI-Interaktionen, etwa mit einem Chatbot, erkennbar machen, sofern sie nicht ohnehin offensichtlich sind. Unternehmen sollten den Hinweis auch bei eingebundenen Fremdsystemen prüfen. Wer Deepfakes oder bestimmte KI-Texte zu Themen von öffentlichem Interesse veröffentlicht, muss die Offenlegung prüfen; für substanziell geprüfte Texte mit redaktioneller Verantwortung gilt eine Ausnahme. Die Übergangsfrist bis zum 2. Dezember 2026 betrifft nur die technische Markierung durch Anbieter bereits zuvor vermarkteter Systeme. Die Kennzeichnungspflicht mit konkreten Beispielen erläutern wir separat.
Prüfen Sie zuerst den Einsatzzweck: Ein Entwurf, den eine Mitarbeiterin kontrolliert und selbst versendet, ist anders einzuordnen als ein Chatbot, der Kunden unmittelbar antwortet. Bei Bewerberbewertung kommt eine weitere Frage hinzu: Welche Hochrisiko-Pflichten treffen Anbieter und Betreiber?
Wann man doch in Hochrisiko rutscht
Die Hochrisiko-Kategorie ist keine Frage der Unternehmensgröße, sondern des Einsatzzwecks. Der für den Mittelstand relevanteste Fall ist das Personalwesen: KI-Systeme, die Bewerbungen filtern, Kandidaten bewerten oder Entscheidungen über Beförderung und Kündigung vorbereiten, sind im Anhang III des Gesetzes ausdrücklich als Hochrisiko eingestuft. Gleiches gilt etwa für Kreditwürdigkeitsprüfungen oder Systeme in kritischer Infrastruktur. Ein zwanzigköpfiger Betrieb, der ein KI-Tool Bewerber vorsortieren lässt, bewegt sich damit in einem regulierten Bereich, ein Konzern, der KI nur für Textentwürfe nutzt, nicht.
Wer solche Anwendungen einsetzt oder plant, muss deshalb nicht sofort aussteigen. Aber er sollte den Zeitplan bis Dezember 2027 ernst nehmen und frühzeitig klären, welche Anforderungen auf ihn zukommen, vor allem menschliche Aufsicht, Dokumentation und die Frage, ob der Anbieter des Tools seine Hausaufgaben macht.
Anbieter oder Betreiber: Die Rollenfrage entscheidet
Der AI Act verteilt die Pflichten nach Rollen. Der Anbieter, also wer ein KI-System entwickelt und unter eigenem Namen auf den Markt bringt, trägt bei Hochrisiko-Systemen die Hauptlast: Konformitätsverfahren, technische Dokumentation, Qualitätsmanagement. Der Betreiber, also wer ein System in eigener Verantwortung beruflich nutzt, hat deutlich schlankere Pflichten: das System bestimmungsgemäß einsetzen, die vorgesehene Aufsicht sicherstellen, bei Hochrisiko-Systemen zusätzliche Sorgfalt walten lassen.
Die meisten Mittelständler sind Betreiber. Aber die Grenze kann verrutschen: Wer ein zugekauftes System wesentlich verändert, unter eigener Marke anbietet oder für einen Hochrisiko-Zweck umwidmet, kann selbst in die Anbieterrolle geraten, mit allen Konsequenzen. Wer eigene KI-Produkte entwickelt und an Kunden verkauft, ist ohnehin Anbieter. Diese Rollenklärung ist keine Formalie, sondern der Punkt, an dem sich entscheidet, welcher Pflichtenkatalog überhaupt gilt.
Ein pragmatisches Vorgehen
Halten Sie pro System vier Dinge fest: Einsatzzweck und Daten, Anbieter- oder Betreiberrolle, mögliche Risikokategorie und verantwortliche Person. Prüfen Sie auch Werkzeuge, die einzelne Teams selbst eingeführt haben. Klären Sie anschließend, welche Schulung, Freigaben und Hinweise fehlen. Bei Personalentscheidungen oder anderen sensiblen Anwendungen gehört die rechtliche Einordnung vor die Einführung.
Wenn Ihnen für diese Übersicht noch Informationen fehlen, bringen Sie Ihre Werkzeuge und ein bis zwei typische Arbeitsabläufe ins Erstgespräch mit AI Værk mit. Wir besprechen den technischen Einsatz, Datenflüsse und Verantwortlichkeiten und klären, welche Fragen vor einer Umsetzung offen sind. Eine verbindliche rechtliche Einordnung gehört bei Bedarf zu einer entsprechend qualifizierten Beratung.
