EU AI Act: Wann er in Kraft tritt und was Unternehmen beachten müssen
Künstliche Intelligenz ist längst im Büro angekommen. Viele Unternehmen nutzen KI bereits für Texte, E-Mails, Zusammenfassungen, Übersetzungen, Bilder, Präsentationen, Auswertungen, Kundenkommunikation oder interne Automatisierung. Oft geschieht das ganz pragmatisch. Ein Mitarbeiter nutzt ein KI-Tool im Browser, eine Marketingabteilung erstellt Entwürfe, ein Handwerksbetrieb lässt Angebotstexte formulieren oder eine Geschäftsführung probiert KI für Auswertungen und Ideen aus.
Mit dem EU AI Act bekommt dieser Einsatz einen rechtlichen Rahmen. Die EU will damit nicht jede KI verbieten und auch nicht Innovation verhindern. Ziel ist ein risikobasierter Umgang mit künstlicher Intelligenz. Je größer das Risiko für Menschen, Grundrechte, Sicherheit oder sensible Entscheidungen ist, desto strenger sind die Anforderungen. Die Bundesnetzagentur beschreibt die KI-Verordnung entsprechend als Regelwerk, das vertrauenswürdige KI fördern, Innovation ermöglichen und Risiken für Gesundheit, Sicherheit und Grundrechte minimieren soll.
Für kleine Unternehmen ist wichtig: Der AI Act betrifft nicht nur große Technologieunternehmen. Er kann auch Betriebe, Vereine, Behörden, Dienstleister und Selbstständige betreffen, wenn sie KI-Systeme entwickeln, anbieten oder im Arbeitsalltag einsetzen. Viele einfache KI-Nutzungen bleiben zwar risikoarm, aber auch dann braucht es ein Grundverständnis, klare Regeln und einen bewussten Umgang.
Der AI Act ist bereits in Kraft
Der EU AI Act ist nicht mehr nur ein Entwurf. Die Verordnung ist am 1. August 2024 in Kraft getreten. Vollständig anwendbar ist sie nicht sofort, sondern schrittweise. Die EU-Kommission nennt als allgemeinen Startpunkt für die vollständige Anwendbarkeit den 2. August 2026, allerdings mit mehreren wichtigen Ausnahmen und Übergangsfristen.
Das bedeutet: Unternehmen sollten nicht warten, bis „irgendwann alles gilt“. Einige Pflichten gelten bereits. Andere folgen in den nächsten Monaten und Jahren. Wer KI im Unternehmen nutzt, sollte deshalb jetzt damit beginnen, die eigenen Anwendungen zu prüfen und zu dokumentieren.
Die wichtigsten Fristen im Überblick
Seit dem 2. Februar 2025 gelten bereits die allgemeinen Vorschriften, die KI-Kompetenz und die Verbote bestimmter KI-Praktiken betreffen. Dazu gehören besonders riskante Anwendungen, die mit europäischen Grundwerten und Grundrechten nicht vereinbar sind. Die Bundesnetzagentur weist darauf hin, dass die verbotenen KI-Praktiken seit dem 2. Februar 2025 untersagt sind.
Seit dem 2. August 2025 gelten außerdem Regeln für sogenannte General-Purpose-AI-Modelle, also KI-Modelle mit allgemeinem Verwendungszweck. Dazu gehören große Sprachmodelle, die für viele unterschiedliche Aufgaben genutzt werden können. Für diese Modelle ist auf EU-Ebene insbesondere das AI Office der Europäischen Kommission zuständig.
Am 2. August 2026 wird der Großteil der Regeln anwendbar. Nach der offiziellen Zeitleiste des AI Act Service Desk starten dann unter anderem die meisten Durchsetzungsregeln, Transparenzpflichten und Maßnahmen zur Innovationsförderung. Die Mitgliedstaaten sollen außerdem mindestens ein KI-Reallabor beziehungsweise eine regulatorische Testumgebung eingerichtet haben.
Für bestimmte Hochrisiko-KI-Systeme gibt es längere Übergangsfristen. Der AI Act Service Desk nennt für Hochrisiko-KI-Systeme, die in regulierte Produkte eingebettet sind, den 2. August 2027 als späteren Zeitpunkt. Gleichzeitig gibt es auf EU-Ebene Vereinfachungs- und Änderungsinitiativen, die Fristen und Details verschieben können. Deshalb sollten Unternehmen die Entwicklung weiter beobachten und sich nicht nur auf eine einmal gelesene Frist verlassen.
Warum der AI Act für kleine Unternehmen wichtig ist
Viele kleine Unternehmen glauben zunächst, dass der AI Act nur Anbieter großer KI-Modelle betrifft. Das ist ein Irrtum. Zwar liegen die strengsten Pflichten oft bei Anbietern, Entwicklern und Betreibern von Hochrisiko-Systemen. Aber auch normale Unternehmen können betroffen sein, wenn sie KI in sensiblen Bereichen einsetzen oder KI-Ergebnisse gegenüber Kunden, Mitarbeitern oder Bewerbern verwenden.
Ein Handwerksbetrieb, der KI nur nutzt, um einen Blogartikel zu entwerfen, hat ein anderes Risikoprofil als ein Unternehmen, das KI zur Vorauswahl von Bewerbern einsetzt. Eine Agentur, die KI-Bilder für Social Media erstellt, muss anders prüfen als eine Firma, die mit KI Kreditwürdigkeit, Leistung, Verhalten oder Gesundheit bewertet. Genau diese Unterscheidung ist der Kern des AI Act.
Für kleine Unternehmen bedeutet das: Nicht jede KI-Nutzung ist gefährlich. Aber jede KI-Nutzung sollte bewusst eingeordnet werden.
Der AI Act arbeitet mit Risikostufen
Der AI Act unterscheidet KI-Systeme nach Risiko. Die Bundesnetzagentur beschreibt vier Risikostufen: unzulässiges Risiko, hohes Risiko, begrenztes Risiko und minimales beziehungsweise kein Risiko. Je höher das Risiko, desto strenger sind die Anforderungen.
Für den normalen Büroalltag ist diese Einordnung sehr hilfreich. Viele typische Anwendungen wie Textvorschläge, Zusammenfassungen, Übersetzungen oder Ideensammlungen werden in vielen Fällen nicht automatisch Hochrisiko-KI sein. Trotzdem können auch einfache Tools problematisch werden, wenn sie in sensiblen Bereichen eingesetzt werden oder wenn Menschen blind auf Ergebnisse vertrauen.
Der gleiche KI-Assistent kann also in einem Fall harmlos und in einem anderen Fall riskant sein. Ein Tool, das eine interne E-Mail sprachlich verbessert, ist etwas anderes als ein Tool, das Bewerber sortiert, Mitarbeiter bewertet oder rechtlich relevante Entscheidungen vorbereitet.
Verbotene KI-Praktiken sollten Unternehmen kennen
Seit Februar 2025 sind bestimmte KI-Anwendungen verboten. Gemeint sind besonders riskante Praktiken, die Menschen manipulieren, ausnutzen oder in ihren Grundrechten gefährden können. Dazu gehören zum Beispiel bestimmte Formen von Social Scoring, unzulässige biometrische Kategorisierung, manipulative Systeme oder sehr problematische Überwachungsformen. Die Bundesnetzagentur spricht von acht verbotenen KI-Praktiken, die seit dem 2. Februar 2025 wegen ihrer Risiken für europäische Werte und Grundrechte untersagt sind.
Für kleine Unternehmen ist das vor allem eine Warnung: KI sollte nicht eingesetzt werden, um Menschen heimlich zu bewerten, zu überwachen, zu manipulieren oder sensible Eigenschaften abzuleiten. Wer KI im Personalbereich, bei Kundenbewertungen, Bonitätsentscheidungen, Zugangskontrollen oder Überwachung einsetzen möchte, sollte besonders vorsichtig sein und rechtliche Beratung einholen.
KI-Kompetenz ist eine frühe Pflicht
Ein besonders praktischer Punkt ist die KI-Kompetenz. Der AI Act verlangt, dass Personen, die mit KI-Systemen umgehen, ausreichend Wissen und Verständnis für Chancen, Risiken und Grenzen dieser Systeme haben. Die Bundesnetzagentur beschreibt KI-Kompetenz als Fähigkeiten, Wissen und Verständnis, um KI-Systeme sachkundig, verantwortungsvoll und sicher zu nutzen und sich der Chancen und Risiken bewusst zu sein.
Für Unternehmen heißt das nicht automatisch, dass jeder Mitarbeiter ein KI-Experte werden muss. Aber es reicht auch nicht, KI einfach freizugeben und zu hoffen, dass alle schon vernünftig damit umgehen. Wer KI im Büro nutzt, sollte klare Regeln aufstellen und Mitarbeiter grundlegend schulen.
Dazu gehört das Verständnis, dass KI halluzinieren kann, also überzeugend klingende falsche Antworten erzeugt. Dazu gehört auch, dass vertrauliche Daten nicht unbedacht in öffentliche KI-Dienste eingegeben werden sollten. Ebenso wichtig ist der Hinweis, dass KI-Ergebnisse geprüft werden müssen, bevor sie an Kunden, Behörden, Mitarbeiter oder die Öffentlichkeit gehen.
Transparenz wird wichtiger
Der AI Act enthält Transparenzpflichten. Besonders relevant ist das dort, wo Menschen mit KI interagieren oder wo KI-generierte Inhalte entstehen. Nach der offiziellen Zeitleiste des AI Act Service Desk beginnen die Transparenzregeln nach Artikel 50 am 2. August 2026.
Für Unternehmen kann das bedeuten, dass sie klarer kennzeichnen müssen, wenn Kunden mit einem KI-System kommunizieren oder wenn bestimmte Inhalte künstlich erzeugt wurden. Besonders bei Chatbots, Deepfakes, KI-generierten Bildern, Audioinhalten oder automatisch erstellten Texten sollte geprüft werden, ob eine Kennzeichnung nötig ist.
Im normalen Büroalltag ist Transparenz aber nicht nur eine rechtliche Frage. Sie ist auch eine Vertrauensfrage. Kunden sollten nicht das Gefühl bekommen, getäuscht zu werden. Wenn KI eingesetzt wird, sollte das dort offen kommuniziert werden, wo es für die Entscheidung oder Erwartung des Gegenübers relevant ist.
Hochrisiko-KI ist der kritischste Bereich
Die strengsten Anforderungen gelten für Hochrisiko-KI-Systeme. Dabei geht es um Anwendungen, die erhebliche Auswirkungen auf Menschen haben können. Die Bundesnetzagentur erklärt, dass Hochrisiko-Systeme anhand ihres beabsichtigten Zwecks eingestuft werden und dass Anbieter und Betreiber solcher Systeme strenge Anforderungen erfüllen müssen, um Sicherheit, Gesundheit und Grundrechte zu schützen.
Typische sensible Bereiche sind Personal, Bildung, kritische Infrastruktur, biometrische Systeme, Zugang zu wichtigen Leistungen, bestimmte Sicherheitsanwendungen und behördliche Entscheidungen. Für kleine Unternehmen ist besonders der Personalbereich relevant. KI-gestützte Bewerberauswahl, Leistungsbewertung, Schichtplanung mit Bewertungskomponenten oder automatische Einstufungen von Mitarbeitern können schnell in einen Bereich führen, der genauer geprüft werden muss.
Wer KI nur als Schreibassistent nutzt, bewegt sich meist in einem anderen Rahmen. Wer KI aber Entscheidungen über Menschen vorbereitet oder beeinflussen lässt, sollte besonders vorsichtig sein.
Anbieter, Betreiber und Nutzer sind nicht dasselbe
Ein wichtiger Punkt im AI Act ist die Rolle des Unternehmens. Ein Unternehmen kann Anbieter sein, wenn es ein KI-System entwickelt oder unter eigenem Namen bereitstellt. Es kann Betreiber beziehungsweise Anwender sein, wenn es ein fertiges KI-System im eigenen Betrieb einsetzt. Es kann aber auch in weitere Rollen rutschen, etwa wenn es ein System wesentlich verändert oder in eigene Produkte integriert.
Für viele kleine Unternehmen ist die Rolle als Betreiber am wahrscheinlichsten. Sie nutzen KI-Tools, die von anderen Anbietern bereitgestellt werden. Trotzdem entstehen Pflichten. Das Unternehmen muss verstehen, wofür es das Tool einsetzt, ob der Einsatz zulässig ist, ob Transparenz nötig ist, ob Datenschutz betroffen ist und ob Mitarbeiter ausreichend eingewiesen sind.
Besonders wichtig ist: Die Verantwortung verschwindet nicht einfach, nur weil ein externer Anbieter das KI-Tool bereitstellt. Wenn ein Unternehmen KI im eigenen Geschäftsprozess nutzt, bleibt es für diesen Einsatz mitverantwortlich.
Datenschutz bleibt zusätzlich wichtig
Der AI Act ersetzt nicht die DSGVO. Beide Regelwerke stehen nebeneinander. Das ist für Unternehmen besonders wichtig, weil viele KI-Anwendungen personenbezogene Daten verarbeiten können. Kundendaten, Mitarbeiterdaten, Bewerbungen, E-Mails, Gesprächsnotizen, Gesundheitsdaten, Fotos oder interne Dokumente dürfen nicht unbedacht in beliebige KI-Systeme eingegeben werden.
Ein häufiger Fehler besteht darin, KI wie eine normale Suchmaschine zu behandeln. Das ist riskant. Wer vertrauliche Dokumente, Kundendaten oder personenbezogene Informationen in ein externes KI-Tool kopiert, muss wissen, was mit diesen Daten passiert. Werden sie gespeichert? Werden sie zum Training genutzt? Wo stehen die Server? Gibt es einen Vertrag zur Auftragsverarbeitung? Welche Einstellungen gibt es für Datenschutz und Datenaufbewahrung?
Für kleine Unternehmen sollte deshalb eine einfache Regel gelten: Keine sensiblen Daten in KI-Systeme eingeben, solange nicht klar ist, ob und wie diese Daten geschützt werden.
KI im Büro braucht klare interne Regeln
Viele Unternehmen brauchen keine komplizierte KI-Abteilung. Sie brauchen aber klare interne Regeln. Diese Regeln sollten erklären, welche KI-Tools genutzt werden dürfen, welche Daten eingegeben werden dürfen, welche Inhalte geprüft werden müssen und wer für Freigaben verantwortlich ist.
Ohne solche Regeln entsteht Schatten-KI. Mitarbeiter nutzen privat bekannte Tools, kopieren Texte hinein, laden Dokumente hoch und erzeugen Inhalte, ohne dass das Unternehmen einen Überblick hat. Das ist nicht böse gemeint, kann aber gefährlich werden. Besonders bei Kundendaten, Angeboten, Verträgen, Personalunterlagen oder interner Strategie sollte klar sein, welche Grenzen gelten.
Eine einfache KI-Richtlinie kann bereits viel bewirken. Sie muss nicht juristisch kompliziert sein. Sie sollte alltagstauglich erklären, was erlaubt ist, was verboten ist und wann nachgefragt werden muss.
Unternehmen sollten ein KI-Verzeichnis anlegen
Ein praktischer erster Schritt ist ein KI-Verzeichnis. Darin wird festgehalten, welche KI-Tools im Unternehmen genutzt werden, wofür sie eingesetzt werden, welche Daten verarbeitet werden und wer verantwortlich ist. Das klingt bürokratisch, ist aber sehr hilfreich.
Ein solches Verzeichnis muss am Anfang nicht perfekt sein. Wichtig ist, überhaupt Transparenz zu schaffen. Nutzt die Buchhaltung KI? Nutzt das Marketing KI? Werden Kundendaten verarbeitet? Gibt es KI-Funktionen in Office-Software, CRM, Bewerbermanagement, Telefonanlage, Ticketsystem oder Cloudplattform? Viele KI-Funktionen erscheinen inzwischen automatisch in bestehender Software. Gerade deshalb braucht es Überblick.
Wer seine KI-Nutzung nicht kennt, kann sie nicht bewerten. Wer sie dokumentiert, kann Risiken erkennen und gezielt verbessern.
KI-Ergebnisse müssen geprüft werden
Ein zentraler Praxispunkt ist die menschliche Kontrolle. KI kann hilfreich sein, aber sie ist nicht unfehlbar. Sie kann falsche Fakten liefern, Quellen erfinden, rechtliche Aussagen verfälschen, Vorurteile übernehmen oder vertrauliche Informationen unpassend verarbeiten.
Deshalb sollten KI-Ergebnisse vor der Nutzung geprüft werden. Das gilt besonders für Texte, die an Kunden gehen, für rechtliche oder steuerliche Aussagen, für technische Empfehlungen, für Gesundheitsinformationen, für Bewerberbewertungen und für Inhalte, die veröffentlicht werden.
Im Büro sollte KI als Assistenz verstanden werden, nicht als Ersatz für Verantwortung. Die Entscheidung bleibt beim Menschen. Das ist nicht nur rechtlich sinnvoll, sondern auch geschäftlich notwendig.
Besondere Vorsicht bei Personal, Bewertung und Überwachung
Viele kleine Unternehmen werden KI zuerst für Texte, Marketing oder Automatisierung einsetzen. Kritischer wird es, wenn KI Menschen bewertet. Das betrifft Bewerbungen, Mitarbeiterleistungen, Verhalten, Arbeitszeiten, Kundenscoring oder automatische Priorisierung von Personen.
Solche Anwendungen können erhebliche Auswirkungen haben. Sie können unfair sein, diskriminieren oder falsche Schlüsse ziehen. Deshalb sind sie im Rahmen des AI Act besonders sensibel. Wer KI in diesen Bereichen einsetzen möchte, sollte nicht experimentieren, sondern vorher prüfen, welche Pflichten gelten.
Für die meisten kleinen Unternehmen ist der sichere Weg einfach: KI nicht zur automatisierten Bewertung von Bewerbern, Mitarbeitern oder Kunden einsetzen, solange die rechtliche und technische Bewertung nicht sauber erfolgt ist.
Deutschland schafft eigene Zuständigkeiten
Die EU-Verordnung gilt unmittelbar in der EU, aber die Mitgliedstaaten müssen nationale Zuständigkeiten, Behörden und Verfahren festlegen. In Deutschland hat die Bundesregierung einen Gesetzentwurf zur Durchführung der KI-Verordnung auf den Weg gebracht. Laut Bundesregierung hat das Kabinett den Entwurf am 11. Februar 2026 beschlossen, der Bundestag hat ihn am 11. Juni 2026 mit leichten Änderungen beschlossen, der Bundesrat muss noch zustimmen.
Eine zentrale Rolle soll die Bundesnetzagentur übernehmen. Dort soll ein Koordinierungs- und Kompetenzzentrum entstehen, das KI-Expertise bündelt, andere Behörden unterstützt und Informationen für Unternehmen bereitstellt.
Für Unternehmen ist das wichtig, weil sich dadurch klarere Ansprechpartner entwickeln. Gleichzeitig zeigt es, dass die praktische Umsetzung noch im Aufbau ist. Wer jetzt vorbereitet, ist später nicht überrascht.
Was Unternehmen jetzt konkret tun sollten
Der wichtigste erste Schritt ist eine Bestandsaufnahme. Unternehmen sollten prüfen, wo KI bereits genutzt wird. Oft ist das mehr, als man denkt. KI steckt nicht nur in Chatbots. Sie kann auch in Office-Programmen, Bildbearbeitung, Suchfunktionen, CRM-Systemen, Buchhaltungssoftware, Bewerbertools, Telefonanlagen, Übersetzungsdiensten oder Automatisierungen enthalten sein.
Danach sollte jede Nutzung grob eingeordnet werden. Geht es nur um Textvorschläge oder interne Ideen? Werden personenbezogene Daten verarbeitet? Werden Entscheidungen über Menschen vorbereitet? Werden Kunden direkt mit KI konfrontiert? Werden Inhalte veröffentlicht? Je sensibler der Einsatz, desto genauer muss geprüft werden.
Anschließend braucht es klare Regeln für Mitarbeiter. Welche Tools dürfen genutzt werden? Welche Daten dürfen nicht eingegeben werden? Wann muss ein Ergebnis geprüft werden? Wann muss KI-Einsatz gekennzeichnet werden? Wer entscheidet über neue KI-Tools?
Diese einfachen Schritte sind für viele kleine Unternehmen wichtiger als ein großer Compliance-Apparat. Es geht darum, Kontrolle über die eigene KI-Nutzung zu bekommen.
Der AI Act ist auch eine Chance
Viele sehen Regulierung zuerst als Belastung. Das ist verständlich. Kleine Unternehmen haben ohnehin genug Bürokratie. Trotzdem kann der AI Act auch eine Chance sein. Er zwingt Unternehmen dazu, KI nicht nur als Spielerei zu betrachten, sondern als ernstes Werkzeug mit Nutzen und Risiken.
Wer früh klare Regeln schafft, kann KI sicherer nutzen. Mitarbeiter wissen, was erlaubt ist. Kunden bekommen mehr Vertrauen. Geschäftsführungen behalten den Überblick. Daten werden besser geschützt. Risiken werden früher erkannt.
Gerade für kleine Unternehmen kann das ein Wettbewerbsvorteil sein. Nicht die Firma gewinnt, die jedes neue KI-Tool blind ausprobiert. Sondern die Firma, die KI sinnvoll, sicher und nachvollziehbar einsetzt.
Fazit: Nicht abwarten, sondern vorbereiten
Der EU AI Act ist bereits in Kraft und wird schrittweise anwendbar. Seit Februar 2025 gelten Verbote besonders riskanter KI-Praktiken und Anforderungen an KI-Kompetenz. Seit August 2025 gelten Regeln für KI-Modelle mit allgemeinem Verwendungszweck und Governance-Strukturen. Ab August 2026 wird der Großteil der Regeln praktisch relevant. Weitere Übergangsfristen betreffen insbesondere Hochrisiko-Systeme.
Für kleine Unternehmen bedeutet das nicht, dass jede KI-Nutzung sofort gefährlich oder verboten ist. Es bedeutet aber, dass KI bewusst eingesetzt werden muss. Wer KI im Büro nutzt, sollte wissen, welche Tools verwendet werden, welche Daten verarbeitet werden, welche Risiken bestehen und welche Ergebnisse geprüft werden müssen.
Der beste Einstieg ist einfach: KI-Nutzung erfassen, sensible Daten schützen, Mitarbeiter schulen, klare Regeln aufstellen und riskante Anwendungen besonders vorsichtig behandeln. So wird der AI Act nicht zum Schreckgespenst, sondern zu einem Anlass, KI im Unternehmen sauber und verantwortungsvoll einzusetzen.