Was bedeutet der AI Act für Unternehmen?

Letztes Update: 2. August 2026

Der AI Act der Europäischen Union regelt für Unternehmen, wie sie mit Künstlicher Intelligenz umgehen müssen. Seit dem 2. August 2026 sind wichtige neue Regeln in Kraft getreten, die alle Firmen betreffen, die mit KI arbeiten. Und diese gelten sogar, wenn nur ein einzelner Chatbot im Einsatz ist.

Unsere FAQs zum AI Act beantworten zentrale Fragen aus Sicht von Unternehmen. Hier erfahren Sie, welche Verpflichtungen bereits gelten, wie Sie das Gesetz ohne zu viel Bürokratie einhalten, und wie es sogar helfen kann, mehr Geschäft zu generieren:

Hinweis
Bei Google sehen Sie neben den Suchergebnissen oft aktuelle News-Boxen. Wenn Sie disruptive als bevorzugte Quelle hinterlegen, bekommen Sie dort häufiger unabhängige und fundierte KI-Updates von uns angezeigt. Hier disruptive als bevorzugte Quelle hinzufügen.

Welche neue Regeln beim AI Act gelten seit dem 2. August 2026?

Zu den prominentesten nun anwendbaren Neuerungen zählen die Transparenzpflichten des Art. 50:

Anbieter von KI-Systemen, die unmittelbar mit Menschen interagieren, müssen ihre Systeme grundsätzlich so gestalten, dass betroffene Personen darüber informiert werden, dass sie mit einer KI kommunizieren. Eine gesonderte Info ist nicht erforderlich, wenn dies für eine hinreichend informierte Person unter den jeweiligen Umständen offensichtlich ist.

Anbieter generativer KI-Systeme müssen außerdem – soweit technisch machbar – sicherstellen, dass künstlich erzeugte oder veränderte Text-, Bild-, Audio- und Videoinhalte maschinenlesbar markiert und als solche erkennbar sind (mehr dazu unten). Systeme, die bereits vor dem 2. August auf den Markt waren, erhalten eine Übergangsfrist bis zum 2. Dezember 2026.

Davon zu unterscheiden sind die Offenlegungspflichten der Nutzer beziehungsweise Betreiber solcher Systeme:

Wer KI-generierte oder manipulierte Bild-, Audio- oder Videoinhalte einsetzt oder verbreitet, die einen Deepfake darstellen, muss grundsätzlich offenlegen, dass der Inhalt künstlich erzeugt oder verändert wurde.

Eine entsprechende Pflicht gilt außerdem für KI-generierte Texte, die der Information der Öffentlichkeit über Angelegenheiten von öffentlichem Interesse dienen. Sie entfällt, wenn der Inhalt menschlich geprüft oder redaktionell kontrolliert wurde und eine natürliche oder juristische Person die redaktionelle Verantwortung für seine Veröffentlichung trägt (mehr dazu ebenfalls unten).

Eine allgemeine Pflicht, jeden mit KI erzeugten Inhalt sichtbar zu kennzeichnen, sieht der AI Act dagegen nicht vor.

Seit dem 2. August 2026 greifen zudem die Zuständigkeiten für Aufsicht und Durchsetzung. Diese verteilen sich insbesondere auf das Europäische AI Office, den Europäischen Datenschutzbeauftragten und die zuständigen nationalen Behörden – in Deutschland die Bundesnetzagentur. Sie überwachen die Einhaltung der jeweils bereits anwendbaren Vorschriften. Verstöße können mit erheblichen Geldbußen und weiteren Maßnahmen geahndet werden (siehe unten).

Welche KI-Anwendungen werden im KI-Gesetz der EU reguliert?

Eine einfache White- oder Blacklist existiert nicht, daher sollte man die Grundidee des Gesetzes verstehen. Es sortiert KI-Anwendungen nicht nach Tools oder Medien, sondern nach vier Risikokategorien, wie unsere Grafik zeigt:

unzulässige Anwendungen, die vollständig verboten sind (Art. 5). Darunter fallen in der EU etwa Social-Scoring-Systeme oder Gesichtserkennung zur Fernüberwachung. Ebenfalls verboten wird „Predictive Policing“ auf Basis persönlicher Merkmale, wie der Hautfarbe, also der Einsatz von KI, um abzuschätzen, ob eine Person eine Straftat zukünftig begehen wird oder nicht. Der letztgenannte Case ist aus Firmensicht sicherlich nicht realistisch, er bringt aber die wichtigste Leitlinie des AI Acts zum Ausdruck: KI darf Menschen auf keinen Fall schaden.
Hoch-Risiko-KI, für die strenge Dokumentations- und Monitoringpflichten gelten – in Unternehmen dürften hierunter bspw. Systeme im Finanz-, Controlling- und Personalbereich fallen (siehe unten).
Anwendungen mit Transparenz- und Kennzeichnungspflicht – alle KI-Systeme, die zur unmittelbaren Interaktion mit Menschen gedacht sind, verortet der AI Act mindestens auf dieser Stufe. Dazu zählen Chatbots und die meisten der gängigen GenAI-Tools.
unkritische Anwendungen, die keiner Regulierung unterliegen. Hierunter fallen viele KI-Anwendungen, die wir im Alltag gar nicht als solche im Blick haben – etwa Spamfilter, digitale Zugangssysteme wie die Smartphone-Gesichtserkennung oder oder Speech-to-Text-Funktionen am Handy.

Welche KI-Systeme mit hohem Risiko gibt es in Unternehmen?

Unter Hoch-Risiko-KI fallen laut AI Act (Art. 6) Anwendungen, deren Einsatz Gesundheit, Sicherheit oder Grundrechte von Menschen gefährden könnten. Unternehmen sollten hier vor allem auf KI in Produkten, aber auch im Kundenservice und im HR-Bereich schauen:

- Im Produktbereich reden wir nicht über ChatGPT & Co, sondern über KI-Systeme zur Datenanalyse, zur prädiktiven Bewertung oder zur Steuerung. Welche Produkte im Detail darunter fallen, ist oft eine Einzelfallprüfung, aber die betroffenen Produktkategorien sind in den Anhängen des Gesetzes klar geregelt.
- Im Kundenservice werden beim Begriff Hochrisiko-KI z. B. Systeme genannt, die Reklamationen vorsortieren und – abhängig vom Kundenprofil – bewerten. Dies könnte Grundrechte betreffen, weil die KI hier gewisse Personen bevorzugen oder benachteiligen könnte.
- Im HR-Bereich gilt Ähnliches – im Recruiting wie auch in der Personalentwicklung: Man denke an einen KI-Bot, der als erste Instanz alle Bewerbungen screent und nur Kandidat:innen an die menschlichen HR-Kolleg:innen weiterreicht, die das System als geeignet ansieht. Gleiches ist bei der Entscheidung über Beförderungen oder bei der Leistungskontrolle von Arbeitnehmer:innen denkbar – im schlechtesten Fall bis hin zu disziplinarischen Maßnahmen, wo der Bot zumindest Empfehlungen aussprechen könnte.

All diese Anwendungen sind nicht verboten, aber es gibt klare Zertifizierungs- und Transparenzpflichten für Unternehmen. Ursprünglich sollten diese Regeln bereits ab diesem Jahr greifen. Hier gab es allerdings im Frühjahr eine Vollbremsung aus Brüssel, da vor allem der Mittelstand den ursprünglichen Zeitplan kaum schaffen konnte. Mit dem „EU Digital Omnibus on AI“, auf den sich Parlament und Rat im Mai 2026 politisch geeinigt haben, bekommen Unternehmen deutlich mehr Luft:

Die harten Pflichten für eigenständige KI-Systeme („Annex III“ – worunter bspw. HR oder Kundenservice fallen) gelten erst ab Dezember 2027. Hersteller von regulierten Produkten („Annex II“ – wie die erwähnten Medizinprodukten) erhalten sogar Zeit bis August 2028. Zudem hat die EU generell die Dokumentations- und QS-Pflichten für KMU, Start-ups und Scale-ups vereinfacht.

Muss man nun alle mit KI erstellten Texte kennzeichnen?

Nein, das muss man nicht. Es gibt in Artikel 50, Absatz 4 des AI Acts klare Vorgaben, wann Texte als „KI-generiert“ zu kennzeichnen sind. Dort heißt es:

„Betreiber eines KI-Systems, das Text erzeugt oder manipuliert, der veröffentlicht wird, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren, müssen offenlegen, dass der Text künstlich erzeugt oder manipuliert wurde. Diese Pflicht gilt nicht, (…) wenn die durch KI erzeugten Inhalte einem Verfahren der menschlichen Überprüfung oder redaktionellen Kontrolle unterzogen wurden und wenn eine natürliche oder juristische Person die redaktionelle Verantwortung für die Veröffentlichung der Inhalte trägt.“

Drei Formulierungen sind wichtig:

„Angelegenheiten von öffentlichem Interesse“. Die Formulierung wirkt sehr deutlich, in der Praxis ist sie jedoch wachsweich. Content-Marketing von Unternehmen falle nicht darunter, schreiben manche Websites. Was ist aber mit dem LinkedIn-Post, in dem der CEO die neue Firmenstrategie kommentiert? Ebenso schwierig ist es mit Werbung – aus Sicht vieler Experten kein öffentliches Interesse; aber was ist mit dem ersten Werbespot zum neuen iPhone?
„Verfahren der menschlichen Überprüfung oder redaktionellen Kontrolle“, denen Texte zu unterziehen sind. Dieser Hinweis ist elementar aus Unternehmenssicht, denn er besagt: Wenn ein:e Mitarbeitende:r einen Text ernsthaft lektoriert, ist dieser kein KI-Content mehr – unabhängig davon, ob er etwas verändert oder nicht.
„redaktionelle Verantwortung für die Veröffentlichung“. Bei Medien kennt man den Passus V.i.S.d.P., die Verantwortung im Sinne des Presserechtes. Meist sind das Verleger:in oder Chefredaktion. Diese Rollen gibt es bei Corporate Content selten. Der EU-Gesetzgeber hat den Part aber bewusst sehr breit formuliert, indem er neben der „natürlichen Person“ auch die „juristische Person“ nennt. Und wenn eine Organisation einen Text auf ihren offiziellen Kanälen (Website, eigener Social-Media-Kanal) veröffentlicht, haftet sie als juristische Person ohnehin dafür. Heißt: Die redaktionelle und rechtliche Verantwortung ist sichergestellt.

Sollten Sie unsicher sein, empfehlen wir, bei KI-Texten sehr transparent zu sein – aus zwei Gründen: weil viele Nutzer:innen dies erwarten. Und weil es auch ein Statement für die eigene Modernität und damit ein Beitrag zum Markenimage sein kann, wenn man KI klug einsetzt.

Wichtig zu wissen: Neben dem KI-Gesetz gibt es noch andere Rechtsvorschriften, die Einfluss auf Kennzeichnungspflichten haben. Dazu zählen Persönlichkeits- oder Urheberrechte – diese gelten natürlich weiterhin. Vor allem bei GenAI und Urheberrecht tritt man schnell in rechtliche Fettnäpfchen.

Was ist, wenn ich KI nur zur Rechtschreibprüfung nutze?

In diesem konkreten Fall entfällt die Kennzeichnungspflicht. Denn Artikel 50 Absatz 2 nimmt KI-Systeme aus, die nur eine Hilfsfunktion für die Standardredaktion erfüllen oder die Eingabedaten und deren Semantik nicht wesentlich verändern. Darunter fallen bspw. Rechtschreibprüfung, Umformulierung oder Zusammenfassung eigener Inhalte – all dies löst keine Kennzeichnungspflicht aus.

Wie soll man KI-Bilder AI-Act-konform kennzeichnen?

Generell kann man sagen: Bei Bild-, Audio- oder Videoinhalten ist der AI Act strenger als bei Texten. Hier geht es vor allem um „Deepfakes“ – also super-realistische, künstliche Fake-Inhalten, die das Netz fluten und dazu führen, dass wir nicht mehr erkennen können, was eigentlich noch echt ist. Wo wir unseren Augen noch trauen können.

Laut Art. 50, AI Act gelten daher drei Prinzipien: erkennbar, so früh wie möglich und maschinenlesbar.

Maschinenlesbarkeit ist besonders wichtig, damit Social-Media-Plattformen, Suchmaschinen und Web-Browser, KI-Inhalte automatisch erkennen. Nur so können diese Plattformen beispielsweise automatisierte Warnhinweise für Nutzer einblenden oder Deepfakes filtern.

Wie dies technisch funktioniert, lesen Sie unten.

Gut zu wissen: Der Prozess erfolgt inzwischen immer öfter automatisiert und ohne unser Zutun: KI-Tools, etwa die Video- oder Bildgeneratoren von OpenAI oder Google, betten die nötigen maschinenlesbaren Informationen direkt ein.

Ausspielplattformen wie etwa LinkedIn lesen diese Infos und kennzeichnen diese Bilder automatisch mit einem kleinen „cr“-Symbol (Content Credentials). Wenn man darauf klickt (Beispiel hier), erscheint der KI-Hinweis plus Infos auf das verwendete Tool und Datum.

Darauf verlassen dürfen sich KI-Nutzer jedoch nicht: Falls es keine automatische Kennzeichen gibt, empfehlen wir ein nüchternes „Inhalt mit KI erstellt“ direkt am jeweiligen Content. Das jeweilige Tool können Sie, müssen Sie aber nicht explizit nennen. Ebenso freiwillig ist die Nutzung der von der EU veröffentlichten KI-Label. Es reicht auch ein klar erkennbarer Hinweis „Mit KI erstellt“.

Auf keinen Fall ausreichend ist hingegen ein allgemeiner Hinweis auf KI-Nutzung im Impressum oder Footer.

Wie kennzeichnet man KI-Videos AI-Act-konform?

Der EU AI Act verpflichtet zur Kennzeichnung realistisch wirkender KI-Inhalte („Deepfakes“, synthetische Stimmen oder Personen). Für Kunst, Fiktion und Satire reichen lockerere Hinweise im Begleittext.

3 Grundregeln für die Umsetzung:

Direkt im Bild: Gut sichtbares Overlay oder Icon (z. B. „KI-generiert“) im Videobild.
Rechtzeitiger Start: Einblendung zu Beginn des Videos oder der ersten KI-Sequenz.
Wiederholung bei Cuts: Bei Wechseln zwischen Realbildern und KI den Hinweis erneut einblenden.

3 Praxisbeispiele:

Punktuell (z. B. Tagesschau): Das Label erscheint nur exakt in den KI-generierten Abschnitten und verschwindet bei Realszenen.
Durchgehend (z. B. politische Kommunikation): Das Label bleibt über die gesamte Laufzeit im Bild – die sicherste, aber strengste Form.
Initial + Caption (z. B. Werbespots wie bei Coca-Cola): Einblendung nur in den ersten Sekunden plus Hinweis im Begleittext. Reicht für klassisch durchgeschaute Werbefilme nach rechtlicher Einschätzung meist aus.

Wie funktioniert die maschinenlesbare Kennzeichnung bei KI-Bildern und -Videos?

Derzeit entwickelt sich ein Zusammenspiel aus zwei technologischen Ansätzen zum Standard, den immer mehr Bild- und Video-Tools einhalten:

Metadaten-basierte Kennzeichnung (z. B. C2PA-Standard): Direkt bei der Erstellung des Bildes oder Videos wird ein kryptografisch signiertes „Manifest“ in die Datei (den Datei-Header) eingebettet. Dieser herstellerübergreifende Branchenstandard C2PA (Coalition for Content Provenance and Authenticity) dokumentiert fälschungssicher den Ursprung, den Erstellungszeitpunkt und das genutzte KI-Tool. Webbrowser, Suchmaschinen und soziale Netzwerke können diese Metadaten automatisch auslesen und dem Nutzer direkt anzeigen.
Unsichtbare digitale Wasserzeichen (z. B. SynthID-Technologie): Da Metadaten beim Teilen (z. B. beim Komprimieren durch Messenger, durch Screenshots oder beim Zuschneiden) verloren gehen können, wird die Datei zusätzlich forensisch geschützt. Dabei verändert die KI minimale Pixel-, Farb- oder Tonwerte in einer Weise, die für das menschliche Auge und Ohr völlig unsichtbar bzw. unhörbar ist. Spezielle Erkennungs-Algorithmen können dieses Muster jedoch zweifelsfrei decodieren. Diese digitalen Wasserzeichen sollen auch starke Bearbeitung überstehen, Formatänderungen oder das Abfotografieren und Abfilmen von Bildschirmen.
Sonstige Verfahren: Teilweise werden auch Formate wie JSON oder spezielle HTML-Tags genutzt, die es Social Media-Tools, CMS-Systemen oder Suchmaschinen ermöglichen, den KI-Ursprung automatisch auszulesen und anzuzeigen.

Wichtig für Anwender:innen in Unternehmen: Während diese maschinenlesbaren Technologien im Hintergrund von den KI-Anbietern standardmäßig integriert werden müssen, tragen Unternehmen, die solche Inhalte veröffentlichen, die Verantwortung für die sichtbare Kennzeichnung für Menschen.

Handelt es sich um Deepfakes oder täuschend echte KI-Bilder/-Videos, muss für die Betrachter ein klarer, gut sichtbarer Hinweis angebracht werden. Üblich sind hier Wasserzeichen oder Text-Disclaimer.

Muss ich vor dem 2. August veröffentlichte Inhalte nachträglich kennzeichnen?

Generell gilt: Das Veröffentlichungsdatum ist kein Freifahrtschein – und zwar gar nicht aufgrund des KI-Gesetzes: Die – noch unverbindlichen – Leitlinien der EU-Kommission sagen, dass vor dem 2. August 2026 erzeugte Inhalte nicht rückwirkend gekennzeichnet werden müssen.

Das Wettbewerbsrecht (UWG) schert sich allerdings nicht um den Stichtag: Ein irreführendes Bild bleibt abmahnbar, solange es online steht und dabei täuscht. Das galt allerdings auch schon vor der Kennzeichnungspflicht und auch nicht nur für KI-Content.

Was gilt laut AI Act für Unternehmen hinsichtlich ihrer KonzernGPTs?

Viele Unternehmen haben 2023/24 eigene Chatbots, sogenannte KonzernGPTs, entwickelt. In den meisten Fällen sind die Basis große Sprachmodelle wie ChatGPT oder Gemini – sind allerdings so gebaut, dass eingegebene Daten nicht zum Training des LLMs genutzt werden und teilweise sogar noch nicht einmal über US-Server laufen. Das ermöglicht eine DSGVO-konforme Nutzung, entbindet jedoch in keiner Weise von den Verpflichtungen des AI Acts.

Insofern gelten die gleichen Vorgaben, wie für alle eingekauften KI-Tools.

Was regelt der AI Act zum Umgang mit Urheber- und Nutzungsrechten?

Wenig, und das bewusst: Ein derart umfassendes Gesetzeswerk hat nicht die Aufgabe, die konkreten juristischen Auslegungen im Detail zu definieren, aber es soll einen Rahmen setzen, in dem sich künftig die Rechtsprechung bewegt. Und das tut der AI Act, gerade mit Blick auf GPAI, also leistungsfähige Sprachmodelle.

Der Entwurf sieht vor, dass Betreiber nicht nur den Trainings- und Testprozess des Modells offenlegen, sondern auch „die Art und Herkunft der Daten“ sowie, „wie die Daten erhalten und ausgewählt wurden“. Zudem müssen KI-Firmen laut den Transparenzpflichten für GPAI im AI Act sicherstellen, dass sie die Urheberrechte in der EU einhalten und Daten, welche die Eigentümer nicht freigeben wollen, auch garantiert nicht in ihre Modelle einfließen lassen.

„Urheberrechte in der EU einhalten“ klingt sehr absolut. Allerdings krankt die Forderung daran, dass schlichtweg noch nicht geklärt ist, ob GenAI-Tools überhaupt einen Urheberrechtsverstoß begehen, da sie (in der Tat) urheberrechtlich geschützte Inhalte ja nicht 1:1 wiedergeben, sondern die Informationen neu zusammenwürfeln

Auf dieser Basis werden Richter:innen in den nächsten Jahren entscheiden müssen, wie konkrete Fälle von Urheber- oder Nutzungsrechts-Streitigkeiten zu bewerten sind. Heißt: Die Rechtsprechung muss sich noch entwickeln.

Und auch wenn sie zugunsten der Rechteinhaber ausfallen dürfe, heißt das noch lange nicht, dass die KI-Konzerne klein beigeben: Der seit Jahren schwelende Rechtsstreit zwischen Google und Verlagen darüber, wie viel Tantieme der Suchmaschinenbetreiber für die Nutzung der Inhalte zu zahlen habe („Leistungsschutzrecht“), taugt hier als Präzedenzfall.

Für Unternehmen dürfte in diesem Zusammenhang eine Frage interessant werden: Ob sie einen generellen Anspruch haben, von Mitarbeitenden erstellte Daten in eigene KonzernGPTs einzuspeisen. Setzt man sie mit den Anbietern von Sprachmodellen gleich, müssten sie sicherstellen, dass Inhalte einzelner Nutzer auf deren Wunsch entfernt bzw. nicht integriert werden. Auch hier gibt es aber noch keine belastbare Rechtsauslegung.

Müssen Unternehmen ihre Mitarbeiter:innen in puncto KI schulen?

Zumindest müssen sie helfen, die KI-Kompetenz beim eigenen Personal sicherzustellen, soweit das mit KI arbeitet. Diese „AI Literacy“ legt das KI-Gesetz in Artikel 4 fest. Sie ist bereits seit Februar 2025 für Unternehmen verpflichtend, die KI einsetzen. Ausnahmen sieht der AI Act nicht vor, weder was Firmengröße noch was Tool-Set angeht.

Alle Firmen müssen demnach „nach bestem Kräften sicherstellen, dass ihr Personal und andere Personen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind, über ausreichende KI-Kenntnisse verfügen.“ Dabei seien „technische Kenntnisse, Erfahrung, Aus- und Weiterbildung und des Kontexts, in dem die KI-Systeme eingesetzt werden sollen“, zu beachten. Mehr dazu in diesem eigenen Beitrag zur Schulungsverpflichtung.

Wichtig: Die EU hat die Vorgaben zur AI Literarcy im Rahmen ihrer „KI-Omnibus“-Novelle 2026 etwas abgemildert: Unternehmen müssen diese nicht mehr aus sich heraus „sicherstellen“, sondern nur noch „unterstützen“. Zudem sind für Verstöße gegen die Kompetenzverpflichtung keine Geldstrafen mehr vorgesehen – wie es lange kolportiert wurde.

Allerdings: Ihre oben beschriebene „Unterstützungs“-Leistung müssen Firmen ab August 2026 dokumentieren.

Machen Sie es sich leicht: Mit den Online-Kursen in unserer KI-Akademie können Unternehmen ihre Mitarbeitenden individuell, schnell und kostengünstig entsprechend der EU-Vorgaben weiterbilden. Zur rechtssicheren Dokumentation erhalten die Teilnehmenden für jeden Kurs ein Zertifikat:

Drohen Strafen, wenn Unternehmen die Regeln im KI-Gesetz nicht einhalten?

Ja, und die Höchststrafe für Verstöße gegen den AI Act sind saftig: Laut Artikel 99 AI Act werden im Extremfall bis zu 35 Millionen Euro Strafe oder von bis zu 7 % seines gesamten weltweiten Jahresumsatzes fällig. Zum Vergleich: DSGVO-Verstöße kosten „nur“ maximal 20 Millionen Euro. Allerdings gibt es einige Einschränkungen:

So gilt das Maximum nur für Verstöße gegen Paragraf 5, also den Einsatz verbotener KI.
Es sind nicht für alle Verstöße Bußgelder vorgesehen. Wer bspw. der Kompetenzpflicht nicht nachkommt, muss, Stand jetzt, nicht mit Geldstrafen rechnen.
Für KMU, einschließlich neu gegründeter Unternehmen, sind die Bußgelder auf geringerem Niveau gedeckelt, um existenzbedrohende Risiken zu reduzieren.

Braucht jedes Unternehmen einen „KI-Beauftragten“?

Juristisch ist das leicht zu verneinen. Der AI Act verlangt, anders als ehedem die DSGVO, keinen Aufseher, also kein Äquivalent zum Datenschutzbeauftragten.

Nichtsdestotrotz raten wir Unternehmen dringend, eine:n oder mehrere KI-Beauftragte zu nominieren, die das Thema intern treiben. Dazu gehört,

dass sie sich mit den genutzten und freigegebenen KI-Systemen gut auskennen, um Kolleg:innen unterstützen und weiterbilden zu können
dass sie bei wichtigen KI-Entwicklungen up-to-date bleiben und das Wissen in die Organisation bringen
und dass sie darauf achten, dass die richtigen Dinge mit KI gemacht werden – nämlich die, die einen echten Hebel für die Organisation darstellen.

Ein, zwei „KI-Pfadfinder“ als Feigenblatt zu nominieren, darf allerdings nicht die Lösung sein. Jede:r Mitarbeitende sollte über ausreichend KI-Wissen und ein entsprechendes Mindset verfügen, um die neue Technologie produktiv und zugleich reflektiert einzusetzen. Das verlangt auch der AI Act: Anbieter und Betreiber von KI-Systemen müssen ihr Personal entsprechend der jeweiligen KI-Nutzung ausbilden – und nicht nur ein paar wenige Experten.

Reguliert der AI Act auch die private Nutzung?

Nein, der AI Act gilt nur für professionelle Anwender – wer KI-Systemen zu privaten Zwecken einsetzt oder entwickelt, muss sich um diese EU-Gesetzgebung nicht kümmern. Dies gilt auch für die Nutzung von Generativer KI in Schule oder Universität. Je nach Bildungseinrichtung gelten hier jedoch individuelle Regeln, was Transparenz oder den generellen Einsatz von KI-Tools angeht. Der AI Act allerdings verbietet diesbezüglich nichts.

Ab wann gilt der AI Act?

Er gilt längst: Die KI-Verordnung wurde im Sommer 2024 von den EU-Gremien beschlossen, einige Maßnahmen sollen erst ab 2027/28 gelten.

Zuletzt traten im August 2026 wichtige Regeln in Kraft (Beispieloben: Kennzeichnungspflicht). Unsere Grafik unten zeigt die wichtigsten Schritte. Noch nicht berücksichtigt sind hier eventuelle Verschiebungen, da verschiedene US-BigTechs vehement versuchen, Fristen zu verlängern oder ganz aufzuweichen.

An gewissen Stellen ist dies auch gelungen. Das bereits erwähnte „AI-Omnibuspaket“ der EU hat Fristen verlängert und für Mittelständler weniger strenge Regeln eingeführt.

Unabhängig vom Ausgang erkennt man ein Muster im AI Act. Auch wenn das Gesetz 2024 in Kraft getreten ist, greifen die einzelnen Regeln erst sukzessive. Einige erst nach 12, 24 oder sogar 36 Monaten, während andere bereits im Februar 2025 in Kraft getreten sind.

Besonders wichtig ist in diesem Zusammenhang das „Durchführungsgesetz zur EU-KI-Verordnung“, das seit August 2026 die konkrete Überstzung von EU-Recht in Nationales Recht regeln: Das Bundeskabinett hatte den Gesetzesentwurf (hier als PDF) Anfang Februar 2026 verabschiedet – ert bezieht sich u.a. auf die neuen KI-Regularien für Transparenz und Dokumentation.

Was steht im deutschen Durchführungsgesetz zur EU-KI-Verordnung?

Das Gesetz ist (siehe oben) noch im Gesetzgebungsprozess. Ein paar zentrale Punkte sind allerdings jetzt schon absehbar:

Zentrale Aufsichtsbehörde: Die Bundesnetzagentur (BNetzA) wird als zentrale Stelle für die Marktüberwachung benannt. Sie fungiert als „Single Point of Contact“ für die EU und koordiniert die Zusammenarbeit mit anderen Fachbehörden.
Schutz der Medienfreiheit: Das Gesetz stellt klar, dass die Aufsicht über KI-Systeme im Medienbereich staatsfern bleibt, um die redaktionelle Unabhängigkeit zu wahren.
Aufsicht im Finanzsektor: Für KI-Systeme im Finanz- und Versicherungsbereich übernimmt die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) die Rolle der zuständigen Behörde.
Datenschutz: Die bestehenden Datenschutzbehörden des Bundes und der Länder behalten ihre Zuständigkeiten bei der Überwachung von KI-Systemen, die personenbezogene Daten verarbeiten.
Innovationsförderung: Der Entwurf sieht die Einrichtung von Reallaboren vor, in denen Unternehmen neue KI-Anwendungen unter behördlicher Begleitung testen können, bevor sie marktreif sind.

Was sollten Unternehmen jetzt tun?

Konsequenzen hat der AI Act der EU für Unternehmen, egal ob sie selbst KI entwickeln oder nicht. Denn er reguliert eben auch Nutzer:

Zunächst braucht es eine Bestandsaufnahme – welche KI-Systeme sind im Einsatz oder vorgesehen, und wie lassen sie sich entsprechend der Kategorisierung des AI Acts einsortieren? Eine schriftlich dokumentierte „KI-Inventur“ ist mit Blick auf eventuelle zukünftige Prüfungen sehr empfehlenswert.
Wenn Anwendungen als transparenz-/kennzeichnungspflichtig oder sogar als Hoch-Risiko-KI gelten können, dann sollten Unternehmen rasch reagieren und die EU-Vorgaben umsetzen. Dazu zählen professionelle KI-Guidelines und KI-Weiterbildung für alle Mitarbeiter:innen. Letztere steht zwar als Pflicht wieder zur Debatte, aber zum einen gilt sie heute noch, zum anderen sollte das Investment in AI Literarcy nicht nur eine Reaktion auf EU-Vorgaben sein, sondern eine strategische Entscheidung für die Zukunftsfähigkeit des Unternehmens.
Spätestens mit dem AI Act wird für Unternehmen das Thema KI eines, das die Gesamtorganisation und das Management betreffen muss. Insofern ist jetzt der richtige Zeitpunkt – wenn nicht schon geschehen – um eine eigene KI-Strategie zu entwickeln.
Diese muss natürlich die Risiken der Technologie im Blick haben, sich vor allem aber den Chancen von Künstlicher Intelligenz/GenAI widmen. Denn mit dem AI Act als stabilem rechtlichen Fundament wird die KI-Entwicklung nochmals an Tempo zulegen – spätestens jetzt sollte jedes Unternehmen KI zur Chefsache machen.

Bei uns finden Sie die passenden Seminare

In unseren individuellen KI-Seminaren lernen Einsteiger und Profis den praktischen Einsatz von GenAI, üben den Umgang mit relevanten Tools und erfahren wichtige Hintergründe – auf Deutsch oder Englisch.

Und noch mal abschließend: Wie ist der AI Act insgesamt zu sehen?

Das Gesetzeswerk ist viel kritisiert worden, weil eine zu starke KI-Regulierung die europäische Wirtschaft gegenüber dem Rest der Welt benachteilige. Es würde Innovationen ausbremsen, warnen Kritiker, und dazu führen, dass – wie bei früheren Technologiesprüngen – auch nun wieder die wichtigen Anwendungen allein von den großen IT-Konzernen aus den USA und China entwickelt würden.

Diese Argumentation ignoriert jedoch zweierlei:

dass er für alle Firmen gilt, die in der EU Geschäfte machen. Auch OpenAI, Google oder Microsoft müssen sich also an die Regeln halten, zumindest für die Produkte, die sie in der EU anbieten.
dass Regulierung – in einem angemessenen Maße – kein Hemmschuh ist: Im Gegenteil gibt sie der Wirtschaft rechtliche Sicherheit und damit strategische Klarheit, wo es sich lohnt, zu investieren, und welche Geschäftsmodelle Zukunft haben. Das zu betonen, wird auch Ursula von der Leyen, die Präsidentin der Europäischen Kommission, nicht müde:

„Die Einigung konzentriert die Regulierung auf erkennbare Risiken, schafft Rechtssicherheit und ebnet den Weg für Innovationen im Bereich der vertrauenswürdigen Künstlichen Intelligenz.“
Ursula von der Leyen, EU-Kommissionspräsidentin

Dazu kommt das moralische Gebot, KI zu kontrollieren: Zu viele „Deep Fakes“ haben gezeigt, wie die Technologie missbraucht werden kann – man denke an Olaf Scholz’ angebliche AfD-Beschimpfungen, Fake-Explosionen am Pentagon oder Präsident Selenskyjs scheinbarer Aufruf zur Kapitulation der Ukraine. Das Ziel, die Menschheit vor gefährlichen Auswüchsen von KI zu schützen, ist im Gesetzestext daher auch vielfach sichtbar.

Insofern kann ein Gesetz wie der AI Act der EU für Unternehmen hilfreich sein, um die Weiterentwicklung von verlässlicher Technologie zu fördern – weil es Innovation rechtssicher und damit auch „versicherbar“ macht. Auch Google-Chef Sundar Pichai hat das explizit in einem FT-Gastbeitrag betont:

„Europe’s AI Act is an important development in balancing innovation and risk.“
Sundar Pichai, Google-CEO

Die Ambivalenz der Regulatorik zeigt sich allerdings darin, dass es US-Bigtechs wie Google gewesen sind, die im Sommer und Herbst 2025 mit ihrer Lobbyarbeit dafür gesorgt haben, dass gewisse Fristen und Regeln des AI Acts verlängert oder aufgeweicht worden sind. Ihre Argumentation: genau diese einst von Pichai gelobte „Balance“ sei nicht mehr gegeben und die zu strengen Vorgaben würden Innovationen bremsen.

Tatsächlich erleben auch wir bei disruptive bereits in Projekten, dass die EU-Regulierung teilweise Unsicherheiten eher erhöht, als Orientierung zu geben: „Wenn wir mit einem Kunden ein KI-Produkt aufbauen, können wir genau ausrechnen, wie viel das kostet“, hat es unser Geschäftsführer Timm Rotter im Interview mit der österreichischen Zeitung „Der Standard“ gesagt. Viel weniger kalkulierbar sei hingegen, ob es im letzten Detail den gesetzlichen Anforderungen der EU standhält.

Und diese Unsicherheit bremst Innovation, die europäische Wettbewerbsfähigkeit oder zumindest die Möglichkeiten für Verbraucher:innen, KI einzusetzen, wenn US-Konzerne gewisse Funktionen oder Tools nicht mehr auf den Markt bringen, weil sie nicht AI Act-konform sein könnten.

Hinweis: Dieser Text über den AI Act für Unternehmen basiert auf gründlichen Recherchen und Gesprächen mit Expert:innen, ist aber keine belastbare juristische Bewertung. Wir übernehmen keine Haftung für eventuelle Fehleinschätzungen. Beachten Sie zudem, dass es sich beim AI Act um ein laufendes Gesetzgebungsverfahren handelt. Änderungen an den genannten Anforderungen sind möglich.

Bild: Midjourney/disruptive

Fragen zum AI Act? Sprechen Sie uns an!

Bitte füllen Sie das Formular aus und wir melden uns bei Ihnen. Unverbindlich und kostenlos.