KI-generierte Illustration.
ChatGPT wird für Texte genutzt, ein KI-Assistent beantwortet Kundenfragen und im Recruiting soll eine neue Software Bewerbungen unterstützen. Müssen Unternehmen dafür seit August 2026 den gesamten AI Act umsetzen? Nein. Die EU-KI-Verordnung gilt stufenweise, und welche Anforderungen ein Unternehmen betreffen, hängt von seiner Rolle, dem eingesetzten KI-System und dem konkreten Verwendungszweck ab. Einige Pflichten sind bereits relevant, während zentrale Regeln für bestimmte Hochrisiko-KI-Systeme erst später anwendbar werden.
Dieser Beitrag dient der allgemeinen Orientierung und ersetzt keine individuelle rechtliche Prüfung Ihres konkreten KI-Einsatzes.
1. Warum gibt es nicht den einen AI-Act-Stichtag?
Der AI Act ist bereits in Kraft, seine einzelnen Regelungen werden jedoch nicht alle seit demselben Datum angewendet.
Das führt leicht zu Missverständnissen.
Eine ältere Veröffentlichung kann beispielsweise den 2. August 2026 als zentralen Termin nennen, obwohl die Anwendung bestimmter Hochrisiko-Regeln inzwischen durch die 2026 beschlossenen Änderungen verschoben wurde.
Für Unternehmen ist deshalb nicht nur die Frage wichtig:
„Gilt der AI Act schon?“
Sondern:
Welche konkrete Regel gilt für unseren konkreten Einsatz heute?
Wichtige Zeitpunkte für Unternehmen
| Zeitpunkt | Was ist unter anderem relevant? |
|---|---|
| seit 2. Februar 2025 | Unter anderem erste Verbote bestimmter KI-Praktiken sowie Anforderungen zur KI-Kompetenz |
| seit 2. August 2026 | Unter anderem Transparenzpflichten nach Art. 50 für bestimmte KI-Systeme; außerdem greifen weitere Durchsetzungs- und Governance-Regeln |
| 2. Dezember 2026 | Weitere 2026 ergänzte Verbote nach Art. 5 werden anwendbar. Außerdem endet für Anbieter bestimmter bereits vor dem 2. August 2026 in Verkehr gebrachter generativer KI-Systeme die Übergangsfrist zur Umsetzung von Art. 50 Abs. 2. |
| ab 2. Dezember 2027 | Wesentliche Anforderungen für bestimmte Hochrisiko-KI-Systeme nach Art. 6 Abs. 2 und Anhang III |
| ab 2. August 2028 | Wesentliche Anforderungen für bestimmte Hochrisiko-KI-Systeme als Bestandteil regulierter Produkte nach Art. 6 Abs. 1 und Anhang I |
Diese Übersicht ist bewusst vereinfacht.
Für einzelne Anbieter, bereits bestehende Systeme oder spezielle Anwendungsbereiche können zusätzliche Übergangs- und Sonderregelungen gelten.
Die aktuelle Zeitplanung stellt die Europäische Kommission in ihrem Überblick zur Durchsetzung des AI Act dar.
2. Sind Sie Anbieter oder Betreiber eines KI-Systems?
Bevor einzelne Pflichten geprüft werden, muss ein Unternehmen seine Rolle verstehen.
Der AI Act unterscheidet unter anderem zwischen Anbieter und Betreiber.
Betreiber
Ein Unternehmen ist vereinfacht gesprochen typischerweise Betreiber, wenn es ein KI-System unter seiner Verantwortung für berufliche oder geschäftliche Zwecke verwendet.
Beispiele können sein:
- ein Unternehmen nutzt einen externen KI-Assistenten für Mitarbeiter,
- ein Kundenservice verwendet eine eingekaufte KI-Anwendung,
- eine Personalabteilung setzt ein KI-gestütztes System eines Drittanbieters ein.
Anbieter
Ein Unternehmen kann dagegen eine Anbieterrolle haben, wenn es ein KI-System entwickelt oder entwickeln lässt und dieses unter eigenem Namen oder eigener Marke auf den Markt bringt oder in Betrieb nimmt.
Die genaue rechtliche Einordnung hängt vom konkreten Modell der Bereitstellung ab.
Warum ist die Rolle wichtig?
Anbieter und Betreiber haben nicht automatisch dieselben Pflichten.
Bei den Transparenzpflichten nach Art. 50 liegen beispielsweise bestimmte technische Pflichten beim Anbieter, während Betreiber bei anderen Anwendungsfällen eigene Informationspflichten haben können.
Deshalb ist die Aussage:
„Wir benutzen KI, also gilt für uns die komplette Anbieter-Checkliste“
zu pauschal.
Ebenso falsch wäre aber:
„Wir haben die Software nur gekauft, also betrifft uns der AI Act nicht.“
Die Rolle muss für den konkreten Einsatz bestimmt werden.
Die Europäische Kommission erläutert Anbieter- und Betreiberrollen auch in ihren FAQ zu den Transparenzpflichten nach Art. 50 AI Act.
3. Welche AI-Act-Pflichten sind 2026 bereits relevant?
Für ein typisches mittelständisches Unternehmen sind im Oktober 2026 insbesondere drei Themen wichtig.
Verbotene KI-Praktiken
Art. 5 des AI Act verbietet bestimmte Formen des KI-Einsatzes.
Dazu gehören unter bestimmten Voraussetzungen beispielsweise manipulative oder täuschende KI-Praktiken sowie weitere im Gesetz ausdrücklich definierte Anwendungen.
Für Unternehmen bedeutet das:
Ein KI-Projekt sollte nicht nur danach bewertet werden, ob es technisch möglich oder wirtschaftlich interessant ist.
Es sollte zunächst geprüft werden, ob der geplante Einsatz überhaupt zulässig ist.
Eine allgemeine Büro-KI für Textentwürfe wird dadurch nicht automatisch zu einer verbotenen Anwendung.
KI-Kompetenz
Art. 4 verpflichtet Anbieter und Betreiber von KI-Systemen dazu, Maßnahmen zur Unterstützung der Entwicklung von KI-Kompetenz der Personen zu treffen, die in ihrem Auftrag mit diesen Systemen arbeiten.
Dabei sollen insbesondere Vorkenntnisse, Erfahrung, Ausbildung und der konkrete Einsatzkontext berücksichtigt werden.
Seit der Änderung 2026 verlangt die Vorschrift nicht mehr, dass Unternehmen für jede einzelne Person ein bestimmtes Kompetenzniveau garantieren.
Eine praktikable Umsetzung kann beispielsweise beinhalten:
- freigegebene KI-Anwendungen erklären,
- Risiken des konkreten Einsatzes vermitteln,
- Regeln für Daten und vertrauliche Informationen festlegen,
- zeigen, welche KI-Ergebnisse überprüft werden müssen,
- Ansprechpartner für neue oder unklare Anwendungsfälle bestimmen.
Die Europäische Kommission erläutert den aktuellen Stand in ihren FAQ zur KI-Kompetenz nach Art. 4.
Transparenz für bestimmte KI-Systeme
Seit dem 2. August 2026 gelten außerdem die Transparenzanforderungen des Art. 50.
Sie betreffen nicht jede interne KI-Nutzung gleichermaßen.
Relevant sind unter anderem KI-Systeme, die direkt mit natürlichen Personen interagieren, sowie bestimmte KI-generierte oder manipulierte Inhalte.
Welche Pflicht dabei Anbieter oder Betreiber trifft, hängt vom jeweiligen Anwendungsfall ab.
4. Wann müssen Menschen über KI informiert werden?
Art. 50 enthält mehrere unterschiedliche Transparenzpflichten.
Sie sollten nicht zu einer einzigen Regel „alles mit KI kennzeichnen“ verkürzt werden.
Direkte Interaktion mit einem KI-System
Anbieter von KI-Systemen, die für die direkte Interaktion mit natürlichen Personen bestimmt sind, müssen diese Systeme grundsätzlich so gestalten, dass betroffene Personen darüber informiert werden, dass sie mit KI interagieren.
Eine Ausnahme besteht, wenn dies aus Sicht einer angemessen informierten, aufmerksamen und verständigen Person aufgrund der Umstände und des Nutzungskontexts ohnehin offensichtlich ist.
Für Unternehmen, die beispielsweise einen externen Kunden-Chatbot oder Voice-Assistenten einsetzen, sollte deshalb geprüft werden, wie der jeweilige Anbieter diese Transparenzanforderung technisch umgesetzt hat und wie sie im eigenen Kundenprozess tatsächlich erscheint.
Deepfakes und bestimmte manipulierte Inhalte
Betreiber müssen Deepfakes als KI-generiert oder manipuliert offenlegen. Entscheidend ist nicht allein, dass ein Bild mit KI erstellt wurde, sondern ob es Personen, Objekten, Orten, Einrichtungen oder Ereignissen ähnelt und fälschlich authentisch oder wahr erscheint. Eine erkennbar künstliche Illustration ist deshalb nicht automatisch ein Deepfake.
Auch hier enthält der AI Act Ausnahmen und besondere Regeln, beispielsweise für bestimmte künstlerische oder vergleichbare Inhalte.
Text zu Angelegenheiten von öffentlichem Interesse
Wenn KI-generierter oder manipulierter Text veröffentlicht wird, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren, kann ebenfalls eine Offenlegungspflicht greifen.
Der AI Act enthält hier jedoch eine wichtige Ausnahme, wenn der Inhalt einem menschlichen Prüf- oder redaktionellen Kontrollprozess unterzogen wurde und eine natürliche oder juristische Person die redaktionelle Verantwortung trägt. Dafür ist eine tatsächliche inhaltliche Prüfung oder redaktionelle Kontrolle erforderlich. Eine reine Rechtschreibprüfung oder eine Prüfung ausschließlich durch weitere KI-Systeme genügt dafür nicht.
Davon zu unterscheiden ist die Pflicht der Anbieter generativer KI-Systeme nach Art. 50 Abs. 2: Betroffene Ausgaben müssen technisch in einem maschinenlesbaren Format als künstlich erzeugt oder manipuliert erkennbar sein. Eine sichtbare Bildunterschrift auf einer Website ist nicht dieselbe Maßnahme. Wer eine fremde KI-Anwendung nutzt, wird dadurch nicht automatisch zum Anbieter; bei einer selbst entwickelten oder unter eigener Marke bereitgestellten Anwendung muss die Rolle gesondert geprüft werden.
Information muss rechtzeitig erfolgen
Soweit die Informationspflichten des Art. 50 greifen, müssen die vorgesehenen Informationen klar und unterscheidbar und grundsätzlich spätestens bei der ersten Interaktion oder Exposition bereitgestellt werden.
Die Europäische Kommission hat dazu im Juli 2026 eigene Leitlinien zu den Transparenzpflichten nach Art. 50 veröffentlicht.
5. Wann kann ein KI-System als Hochrisiko gelten?
Der Begriff „High Risk“ wird in Diskussionen über KI häufig zu weit verwendet.
Ein KI-System ist nicht deshalb ein Hochrisiko-KI-System im Sinne des AI Act, weil ein Unternehmen seinen Einsatz persönlich als wichtig oder riskant empfindet.
Die Einstufung richtet sich nach den gesetzlichen Kriterien.
Der AI Act unterscheidet insbesondere:
- bestimmte KI-Systeme im Zusammenhang mit regulierten Produkten nach Art. 6 Abs. 1 und Anhang I,
- bestimmte Anwendungsbereiche nach Art. 6 Abs. 2 und Anhang III.
Für Mittelständler besonders relevant: Beschäftigung und Personal
Anhang III erfasst unter bestimmten Voraussetzungen beispielsweise KI-Systeme im Bereich Beschäftigung und Personalmanagement.
Dazu können Systeme gehören, die für bestimmte Entscheidungen bei Einstellung, Auswahl oder anderen arbeitsbezogenen Prozessen vorgesehen sind.
Das bedeutet jedoch nicht:
„Jede Software mit KI in HR ist automatisch Hochrisiko.“
Entscheidend sind Zweck, Funktion und gesetzliche Einstufung des konkreten Systems.
Zusätzlich enthält Art. 6 für bestimmte in Anhang III genannte Systeme Voraussetzungen und Ausnahmen, die bei der Einstufung berücksichtigt werden müssen. Eine Zuordnung zu einem Themenbereich wie Beschäftigung allein ersetzt deshalb noch nicht die Prüfung des konkreten vorgesehenen Verwendungszwecks.
Weitere High-Risk-Bereiche
Anhang III enthält darüber hinaus bestimmte KI-Einsätze unter anderem in Bereichen wie:
- Biometrie,
- kritische Infrastruktur,
- Bildung,
- Beschäftigung,
- Zugang zu bestimmten wesentlichen privaten und öffentlichen Diensten,
- Strafverfolgung,
- Migration und Grenzkontrolle,
- Rechtspflege und demokratische Prozesse.
Diese Kategorien enthalten weitere Voraussetzungen und dürfen nicht als pauschale Einstufung jeder KI-Anwendung in diesem Umfeld verstanden werden.
Die Frage „Ist unsere KI High Risk?“ sollte deshalb anhand des konkreten vorgesehenen Verwendungszwecks beantwortet werden – nicht anhand des Produktnamens oder des verwendeten Sprachmodells.
6. Welche High-Risk-Pflichten gelten erst später?
Ein besonders wichtiger Punkt für die Planung 2026 ist die geänderte Zeitachse.
Die wesentlichen Anforderungen für Hochrisiko-KI-Systeme nach Art. 6 Abs. 2 und Anhang III gelten nach der aktuellen Fassung grundsätzlich ab dem 2. Dezember 2027.
Für Hochrisiko-KI-Systeme nach Art. 6 Abs. 1 im Zusammenhang mit den in Anhang I genannten regulierten Produkten liegt der entsprechende Zeitpunkt grundsätzlich beim 2. August 2028.
Das bedeutet nicht, dass Unternehmen solche Systeme bis dahin völlig ignorieren sollten.
Wenn heute eine Anwendung ausgewählt wird, die später unter diese Anforderungen fällt, können bereits jetzt wichtige Fragen relevant sein:
- Welchen vorgesehenen Zweck nennt der Anbieter?
- Welche Rolle hat unser Unternehmen?
- Welche Personen sind von den Ergebnissen betroffen?
- Welche menschliche Kontrolle ist vorgesehen?
- Welche Daten werden verwendet?
- Welche Dokumentation stellt der Anbieter bereit?
- Wie werden Fehler und relevante Vorfälle behandelt?
Typische Betreiberpflichten bei High-Risk-Systemen
Wenn die entsprechenden Regeln anwendbar sind, enthält Art. 26 unter anderem Pflichten für Betreiber von Hochrisiko-KI-Systemen.
Dazu gehören je nach konkreter Konstellation beispielsweise:
- geeignete technische und organisatorische Maßnahmen für die Nutzung entsprechend der Gebrauchsanweisung,
- geeignete menschliche Aufsicht durch Personen mit notwendiger Kompetenz, Ausbildung und Befugnis,
- Überwachung des Betriebs,
- bestimmte Informations- und Meldeprozesse,
- weitere Anforderungen entsprechend System und Einsatz.
Bei bestimmten High-Risk-Anwendungen können zusätzliche Pflichten hinzukommen.
7. AI Act, DSGVO und andere Gesetze nicht miteinander verwechseln
Ein System kann nach dem AI Act zulässig sein und trotzdem zusätzliche Anforderungen aus anderen Rechtsgebieten auslösen.
Umgekehrt macht eine datenschutzrechtlich zulässige Verarbeitung einen KI-Einsatz nicht automatisch mit allen Anforderungen des AI Act vereinbar.
DSGVO
Wenn personenbezogene Daten verarbeitet werden, bleiben insbesondere Fragen zu Rechtsgrundlage, Zweckbindung, Datenminimierung, Betroffenenrechten, Sicherheit und externen Dienstleistern relevant.
Arbeitsrecht und Mitbestimmung
Beim Einsatz von KI im Beschäftigungskontext können neben dem AI Act weitere arbeitsrechtliche und gegebenenfalls mitbestimmungsrechtliche Anforderungen relevant sein.
Wettbewerbs- und Verbraucherrecht
KI-generierte Kundenkommunikation kann zusätzlich Regeln beispielsweise zu Werbung, Verbraucherinformationen oder geschäftlichen Aussagen berühren.
Urheber-, Vertrags- und Geheimnisschutz
Auch die Verwendung von Unternehmensdokumenten, fremden Inhalten und vertraulichen Informationen muss unabhängig von der AI-Act-Einstufung geprüft werden.
„AI-Act-konform“ ist deshalb kein allgemeines Gütesiegel dafür, dass ein gesamter Geschäftsprozess rechtlich geklärt ist.
8. Wie erstellen Unternehmen ein praktisches KI-Inventar?
Für viele Unternehmen ist der sinnvollste erste Schritt keine umfassende juristische Prüfung jedes einzelnen Prompts.
Wichtiger ist zunächst eine belastbare Übersicht über die tatsächlich verwendeten KI-Systeme und Anwendungsfälle.
| Punkt | Zu dokumentierende Frage |
|---|---|
| System | Welche KI-Anwendung wird verwendet? |
| Anbieter | Wer stellt die konkrete Anwendung bereit? |
| Anwendungsfall | Welche geschäftliche Aufgabe wird damit erledigt? |
| Nutzer | Welche Mitarbeiter oder Bereiche verwenden das System? |
| Daten | Welche Arten von Informationen werden verarbeitet? |
| Betroffene Personen | Wirkt die Anwendung auf Kunden, Bewerber, Mitarbeiter oder andere Personen? |
| Aktionen | Erstellt die KI nur Inhalte oder verändert sie auch Geschäftssysteme? |
| Transparenz | Interagieren natürliche Personen unmittelbar mit der KI oder werden kennzeichnungspflichtige Inhalte erzeugt? |
| Risikoprüfung | Gibt es Hinweise auf eine verbotene oder mögliche High-Risk-Anwendung? |
| Verantwortung | Wer ist im Unternehmen für den Anwendungsfall zuständig? |
Auch Shadow AI berücksichtigen
Ein Inventar ist unvollständig, wenn es nur zentral beschaffte Software enthält.
Mitarbeiter können längst zusätzliche öffentliche KI-Dienste für Texte, Übersetzungen oder Dokumente verwenden.
Wie sich diese Nutzung sichtbar machen lässt, erläutert unser Beitrag Shadow AI im Unternehmen: Wie verhindern Sie unkontrollierte KI-Nutzung?.
9. Was sollten Unternehmen im Oktober 2026 konkret tun?
Für ein mittelständisches Unternehmen muss der erste Schritt kein großes AI-Governance-Projekt sein.
Eine pragmatische Reihenfolge kann so aussehen:
- KI-Anwendungen erfassen: Dokumentieren Sie zentrale und tatsächlich genutzte Systeme.
- Anwendungsfälle beschreiben: Nicht nur Produktnamen sammeln, sondern die konkrete Aufgabe festhalten.
- Rolle bestimmen: Prüfen Sie, ob Sie im jeweiligen Fall insbesondere Betreiber, Anbieter oder möglicherweise in einer anderen regulierten Rolle handeln.
- Verbotene Anwendungen ausschließen: Prüfen Sie geplante und bestehende Einsätze gegen Art. 5.
- KI-Kompetenz organisieren: Mitarbeiter benötigen zum jeweiligen Einsatz passende Kenntnisse und Regeln.
- Art. 50 prüfen: Identifizieren Sie interaktive KI sowie relevante generierte oder manipulierte Inhalte.
- High-Risk-Screening: Markieren Sie Systeme, deren Verwendungszweck in einen potenziell relevanten High-Risk-Bereich fallen könnte.
- Andere Rechtsgebiete ergänzen: Datenschutz, Arbeitsrecht, Werbung und weitere einschlägige Anforderungen getrennt berücksichtigen.
- Verantwortliche festlegen: Jedes relevante System sollte einen internen Ansprechpartner haben.
- Änderungen beobachten: Neue Funktionen oder veränderte Einsatzbereiche können eine erneute Prüfung erforderlich machen.
Nicht nur das Tool, sondern den Einsatz prüfen
Dass zwei Unternehmen dasselbe KI-Modell verwenden, bedeutet nicht automatisch, dass für beide dieselben Pflichten entstehen.
Ein Mitarbeiter kann ein System für einen internen Textentwurf nutzen.
Ein anderes Unternehmen kann darauf basierend einen öffentlich zugänglichen Assistenten entwickeln oder eine Personalentscheidung unterstützen.
Technologisch kann die Grundlage ähnlich sein.
Regulatorisch ist der Einsatz trotzdem unterschiedlich.
Die zentrale Einheit für die AI-Act-Prüfung ist deshalb der konkrete Anwendungsfall – nicht nur der Name des KI-Tools.
10. Checkliste: Ist Ihr Unternehmen auf den aktuellen AI Act vorbereitet?
- Inventar: Wissen wir, welche KI-Systeme tatsächlich im Unternehmen eingesetzt werden?
- Anwendungsfall: Ist für jedes relevante System dokumentiert, wofür es verwendet wird?
- Rolle: Haben wir geprüft, welche Rolle unser Unternehmen im jeweiligen Einsatz hat?
- Verbotene Praktiken: Sind unsere KI-Einsätze auf relevante Verbote nach Art. 5 geprüft?
- KI-Kompetenz: Unterstützen wir Mitarbeiter mit zum Einsatz passenden Kenntnissen und Regeln?
- Interaktive KI: Wissen wir, welche Systeme direkt mit natürlichen Personen interagieren?
- Transparenz: Haben wir Art. 50 für die betroffenen Anwendungen und Inhalte geprüft?
- Inhalte: Ist geregelt, wie relevante KI-generierte oder manipulierte Inhalte behandelt werden?
- High Risk: Haben wir mögliche Anwendungen nach Art. 6 und Anhang III identifiziert?
- Zeitachse: Unterscheiden wir aktuelle Pflichten von erst später anwendbaren High-Risk-Regeln?
- Datenschutz: Werden DSGVO-Anforderungen separat für die konkrete Verarbeitung geprüft?
- Weitere Gesetze: Sind je nach Einsatz Arbeits-, Verbraucher-, Wettbewerbs- oder andere Anforderungen berücksichtigt?
- Anbieterinformationen: Haben wir bei relevanten Systemen Dokumentation und Angaben des Anbieters geprüft?
- Verantwortung: Gibt es für wichtige KI-Anwendungen einen internen Verantwortlichen?
- Änderungen: Wird eine neue Funktion oder ein neuer Einsatzbereich erneut bewertet?
- Dokumentation: Können wir nachvollziehen, warum ein KI-Anwendungsfall einer bestimmten Kategorie zugeordnet wurde?
Der AI Act beginnt für Unternehmen mit dem konkreten KI-Einsatz
Der AI Act ist im Jahr 2026 bereits praktisch relevant, aber nicht jede Regel gilt gleichzeitig und nicht jede KI-Anwendung fällt unter dieselben Anforderungen.
Für Unternehmen ist deshalb weder Panik noch Abwarten eine gute Strategie.
Sinnvoller ist eine strukturierte Bestandsaufnahme.
Welche Systeme werden eingesetzt? Für welche Aufgabe? Welche Rolle hat das Unternehmen? Interagiert die KI mit Menschen? Könnte der Einsatz in einen besonderen Risikobereich fallen?
Aus diesen Fragen lässt sich ableiten, welche Anforderungen heute umgesetzt und welche kommenden Pflichten vorbereitet werden sollten.
Der AI Act lässt sich wesentlich besser steuern, wenn Unternehmen nicht bei Paragrafen beginnen, sondern bei ihren tatsächlichen KI-Anwendungsfällen.
Häufige Fragen zum AI Act für Unternehmen 2026
Gilt der AI Act seit August 2026 vollständig?
Nein. Der AI Act wird stufenweise angewendet. Bestimmte Pflichten gelten bereits, darunter Transparenzanforderungen nach Art. 50. Wesentliche Regeln für bestimmte Hochrisiko-Systeme nach Anhang III gelten nach der 2026 geänderten Zeitplanung grundsätzlich erst ab dem 2. Dezember 2027; für bestimmte KI-Systeme in regulierten Produkten gelten spätere Termine.
Muss jedes Unternehmen, das ChatGPT nutzt, den gesamten AI Act umsetzen?
Nein. Die konkreten Anforderungen hängen von Rolle, System und Verwendungszweck ab. Die interne Nutzung eines allgemeinen KI-Werkzeugs ist anders zu beurteilen als die Bereitstellung eines eigenen KI-Systems oder der Einsatz einer KI in einem gesetzlich definierten High-Risk-Bereich.
Müssen Mitarbeiter 2026 zum Thema KI geschult werden?
Art. 4 verpflichtet Anbieter und Betreiber von KI-Systemen dazu, Maßnahmen zur Unterstützung der Entwicklung von KI-Kompetenz der Personen zu treffen, die in ihrem Auftrag mit KI-Systemen arbeiten. Die konkrete Ausgestaltung sollte Vorkenntnisse und Einsatzkontext berücksichtigen. Seit der Änderung 2026 muss kein bestimmtes Kompetenzniveau jedes einzelnen Mitarbeiters garantiert werden.
Muss jeder KI-generierte Text gekennzeichnet werden?
Nein. Art. 50 enthält differenzierte Transparenzregeln für bestimmte Systeme und Inhalte sowie Ausnahmen. Beispielsweise gelten für bestimmte Texte zu Angelegenheiten von öffentlichem Interesse besondere Anforderungen, wobei auch menschliche redaktionelle Kontrolle berücksichtigt wird. Der konkrete Fall muss geprüft werden.
Muss ein Chatbot sagen, dass er KI ist?
Für KI-Systeme, die direkt mit natürlichen Personen interagieren, sieht Art. 50 eine Transparenzanforderung vor, sofern die KI-Interaktion nicht aufgrund der Umstände und des Nutzungskontexts offensichtlich ist. Bei einer eingekauften Lösung sollte das Unternehmen prüfen, wie der Anbieter diese Anforderung technisch umsetzt und wie sie im tatsächlichen Kundenprozess erscheint.
Ist ein KI-System im Recruiting automatisch High Risk?
Nein, die Einstufung sollte nicht allein anhand des Begriffs „Recruiting-KI“ erfolgen. Anhang III erfasst bestimmte KI-Anwendungen im Beschäftigungs- und Personalbereich. Entscheidend sind der vorgesehene Zweck und die konkrete Funktion des Systems.
Ersetzt der AI Act die DSGVO?
Nein. Wenn ein KI-System personenbezogene Daten verarbeitet, bleiben die Datenschutzanforderungen relevant. AI Act und DSGVO regeln unterschiedliche Fragen und müssen je nach Anwendungsfall gemeinsam berücksichtigt werden.
Was sollte ein mittelständisches Unternehmen jetzt als Erstes tun?
Erstellen Sie zunächst ein einfaches KI-Inventar. Dokumentieren Sie System, Anbieter, geschäftlichen Zweck, Nutzer, Daten und betroffene Personen. Prüfen Sie anschließend aktuelle Verbote, KI-Kompetenz, Transparenz und einen möglichen High-Risk-Bezug. So können offene Punkte gezielt statt pauschal bearbeitet werden.