EU AI Act 2026: Was müssen Unternehmen beachten?

Der EU AI Act (Verordnung (EU) 2024/1689) ist das weltweit erste umfassende Gesetz zur Regulierung von Künstlicher Intelligenz. Mit vier Risikoklassen, strengen Transparenzpflichten und Bußgeldern von bis zu 35 Mio. EUR oder 7 % des weltweiten Jahresumsatzes betrifft er praktisch jedes Unternehmen, das KI einsetzt oder anbietet. CERTISCAN KI-Funktionen sind als „begrenztes Risiko" eingestuft und erfüllen alle Transparenzanforderungen.

Zeitplan: Wann gilt was?

Der AI Act tritt gestaffelt in Kraft – nicht alle Pflichten gelten sofort. Unternehmen sollten den Zeitplan genau kennen, um rechtzeitig vorbereitet zu sein:

Die vier Risikoklassen

Das Herzstück des AI Act ist die risikobasierte Klassifizierung von KI-Systemen. Jedes KI-System wird einer von vier Kategorien zugeordnet, die unterschiedliche regulatorische Anforderungen auslösen:

1. Unannehmbares Risiko (Verboten)

Folgende KI-Anwendungen sind in der EU seit dem 2. Februar 2025 verboten:

• Social Scoring: Bewertung natürlicher Personen auf Basis ihres Sozialverhaltens durch Behörden (à la China)
• Biometrische Echtzeit-Fernidentifizierung im öffentlichen Raum durch Strafverfolgungsbehörden (mit eng definierten Ausnahmen für schwere Straftaten)
• Unterschwellige Manipulation: KI-Techniken, die das Verhalten von Personen unbewusst beeinflussen und zu physischem oder psychischem Schaden führen können
• Ausnutzung von Schwächen: KI-Systeme, die Alter, Behinderung oder soziale/wirtschaftliche Situation gezielt ausnutzen
• Emotionserkennung: Am Arbeitsplatz und in Bildungseinrichtungen (mit eng begrenzten medizinischen und sicherheitsrelevanten Ausnahmen)
• Biometrische Kategorisierung: Rückschlüsse auf Rasse, politische Meinungen, Gewerkschaftszugehörigkeit, religiöse Überzeugungen, Sexualleben oder sexuelle Orientierung aus biometrischen Daten
• Prädiktive Polizeiarbeit: Risikoeinschätzung einer natürlichen Person hinsichtlich des Begehens einer Straftat allein auf Basis von Profiling oder Persönlichkeitsmerkmalen

2. Hohes Risiko (Strenge Regulierung)

Hochrisiko-KI-Systeme unterliegen umfangreichen Pflichten und müssen vor dem Inverkehrbringen eine Konformitätsbewertung durchlaufen. Die Einstufung als Hochrisiko-KI erfolgt entweder über den Produktsicherheitsweg (Anhang I: Maschinen, Medizinprodukte, Aufzüge etc.) oder über den Anwendungsfallweg (Anhang III).

3. Begrenztes Risiko (Transparenzpflichten)

KI-Systeme mit begrenztem Risiko unterliegen Transparenzpflichten – Nutzer müssen wissen, dass sie mit einem KI-System interagieren. Dazu gehören:

• Chatbots: Müssen als KI gekennzeichnet sein („Sie kommunizieren mit einem KI-System")
• Deepfakes: Müssen als künstlich generiert gekennzeichnet werden (Audio, Video, Bild)
• KI-generierte Texte: Müssen als maschinell erstellt erkennbar sein (wenn zu öffentlich relevanten Themen veröffentlicht)
• Emotionserkennungssysteme: Müssen den Einsatz gegenüber betroffenen Personen offenlegen

4. Minimales Risiko (Keine Regulierung)

Die große Mehrheit der KI-Systeme – Spamfilter, KI in Videospielen, Empfehlungsalgorithmen für Musik und Filme, Autokorrektur, Wettervorhersage-Modelle – fällt in die Kategorie minimales Risiko und unterliegt keinen spezifischen Pflichten aus dem AI Act. Es gelten freiwillige Verhaltenskodizes.

Pflichten für Unternehmen im Detail

Anbieter von Hochrisiko-KI

Wer ein Hochrisiko-KI-System entwickelt und in Verkehr bringt, muss umfangreiche Pflichten erfüllen:

• Risikomanagementsystem einrichten, dokumentieren und kontinuierlich aktualisieren
• Datengovernance sicherstellen (Qualität, Repräsentativität, Bias-Freiheit der Trainingsdaten)
• Technische Dokumentation erstellen und pflegen (vor dem Inverkehrbringen)
• Protokollierung (Logging) implementieren – automatische Aufzeichnung aller relevanten Systemaktivitäten
• Transparenzinformationen bereitstellen (verständliche Bedienungsanleitung für Nutzer)
• Menschliche Aufsicht ermöglichen (Human-in-the-Loop oder Human-on-the-Loop oder Human-in-Command)
• Genauigkeit, Robustheit und Cybersicherheit gewährleisten und dokumentieren
• Konformitätsbewertung durchführen (Selbstbewertung oder durch notifizierte Stelle)
• CE-Kennzeichnung anbringen und EU-Konformitätserklärung ausstellen
• EU-Datenbank registrieren (öffentlich zugänglich – Transparenz für Bürger)

Nutzer (Deployer) von Hochrisiko-KI

Auch Unternehmen, die Hochrisiko-KI nur einsetzen (nicht entwickeln), haben Pflichten:

• Einsatz gemäß Gebrauchsanweisung des Anbieters
• Menschliche Aufsicht durch kompetentes und ausreichend geschultes Personal
• Eingabedaten müssen relevant und ausreichend repräsentativ sein
• Überwachung des Betriebs und Meldung von Fehlfunktionen an den Anbieter
• Grundrechte-Folgenabschätzung bei bestimmten Einsatzgebieten (Arbeitnehmer, öffentliche Dienste, Kreditvergabe)

Bußgelder: Die Sanktionsstufen

CERTISCAN KI: Transparenz und Compliance

CERTISCAN setzt KI verantwortungsvoll und AI-Act-konform ein:

5 Schritte zur AI-Act-Compliance

• KI-Inventar erstellen: Welche KI-Systeme setzen Sie ein? Auch ChatGPT, GitHub Copilot, Grammarly, Recruiting-KI und Marketing-Automation zählen.
• Risikoklassifizierung: In welche Kategorie fällt jedes System? Nutzen Sie die offizielle Checkliste der EU-Kommission.
• Gap-Analyse: Welche Pflichten bestehen und welche sind bereits erfüllt? Besonders kritisch: HR-KI und Kundenbewertungssysteme.
• Dokumentation aufbauen: Technische Dokumentation, Transparenzinformationen, Schulungsnachweise
• Governance implementieren: KI-Verantwortlichen benennen, Prozesse definieren, regelmäßige Überprüfung festlegen

14 Tage kostenlos testen →

Häufig gestellte Fragen

Ist Ihr Unternehmen konform?

Testen Sie CERTISCAN 14 Tage kostenlos und bringen Sie Ihre Compliance auf den neuesten Stand.