EU AI Act: Welche Pflichten gelten für Unternehmen, die KI nur nutzen?

Viele Unternehmen gehen davon aus, dass der EU AI Act nur Firmen betrifft, die selbst KI entwickeln. Das ist ein Irrtum. Die KI-Verordnung unterscheidet zwischen Anbietern, die KI-Systeme entwickeln und in Verkehr bringen, und Betreibern, die KI-Systeme in eigener Verantwortung einsetzen. Wer im Unternehmen ChatGPT, Microsoft Copilot, ein KI-gestütztes Recruiting-Tool oder einen eigenen Chatbot nutzt, ist Betreiber – und hat damit eigene Pflichten.

Im Juli 2026 ist zudem der sogenannte Digital Omnibus in Kraft getreten, der einige Fristen verschoben und Pflichten angepasst hat. Dieser Beitrag fasst den aktuellen Stand für Unternehmen zusammen, die KI nutzen, aber nicht selbst entwickeln.

Anbieter oder Betreiber? Die entscheidende Frage

Welche Pflichten Sie treffen, hängt zuerst von Ihrer Rolle ab. Anbieter ist, wer ein KI-System entwickelt (oder entwickeln lässt) und es unter eigenem Namen in Verkehr bringt. Betreiber ist, wer ein KI-System in eigener Verantwortung beruflich verwendet. Die meisten mittelständischen Unternehmen sind Betreiber: Sie lizenzieren eine KI-Anwendung oder nutzen einen Cloud-Dienst und setzen ihn in ihren Prozessen ein.

Die Rolle wird pro KI-System bestimmt. Ein Unternehmen kann für den eingekauften KI-Assistenten Betreiber sein und für einen selbst entwickelten Chatbot auf der eigenen Website Anbieter.

Der Zeitplan nach dem Digital Omnibus

Die KI-Verordnung ist am 01.08.2024 in Kraft getreten und wird schrittweise anwendbar. Mit der Verordnung (EU) 2026/1744, dem Digital Omnibus, wurden die Fristen für Hochrisiko-KI verschoben, weil die nötigen technischen Normen noch nicht fertig waren. Für Betreiber gilt damit:

• 02.02.2025: Verbotene KI-Praktiken und Pflicht zur KI-Kompetenz
• 02.08.2026: Transparenzpflichten nach Art. 50 und Bußgeldvorschriften
• 02.12.2026: Ende der Übergangsfrist für die maschinenlesbare Kennzeichnung KI-generierter Inhalte bei bereits angebotenen Systemen; Verbot von KI zur Erzeugung nicht einvernehmlicher intimer Inhalte
• 02.12.2027: Pflichten für Hochrisiko-KI nach Anhang III, z. B. Personalwesen, Kreditwürdigkeit, Bildung
• 02.08.2028: Pflichten für Hochrisiko-KI in regulierten Produkten nach Anhang I, z. B. Maschinen oder Medizinprodukte

Pflicht 1: KI-Kompetenz – gilt für alle

Artikel 4 verpflichtet Anbieter und Betreiber, die KI-Kompetenz ihrer Mitarbeitenden zu fördern – und zwar unabhängig davon, wie riskant die eingesetzte KI ist. Wer Mitarbeitenden ChatGPT oder Copilot zur Verfügung stellt, ist also betroffen.

Der Digital Omnibus hat diese Pflicht abgeschwächt: Ursprünglich mussten Unternehmen nach besten Kräften ein ausreichendes Maß an KI-Kompetenz sicherstellen. Jetzt müssen sie Maßnahmen ergreifen, um den Aufbau von KI-Kompetenz zu unterstützen – ein bestimmtes Kompetenzniveau jeder einzelnen Person muss nicht garantiert werden. Aus einer Ergebnispflicht ist eine Bemühenspflicht geworden. Untätig bleiben darf man trotzdem nicht: Sie sollten nachweisen können, dass Sie angemessene Maßnahmen ergriffen haben.

Was angemessen ist, hängt davon ab, wer KI wofür nutzt. Für die meisten Unternehmen bewährt sich eine Kombination aus:

• einer kurzen Grundlagenschulung zu Funktionsweise, Grenzen und Risiken von KI – nicht als einmaliges Pflichtprogramm, sondern als Einstieg
• einer internen KI-Richtlinie: Welche Werkzeuge sind erlaubt, welche Daten dürfen hinein?
• vertiefenden Schulungen für Teams, die KI für wichtige Entscheidungen oder mit sensiblen Daten nutzen
• einer einfachen Dokumentation, wer wann geschult wurde

Pflicht 2: Verbotene KI-Praktiken vermeiden

Seit 02.02.2025 sind bestimmte KI-Anwendungen in der EU verboten (Art. 5). Für Unternehmen besonders relevant sind:

• Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen – ausgenommen sind medizinische und Sicherheitsgründe
• biometrische Kategorisierung, um auf sensible Merkmale wie politische Meinung, Religion oder sexuelle Orientierung zu schließen
• Social Scoring, also die Bewertung von Personen anhand ihres Sozialverhaltens mit nachteiligen Folgen in anderen Zusammenhängen
• manipulative Techniken, die Menschen zu schädlichen Entscheidungen verleiten
• das ungezielte Auslesen von Gesichtsbildern aus dem Internet oder aus Videoaufnahmen zum Aufbau von Gesichtsdatenbanken

Ab 02.12.2026 kommt ein Verbot von KI-Systemen hinzu, die nicht einvernehmliche intime Inhalte oder Darstellungen sexuellen Kindesmissbrauchs erzeugen. Für die meisten Unternehmen bedeutet das vor allem: prüfen, ob eingesetzte Tools – etwa zur Mitarbeiter- oder Kundenanalyse – solche Funktionen enthalten.

Pflicht 3: Transparenz bei KI-generierten Inhalten

Seit 02.08.2026 gelten die Transparenzpflichten nach Artikel 50. Betreiber müssen offenlegen, wenn sie:

• Deepfakes erstellen, also KI-generierte oder -manipulierte Bilder, Audio- oder Videoinhalte, die echt wirken
• KI-generierte Texte veröffentlichen, die die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informieren sollen – es sei denn, ein Mensch hat den Text geprüft und trägt die redaktionelle Verantwortung
• Emotionserkennung oder biometrische Kategorisierung einsetzen, soweit diese überhaupt erlaubt ist

Wer einen Chatbot auf seiner Website betreibt, sollte ebenfalls genau hinsehen: Menschen müssen erkennen können, dass sie mit einer KI kommunizieren. Diese Pflicht richtet sich an den Anbieter – baut ein Unternehmen den Chatbot selbst, ist es genau das.

Pflicht 4: Hochrisiko-KI – nur in bestimmten Fällen

Die umfangreichsten Pflichten betreffen Hochrisiko-KI-Systeme. Für Betreiber im Mittelstand sind vor allem diese Bereiche aus Anhang III relevant:

• Personalwesen: KI zur Vorauswahl von Bewerbungen, zur Bewertung von Bewerbern, für Entscheidungen über Beförderung oder Kündigung, zur Aufgabenverteilung anhand des Verhaltens oder zur Leistungsüberwachung
• Kreditwürdigkeitsprüfung von Privatpersonen
• Risikobewertung und Preisgestaltung bei Lebens- und Krankenversicherungen
• allgemeine und berufliche Bildung, z. B. die Bewertung von Prüfungsleistungen

Setzen Sie ein solches System ein, gelten ab 02.12.2027 die Betreiberpflichten nach Artikel 26. Dazu gehören insbesondere:

• das System gemäß der Betriebsanleitung des Anbieters verwenden
• die menschliche Aufsicht Personen übertragen, die dafür kompetent, geschult und befugt sind
• dafür sorgen, dass die Eingabedaten – soweit Sie sie kontrollieren – für den Zweck relevant und hinreichend repräsentativ sind
• den Betrieb überwachen und bei Risiken oder schwerwiegenden Vorfällen Anbieter und Behörden informieren
• automatisch erzeugte Protokolle mindestens sechs Monate aufbewahren
• vor dem Einsatz am Arbeitsplatz die Beschäftigten und die Arbeitnehmervertretung informieren
• betroffene Personen informieren, wenn das System Entscheidungen über sie trifft oder dabei unterstützt

Die Verschiebung ist eine Atempause, kein Freifahrtschein. Wer heute ein KI-gestütztes Recruiting-Tool einführt, sollte Aufsicht, Protokollierung und die Information der Beschäftigten von Anfang an mitdenken – nachträglich ist das deutlich aufwendiger.

Achtung: Wann Betreiber zum Anbieter werden

Unter bestimmten Umständen übernehmen Betreiber die deutlich umfangreicheren Pflichten eines Anbieters (Art. 25). Das ist bei Hochrisiko-KI insbesondere der Fall, wenn Sie

• ein Hochrisiko-KI-System unter Ihrem eigenen Namen oder Ihrer Marke anbieten, etwa als Teil eines eigenen Produkts
• ein Hochrisiko-KI-System wesentlich verändern
• die Zweckbestimmung eines KI-Systems so ändern, dass es zu einem Hochrisiko-System wird – zum Beispiel, wenn ein allgemeiner KI-Assistent gezielt für die Vorauswahl von Bewerbungen eingesetzt wird

Wer kontrolliert – und was droht?

In Deutschland ist seit 29.07.2026 das KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG) in Kraft. Es bestimmt die Bundesnetzagentur als zentrale Marktüberwachungsbehörde und Anlaufstelle für die KI-Verordnung.

Die Bußgelder sind empfindlich: Für verbotene Praktiken bis zu 35 Mio. Euro oder 7 % des weltweiten Jahresumsatzes, für Verstöße gegen andere Pflichten – darunter die Betreiberpflichten und die Transparenzpflichten – bis zu 15 Mio. Euro oder 3 %. Für kleine und mittlere Unternehmen gilt jeweils der niedrigere der beiden Beträge. Die Pflicht zur KI-Kompetenz ist in der Verordnung selbst nicht unmittelbar bußgeldbewehrt; fehlende Schulungen können aber bei Haftungsfragen und gegenüber Aufsichtsbehörden schwer wiegen.

Und die DSGVO?

Die KI-Verordnung ersetzt den Datenschutz nicht, sondern gilt zusätzlich. Sobald KI personenbezogene Daten verarbeitet, brauchen Sie weiterhin eine Rechtsgrundlage, einen Auftragsverarbeitungsvertrag mit dem Anbieter und gegebenenfalls eine Datenschutz-Folgenabschätzung. Bei automatisierten Entscheidungen mit rechtlicher Wirkung – etwa über Bewerbungen – sind zudem die Grenzen aus Art. 22 DSGVO zu beachten. In der Praxis lassen sich beide Regelwerke gut gemeinsam angehen: Das KI-Inventar ist zugleich eine gute Grundlage für das Verarbeitungsverzeichnis.

Checkliste: Was Sie jetzt tun sollten

1. KI-Inventar erstellen: Welche KI-Systeme und -Werkzeuge werden genutzt – auch solche ohne offizielle Freigabe (Shadow AI)?
2. Rolle je System klären: Sind Sie Anbieter oder Betreiber?
3. Risiko einordnen: verboten, hochriskant, transparenzpflichtig oder mit minimalem Risiko?
4. KI-Kompetenz fördern: Schulungen planen, durchführen und dokumentieren.
5. Interne KI-Richtlinie aufsetzen: erlaubte Werkzeuge, Umgang mit Daten, Freigabeprozess für neue Anwendungen.
6. Transparenz prüfen: Werden KI-generierte Inhalte veröffentlicht oder Chatbots eingesetzt?
7. Hochrisiko-Fälle bis 02.12.2027 vorbereiten: menschliche Aufsicht, Protokollierung, Information von Beschäftigten und Betriebsrat.
8. Datenschutz einbinden: Datenschutzbeauftragte früh beteiligen und KI-Inventar mit dem Verarbeitungsverzeichnis abgleichen.

Fazit

Für die meisten Unternehmen, die KI nutzen, ist der EU AI Act gut beherrschbar: KI-Kompetenz fördern, verbotene Anwendungen ausschließen, Transparenz sicherstellen und für die wenigen Hochrisiko-Fälle rechtzeitig vorsorgen. Der wichtigste erste Schritt ist ein vollständiger Überblick darüber, welche KI im Unternehmen tatsächlich eingesetzt wird – denn nur was bekannt ist, lässt sich auch regeln.