EU AI Act: Jetzt gelten die
Transparenzpflichten
Die Verordnung wirkt gestuft — und der Zeitplan hat sich zuletzt verschoben. Aktiv sind bereits die verbotenen Praktiken, die KI-Kompetenzpflicht und seit August 2026 die Transparenzpflichten. Die Hochrisiko-Anforderungen wurden nach hinten gelegt. Wir sortieren, was für Sie jetzt gilt.
30 Minuten · kostenlos · kein Verkaufsdruck · Sie bekommen danach eine schriftliche Einschätzung
Sie nutzen KI —
auch wenn Sie keine bauen
Die Verordnung trifft nicht nur Entwickler. Wer KI-Systeme im eigenen Namen einsetzt, hat eigene Pflichten — und das sind heute praktisch alle.
Betrifft Sie sehr wahrscheinlich
- Sie setzen KI-gestützte Werkzeuge ein: Chatbots, Textgeneratoren, Bewerbervorauswahl, Bild- oder Sprachverarbeitung
- Sie veröffentlichen Inhalte, die mit KI erzeugt oder verändert wurden
- Sie entwickeln oder integrieren KI-Funktionen in eigene Produkte
- Sie setzen KI in sensiblen Bereichen ein — Personalauswahl, Kreditwürdigkeit, Zugangskontrolle, Bildung
Betrifft Sie eher nicht
- Rein private Nutzung ohne beruflichen Zusammenhang
- Klassische regelbasierte Software ohne lernende oder ableitende Komponenten
- Aber: Der Anwendungsbereich ist weiter gefasst, als die meisten annehmen — die Einstufung sollte dokumentiert sein, gerade wenn Sie zu dem Ergebnis kommen, nicht betroffen zu sein
Wichtig zum Zeitplan: Die Fristen für Hochrisiko-Systeme wurden auf EU-Ebene nach hinten verschoben — eigenständige Systeme nach Anhang III auf Dezember 2027, in Produkte eingebettete KI auf August 2028. Ein erheblicher Teil der frei verfügbaren Ratgeber im Netz bildet diesen Stand noch nicht ab und nennt weiterhin August 2026. Wer danach plant, arbeitet mit überholten Annahmen — in beide Richtungen. Wir prüfen den aktuellen Stand für Ihren konkreten Fall.
Erst einordnen,
dann umsetzen
Fast alle Fehler entstehen vor der ersten Maßnahme: Wer seine KI-Systeme nicht kennt und nicht eingestuft hat, kann weder Pflichten erfüllen noch begründen, warum keine bestehen.
Welche KI-Systeme sind bei Ihnen im Einsatz — auch die, die als Funktion in einem gekauften Werkzeug stecken? Ohne diese Liste ist alles Weitere Spekulation.
Je System die Einstufung in eine der vier Stufen, dokumentiert und begründet. Auch das Ergebnis „minimales Risiko" ist eine Feststellung, die belegt sein sollte.
Bestimmte Anwendungen sind unzulässig — etwa Social Scoring oder bestimmte Formen biometrischer Kategorisierung. Diese Prüfung steht am Anfang, denn hier greift der höchste Bußgeldrahmen.
Beschäftigte, die mit KI-Systemen arbeiten, müssen über ausreichende Kompetenz verfügen. Diese Pflicht gilt bereits und lässt sich mit überschaubarem Aufwand nachweisen.
Seit August 2026 wirksam: Offenlegung bei KI-Interaktion, maschinenlesbare Kennzeichnung synthetischer Inhalte, Hinweise bei Deepfakes sowie bei Emotionserkennung und biometrischer Kategorisierung.
Wer Systeme betreibt, die künftig als hochriskant gelten, sollte die Zeit bis Dezember 2027 nutzen: Risikomanagement, Datenqualität, Protokollierung, menschliche Aufsicht und technische Dokumentation.
Der höchste Bußgeldrahmen
der EU-Digitalgesetzgebung
Der höchste Rahmen der Verordnung greift bei unzulässigen Anwendungen. Deshalb steht diese Prüfung ganz am Anfang — sie ist schnell erledigt und schließt das größte Risiko aus.
Für Verstöße gegen die Kennzeichnungs- und Transparenzpflichten sowie gegen die Hochrisiko-Anforderungen. Die Transparenzpflichten sind seit August 2026 wirksam.
Das unterschätzte Risiko: Der Zeitplan wurde auf EU-Ebene angepasst. Wer sich auf Leitfäden aus der Zeit davor stützt, dokumentiert gegen einen Stand, den es so nicht mehr gibt.
Vom Inventar
zur belegbaren Einstufung
Der AI Act belohnt frühe Ordnung. Wer seine Systeme kennt und eingestuft hat, kann jede Frist gelassen abwarten — wer nicht, muss jedes Mal neu recherchieren.
Wir erfassen die eingesetzten Systeme — einschließlich der KI-Funktionen in Werkzeugen, die Sie nicht als KI eingekauft haben. Meist der überraschendste Teil des Projekts.
Jedes System wird eingestuft und die Prüfung auf verbotene Praktiken dokumentiert. Ergebnis ist eine belastbare Grundlage statt einer Vermutung.
Transparenz und Kennzeichnung umsetzen, KI-Kompetenz der Beschäftigten nachweisen, KI-Richtlinie verabschieden. Das ist der Teil, der heute wirksam ist.
Zuständigkeiten, Freigabeprozess für neue KI-Werkzeuge, Umgang mit Anbietern. Verhindert, dass das Inventar nach drei Monaten wieder veraltet ist.
Für Systeme, die künftig als hochriskant gelten: Risikomanagement, Datenqualität, Protokollierung, menschliche Aufsicht, technische Dokumentation. Mit Zeitpuffer statt unter Druck.
Am Ende liegt etwas
auf dem Tisch — nicht nur ein Gefühl
KI-Governance ist neu — umso wichtiger ist, dass am Ende etwas Vorzeigbares dasteht.
Erfahrung, die sich
nachrechnen lässt
- KI-Inventare aufgebaut, die auch die versteckten Funktionen in Standardsoftware erfassen
- Risikoklassifizierungen dokumentiert — inklusive der begründeten Feststellung, dass kein Handlungsbedarf besteht
- Transparenz- und Kennzeichnungspflichten praktisch umgesetzt statt nur beschrieben
- KI-Richtlinien verfasst, die Beschäftigte tatsächlich lesen und anwenden können
- KI-Governance an ein bestehendes ISMS angedockt, statt ein zweites System aufzubauen
Platzhalter: Die drei Kennzahlen oben sind noch nicht belegt. Vor dem Livegang durch echte Werte ersetzen — oder den Zahlenblock entfernen und nur die Liste stehen lassen. Markierung entfernen: class="todo" im Quelltext löschen.