EU AI Act 2026: Welche Pflichten jetzt wirklich gelten

Die kurze Antwort: Der EU AI Act (Verordnung (EU) 2024/1689) gilt gestaffelt. Seit dem 2. Februar 2025 sind zwei Pflichten scharf: das Verbot bestimmter KI-Praktiken (Art. 5) und die KI-Kompetenzpflicht (Art. 4) — Letztere trifft jedes Unternehmen, in dem Mitarbeitende KI nutzen, auch „nur ChatGPT", ohne Größengrenze. Seit dem 2. August 2025 gelten Pflichten für Anbieter von General-Purpose-AI-Modellen. Ab dem 2. August 2026 greift die Durchsetzung in der Breite — mit Bußgeldern bis zu 35 Mio. € oder 7 % des weltweiten Jahresumsatzes bei verbotenen Praktiken (Art. 99 Abs. 3). Für Art. 4 selbst sieht der AI Act kein eigenes EU-Bußgeld vor; hier sanktionieren die Mitgliedstaaten nach nationalem Recht. Die Hochrisiko-Pflichten nach Annex III (z. B. KI in HR und Kreditvergabe) sollen mit dem Digital Omnibus auf den 2. Dezember 2027 verschoben werden — politisch geeinigt (Rat, 13. Mai 2026), die formale Verabschiedung steht Stand Juli 2026 noch aus.

Was verlangt Art. 4 (KI-Kompetenz) konkret?

Art. 4 verpflichtet Anbieter und Betreiber von KI-Systemen, „nach besten Kräften" sicherzustellen, dass ihr Personal über ausreichende KI-Kompetenz verfügt — abgestimmt auf Vorwissen, Kontext und Einsatzzweck. Praktisch heißt das: Wer KI im Unternehmen einsetzt, braucht nachweisbare Schulung. Es gibt keine Bagatellgrenze — die Pflicht gilt für den Zwei-Personen-Betrieb genauso wie für den Konzern. Ein dokumentiertes Schulungskonzept mit anerkanntem Nachweis (z. B. IHK-Zertifikat) ist der sauberste Weg, die Pflicht zu erfüllen und das im Zweifel auch zu belegen.

Welche KI-Praktiken sind seit Februar 2025 verboten?

Art. 5 verbietet unter anderem Social Scoring, die gezielte Ausnutzung von Schutzbedürftigkeit, Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen sowie ungezieltes Auslesen von Gesichtsbildern. Hier liegt der höchste Bußgeldrahmen der Verordnung: bis zu 35 Mio. € oder 7 % des weltweiten Jahresumsatzes. Für die meisten Unternehmen ist die praktische Konsequenz eine Prüfpflicht: Weiß ich, ob eines meiner eingesetzten Tools in diese Kategorien fällt?

Was änderte sich im August 2025 — und was kommt im August 2026?

Seit dem 2. August 2025 gelten die Pflichten für Anbieter von General-Purpose-AI-Modellen (GPAI, also Basismodelle wie GPT oder Claude): Transparenz, technische Dokumentation, Urheberrechts-Policy. Für Unternehmen, die solche Modelle nur nutzen, entstehen daraus keine eigenen Anbieterpflichten — relevant bleibt Art. 4.

Der 2. August 2026 ist der Termin, den sich Geschäftsführungen merken sollten: Ab dann sind die nationalen Aufsichtsstrukturen und Sanktionsregeln in der Breite anwendbar. Aus „gilt schon, wird aber kaum kontrolliert" wird „gilt und wird durchgesetzt".

Ist mein Unternehmen von den Hochrisiko-Pflichten betroffen?

Die strengen Pflichten für Hochrisiko-Systeme nach Annex III — dazu zählen etwa KI in der Personalauswahl, Kreditwürdigkeitsprüfung oder kritischer Infrastruktur — wurden mit dem Digital-Omnibus-Paket auf den 2. Dezember 2027 verschoben. Wer KI in HR-Prozessen einsetzt, hat also Zeit gewonnen, aber keinen Freifahrtschein: Die Übergangszeit ist genau dafür da, Risikomanagement, Datenqualität und menschliche Aufsicht aufzubauen.

Was sollte ein Unternehmen jetzt konkret tun?

1. Bestandsaufnahme: Welche KI-Tools sind im Einsatz — offiziell und inoffiziell?
2. Schulung nachweisbar machen: Art.-4-Pflicht mit dokumentiertem Konzept erfüllen.
3. Verbots-Check: Eingesetzte Tools gegen die Art.-5-Kategorien prüfen.
4. Hochrisiko-Radar: HR- und Scoring-Anwendungen für 2027 vormerken.
5. Standort bestimmen: Der KI-Reife-Check enthält einen EU-AI-Act-Status und zeigt, wo Ihr im Vergleich zur Branche steht.

Quellen: Verordnung (EU) 2024/1689 (EU AI Act), EUR-Lex; Europäische Kommission: AI Act — Anwendungszeitplan; Digital-Omnibus-Paket der EU-Kommission (Verschiebung Annex III auf 02.12.2027).

Hinweis: Dieser Beitrag ist eine redaktionelle Einordnung, keine Rechtsberatung.