Methodology
·
3 MIN
EU AI Act 2026: Was Unternehmen jetzt umsetzen müssen
Der EU AI Act gilt seit August 2024 und wird stufenweise scharf. Was 2026 konkret auf Unternehmen zukommt.
LOCATION
Deutschland
SERIES
Best Practices
AUTHOR
Aashwin Shrivastava
PUBLISHED
Der EU AI Act ist seit dem 1. August 2024 in Kraft und wird in Stufen anwendbar. Für die meisten Unternehmen ist die erste Aufgabe nicht juristisch, sondern organisatorisch: ein Verzeichnis aller eingesetzten KI-Anwendungen und ihre Einordnung in eine Risikoklasse. Erst danach lässt sich beurteilen, welche Pflichten überhaupt greifen.
Dieser Beitrag ordnet den risikobasierten Ansatz ein, nennt die Fristen, die 2026 zählen, und beschreibt die ersten Schritte. Er ersetzt keine Rechtsberatung, sondern gibt eine technische und organisatorische Orientierung.
01.
Der risikobasierte Ansatz in vier Stufen
Der AI Act reguliert nicht Technik an sich, sondern den Einsatz nach Risiko. Er unterscheidet vier Stufen.
Verbotenes Risiko. Bestimmte Praktiken sind untersagt, etwa Social Scoring durch Behörden. Diese Verbote gelten bereits seit Februar 2025.
Hohes Risiko. Systeme in sensiblen Bereichen wie Personalauswahl, Kreditvergabe oder kritischer Infrastruktur. Hier liegen die meisten Pflichten.
Begrenztes Risiko. Systeme mit Transparenzpflicht, etwa Chatbots, die sich als KI zu erkennen geben müssen.
Minimales Risiko. Der größte Teil alltäglicher Anwendungen, ohne besondere Auflagen.
Die eigentliche Arbeit besteht darin, die eigenen Anwendungen ehrlich diesen Stufen zuzuordnen.
02.
Die Fristen, die 2026 zählen
Die Anwendbarkeit ist gestaffelt. Die Verbote gelten seit dem 2. Februar 2025, die Pflichten für allgemeine KI-Modelle seit dem 2. August 2025. Der für viele Unternehmen entscheidende Termin ist der 2. August 2026, ab dem die meisten Pflichten für Hochrisiko-Systeme greifen. Für bestimmte Produkte mit eingebetteter KI gilt eine längere Frist bis zum 2. August 2027.
Die offiziellen Fristen und Texte sind beim European AI Act Überblick nachlesbar. Wer 2026 betroffen ist, sollte die Umsetzung nicht erst kurz vor der Frist beginnen, weil Dokumentation und technische Nachweise Vorlauf brauchen.
03.
Was Hochrisiko konkret bedeutet
Fällt eine Anwendung in die Hochrisiko-Klasse, verlangt der AI Act unter anderem ein Risikomanagement, eine nachvollziehbare Datenbasis, technische Dokumentation, menschliche Aufsicht und eine angemessene Genauigkeit samt Protokollierung. Der gemeinsame Nenner dieser Anforderungen ist Nachvollziehbarkeit: Eine Entscheidung muss erklärbar und prüfbar sein.
Für die Architektur folgt daraus ein praktischer Punkt. Systeme, deren Verarbeitung im eigenen Haus liegt und deren Datenfluss vollständig einsehbar ist, lassen sich leichter belegen als verteilte Aufrufe an externe Dienste. Nachvollziehbarkeit ist damit auch ein Architekturthema, nicht nur ein juristisches.
04.
DSGVO und AI Act greifen ineinander
Der AI Act ersetzt die DSGVO nicht, er liegt neben ihr. Wo eine KI-Anwendung Personendaten verarbeitet, gelten beide. In der Praxis ist das oft ein Vorteil, weil viele Unternehmen die DSGVO-Strukturen bereits kennen und der AI Act auf vergleichbaren Prinzipien aufsetzt, etwa Zweckbindung, Dokumentation und Datenminimierung.
Gerade für sensible Daten verstärkt das die Argumente für einen kontrollierten Betrieb. Welche Abwägung dabei zwischen lokalem Betrieb und Cloud sinnvoll ist, behandeln wir in On-Premise vs. Cloud-LLM: Wann lokale KI die richtige Wahl ist.
05.
Was Unternehmen jetzt tun sollten
Die ersten Schritte sind unabhängig von der Branche.
Inventarisieren. Alle eingesetzten und geplanten KI-Anwendungen erfassen, auch eingekaufte in fremder Software.
Klassifizieren. Jede Anwendung einer Risikostufe zuordnen und die Begründung festhalten.
Lücken schließen. Für Hochrisiko-Anwendungen Dokumentation, Aufsicht und Protokollierung aufbauen.
Zuständigkeit klären. Eine Person benennen, die den Überblick hält und die Frist im Blick behält.
Wie sich dieser Einstieg in einen größeren Plan einfügt, beschreibt KI im Mittelstand einführen: Ein praktischer Fahrplan. Warum Kontrolle über die eingesetzten Modelle dabei zählt, steht in Die Fable-5-Lektion zur Souveränität.
