KI ist in vielen Unternehmen längst angekommen. Chatbots beantworten Kundenfragen, Textgeneratoren unterstützen Marketing und Vertrieb, interne Assistenten fassen Dokumente zusammen, Bild- und Videotools beschleunigen die Content-Produktion. Was zunächst oft als pragmatisches Experiment gestartet ist, wird nun zu einer Managementaufgabe: Mit dem EU AI Act rücken Transparenz, Risikobewertung und Governance in den Mittelpunkt.
Für Unternehmen bedeutet das nicht automatisch, dass jede KI-Anwendung hochreguliert ist. Aber es bedeutet: Wer KI einsetzt, sollte wissen, wo sie im Unternehmen genutzt wird, welche Personen davon betroffen sind und ob Nutzerinnen und Nutzer erkennen können, wann KI im Spiel ist.
Dieser Beitrag erklärt den EU AI Act verständlich und praxisnah. Er ersetzt keine Rechtsberatung, hilft aber bei der Einordnung: Was regelt die KI-Verordnung? Welche Transparenz- und Kennzeichnungspflichten werden wichtig? Welche Fristen sollten Unternehmen kennen? Und wie lässt sich aus einem juristischen Thema ein umsetzbares Projekt machen?
Was ist der EU AI Act?
Der EU AI Act, offiziell die Verordnung (EU) 2024/1689, ist der europäische Rechtsrahmen für künstliche Intelligenz. Er soll KI nicht grundsätzlich verhindern, sondern ihren Einsatz nach Risiko, Zweck und Wirkung regulieren. Die Verordnung unterscheidet unter anderem zwischen verbotenen KI-Praktiken, Hochrisiko-KI, KI-Systemen mit Transparenzpflichten und Anwendungen mit geringerem Risiko.
Der zentrale Gedanke: Je stärker ein KI-System Menschen, Grundrechte, Sicherheit oder wichtige Entscheidungen beeinflussen kann, desto höher sind die Anforderungen. Ein KI-gestütztes Tool zur internen Textformulierung wird anders bewertet als ein System, das Bewerbungen vorsortiert, biometrische Merkmale analysiert oder in kritischer Infrastruktur eingesetzt wird.
Für viele Unternehmen ist dabei vor allem eine Frage relevant: Sind wir Anbieter, Betreiber oder Integrator eines KI-Systems? Die Rolle entscheidet darüber, welche Pflichten greifen. Wer ein eigenes KI-System entwickelt und auf den Markt bringt, hat andere Verantwortlichkeiten als ein Unternehmen, das ein externes KI-Tool im Kundenservice, Marketing oder in internen Prozessen nutzt.
Wichtig ist außerdem: Der AI Act ist kein reines IT-Thema. Er betrifft Geschäftsführung, Fachbereiche, Datenschutz, Recht, IT, Informationssicherheit, Produktmanagement und Kommunikation. Denn KI wird nicht isoliert betrieben, sondern in Prozesse, Anwendungen, Datenflüsse und Nutzerkontakte eingebunden.
Warum der EU AI Act gerade jetzt relevant ist
Der AI Act ist bereits in Kraft. Einige Regelungen gelten schrittweise seit 2025, weitere zentrale Pflichten werden 2026 und 2027 praktisch relevant. Nach der offiziellen AI-Act-Timeline der EU starten am 2. August 2026 die Anwendung der meisten Regeln, darunter die Transparenzpflichten nach Artikel 50 und die nationale sowie europäische Durchsetzung.
Parallel wurde 2026 auf EU-Ebene über Vereinfachungen und Fristen gesprochen. Der Rat der EU hat am 29. Juni 2026 eine neue Regulierung im Rahmen des Omnibus-VII-Pakets final gebilligt. Danach verschieben sich bestimmte Hochrisiko-Fristen: Stand-alone-Hochrisiko-KI-Systeme sollen ab dem 2. Dezember 2027, in Produkte eingebettete Hochrisiko-KI-Systeme ab dem 2. August 2028 unter die neuen Anwendungstermine fallen.
Für Unternehmen ist das kein Grund, abzuwarten. Im Gegenteil: Die eigentliche Arbeit beginnt nicht erst mit der finalen Frist. Wer heute nicht weiß, welche KI-Systeme genutzt werden, welche Daten einfließen, wo Kundinnen, Bewerber oder Mitarbeitende betroffen sind und welche Ausgaben KI erzeugt, kann später kaum belastbar beurteilen, welche Pflichten gelten.
Aktuell verunsichern Unternehmen vor allem vier Punkte:
- Unklarheit über KI-Nutzung: Viele Tools enthalten KI-Funktionen, ohne dass sie zentral erfasst sind.
- Unsicherheit bei Rollen: Unternehmen wissen oft nicht, ob sie als Anbieter, Betreiber oder nur als Nutzer agieren.
- Transparenzfragen: Nicht immer ist klar, wann KI sichtbar gemacht oder gekennzeichnet werden muss.
- Umsetzungsdruck: Rechtliche Anforderungen müssen in UX, Prozesse, Dokumentation und technische Systeme übersetzt werden.
Genau hier wird der AI Act zum Umsetzungsprojekt.
Warum Transparenzpflichten für Unternehmen wichtig werden
Transparenzpflichten gehören zu den praxisrelevantesten Themen des AI Act. Sie betreffen nicht nur hochspezialisierte KI-Anbieter, sondern viele Unternehmen, die KI in Kundenkommunikation, digitalen Produkten, Marketing, Support oder internen Anwendungen einsetzen.
Die Bundesnetzagentur beschreibt Transparenzpflichten so: Für bestimmte KI-Systeme müssen Anbieter und Betreiber besondere Anforderungen erfüllen. Ein Großteil dieser Pflichten zielt darauf ab, den Einsatz eines KI-Systems offenzulegen und Interaktionen mit Menschen transparent zu gestalten.
Praktisch bedeutet das: Menschen sollen erkennen können, wenn sie mit einem KI-System interagieren oder wenn Inhalte künstlich erzeugt oder manipuliert wurden. Das betrifft zum Beispiel Chatbots, Voicebots, KI-Assistenten, synthetische Bilder, KI-generierte Videos, automatisierte Texte oder Deepfakes.
Die Europäische Kommission nennt vier zentrale Fallgruppen für Artikel 50: KI-Systeme, die direkt mit Menschen interagieren; KI-generierte oder manipulierte Inhalte; Systeme zur Emotionserkennung oder biometrischen Kategorisierung; sowie Deepfakes oder KI-generierte Inhalte zu Themen von öffentlichem Interesse. Die Informationen müssen klar und zugänglich bereitgestellt werden.
Für Unternehmen ist das vor allem an diesen Stellen relevant:
KI-Interaktion sichtbar machen
Wenn ein Support-Chatbot, ein digitaler Assistent im Kundenportal oder ein Voicebot mit Menschen kommuniziert, sollten Nutzerinnen und Nutzer erkennen können, dass sie nicht mit einem Menschen sprechen. Die genaue Form hängt vom Kontext ab. In manchen Fällen ist offensichtlich, dass es sich um ein KI-System handelt. In anderen Fällen braucht es einen klaren Hinweis.
Ein guter Transparenzhinweis ist nicht versteckt, nicht juristisch überladen und nicht erst nach mehreren Klicks sichtbar. Er beantwortet die einfache Frage: „Interagiere ich gerade mit KI?“
KI-generierte Inhalte kennzeichnen
KI-generierte oder KI-manipulierte Inhalte können kennzeichnungspflichtig sein. Dazu gehören Audio, Bilder, Videos und Texte. Die Bundesnetzagentur verweist unter anderem darauf, dass synthetische Inhalte in einem maschinenlesbaren Format gekennzeichnet und als künstlich erzeugt oder manipuliert erkennbar gemacht werden können.
Für Marketing und Kommunikation ist das besonders relevant. Unternehmen nutzen KI zunehmend für Kampagnenbilder, Social-Media-Visuals, Produkttexte, Videos oder personalisierte Inhalte. Nicht jeder KI-unterstützte Entwurf wird automatisch zum Problem. Aber Unternehmen sollten definieren, wann Kennzeichnung nötig ist, wer Inhalte prüft und welche Freigabeprozesse gelten.
Deepfakes und synthetische Medien einordnen
Besonders sensibel sind realistisch wirkende synthetische Inhalte. Ein CEO-Avatar, eine nachgebildete Stimme, ein KI-generiertes Testimonial oder manipulierte Videosequenzen können Vertrauen schaffen — oder Vertrauen zerstören, wenn ihre künstliche Herkunft nicht transparent ist.
Die Kommission begründet Transparenzpflichten unter anderem mit Risiken wie Täuschung, Manipulation, Betrug, Impersonation und Desinformation. Für Unternehmen ist das nicht nur eine Compliance-Frage, sondern auch eine Reputationsfrage. Wer synthetische Medien einsetzt, sollte besonders sauber dokumentieren, wie sie entstehen, wofür sie genutzt werden und wie ihre Herkunft offengelegt wird.
Welche Fristen gelten beim EU AI Act?
Die Fristen des AI Act sind gestaffelt. Dadurch entsteht leicht Verwirrung. Für Unternehmen ist entscheidend, die wichtigsten Meilensteine zu kennen und sie in konkrete Aufgaben zu übersetzen.
Der AI Act ist am 1. August 2024 in Kraft getreten. Seit dem 2. Februar 2025 gelten unter anderem bestimmte Verbote und Anforderungen an KI-Kompetenz. Am 2. August 2025 wurden Regeln für General-Purpose-AI-Modelle relevant. Am 2. August 2026 starten nach der offiziellen EU-Timeline die meisten weiteren Regeln, darunter die Transparenzpflichten nach Artikel 50 und die Durchsetzung auf nationaler und europäischer Ebene.
Für Hochrisiko-KI-Systeme ist der Stand durch das Omnibus-Paket differenzierter geworden. Die EU-Kommission nennt für bestimmte Hochrisiko-Bereiche wie Biometrie, kritische Infrastruktur, Bildung, Beschäftigung, Migration, Asyl und Grenzkontrolle den 2. Dezember 2027. Für in Produkte integrierte Systeme, etwa in bestimmten regulierten Produktkategorien, wird der 2. August 2028 genannt.
Für die Praxis heißt das: Unternehmen sollten Fristen nicht isoliert betrachten. Entscheidend ist, welche KI-Anwendungen konkret vorhanden sind. Ein Unternehmen mit KI-gestütztem Bewerbermanagement hat andere Prioritäten als ein Unternehmen, das KI vor allem für interne Textentwürfe nutzt. Ein Anbieter eigener KI-Funktionen in einer Business Application muss anders prüfen als ein Unternehmen, das ein externes Tool im Support einbindet.
Welche Strafen und Risiken drohen?
Der AI Act sieht empfindliche Bußgelder vor. Der offizielle AI Act Explorer der EU führt unter anderem Regelungen zu verbotenen Praktiken, Hochrisiko-Systemen, Transparenzregeln, General-Purpose-AI-Modellen, Durchsetzung, Sanktionen und Anwendungsdaten auf.
Für Unternehmen ist der Bußgeldrahmen jedoch nur ein Teil des Risikos. In der Praxis entstehen Probleme häufig früher: durch fehlende Zuständigkeiten, unklare Tool-Nutzung, unvollständige Dokumentation, irreführende Kommunikation oder mangelnde Abstimmung zwischen Fachbereich, IT, Datenschutz und Recht.
Typische Praxisrisiken sind:
- Haftungs- und Vertragsrisiken, wenn KI in Kundenprojekten genutzt wird, obwohl vertragliche Vorgaben dies einschränken.
- Datenschutzrisiken, wenn personenbezogene Daten in KI-Systeme eingebunden werden, ohne dass Zweck, Rechtsgrundlage und Schutzmaßnahmen geklärt sind.
- Wettbewerbs- und Abmahnrisiken, wenn KI-generierte Inhalte irreführend wirken.
- Reputationsrisiken, wenn Kundinnen, Bewerber oder Mitarbeitende das Gefühl haben, über KI-Nutzung nicht transparent informiert worden zu sein.
- Betriebsrisiken, wenn KI-Tools ohne Kontrolle in zentrale Prozesse einfließen.
Deshalb sollte die erste Frage nicht lauten: „Wie vermeiden wir Bußgelder?“ Besser ist: „Wie schaffen wir Transparenz über unsere KI-Nutzung, damit wir Risiken belastbar bewerten und steuern können?“
Checkliste: Was Unternehmen jetzt prüfen sollten
Der einfachste Einstieg ist ein KI-Inventar. Es muss zu Beginn nicht perfekt sein, aber es sollte sichtbar machen, wo KI bereits genutzt wird und welche Anwendungen näher geprüft werden müssen.
Unternehmen sollten unter anderem diese Fragen klären:
- Wo wird im Unternehmen bereits KI genutzt?
- Welche Tools enthalten KI-Funktionen, auch wenn sie nicht als eigenes KI-Projekt eingeführt wurden?
- Welche KI-Anwendungen berühren Kunden, Bewerber, Mitarbeitende oder die Öffentlichkeit?
- Werden KI-generierte Texte, Bilder, Audio- oder Videoinhalte erstellt?
- Gibt es Chatbots, Voicebots oder digitale Assistenten?
- Ist für Nutzerinnen und Nutzer erkennbar, wann sie mit KI interagieren?
- Welche Daten werden verarbeitet?
- Wer ist Anbieter, Betreiber oder Integrator des jeweiligen Systems?
- Wer dokumentiert Entscheidungen, Risiken und Maßnahmen?
- Gibt es interne Freigabeprozesse für KI-generierte Inhalte?
- Werden neue KI-Tools vor der Nutzung geprüft?
Diese Checkliste zeigt: AI-Act-Vorbereitung beginnt nicht mit juristischen Detailfragen, sondern mit Sichtbarkeit. Nur was bekannt ist, kann bewertet, dokumentiert und verbessert werden.
Bestes Vorgehen: Vom KI-Inventar zur Umsetzung
Ein pragmatisches Vorgehen lässt sich in vier Phasen strukturieren.
Phase 1: Sichtbarkeit schaffen
Zunächst sollten Unternehmen erfassen, welche KI-Anwendungen genutzt werden. Dazu gehören offizielle Systeme ebenso wie KI-Funktionen in bestehenden Tools. Wichtig sind Zweck, Fachbereich, Nutzergruppe, Datenarten, externe Anbieter, Schnittstellen und Ausgaben des Systems.
Ziel dieser Phase ist kein theoretisches Großprojekt, sondern ein belastbarer Überblick.
Phase 2: Pflichten bewerten
Im nächsten Schritt werden die Use Cases eingeordnet. Welche Anwendungen betreffen Transparenzpflichten? Wo könnten Hochrisiko-Konstellationen entstehen? Welche Datenschutz-, Sicherheits- oder Vertragsanforderungen sind relevant? Welche Rolle hat das Unternehmen im jeweiligen Fall?
Diese Bewertung sollte interdisziplinär erfolgen. Rechtliche Einschätzung, technische Architektur, Datenflüsse und Prozessrealität müssen zusammen betrachtet werden.
Phase 3: Maßnahmen umsetzen
Danach geht es um konkrete Umsetzung. Dazu gehören verständliche Hinweise für Nutzerinnen und Nutzer, Anpassungen in Benutzeroberflächen, Kennzeichnungslogiken für Inhalte, Freigabeprozesse, Dokumentationsstandards und Verantwortlichkeiten.
Gerade Transparenzpflichten zeigen, dass Compliance nicht auf Papier endet. Sie muss in Produkte, Websites, Portale, Workflows und Kommunikationsprozesse eingebaut werden.
Phase 4: Laufend steuern
KI-Nutzung verändert sich schnell. Neue Tools werden eingeführt, bestehende Systeme erhalten KI-Funktionen, Anbieter ändern Modelle, Fachbereiche entwickeln neue Use Cases. Deshalb braucht AI Governance ein laufendes Monitoring.
Dazu gehören Schulungen, klare Nutzungsregeln, regelmäßige Aktualisierung des KI-Inventars und ein Prüfprozess für neue KI-Anwendungen.
Was Unternehmen häufig unterschätzen
In der Debatte um den EU AI Act stehen oft Bußgelder, Fristen und Rechtsunsicherheit im Vordergrund. Das ist nachvollziehbar, greift aber zu kurz. In der Praxis werden andere Fragen mindestens genauso wichtig.
Erstens unterschätzen viele Unternehmen die Verbreitung von KI im Alltag. KI steckt nicht nur in großen strategischen Projekten, sondern auch in Office-Tools, CRM-Systemen, Marketingplattformen, Analysewerkzeugen und Kundenservice-Lösungen.
Zweitens wird Transparenz häufig zu spät gedacht. Ein Hinweistext lässt sich schnell formulieren. Schwieriger ist die Frage, an welchem Touchpoint er erscheinen muss, wie er technisch ausgespielt wird und wer ihn aktuell hält.
Drittens wird KI-Governance oft als Rechtsaufgabe missverstanden. Natürlich braucht es juristische Prüfung. Aber Umsetzung gelingt nur, wenn Prozesse, Daten, IT-Systeme und Verantwortlichkeiten zusammenpassen.
Viertens wird unterschätzt, wie wichtig Akzeptanz ist. Transparente KI-Nutzung kann Vertrauen schaffen. Intransparente KI-Nutzung kann Vertrauen beschädigen — selbst dann, wenn die eingesetzte Technologie fachlich gut funktioniert.
Fazit: Der AI Act ist ein Umsetzungsprojekt, kein reines Rechtsthema
Der EU AI Act macht KI-Nutzung verbindlicher. Für Unternehmen geht es nicht darum, Innovation zu vermeiden. Es geht darum, KI bewusst, nachvollziehbar und verantwortungsvoll einzusetzen.
Der wichtigste erste Schritt ist ein realistischer Überblick: Welche KI-Systeme sind im Einsatz? Welche Personen sind betroffen? Welche Inhalte entstehen? Wo braucht es Transparenz? Welche Risiken müssen fachlich, technisch und organisatorisch gesteuert werden?
Gerade für mittelständische Unternehmen ist ein pragmatischer Ansatz sinnvoll. Statt auf perfekte Leitlinien zu warten, sollten sie jetzt Strukturen schaffen: KI-Inventar, Use-Case-Bewertung, klare Verantwortlichkeiten, verständliche Nutzerhinweise, Dokumentation und laufende Steuerung.
GECKO unterstützt Unternehmen dabei, regulatorische Anforderungen in digitale Realität zu übersetzen: von AI Readiness und Prozessanalyse über Datenbewertung und Use-Case-Priorisierung bis zur technischen Umsetzung in Anwendungen, Cloud-Umgebungen und Business-Prozessen. So wird der AI Act nicht zum Bremsklotz, sondern zum Anlass, KI professioneller, sicherer und nutzbringender einzusetzen.
Sie möchten wissen, wo Ihr Unternehmen beim Thema KI steht? Ein strukturierter AI-Readiness-Check hilft, bestehende KI-Nutzung sichtbar zu machen, Risiken einzuordnen und die nächsten Umsetzungsschritte zu priorisieren.
