EU AI Act: Was Unternehmen in Europa 2026 wissen müssen

Der EU AI Act ist die weltweit erste umfassende Regulierung für Künstliche Intelligenz. Die Verordnung 2024/1689 ist seit dem 1. August 2024 in Kraft und wird ab dem 2. August 2026 vollständig anwendbar. Für viele Unternehmen im Binnenmarkt stellt sich jetzt die Frage, welche Pflichten tatsächlich greifen — und welche Vorbereitungen sinnvoll sind, bevor die Übergangsfristen auslaufen.

Was der AI Act tatsächlich regelt

Im Kern verfolgt die Verordnung einen risikobasierten Ansatz. Je höher das Risiko, das ein KI-System für Grundrechte, Sicherheit oder Gesundheit mit sich bringt, desto strenger sind die Anforderungen. Die zentrale Einteilung in vier Risikoklassen hilft Unternehmen, den Aufwand realistisch einzuschätzen.

• Inakzeptables Risiko: Systeme, die manipulieren, ausbeuten oder in Grundrechte eingreifen, sind verboten — etwa Social Scoring durch Behörden oder Emotionserkennung am Arbeitsplatz ohne medizinischen oder sicherheitsrelevanten Anlass.
• Hohes Risiko: Systeme in Bereichen wie Personalwesen, Kreditvergabe, Bildung oder kritischer Infrastruktur unterliegen strengen Anforderungen an Datenqualität, Dokumentation, Aufsicht durch Menschen und Cybersicherheit.
• Begrenztes Risiko: Generative KI und Chatbots fallen in diese Kategorie, müssen aber Transparenzpflichten erfüllen — etwa das Offenlegen, dass Inhalte von einer KI erzeugt wurden.
• Minimales Risiko: Spam-Filter oder einfache Empfehlungssysteme sind weitgehend unreguliert.

Konkrete Pflichten für KMU

Viele kleine und mittlere Unternehmen gehen davon aus, dass sie nicht betroffen sind. Das ist ein Trugschluss. Auch wer generative KI einsetzt, um Produkttexte zu erstellen, E-Mails vorzuformulieren oder Bilder für die Website zu generieren, ist an die Transparenzregeln gebunden.

In der Praxis bedeutet das: Nutzerinnen und Nutzer müssen klar erkennen können, dass sie es mit einer KI-generierten Ausgabe zu tun haben. Auf einer Website heißt das zum Beispiel, dass ein Chat-Assistent sich zu erkennen gibt. Bei synthetischen Bildern, die nicht eindeutig als KI-generiert erkennbar sind, ist eine Kennzeichnungspflicht vorgesehen.

Für Anbieter von Hochrisiko-Systemen kommen umfangreichere Pflichten hinzu: Risikomanagementsysteme, technische Dokumentation, Daten-Governance, Aufsicht durch Menschen, ein Qualitäts- und Sicherheitsmanagement sowie eine Registrierung in einer EU-Datenbank. Das klingt nach großem Aufwand — und ist es für die meisten KMU auch, weshalb die meisten von ihnen gar keine Hochrisiko-Systeme in eigener Verantwortung entwickeln werden.

Sanktionen, die ernst zu nehmen sind

Die Verordnung sieht empfindliche Geldbußen vor. Bei Verstößen gegen die Kernpflichten drohen bis zu 35 Millionen Euro oder sieben Prozent des weltweiten Jahresumsatzes. Für die irreführende Angabe, eine KI sei nicht KI-gesteuert, sind es bis zu 15 Millionen Euro oder drei Prozent des Jahresumsatzes. Auch wenn viele Unternehmen diese Höchststrafen nie erreichen werden — die Aufsichtsbehörden werden die Verordnung ernst nehmen.

Förderung im Rahmen des Digital Europe Programme

Wer KI verantwortungsvoll einführen will, kann auf europäische Förderprogramme zurückgreifen. Das Digital Europe Programme stellt zwischen 2025 und 2027 rund 1,3 Milliarden Euro für die Verbreitung von KI bereit. Konkret gefördert werden Anwendungsfälle in Branchen wie Gesundheit, Energie, Fertigung, Landwirtschaft und öffentliche Verwaltung — also genau die Felder, in denen viele europäische Mittelständler unterwegs sind.

Ergänzend betreibt die EU-Kommission den Aufbau von KI-Fabriken (AI Factories), also Rechenzentren, die kleinen Unternehmen den Zugang zu Hochleistungsrechnern für KI-Training und -Anwendungen ermöglichen sollen. Wer hier aktiv wird, sollte die Angebote der nationalen KI-Koordinierungsstellen im Auge behalten, etwa in Deutschland die KI-Servicezentren oder in Österreich die Anlaufstellen der Austria AI.

Was Unternehmen jetzt tun sollten

Wer KI im eigenen Betrieb einsetzt, kann mit einer kurzen Bestandsaufnahme beginnen:

1. Inventur: Welche KI-Werkzeuge werden im Unternehmen genutzt — auch durch einzelne Mitarbeiter, ohne dass die Geschäftsleitung es weiß? Oft sind es mehr als gedacht.
2. Risiko-Klassifikation: Jedes identifizierte Werkzeug wird einer der vier Risikoklassen zugeordnet. In den meisten Fällen landet man bei „begrenztes Risiko” oder „minimales Risiko”.
3. Transparenz sicherstellen: Wo Nutzer mit KI-generierten Inhalten in Berührung kommen, wird dies sichtbar gemacht — auf der Website, im Kundenservice, in Newslettern.
4. Datenflüsse prüfen: Werden personenbezogene Daten an KI-Anbieter außerhalb der EU übermittelt, ist die DSGVO-Konformität gesondert zu prüfen.
5. Dokumentation: Auch ohne formale Zertifizierung hilft eine einfache Aktennotiz, welche KI wofür eingesetzt wird und welche Maßnahmen man getroffen hat.

Pragmatischer Umgang mit dem Rechtsrahmen

Der AI Act ist kein Innovationsverhinderer. Er setzt einen Rahmen, der Vertrauen schafft — und das ist langfristig ein Wettbewerbsvorteil für europäische Unternehmen, die sich an Regeln halten. Wer früh versteht, welche Pflichten tatsächlich greifen, und seine Prozesse entsprechend aufsetzt, ist nicht nur rechtlich auf der sicheren Seite, sondern gewinnt auch das Vertrauen von Kundinnen und Kunden, die zunehmend darauf achten, wo und wie KI eingesetzt wird.

Die kommenden Monate bis August 2026 sind eine sinnvolle Vorbereitungsphase. Die genauen Anwendungstermine für einzelne Bestimmungen staffeln sich — wer die Fristen im Blick behält und sich frühzeitig mit der eigenen Nutzung auseinandersetzt, ist gut aufgestellt.