Erstes KI-Gesetz weltweitEU AI Act: Welche Regeln gelten bereits?

Der EU AI Act für Unternehmen schafft einen verbindlichen Rechtsrahmen für künstliche Intelligenz. Die Europäische Union knüpft damit an ihre Rolle als Vorreiterin der digitalen Regulierung an.

Die KI-Verordnung ist kein Gesetzesvorhaben mehr. Die Verordnung (EU) 2024/1689 trat am 1. August 2024 in Kraft und gilt schrittweise. Seit dem 2. August 2026 ist ein wesentlicher Teil ihrer Regelungen anwendbar. Daneben bleiben insbesondere die DSGVO, das BDSG, arbeitsrechtliche Vorschriften und Beteiligungsrechte des Betriebsrats zu beachten.

EU AI Act für Unternehmen: Welche Risikostufen gelten?

Der AI Act unterscheidet zwischen verbotenen KI-Praktiken, Hochrisiko-KI-Systemen, Anwendungen mit besonderen Transparenzpflichten und KI-Systemen mit geringeren Risiken. Zusätzlich gelten eigene Regeln für Modelle mit allgemeinem Verwendungszweck.

Bestimmte manipulative Anwendungen, Social Scoring und einzelne biometrische Praktiken sind bereits verboten. Die Verbote sind genauer gefasst als ein allgemeines Verbot biometrischer Gesichtserkennung. Ob eine konkrete Anwendung untersagt, als Hochrisiko-System einzuordnen oder unter bestimmten Voraussetzungen zulässig ist, hängt von ihrem Zweck und ihrer technischen Ausgestaltung ab.

Transparenzpflichten seit dem 2. August 2026

Seit dem 2. August 2026 gelten außerdem Transparenzpflichten für bestimmte KI-Systeme. Menschen müssen grundsätzlich erkennen können, wenn sie unmittelbar mit einem KI-System kommunizieren, sofern dies nicht bereits aus den Umständen offensichtlich ist. Für Deepfakes und bestimmte veröffentlichte KI-Inhalte bestehen zusätzliche Kennzeichnungspflichten.

Nicht jede mithilfe von KI erstellte E-Mail muss deshalb automatisch gekennzeichnet werden. Entscheidend sind Art und Verwendung des Systems und des Inhalts.

Wann gelten die Regeln für Hochrisiko-KI?

Die besonderen Anforderungen an Hochrisiko-KI-Systeme nach Anhang III – darunter bestimmte Systeme für Personalauswahl, Beschäftigtenbewertung und Personalentscheidungen – gelten aufgrund der Verordnung (EU) 2026/1744 grundsätzlich ab dem 2. Dezember 2027. Für Hochrisiko-KI, die Bestandteil regulierter Produkte nach Anhang I ist, gilt grundsätzlich der 2. August 2028.

Datenschutzrechtliche Prüfungen und bereits geltende Verbote dürfen bis dahin nicht aufgeschoben werden. Schon heute müssen Unternehmen unter anderem Rechtsgrundlage, Zweckbindung, Transparenz, Datenminimierung, Verträge mit Dienstleistern, Drittlandübermittlungen und gegebenenfalls die Erforderlichkeit einer Datenschutz-Folgenabschätzung prüfen.

KI-Kompetenz im Unternehmen

Anbieter und Betreiber von KI-Systemen müssen nach Artikel 4 des AI Act Maßnahmen ergreifen, um die KI-Kompetenz der eingesetzten Personen zu unterstützen. Umfang und Inhalt richten sich insbesondere nach Vorkenntnissen, Einsatzkontext und Risiken. Ein allgemeines gesetzliches Pflichtzertifikat oder eine feste Schulungsdauer sieht die Verordnung nicht vor.

Unternehmen sollten deshalb verständliche Regeln festlegen, Beschäftigte passend zum tatsächlichen Einsatz schulen und die Maßnahmen dokumentieren.

Muss ein KI-Beauftragter bestellt werden?

Eine allgemeine Pflicht, einen „KI-Beauftragten“ zu bestellen, besteht nicht. Unternehmen sollten dennoch klare Zuständigkeiten für Freigaben, Risikoprüfungen, Datenschutz, Schulungen und die Kontrolle eingesetzter KI-Systeme festlegen.

Die behördliche Aufsicht verteilt sich auf das Europäische Amt für Künstliche Intelligenz, nationale zuständige Behörden und – für KI-Systeme der EU-Organe – den Europäischen Datenschutzbeauftragten.

Weitere praktische Hinweise zum Einsatz von ChatGPT, Copilot und anderen Anwendungen finden Sie auf unserer Seite KI am Arbeitsplatz.

Stand: 1. November 2026.