Die Verordnung hat sich im letzten Jahr mehrmals geändert, zuletzt im Juli 2026. Die meisten Artikel im Internet zitieren noch den alten Wortlaut.
Hier steht, was heute gilt, was noch kommt und was Ihnen nicht droht.
Seit dem 2. August 2026 ist die Verordnung vollständig anwendbar. Bis dahin galten nur Teile davon. Die nationalen Behörden haben nun die Befugnis, zu überwachen und einzuschreiten, und die Transparenzpflichten gelten.
Im Juli 2026 wurde ein Änderungspaket namens Digital Omnibus verabschiedet. Es hat einige Pflichten abgeschwächt und andere verschoben.
Das heißt aber nicht, dass nichts gilt, solange die nationalen Aufsichtsgesetze nicht verabschiedet sind. Der AI Act ist eine Verordnung, keine Richtlinie, und gilt deshalb unmittelbar und in jedem EU-Land gleich. Das nationale Gesetz regelt nur, wer kontrolliert und nach welchem Verfahren.
Schreibt bei Ihnen jemand E-Mails, Texte oder Zusammenfassungen mit ChatGPT oder einem ähnlichen Tool?
Haben Sie Microsoft 365 mit Copilot oder Google Workspace mit Gemini?
Erstellt Ihr Marketing Grafiken oder Texte mit KI?
Sortiert bei Ihnen jemand Lebensläufe mit KI?
Ein einziges Ja genügt, und Ihr Unternehmen ist nach der Verordnung Betreiber. Eine Größenschwelle gibt es nicht, weder nach Mitarbeiterzahl noch nach Umsatz. Es ändert sich nur, was in Ihrer Situation angemessen ist.
Von über hundert Artikeln der Verordnung betreffen diese drei ein normales Unternehmen. Der Großteil des Rests richtet sich an diejenigen, die KI entwickeln und verkaufen, also an OpenAI, Google oder Microsoft.
Wer bei Ihnen mit KI arbeitet, soll sie in angemessenem Umfang verstehen. Das gilt auch für freie Mitarbeiter und Subunternehmer, die in Ihrem Namen mit ihr arbeiten.
Der Digital Omnibus hat daraus eine Bemühenspflicht statt einer Erfolgspflicht gemacht. Sie müssen nicht garantieren, dass jeder ein bestimmtes Niveau erreicht hat. Sie müssen zeigen können, dass Sie getan haben, was angemessen war.
Abgeschafft oder verschoben wurde sie nicht. Und den Leuten die Bedienungsanleitung eines Tools zu schicken, reicht laut Kommission nicht.
Die jüngste Pflicht und die einzige, die Ihre Kunden sehen.
Ein Chatbot muss gleich zu Beginn des Gesprächs erkennen lassen, dass er eine Maschine ist. Nicht in den AGB, nicht in der Fußzeile.
Generierte Bilder, Audio- oder Videoinhalte, die wie eine echte Aufnahme wirken, kennzeichnen Sie bei der Veröffentlichung. Auch wenn sie eine Person zeigen, die es nicht gibt. Gewöhnliche Werbetexte, Produktbeschreibungen, Angebote und Newsletter werden nicht gekennzeichnet.
Bußgelder bis 15 Mio. € oder 3 % des Umsatzes. Für KMU gilt der niedrigere Betrag.
Eine kurze Liste von Dingen, die gar nicht erlaubt sind. Ein normales Unternehmen betrifft davon vor allem die Emotionserkennung am Arbeitsplatz.
Eine Kamera, die auswertet, ob Mitarbeiter konzentriert wirken. Software, die im Vorstellungsgespräch die Mimik von Bewerbern liest. Zum Arbeitsplatz zählen auch Homeoffice und Recruiting.
Böse Absicht steckt selten dahinter. Eher kauft jemand ein Tool zur Produktivitätsüberwachung und weiß nicht genau, was es tut.
Der höchste Satz der Verordnung: 35 Mio. € oder 7 % des Umsatzes.
Und eine Sache, die noch kommt. Wenn KI im Recruiting, bei der Mitarbeiterbewertung oder bei Entscheidungen über Menschen eingesetzt wird, fällt sie in den Hochrisikobereich. Dort gilt ein ganzes Paket an Pflichten: Risikomanagement, Datenqualität, Dokumentation, menschliche Aufsicht und Information der Betroffenen. Die Frist wurde auf den 2. Dezember 2027 verschoben, bei KI in regulierten Produkten auf August 2028. Akut ist das nicht, Ordnung darin zu haben, lohnt sich aber schon jetzt.
Schreiben Sie uns ein paar Sätze dazu, wie Sie KI im Unternehmen nutzen. Wir sagen Ihnen offen, was davon Sie betrifft und womit Sie anfangen sollten.
Niemand weiß, wer was nutzt. KI läuft im Unternehmen, aber niemand hat sie offiziell erlaubt oder verboten. Die Geschäftsführung weiß nicht, wer welches Tool wofür nutzt. Das kommt erst heraus, wenn etwas schiefgeht.
Daten in öffentlichen Tools. Ein Kundenvertrag, eine Preisliste, Kontakte oder personenbezogene Daten in einem öffentlichen Chatbot. Das betrifft nicht mehr nur den AI Act, sondern auch den Datenschutz mit eigenen Sanktionen.
Erfundene Zahlen. KI setzt Texte zusammen, die plausibel klingen, und klingt gerade dann am sichersten, wenn sie etwas erfindet. Wer darauf nicht vorbereitet ist, schickt einem Kunden ein Angebot oder einen Bericht mit einer Zahl, die es nicht gibt.
Ein Chatbot mit Menschennamen. Ein Assistent auf der Website mit Namen und Foto, der nicht sagt, dass er eine Maschine ist. Seit August 2026 ist das ein Problem.
Nichts dokumentiert. Das Unternehmen hat etwas getan, vielleicht den Mitarbeitern eine Präsentation geschickt, kann es aber nicht belegen. Ein Zertifikat ist nicht erforderlich, interne Aufzeichnungen über Schulungen und Maßnahmen sollten Sie laut Kommission aber führen. Eine Schulung ohne Nachweis lässt sich nur sehr schwer belegen.
Betrug mit geklonter Stimme. Ein paar Sekunden aus einem öffentlichen Video reichen, um die Stimme eines Geschäftsführers zu klonen. Ein Mitarbeiter, der davon nie gehört hat, prüft eine gefälschte Zahlungsanweisung nicht nach.
Der AI Act hat sich im letzten Jahr mehrmals geändert. Der Digital Omnibus hat im Juli 2026 Artikel 4 abgeschwächt und die Hochrisikosysteme um eineinhalb Jahre verschoben. Im selben Monat hat die Kommission Leitlinien zu Artikel 50 mit über fünfzig Seiten veröffentlicht.
Auch die Tools selbst ändern sich. Es gibt jetzt Agenten, die in Systemen selbstständig handeln, und mit ihnen neue Risiken. Eine Richtlinie, die ein Unternehmen heute schreibt und in die Schublade legt, ist in einem halben Jahr veraltet. Eine Schulung aus dem letzten Jahr zitiert einen Wortlaut, der nicht mehr gilt.
Die Einhaltung des AI Act hakt man nicht einmal ab. Man muss sie pflegen.
35 Millionen Bußgeld für ungeschulte Mitarbeiter. Dieser Satz gilt ausschließlich für verbotene Praktiken nach Artikel 5. Für die Nichterfüllung der Pflicht zur KI-Kompetenz sieht die Verordnung kein eigenes Bußgeld vor, Sanktionen legen die nationalen Behörden fest.
Ein Pflichtzertifikat. Gesetzlich brauchen Sie keines, die Kommission hat das ausdrücklich geschrieben. Eine Teilnahmebestätigung ist als Nachweis für Kunden oder bei einer Kontrolle sinnvoll, eine gesetzliche Voraussetzung ist sie nicht.
Die Kennzeichnung jedes Textes, bei dem KI geholfen hat. Die meisten Werbetexte werden nicht gekennzeichnet.
Das Bußgeld ist also nicht der Hauptgrund, sich darum zu kümmern. Schlimmer ist, wenn Daten das Unternehmen verlassen, wenn nach erfundenen Zahlen entschieden wird oder wenn jemand Geld auf eine gefälschte Anweisung überweist. Und Kunden fragen immer öfter, wie Sie das Thema KI abgesichert haben.
Wir bauen mit KI seit ihrem Durchbruch, in eigenen Unternehmen. Die Schulungen kommen aus dem, was dort täglich läuft, nicht aus der Theorie. Dazu:
Die Verordnung unterscheidet zwei Rollen. Der Anbieter entwickelt KI und bringt sie auf den Markt, zum Beispiel OpenAI, Google oder Microsoft. Der Betreiber nutzt sie bei seiner Tätigkeit, und das ist heute fast jedes Unternehmen. Dazu zählt jede natürliche oder juristische Person, die KI in eigener Verantwortung verwendet. Ausgenommen ist nur die rein private Nutzung zu Hause.
Ja. Die Europäische Kommission hat klargestellt, dass Unternehmertum, Handel, Berufsausübung oder regelmäßiger wirtschaftlicher Nutzen eine berufliche Tätigkeit bedeuten. Eine Schwelle nach Mitarbeiterzahl oder Umsatz enthält die Verordnung nicht. Es ändert sich nur, was in der jeweiligen Situation angemessen ist.
Ja. Der AI Act ist eine Verordnung, keine Richtlinie, und gilt unmittelbar in jedem EU-Land. Das nationale Gesetz regelt nur, wer kontrolliert und nach welchem Verfahren.
Artikel 4 verlangte früher, ein ausreichendes Maß an KI-Kompetenz sicherzustellen. Nach der Änderung genügt es, Maßnahmen zu ihrer Förderung zu ergreifen. Aus einer Erfolgspflicht wurde eine Bemühenspflicht: Sie müssen nicht garantieren, dass jede Person ein bestimmtes Niveau erreicht hat, aber zeigen können, dass Sie getan haben, was angemessen war. Abgeschafft oder verschoben wurde die Pflicht nicht.
Ein Zertifikat ist nicht erforderlich. Die Kommission erklärt aber, dass Organisationen interne Aufzeichnungen über Schulungen und Maßnahmen führen sollten. Eine Schulung, über die Sie keinen Nachweis haben, lässt sich nur sehr schwer belegen. Und den Mitarbeitern nur die Bedienungsanleitung eines Tools zu schicken, hält die Kommission nicht für eine angemessene Maßnahme.
Für die Nichterfüllung von Artikel 4 sieht die Verordnung kein eigenes Bußgeld vor, Sanktionen legen die nationalen Behörden fest. Die 35 Mio. € oder 7 % des Umsatzes betreffen ausschließlich verbotene Praktiken nach Artikel 5. Für Verstöße gegen die Transparenzpflichten liegt die Obergrenze bei 15 Mio. € oder 3 % des Umsatzes, für KMU beim niedrigeren der beiden Beträge.
Meistens nicht. Gekennzeichnet wird nur KI-Text, der veröffentlicht wird, die Öffentlichkeit informiert und Angelegenheiten von öffentlichem Interesse betrifft, und zwar alles gleichzeitig. Auch dann gilt eine Ausnahme, wenn der Text menschlich geprüft wurde und jemand die Verantwortung dafür trägt. Gewöhnliche Werbetexte, Produktbeschreibungen, Angebote und Newsletter werden nicht gekennzeichnet.
Kunden müssen wissen, dass sie mit einer Maschine sprechen, und zwar direkt im Gespräch und gleich zu Beginn. Ein Hinweis in den AGB oder in der Fußzeile reicht nicht, und es reicht auch nicht, ihn Assistent zu nennen. Ein Chatbot mit Menschennamen und Foto ist seit dem 2. August 2026 ein Problem.
KI im Recruiting, bei der Mitarbeiterbewertung oder bei Entscheidungen über Menschen fällt in den Hochrisikobereich. Diese Pflichten wurden auf den 2. Dezember 2027 verschoben, bei KI in regulierten Produkten auf August 2028.
Allgemeine Informationen zur Verordnung (EU) 2024/1689 in der Fassung der Verordnung (EU) 2026/1744, Stand 1. 9. 2026. Keine Rechtsberatung.
Kostenlose KI-Beratung. In 30 Minuten wissen Sie, wo KI in Ihrem Unternehmen die höchste Rendite bringt und ob sich die Investition überhaupt rechnet. Sie gehen mit dem RSM Blueprint: eine Seite mit dem, was sich bei Ihnen als Erstes lohnt.
Wir verwenden Cookies, um Besucherzahlen und Werbeleistung zu messen. Notwendige laufen immer, der Rest nur mit Ihrer Zustimmung. Mehr erfahren