EU KI-Verordnung: Erste Compliance-Fristen erreicht – Was Unternehmen jetzt tun müssen

von

EU KI-Verordnung: Erste Compliance-Fristen erreicht – Was Unternehmen jetzt tun müssen

Seit dem 2. August 2026 ist die EU-KI-Verordnung in ihrem Kern anwendbar. Damit endet für viele Unternehmen die Phase, in der der AI Act vor allem ein Zukunftsthema war: Die Pflichten zu verbotenen Praktiken und KI-Kompetenz gelten bereits seit Februar 2025, die Regeln für Anbieter von General-Purpose-AI-Modellen seit August 2025, und nun greifen weitere operative Vorgaben, Aufsichtsstrukturen und Durchsetzungsmechanismen.[2][3] Für GPAI-Anbieter ergänzt der EU-Verhaltenskodex seit 2025 die praktische Compliance-Orientierung.[4] Für Geschäftsleitungen, Datenschutzteams, Einkauf, HR und Produktverantwortliche heißt das: KI-Systeme müssen nicht nur „innovativ“, sondern auch klassifiziert, dokumentiert und kontrollierbar sein.

Besonders wichtig ist die erste Bestands- und Risikobewertung. Unternehmen müssen wissen, welche KI sie selbst entwickeln, einkaufen oder in Fachprozessen einsetzen. Denn die Verordnung arbeitet risikobasiert: Je stärker ein System Gesundheit, Sicherheit oder Grundrechte berühren kann, desto höher sind die Anforderungen.[2] Im September 2026 ist deshalb nicht die Frage, ob man irgendwann ein KI-Governance-Projekt startet, sondern ob belastbar nachgewiesen werden kann, welche Systeme betroffen sind und welche Pflichten daraus folgen.

Welche Systeme jetzt im Fokus stehen

Der AI Act unterscheidet grob zwischen verbotenen, hochriskanten, transparenzpflichtigen und minimal riskanten Anwendungen. Verbotene Praktiken – etwa bestimmte manipulative oder ausbeuterische KI-Nutzungen – sind bereits seit 2025 relevant.[2][3] Für Unternehmen in der Breite ist aktuell aber die Hochrisiko-Prüfung der zentrale Arbeitsschritt.

Als Hochrisiko-KI gelten nach Artikel 6 insbesondere zwei Gruppen: Erstens KI-Systeme, die als Sicherheitskomponente eines regulierten Produkts eingesetzt werden oder selbst ein solches Produkt sind, wenn dafür eine Konformitätsbewertung durch Dritte erforderlich ist.[3] Zweitens Systeme in den in Anhang III genannten Bereichen.[3] Dazu zählen unter anderem biometrische Identifikation und Kategorisierung, sicherheitsrelevante Anwendungen in kritischer Infrastruktur, KI in Bildung und Berufsbildung, Recruiting und Personalmanagement, Kreditwürdigkeitsprüfung, Risikobewertung in Lebens- und Krankenversicherung, bestimmte öffentliche Leistungen, Strafverfolgung, Migration sowie Rechtspflege.[3]

In der Praxis sind damit nicht nur große KI-Anbieter betroffen. Ein mittelständisches Unternehmen kann bereits dann in den Anwendungsbereich geraten, wenn es ein KI-Tool zur Bewerbervorauswahl nutzt, Schicht- oder Leistungsdaten automatisiert auswertet, Kundenbonität bewertet oder KI in sicherheitskritischen Produktfunktionen integriert. Entscheidend ist nicht das Etikett „KI“, sondern Zweck, Einsatzkontext und Einfluss auf Menschen.

Wichtig ist zugleich: Die Fristen sind gestaffelt. Die Verordnung gilt grundsätzlich seit dem 2. August 2026; einzelne Hochrisiko-Konstellationen haben Sonderfristen, etwa für bestimmte produktregulierte Systeme nach Artikel 6 Absatz 1.[3] Unternehmen sollten sich darauf nicht als Aufschub verlassen, sondern die Klassifizierung jetzt abschließen, weil Beschaffung, technische Nachrüstung und Vertragsänderungen erfahrungsgemäß Monate dauern.

Risikomanagement: kein Papierprozess, sondern Lebenszykluspflicht

Für Hochrisiko-KI verlangt die Verordnung ein Risikomanagementsystem, das eingerichtet, umgesetzt, dokumentiert und über den gesamten Lebenszyklus gepflegt wird.[3] Das ist mehr als eine einmalige Checkliste vor dem Go-live. Unternehmen müssen bekannte und vernünftigerweise vorhersehbare Risiken für Gesundheit, Sicherheit und Grundrechte identifizieren, bewerten und mindern – auch bei vorhersehbarer Fehlanwendung.[3]

Praktisch bedeutet das: Für jedes relevante System braucht es einen klaren Zweck, definierte Nutzergruppen, Risikoszenarien, Verantwortlichkeiten und Kriterien, wann das System gestoppt, angepasst oder erneut geprüft wird. Besonders sensible Fragen betreffen Diskriminierung, Datenqualität, Automatisierungsbias, Erklärbarkeit, Zugriffsschutz und Fehlentscheidungen mit erheblicher Wirkung auf Betroffene.

Für Anbieter ist außerdem ein Post-Market-Monitoring vorgesehen; schwerwiegende Vorfälle und Fehlfunktionen können meldepflichtig sein.[2][3] Deployers – also Unternehmen, die KI-Systeme einsetzen – müssen unter anderem dafür sorgen, dass menschliche Aufsicht tatsächlich möglich ist. „Human in the loop“ reicht nicht, wenn die zuständige Person weder die Grenzen des Systems versteht noch realistisch die Möglichkeit hat, Ergebnisse zu überstimmen.

Dokumentation: Was nachweisbar sein muss

Die technische Dokumentation muss vor dem Inverkehrbringen oder der Inbetriebnahme erstellt und aktuell gehalten werden.[3] Sie soll Behörden und gegebenenfalls notifizierten Stellen ermöglichen, die Konformität des Systems zu beurteilen.[3] Anhang IV nennt unter anderem Zweck, Versionen, Schnittstellen, Systemarchitektur, Entwicklungsprozess, verwendete Daten, Trainings- und Testverfahren, Leistungsmetriken, Maßnahmen zur menschlichen Aufsicht sowie Testergebnisse.[3]

Für KMUs ist relevant, dass die Verordnung eine vereinfachte technische Dokumentation vorsieht: Kleine und mittlere Unternehmen einschließlich Start-ups dürfen bestimmte Angaben in vereinfachter Form bereitstellen; die Kommission soll dafür ein Formular schaffen.[3] Das ist eine Erleichterung, aber kein Freibrief. Auch eine vereinfachte Dokumentation muss nachvollziehbar zeigen, warum ein System korrekt klassifiziert wurde und wie Risiken beherrscht werden.

Zusätzlich verlangt der AI Act Aufzeichnungs- und Protokollierungsfunktionen für Hochrisiko-Systeme.[3] Unternehmen sollten daher früh prüfen, ob eingekaufte KI-Produkte ausreichende Logs, Exportmöglichkeiten, Rollenmodelle und Audit-Trails bieten. Fehlen diese Funktionen, lässt sich Compliance oft nicht durch interne Richtlinien ersetzen.

Was bei Nicht-Einhaltung droht

Die Verordnung setzt auf Aufsicht durch nationale Marktüberwachungsbehörden und auf EU-Ebene insbesondere durch das AI Office, das unter anderem Befugnisse gegenüber General-Purpose-AI-Modellen hat.[2] Sanktionen können erheblich sein: Verstöße gegen verbotene Praktiken können mit bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes geahndet werden; Verstöße gegen weitere Betreiberpflichten können bis zu 15 Millionen Euro oder 3 Prozent erreichen.[3]

Für KMUs und Start-ups müssen Behörden bei Geldbußen zwar deren wirtschaftliche Tragfähigkeit berücksichtigen.[3] Trotzdem wäre es gefährlich, Compliance als reines Bußgeldthema zu behandeln. Relevanter sind oft operative Folgen: Systeme müssen angepasst oder vom Markt genommen werden, Behörden können Informationen anfordern, Kunden verlangen Nachweise, und fehlende Dokumentation kann Ausschreibungen, Finanzierungen oder Partnerschaften blockieren.

Praktische Handlungsempfehlungen für KMUs

Erstens: Erstellen Sie ein KI-Inventar. Erfassen Sie nicht nur Eigenentwicklungen, sondern auch SaaS-Tools, HR-Software, Analyseplattformen, Chatbots, Add-ons in Office-Systemen und eingebettete KI-Funktionen in Produkten. Notieren Sie Zweck, Anbieter, Datenarten, Nutzer, betroffene Personengruppen und Entscheidungswirkung.

Zweitens: Führen Sie eine Triage nach Risikoklassen durch. Prüfen Sie zuerst Personal, Bildung, Bonität, Versicherung, kritische Infrastruktur und sicherheitsrelevante Produktfunktionen. Wo ein System Menschen bewertet, priorisiert, auswählt oder Leistungen beeinflusst, ist eine vertiefte Prüfung nötig.

Drittens: Schließen Sie Dokumentationslücken vertraglich und technisch. Fordern Sie von Lieferanten Zweckbeschreibung, Modell- und Dateninformationen, Testnachweise, Logging, Sicherheitsmaßnahmen, Unterauftragnehmerangaben und Unterstützung bei Behördenanfragen. Neue KI-Beschaffung sollte ohne Compliance-Anhang nicht mehr freigegeben werden.

Viertens: Verankern Sie Verantwortlichkeiten. KI-Compliance gehört nicht allein in die IT. Datenschutz, Recht, Informationssicherheit, Fachbereich, Betriebsrat und Einkauf müssen gemeinsam entscheiden, welche Systeme freigegeben, begrenzt oder abgeschaltet werden.

Fünftens: Schulen Sie Anwender. KI-Kompetenz ist bereits seit Februar 2025 eine anwendbare Pflicht.[2][3] Mitarbeitende sollten wissen, wann KI-Ergebnisse überprüft werden müssen, welche Daten nicht eingegeben werden dürfen und wann ein Vorfall eskaliert werden muss.

Fazit: Jetzt klassifizieren, dann kontrolliert nachrüsten

Die EU-KI-Verordnung ist im September 2026 kein abstraktes Regulierungsvorhaben mehr. Unternehmen müssen ihre KI-Landschaft kennen, Hochrisiko-Systeme identifizieren und nachweisen können, dass Risiken, Dokumentation, menschliche Aufsicht und technische Kontrollen angemessen geregelt sind. Für KMUs ist der beste Einstieg pragmatisch: Inventar erstellen, kritische Prozesse priorisieren, Lieferanten in die Pflicht nehmen, Verantwortlichkeiten festlegen und Schulungen durchführen. Wer jetzt strukturiert beginnt, reduziert nicht nur Bußgeldrisiken, sondern schafft auch Vertrauen bei Kunden, Beschäftigten und Aufsichtsbehörden.

Sources

[2] https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai

[3] https://eur-lex.europa.eu/eli/reg/2024/1689/oj/eng

[4] https://digital-strategy.ec.europa.eu/en/policies/ai-code-practice