EU AI Act vollständig in Kraft: Was jetzt Chefsache ist

Seit dem 2. August 2026 gilt der EU AI Act vollständig. Was zwei Jahre lang schrittweise eingeführt wurde, ist jetzt durchsetzbares Recht: Die Pflichten für Hochrisiko-Systeme sind anwendbar, die nationalen Aufsichtsbehörden sind benannt und der komplette Bußgeldrahmen ist scharfgeschaltet: bis zu 35 Mio. Euro oder 7 % des weltweiten Jahresumsatzes für verbotene Praktiken, bis zu 15 Mio. Euro oder 3 % für Verstöße gegen die übrigen Pflichten. Bereits seit Februar 2025 gilt zudem die AI-Literacy-Pflicht aus Artikel 4: Wer KI einsetzt, muss die Kompetenz seiner Beschäftigten sicherstellen – dokumentiert.

Warum das Chefsache ist

KI-Compliance ist keine Aufgabe, die sich an die IT-Abteilung delegieren lässt. Die Geschäftsführung trägt die Legalitätspflicht: Sie muss sicherstellen, dass das Unternehmen geltendes Recht einhält, und haftet der Gesellschaft gegenüber, wenn Organisationspflichten verletzt werden (§ 43 GmbHG, § 93 AktG). Wer heute nicht weiß, welche KI-Systeme im eigenen Haus laufen, hat ein Governance-Problem, kein Technik-Problem. Parallel verschärft die NIS2-Umsetzung die persönliche Verantwortung der Geschäftsleitung für Cyber-Risiken – die Richtung des Gesetzgebers ist eindeutig.

Was Anwender-Unternehmen jetzt leisten müssen

Die meisten Unternehmen sind keine KI-Entwickler, sondern Anwender – im Sprachgebrauch des Gesetzes „Deployer". Auch dann gelten Pflichten:

• KI-Kompetenz nachweisen: Beschäftigte müssen verstehen, was die eingesetzten Systeme können, wo ihre Grenzen liegen und welche Risiken bestehen. Als dokumentierter Prozess, nicht als Einmal-Schulung.
• Transparenz sicherstellen: Interagiert ein System mit Menschen (z. B. ein Chatbot auf Ihrer Website), muss dies als KI-Interaktion erkennbar sein.
• Systemregister führen: Welche KI-Systeme sind im Einsatz, in welcher Risikoklasse, mit welchen Daten? Ohne diese Übersicht ist keine belastbare Governance möglich, und keine Antwort auf ein Auskunftsersuchen der Aufsicht.
• Menschliche Aufsicht organisieren: Wer prüft KI-Ergebnisse, bevor sie Kunden erreichen? Bei Hochrisiko-Anwendungen (etwa KI im Personalwesen) ist menschliche Aufsicht jetzt harte Pflicht.

Durchsetzung: Was sich seit dem 2. August geändert hat

Aufsichtsbehörden verschicken Prüf- und Auskunftsschreiben, und die Bußgeldtatbestände sind anwendbar. Eine in Brüssel diskutierte Übergangsregelung („Digital Omnibus") könnte einzelne Hochrisiko-Fristen strecken. Beschlossen ist das nicht, und für die Kernpflichten der Anwender (Kompetenz, Transparenz, Register) ändert es nichts. Wer geordnet gestartet ist, muss nicht reagieren – wer ungeordnet startet, reagiert unter Zeitdruck.

Drei Schritte, die jetzt anstehen

• Inventarisieren: Welche KI-Systeme sind im Einsatz, offiziell und inoffiziell (siehe unseren Guide zu Schatten-KI)? Das Systemregister ist das Fundament jeder weiteren Maßnahme.
• Einordnen: Welche Risikoklasse haben diese Systeme? Die meisten Büro-Anwendungen fallen in „minimal". Aber das muss dokumentiert festgestellt sein, nicht vermutet.
• Befähigen: AI Literacy ist Pflicht, und zugleich die günstigste Gelegenheit, die Produktivitätsgewinne der KI überhaupt erst zu heben.

Hinweis: Dieser Artikel ersetzt keine Rechtsberatung. Er dient der ersten Einordnung; die verbindliche Prüfung Ihrer Situation gehört in fachkundige Hände.

← alle guides