EU AI Act für Unternehmen: 7 wichtige Pflichten und Risikoklassen einfach erklärt

Der EU AI Act ist die erste umfassende Regulierung für künstliche Intelligenz. Er betrifft nicht nur Unternehmen, die KI entwickeln, sondern auch alle, die KI-Systeme beruflich nutzen – etwa für Automatisierung, Datenanalyse, Chatbots oder Texterstellung. Diese Zusammenfassung erklärt verständlich, welche Risikoklassen es gibt, welche Pflichten für Unternehmen gelten und welche Fristen sich durch den Digital Omnibus 2026 geändert haben.

Hinweis: Dieser Artikel ist eine verständliche Einführung und ersetzt keine Rechtsberatung. Stand: November 2026, einschließlich der Änderungen durch die Verordnung (EU) 2026/1744.

EU AI Act: die Zusammenfassung

• Was: eine EU-Verordnung, die KI-Systeme nach ihrem Risiko einstuft und daran Pflichten knüpft. Sie gilt unmittelbar in allen Mitgliedstaaten, auch in Österreich.
• Wer: vor allem Anbieter, die KI entwickeln oder unter eigenem Namen anbieten, und Betreiber, die KI beruflich einsetzen.
• Vier Risikoklassen: verbotene Praktiken, Hochrisiko-KI, KI mit Transparenzpflichten und KI mit minimalem Risiko.
• Gilt schon: Verbote und KI-Kompetenz seit Februar 2025, Regeln für KI-Modelle mit allgemeinem Verwendungszweck seit August 2025, Transparenzpflichten seit 2. August 2026.
• Verschoben: Durch den Digital Omnibus gelten die Pflichten für Hochrisiko-KI erst ab 2. Dezember 2027 beziehungsweise 2. August 2028.
• Für die meisten Unternehmen heißt das: eingesetzte KI erfassen, Mitarbeitende befähigen, Chatbots und KI-Inhalte kennzeichnen und prüfen, ob ein Einsatz in einen Hochrisiko-Bereich fällt.

Was ist der EU AI Act?

Der EU AI Act, die Verordnung (EU) 2024/1689, ist eine Verordnung der Europäischen Union zur Regulierung von künstlicher Intelligenz. Ziel ist es, Innovation zu ermöglichen und gleichzeitig Risiken für Gesundheit, Sicherheit und Grundrechte zu begrenzen. Je höher das Risiko einer Anwendung, desto strenger die Anforderungen.

Für Unternehmen in Österreich ist die KI-Servicestelle der RTR die zentrale Anlaufstelle mit Informationen und Leitfäden zum AI Act.

Zeitplan und Fristen nach dem Digital Omnibus

Der AI Act ist am 1. August 2024 in Kraft getreten und wird schrittweise anwendbar. Mit dem Digital Omnibus – der Verordnung (EU) 2026/1744, in Kraft seit 27. Juli 2026 – wurden einzelne Fristen verschoben und Regeln vereinfacht.

Datum	Was gilt
2. Februar 2025	Verbotene KI-Praktiken und Pflicht zur KI-Kompetenz (Artikel 4)
2. August 2025	Regeln für KI-Modelle mit allgemeinem Verwendungszweck (GPAI) und Governance
2. August 2026	Transparenzpflichten nach Artikel 50 und die meisten übrigen Bestimmungen
2. Dezember 2026	Frist für die Kennzeichnung bei generativen KI-Systemen, die schon vor dem 2. August 2026 auf dem Markt waren
2. Dezember 2027	Pflichten für Hochrisiko-KI nach Anhang III, etwa in Personal, Bildung oder Kreditvergabe
2. August 2028	Pflichten für Hochrisiko-KI in Produkten nach Anhang I, etwa Maschinen oder Medizinprodukte

Die 4 Risikoklassen im EU AI Act

Eine zentrale Grundlage des AI Act ist die Risikoeinstufung von KI-Systemen. Der Gesetzgeber unterscheidet vier Kategorien.

1. Un­an­nehm­bares Ri­si­ko: verboten

Diese KI-Praktiken sind seit 2. Februar 2025 verboten. Beispiele:

• Social Scoring, also die Bewertung von Menschen nach ihrem Sozialverhalten
• manipulative KI, die Menschen gegen ihre Interessen beeinflusst
• Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen, mit wenigen Ausnahmen
• ungezieltes Sammeln von Gesichtsbildern zum Aufbau von Gesichtserkennungsdatenbanken

Mit dem Digital Omnibus kam ein weiteres Verbot hinzu: KI-Systeme zur Erstellung sexueller Deepfakes ohne Einwilligung der betroffenen Person.

2. Hoch­ri­si­ko-KI: erlaubt, aber streng reguliert

Hochrisiko-Systeme sind erlaubt, müssen aber umfangreiche Anforderungen erfüllen. Dazu gehören KI-Systeme in bestimmten Bereichen nach Anhang III, zum Beispiel:

• Personal: Auswahl von Bewerbern, Beförderung, Leistungsbewertung
• Bildung: Zulassung und Bewertung von Prüfungen
• Finanzen: Kreditwürdigkeitsprüfung von Privatpersonen
• kritische Infrastruktur und Zugang zu wesentlichen Leistungen

Außerdem gelten KI-Systeme als hochriskant, die als Sicherheitsbauteil in regulierten Produkten nach Anhang I eingesetzt werden, etwa in Maschinen oder Medizinprodukten.

Anbieter von Hochrisiko-KI brauchen unter anderem ein Risikomanagement, hochwertige Trainingsdaten, technische Dokumentation, Protokollierung, menschliche Aufsicht und eine Konformitätsbewertung. Betreiber müssen das System gemäß Anleitung einsetzen, menschliche Aufsicht sicherstellen und den Betrieb überwachen. Diese Pflichten gelten nach dem Digital Omnibus ab 2. Dezember 2027 beziehungsweise 2. August 2028.

3. Begrenztes Risiko: Transparenzpflichten

Für bestimmte KI-Systeme gelten seit 2. August 2026 Transparenzpflichten nach Artikel 50:

• Chatbots und KI-Assistenten: Menschen müssen erkennen können, dass sie mit einer KI interagieren.
• Generative KI: Anbieter müssen erzeugte Texte, Bilder, Audios und Videos maschinenlesbar als KI-generiert kennzeichnen.
• Deepfakes: Betreiber müssen offenlegen, dass Bild-, Ton- oder Videoinhalte künstlich erzeugt oder verändert wurden.
• KI-Texte zu Themen von öffentlichem Interesse: müssen als KI-generiert offengelegt werden, sofern sie nicht redaktionell geprüft und verantwortet werden.

4. Minimales Risiko: keine besonderen Pflichten

Die meisten KI-Anwendungen im Unternehmensalltag fallen in diese Kategorie, etwa Spamfilter, Empfehlungssysteme, Übersetzungen oder die Auswertung von Dokumenten. Für sie gelten keine zusätzlichen Pflichten aus dem AI Act – die Pflicht zur KI-Kompetenz und die DSGVO gelten aber trotzdem.

Anbieter oder Betreiber: welche Rolle hat Ihr Unternehmen?

Welche Pflichten gelten, hängt neben der Risikoklasse von der Rolle ab:

Rolle	Wer ist gemeint	Beispiel
Anbieter	entwickelt ein KI-System oder bringt es unter eigenem Namen auf den Markt	ein Softwarehaus, das ein KI-Bewerbertool verkauft
Betreiber	setzt ein KI-System in eigener Verantwortung beruflich ein	ein Betrieb, der einen Chatbot auf seiner Website nutzt

Vorsicht: Wer ein fremdes Hochrisiko-System wesentlich verändert, für einen anderen Zweck einsetzt oder unter eigenem Namen anbietet, kann selbst zum Anbieter werden.

Pflich­ten für Un­ter­neh­men im EU AI Act

Für die meisten Unternehmen sind diese sieben Pflichten und Aufgaben besonders wichtig:

1. KI-Systeme erfassen und einstufen

Welche KI-Tools und -Systeme werden im Unternehmen genutzt, wofür und von wem? Erst diese Übersicht zeigt, welche Risikoklasse und welche Rolle zutreffen.

2. KI-Kompetenz fördern

Seit dem Digital Omnibus müssen Anbieter und Betreiber Maßnahmen ergreifen, um die Entwicklung von KI-Kompetenz ihrer Mitarbeitenden zu unterstützen. Ein Zertifikat ist nicht nötig. Wie das praktisch gelingt, erklärt unser Artikel zur KI-Kompetenz nach AI Act.

3. Transparenz herstellen

Chatbots als KI kennzeichnen, KI-generierte Inhalte offenlegen und bei Deepfakes klar informieren.

4. Verbotene Praktiken ausschließen

Prüfen, dass kein eingesetztes System in eine verbotene Kategorie fällt – etwa Emotionserkennung von Mitarbeitenden.

5. Hochrisiko-Einsätze rechtzeitig vorbereiten

Wer KI etwa in der Personalauswahl nutzt, sollte die Zeit bis Dezember 2027 nutzen, um Aufsicht, Protokollierung und Dokumentation aufzubauen.

6. Dokumentieren

Zweck, eingesetzte Systeme, Verantwortliche, Schulungen und Prüfungen festhalten. Bei Hochrisiko-Systemen ist eine umfangreiche technische Dokumentation verpflichtend.

7. Menschliche Aufsicht sicherstellen

Ergebnisse von KI werden geprüft, bevor sie Auswirkungen auf Menschen haben. Bei Hochrisiko-Systemen ist das ausdrücklich vorgeschrieben.

Strafen bei Verstößen

• Verbotene KI-Praktiken: bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes.
• Verstöße gegen andere Pflichten: bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes.

Bei großen Unternehmen gilt jeweils der höhere Betrag. Für KMU und – seit dem Digital Omnibus – auch für kleine Mid-Caps mit weniger als 750 Beschäftigten gilt der niedrigere der beiden Beträge.

Erleichterungen für KMU

Der AI Act sieht für kleine und mittlere Unternehmen unter anderem vereinfachte Dokumentation, bevorzugten Zugang zu KI-Reallaboren und niedrigere Strafen vor. Der Digital Omnibus hat diese Erleichterungen auf sogenannte kleine Mid-Caps ausgeweitet: Unternehmen mit weniger als 750 Beschäftigten und höchstens 150 Millionen Euro Jahresumsatz oder höchstens 129 Millionen Euro Bilanzsumme.

Checkliste: EU AI Act im Unternehmen umsetzen

1. Bestandsaufnahme: alle KI-Tools und -Systeme erfassen, auch inoffiziell genutzte.
2. Einstufen: Risikoklasse und Rolle für jeden Einsatz bestimmen.
3. KI-Richtlinie: Regeln für erlaubte Tools, Daten, Prüfung und Kennzeichnung festlegen.
4. Schulen: Mitarbeitende nach Rolle befähigen und das dokumentieren.
5. Kennzeichnen: Chatbots, KI-Inhalte und Deepfakes transparent machen.
6. Hochrisiko vorbereiten: betroffene Einsätze identifizieren und bis Ende 2027 Anforderungen umsetzen.
7. Regelmäßig prüfen: neue Tools und geänderte Einsätze in die Übersicht aufnehmen.

Häufige Fragen zum EU AI Act

Gilt der AI Act auch, wenn wir nur ChatGPT nutzen?

Ja. Wer KI-Tools beruflich nutzt, ist Betreiber. Für typische Anwendungen wie Texterstellung bedeutet das vor allem: KI-Kompetenz fördern, interne Regeln festlegen und KI-Inhalte bei Bedarf kennzeichnen.

Ist ein Chatbot auf der Website erlaubt?

Ja. Seit 2. August 2026 muss für die Nutzer aber erkennbar sein, dass sie mit einer KI kommunizieren.

Wurde der AI Act durch den Digital Omnibus abgeschwächt?

Teilweise. Die Pflichten für Hochrisiko-KI wurden verschoben, Artikel 4 zur KI-Kompetenz wurde neu gefasst und Erleichterungen wurden ausgeweitet. Verbote und Transparenzpflichten gelten weiterhin, und ein neues Verbot ist hinzugekommen.

Wie hängen AI Act und DSGVO zusammen?

Beide gelten nebeneinander. Sobald ein KI-System personenbezogene Daten verarbeitet, müssen auch die Anforderungen der DSGVO erfüllt sein.

Unterstützung bei AI Act und KI-Strategie

Die Kompass Consulting & Software GmbH unterstützt Unternehmen dabei, KI sinnvoll und regelkonform einzusetzen:

• KI-Strategie und Einführung im Unternehmen
• Bestandsaufnahme und Risikoeinstufung eingesetzter KI-Systeme
• Entwicklung individueller KI-Lösungen
• Umsetzung von Automatisierung

Bei der Entwicklung von KI-Systemen berücksichtigen wir die Anforderungen des AI Act von Beginn an. Wie das bei einer konkreten Anwendung aussieht, zeigt unser Kundenprojekt eines DSGVO-konformen KI-Agenten für ein österreichisches Unternehmen. Einen allgemeinen Einstieg in das Thema bietet KI für Unternehmen einfach erklärt.

Fazit

Der EU AI Act betrifft praktisch jedes Unternehmen, das KI nutzt – für die meisten aber mit überschaubaren Pflichten: KI-Kompetenz fördern, Transparenz herstellen und eingesetzte Systeme im Blick behalten. Wer KI in sensiblen Bereichen einsetzt, hat durch den Digital Omnibus mehr Zeit, sollte sie aber zur Vorbereitung nutzen. Eine erste Einschätzung für Ihren Betrieb erhalten Sie in einer kostenlosen Erstberatung.