EU AI Act ohne Juristendeutsch: Leitfaden

Seit dem 2. August 2026 gilt die KI-Verordnung der EU allgemein. Trotzdem hören wir in fast jedem Projekt dieselben Fragen: Betrifft uns das überhaupt? Müssen wir unsere KI-Projekte stoppen? Und was ist mit dieser Verschiebung, von der alle reden?

Die gute Nachricht vorweg: Für die meisten KI-Anwendungen im Unternehmensalltag sind die Pflichten überschaubar. Die weniger gute: „Wir warten erst einmal ab“ ist keine Strategie mehr. Einige Regeln gelten längst, und die grossen Fristen für Hochrisiko-KI rücken näher, als es sich anfühlt.

In diesem Beitrag ordnen wir den aktuellen Stand ein, ohne Juristendeutsch und mit Beispielen aus der Praxis.

Kurz vorweg: Dieser Beitrag ersetzt keine Rechtsberatung. Er soll Ihnen helfen, die richtigen Fragen zu stellen, intern und an Ihre Rechtsberatung.

Das Wichtigste in 60 Sekunden

Der AI Act regelt nicht „KI“, sondern Einsatzzwecke. Entscheidend ist, wofür Sie ein System einsetzen, nicht welche Technologie dahintersteckt.
Verbote und die Pflicht zur KI-Kompetenz gelten seit Februar 2025. Transparenzpflichten gelten seit August 2026.
Die strengen Hochrisiko-Regeln wurden verschoben: auf den 2. Dezember 2027 für die meisten Bereiche und auf den 2. August 2028 für KI in regulierten Produkten wie Medizinprodukten.
Auch wer KI nur nutzt, hat Pflichten. Nicht nur die Hersteller.
In Deutschland ist die Bundesnetzagentur zuständig. Die Schweiz geht einen eigenen Weg, Schweizer Unternehmen mit Kunden in der EU sind aber trotzdem betroffen.

Was seit wann gilt

1. August 2024Der AI Act tritt in Kraft.
2. Februar 2025Verbotene Praktiken und Pflicht zur KI-Kompetenz gelten.
2. August 2025Regeln für KI-Modelle mit allgemeinem Verwendungszweck und Sanktionen gelten.
2. August 2026Die Verordnung gilt allgemein, inklusive Transparenzpflichten.
Heute: Oktober 2026
2. Dezember 2026Neues Verbot aus dem KI-Omnibus gilt.
2. Dezember 2027Hochrisiko-Pflichten für die Bereiche aus Anhang III, etwa Personal, Bildung, Kredit.
2. August 2028Hochrisiko-Pflichten für KI in regulierten Produkten wie Medizinprodukten.

Zeitplan des AI Act nach dem KI-Omnibus

Der AI Act ist im August 2024 in Kraft getreten und gilt schrittweise. Im Juli 2026 kam eine wichtige Änderung dazu: das sogenannte KI-Omnibus. Nach einer politischen Einigung im Mai 2026 wurde es am 24. Juli 2026 im Amtsblatt der EU veröffentlicht. Es verschiebt vor allem die Pflichten für Hochrisiko-KI, die ursprünglich ab August 2026 gelten sollten.

Was das Omnibus nicht geändert hat: die Grundlogik der Verordnung. Die Verbote gelten weiter, die Transparenzpflichten auch. Bei der KI-Kompetenz wurde die Formulierung abgeschwächt. Unternehmen müssen kein bestimmtes Kompetenzniveau mehr garantieren, aber weiterhin Massnahmen ergreifen, um den Aufbau von KI-Kompetenz bei ihren Mitarbeitenden zu unterstützen. Neu ist ein zusätzliches Verbot für KI-Systeme, die Darstellungen von Kindesmissbrauch oder nicht einvernehmliche intime Inhalte erzeugen. Es gilt ab dem 2. Dezember 2026.

Die vier Risikostufen in Alltagssprache

1. Verboten

Einige Anwendungen sind seit Februar 2025 schlicht untersagt. Dazu gehören zum Beispiel Social Scoring, manipulative Techniken, die Schwächen von Menschen ausnutzen, und das Erkennen von Emotionen am Arbeitsplatz oder in Bildungseinrichtungen, ausser aus medizinischen oder Sicherheitsgründen. Für die allermeisten Unternehmen ist das kein Alltagsthema. Trotzdem lohnt sich ein kurzer Blick, gerade bei Tools zur Mitarbeiteranalyse.

2. Hochrisiko

Hier liegt der eigentliche Aufwand. Hochrisiko sind zum einen KI-Systeme in bestimmten Bereichen, die der AI Act in einem Anhang auflistet, etwa Personalauswahl und Mitarbeiterführung, Bildung, kritische Infrastruktur, Kreditwürdigkeit, der Zugang zu wichtigen öffentlichen und privaten Leistungen sowie Justiz und Verwaltung. Zum anderen KI, die Teil eines regulierten Produkts ist, zum Beispiel eines Medizinprodukts.

Wichtig: Nicht jede KI in einem dieser Bereiche ist automatisch Hochrisiko. Systeme, die nur eine eng begrenzte Hilfsaufgabe erfüllen, ein bereits abgeschlossenes menschliches Ergebnis verbessern oder eine menschliche Entscheidung nur vorbereiten, können ausgenommen sein. Sobald ein System aber Profile von Personen erstellt, gilt es immer als Hochrisiko.

3. Transparenzpflichten

Wenn Menschen direkt mit einer KI sprechen oder schreiben, müssen sie das erkennen können. KI-generierte oder manipulierte Bilder, Videos und Tonaufnahmen, sogenannte Deepfakes, müssen gekennzeichnet werden. Das betrifft auch KI-generierte Texte, die die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informieren sollen, es sei denn, ein Mensch hat sie redaktionell geprüft und verantwortet.

4. Minimales Risiko

Der grosse Rest: Spamfilter, Übersetzungen, interne Zusammenfassungen, Rechtschreibhilfen und viele Assistenten im Arbeitsalltag. Hier gibt es keine besonderen Pflichten aus dem AI Act, abgesehen vom Aufbau von KI-Kompetenz. DSGVO und Arbeitsrecht gelten selbstverständlich weiter.

Bin ich betroffen? Vier Fragen, die Klarheit bringen

Wo setzen wir KI ein, auch versteckt? Viele Unternehmen sind überrascht, wie viel KI bereits in gekaufter Software steckt: im CRM, im Service-Desk, im Bewerbermanagement.
Sind wir Anbieter oder Betreiber? Anbieter entwickeln ein KI-System und bringen es in Verkehr. Betreiber nutzen es in eigener Verantwortung. Vorsicht: Wer ein System unter eigenem Namen anbietet oder wesentlich verändert, kann selbst zum Anbieter werden, mit deutlich mehr Pflichten.
Fällt ein Einsatz in einen Hochrisiko-Bereich? Entscheidend ist der Zweck. Dieselbe Technologie kann im einen Fall unkritisch und im anderen Hochrisiko sein.
Sprechen Menschen direkt mit der KI oder sehen sie deren Ergebnisse? Dann greifen in der Regel die Transparenzpflichten.

Drei Beispiele aus der Praxis

Der Telefonassistent in der Arztpraxis

Ein KI-Assistent nimmt Anrufe an und vereinbart Termine. Das ist in der Regel kein Hochrisiko-System, aber Anrufende müssen erkennen können, dass sie mit einer KI sprechen. Weil Gesundheitsdaten im Spiel sind, gelten zusätzlich die strengen Regeln der DSGVO für besondere Kategorien personenbezogener Daten. Und: Sobald ein System beginnt, Patientinnen und Patienten für die Notfallversorgung zu priorisieren, kann es unter die Hochrisiko-Kategorien fallen. Die Grenze zwischen Organisation und medizinischer Einschätzung sollte deshalb klar definiert sein.

Die KI, die Bewerbungen vorsortiert

Ein klassischer Hochrisiko-Fall, denn Personalauswahl steht ausdrücklich im Anhang des AI Act. Ab dem 2. Dezember 2027 gelten hier unter anderem Pflichten zur menschlichen Aufsicht, zur Aufbewahrung von Protokollen und zur Information der Beschäftigtenvertretung, bevor ein solches System am Arbeitsplatz eingesetzt wird. Wer heute ein solches Tool einführt, sollte diese Anforderungen gleich mitplanen.

Der KI-Agent im IT-Service-Desk

Ein Agent, der Tickets einordnet, Lösungen vorschlägt und Standardanfragen beantwortet, ist in den meisten Fällen kein Hochrisiko-System. Chatten Mitarbeitende direkt mit ihm, muss erkennbar sein, dass es sich um eine KI handelt. Spannend wird es bei der Steuerung: Wer viele Agenten im Einsatz hat, braucht einen Überblick, welche KI was tut. Plattformen wie ServiceNow bauen dafür gerade eigene Werkzeuge auf, mehr dazu in unserem Rückblick auf die Knowledge 26.

Was Sie in den nächsten 90 Tagen tun können

Ein KI-Inventar anlegen. Welche Systeme, welcher Zweck, welche Daten, wer ist verantwortlich? Ohne diese Liste lässt sich keine der weiteren Fragen beantworten.
Rollen klären. Für jedes System festhalten, ob Sie Anbieter oder Betreiber sind, und die Verträge mit Ihren Software-Lieferanten prüfen: Bekommen Sie die nötige Dokumentation und Gebrauchsanweisung?
Transparenz umsetzen. Hinweise in Chatbots und Telefonassistenten, Kennzeichnung von KI-generierten Inhalten. Das gilt bereits heute.
KI-Kompetenz fördern. Kurze, praxisnahe Schulungen für alle, die mit KI arbeiten, und dokumentieren, was Sie tun.
Hochrisiko-Kandidaten früh angehen. Dezember 2027 klingt weit weg. Risikomanagement, Dokumentation und menschliche Aufsicht aufzubauen, dauert aber Monate, zumal die technischen Normen und Leitlinien der EU teils noch in Arbeit sind.
Governance verankern. Eine verantwortliche Person, ein Freigabeprozess für neue KI-Anwendungen und eine Protokollierung, die im Ernstfall zeigt, was ein System getan hat.

Was passiert, wenn man nichts tut

Die Bussgelder sind hoch. Bei verbotenen Praktiken drohen bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes, bei Verstössen gegen andere Pflichten bis zu 15 Millionen Euro oder 3 Prozent. Für kleine und mittlere Unternehmen gilt jeweils der niedrigere Betrag.

In Deutschland ist seit dem 29. Juli 2026 das KI-Marktüberwachungs- und Innovationsförderungsgesetz in Kraft. Es macht die Bundesnetzagentur zur zentralen Aufsichtsbehörde. Für KI im Finanzbereich ist die BaFin zuständig, für KI in Medizinprodukten die dafür bereits zuständigen Behörden.

Unserer Erfahrung nach kommt der Druck aber oft früher von anderer Seite: Grosse Kunden, Auftraggeber im öffentlichen Bereich und Wirtschaftsprüfer fragen schon heute nach, wie Sie KI einsetzen und steuern. Wer dann ein sauberes Inventar und klare Regeln vorweisen kann, hat einen echten Vorsprung.

Und die Schweiz?

Die Schweiz übernimmt den AI Act nicht eins zu eins. Der Bundesrat hat entschieden, die KI-Konvention des Europarats zu ratifizieren und das Schweizer Recht möglichst sektorbezogen anzupassen, zum Beispiel im Gesundheitswesen. Eine Vernehmlassungsvorlage soll bis Ende 2026 vorliegen.

Für viele Schweizer Unternehmen ist der AI Act trotzdem relevant: Er gilt auch für Anbieter und Betreiber ausserhalb der EU, wenn ihre KI-Systeme in der EU angeboten werden oder deren Ergebnisse in der EU verwendet werden. Wer Kunden in Deutschland oder Österreich hat, sollte sich deshalb am AI Act orientieren.

Drei Mythen, die wir oft hören

„Das betrifft nur Tech-Konzerne.“ Nein. Auch Unternehmen, die KI nur einsetzen, haben Pflichten, etwa bei Transparenz und KI-Kompetenz.
„Bis 2027 haben wir Zeit.“ Nur für Hochrisiko-Systeme. Verbote, KI-Kompetenz und Transparenzpflichten gelten bereits.
„Wir nutzen nur einen Chatbot, also betrifft uns das nicht.“ Entscheidend ist nicht das Werkzeug, sondern der Zweck. Ein allgemeiner KI-Assistent zum Formulieren von E-Mails ist unkritisch. Derselbe Assistent zur Bewertung von Bewerbungen ist es nicht.

Unser Fazit

Der AI Act ist kein Grund, KI-Projekte zu stoppen. Er ist ein guter Anlass, sie ordentlich aufzusetzen: mit klaren Zwecken, sauberen Daten, menschlicher Kontrolle und nachvollziehbaren Entscheidungen. Das sind im Übrigen genau die Dinge, die gute KI-Projekte auch ohne Regulierung erfolgreich machen.

Wir setzen KI-Lösungen so um, dass diese Anforderungen von Anfang an mitgedacht sind, gemeinsam mit Ihrer Rechtsabteilung oder Ihren Datenschutzbeauftragten. Wenn Sie wissen möchten, wo Ihre KI-Vorhaben stehen, sprechen Sie uns an: mehr zum Rechtssicherheits-Check.

EU AI Act ohne Juristendeutsch: Was jetzt gilt und was Sie tun sollten