EU AI Act in der Praxis: Umsetzung 2026

Der 2. August 2026 steht vor der Tür und wird für viele Unternehmen ein echter Härtetest. Ab dann gelten die umfassendsten Pflichten des EU AI Act – und ehrlich, viele merken gerade erst, wie viel noch zu tun ist.

Wer jetzt keinen klaren Plan hat, riskiert Bußgelder, Haftungsfallen und Chaos im Betrieb.

Die Umsetzung wirkt erst mal wie ein Berg, aber mit den richtigen Schritten lässt sich das Ganze stemmen. Hier steht, was 2026 wirklich zählt – von der Bestandsaufnahme bis zur Kontrolle.

Viele Firmen setzen längst KI ein, ohne die rechtlichen Folgen zu kennen. Das kann jetzt richtig teuer werden, wenn sie nicht schnell handeln.

Rechtslage und Zeitplan 2026

Der EU AI Act tritt nicht auf einen Schlag in Kraft. Die Regeln kommen in Stufen, und 2026 bringt die dicksten Brocken.

Bereits geltende Pflichten

Seit 2. Februar 2025 sind bestimmte KI-Praktiken verboten. Systeme, die Menschen manipulieren oder Social Scoring betreiben, sind tabu.

Außerdem gilt seit Februar 2025: Wer mit KI arbeitet, muss geschult sein. Das betrifft alle, die mit solchen Tools zu tun haben.

Ab August 2025 greifen zusätzliche Regeln für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck (GPAI). Sie müssen technische Unterlagen bereitstellen und mit Behörden kooperieren.

Nächste Stichtage und Übergangsfristen

Der 2. August 2026 ist der große Termin. Ab dann gelten die vollständigen Anforderungen für Hochrisiko-KI-Systeme nach Anhang III.

Das betrifft acht Bereiche, darunter Beschäftigung, Bildung, kritische Infrastruktur und Strafverfolgung. Wer solche Systeme anbietet, braucht ein Risikomanagement, saubere Daten und lückenlose Dokumentation.

Gleichzeitig wird über den sogenannten Digital Omnibus diskutiert. Der könnte die Fristen auf 2027 oder 2028 schieben – aber noch ist nichts beschlossen.

Wichtig: Ohne finale Entscheidung bleibt der 2. August 2026 der Stichtag. Wer auf eine Verschiebung hofft, spielt mit dem Risiko, auf dem falschen Fuß erwischt zu werden.

KI-Systeme im Unternehmen inventarisieren

Bevor Sie irgendwas umsetzen, müssen Sie wissen, welche KI-Systeme bei Ihnen laufen. Klingt simpel, ist aber oft schwieriger als gedacht.

Viele Fachabteilungen nutzen KI-Tools ohne Wissen von IT oder Rechtsabteilung. Genau hier entsteht das größte Risiko.

Zentrale Use-Case-Erfassung aufbauen

Erstellen Sie eine zentrale Liste aller KI-Anwendungen. Notieren Sie für jedes System:

• Zweck und Einsatzbereich
• Verwendete Daten
• Beteiligte Abteilungen
• Externe Anbieter oder Eigenentwicklung

Eine einfache Tabelle reicht zum Start. Wichtig ist, dass jemand pro Abteilung die Liste aktuell hält.

Rollen als Anbieter, Betreiber und Importeur bestimmen

Der AI Act unterscheidet zwischen Anbieter, Betreiber und Importeur. Sie können je nach System mehrere Rollen gleichzeitig haben.

Anbieter entwickeln oder vermarkten ein KI-System unter eigenem Namen. Betreiber nutzen das System intern. Importeure bringen Systeme aus Drittländern in die EU.

Mehr als 300.000 Unternehmen in der EU sind direkt betroffen, meist als Betreiber. Die Rolle entscheidet, welche Pflichten greifen – also genau hinschauen.

Risiken korrekt einstufen

Der EU AI Act teilt KI-Systeme in Risikoklassen. Wie viel Aufwand nötig ist, hängt davon ab – das macht die Einstufung so wichtig.

Verbotene Praktiken erkennen

Einige KI-Anwendungen sind komplett untersagt. Dazu zählen Systeme zur Emotionserkennung am Arbeitsplatz, Social Scoring oder manipulative Techniken.

Gehen Sie Ihre Use-Case-Liste gezielt durch. Finden Sie so ein System, muss es sofort gestoppt werden.

Hochrisiko-Anwendungen bewerten

Hochrisiko-Systeme gibt’s vor allem im Personalbereich, bei kritischer Infrastruktur oder wichtigen Dienstleistungen. Ein KI-gestütztes Bewerbermanagement fällt fast immer darunter.

Für diese Systeme brauchen Sie ein Risikomanagement, saubere Datengrundlagen und menschliche Aufsicht. Der Aufwand ist hier deutlich höher.

Transparenzpflichtige KI identifizieren

Chatbots, Deepfakes und KI-generierte Inhalte unterliegen der Transparenzpflicht. Nutzer müssen wissen, dass sie mit einer KI sprechen oder KI-Inhalte sehen.

Das heißt: Chatbots auf der Website brauchen einen klaren Hinweis. KI-generierte Bilder oder Texte sollten maschinenlesbar gekennzeichnet werden.

Governance, Dokumentation und Verantwortlichkeiten etablieren

Governance ist mehr als nur Pflicht. Sie schützt das Unternehmen, wenn’s ernst wird.

KI-Kompetenz der Mitarbeitenden nachweisen

Schulungen sind seit 2025 Pflicht. Halten Sie fest, wer wann welche Schulung gemacht hat.

Oft reicht ein kurzer Onlinekurs. Wichtig ist, dass Sie den Nachweis haben – sonst gibt’s bei einer Prüfung Stress.

Verantwortliche Kontrollprozesse verankern

Bestimmen Sie, wer im Unternehmen für KI-Themen zuständig ist. Größere Firmen setzen ein KI-Gremium ein, kleinere Betriebe benennen eine feste Ansprechperson.

Diese Person oder Gruppe sollte neue KI-Projekte prüfen, bevor sie starten. So verhindern Sie, dass riskante Systeme heimlich eingeführt werden.

Technische Dokumentation und Protokollierung sichern

Hochrisiko-Systeme brauchen detaillierte technische Unterlagen. Dazu zählen Angaben zu Trainingsdaten, Testverfahren und der Funktionsweise.

Außerdem müssen relevante Ereignisse automatisch protokolliert werden. Diese Protokolle werden bei Kontrollen oft zuerst geprüft.

Anforderungen an externe KI-Anbieter steuern

Viele Unternehmen setzen auf externe KI-Tools. Trotzdem bleibt die Verantwortung beim Betreiber – also genau hinschauen, was die Anbieter liefern.

Verträge und Beschaffungsprozesse anpassen

Neue Verträge mit KI-Anbietern sollten klare Pflichten zur Konformität enthalten. Fragen Sie, welche Risikoklasse der Anbieter für sein System sieht.

Fügen Sie eine kleine Prüfliste in den Einkaufsprozess ein. So landen keine riskanten Tools ungeprüft im Unternehmen.

Nachweise und Konformitätserklärungen prüfen

Lassen Sie sich Konformitätserklärungen und technische Unterlagen zeigen. Ein seriöser Anbieter hat diese Unterlagen parat.

Fehlen die Nachweise, sollten Sie vorsichtig sein. Im Zweifel lieber zweimal prüfen, bevor das Tool eingesetzt wird.

Umsetzungsplan und laufende Kontrolle

Die Umsetzung des EU AI Act ist kein Projekt, das einfach abgehakt wird. Sie brauchen einen klaren Plan und dann regelmäßige Kontrolle.

Prioritäten für die nächsten 90 Tage setzen

Starten Sie mit der Inventarisierung, falls das noch nicht passiert ist. Ohne Überblick über Ihre KI-Systeme bringt alles andere wenig.

Stufen Sie dann jedes System nach Risikoklasse ein. Hochrisiko-Systeme zuerst, da hier der Druck am größten ist.

Prüfen Sie auch, ob alle Schulungsnachweise vorliegen. Das lässt sich meist schnell nachholen und schließt eine offensichtliche Lücke.

Auditfähige Überwachung dauerhaft betreiben

Nach dem 2. August 2026 hört die Arbeit nicht einfach auf. Es tauchen ständig neue KI-Tools auf, und bestehende Systeme verändern sich immer wieder.

Setzen Sie feste Kontrollpunkte – zum Beispiel alle drei Monate. Schauen Sie, ob neue Anwendungsfälle hinzugekommen sind und ob die Dokumentation noch stimmt.

Eine ziemlich praktische Faustregel: Tun Sie so, als könnte morgen eine Behörde nach Unterlagen fragen. Dann sind Sie eigentlich immer auf der sicheren Seite.