Ihr Team nutzt ChatGPT, Microsoft Copilot, Claude oder andere KI-Tools wahrscheinlich täglich im Büroalltag. Was die wenigsten wissen: Seit Februar 2025 ist das erste EU-weite Gesetz für künstliche Intelligenz bereits aktiv. Wer im eigenen Betrieb auf diese Technologie setzt (sei es für automatisierte Marketingtexte, Programmierhilfen oder im Kundenservice), ist direkt von den strengen Richtlinien betroffen.

Konkret bedeutet das für Sie: Neben der bereits geltenden Pflicht zur Mitarbeiterschulung, tritt ab August 2026 eine weitreichende Kennzeichnungspflicht für KI-Inhalte in Kraft. Wer jetzt nicht handelt, riskiert erhebliche Strafen.

In diesem Artikel erfahren Sie mehr über den EU AI Act, ganz ohne unverständliches Juristendeutsch. Wir zeigen Ihnen, was das Gesetz regelt, wer jetzt handeln muss und mit welchen konkreten Schritten Sie Ihren Betrieb absichern.

Was ist der EU AI Act? Die wichtigsten Fakten in zwei Minuten

Der EU AI Act (oft auch als KI-Verordnung oder KI-Gesetz bezeichnet) ist bereits am 1. August 2024 offiziell in Kraft getreten. Es handelt sich um das weltweit erste umfassende Gesetz, das den Einsatz von künstlicher Intelligenz rechtlich reguliert.

Ein weit verbreiteter Irrtum unter Nicht-Juristen lautet: „Wir entwickeln doch gar keine KI, also betrifft uns das Gesetz nicht.“ Das ist falsch! Das Gesetz unterscheidet strikt zwischen den Entwicklern (Anbietern) und den Anwendern (Betreibern) von KI-Systemen. Wenn Ihr Unternehmen KI-Anwendungen im Arbeitsalltag einsetzt, gelten für Sie die sogenannten KI-Gesetz Pflichten für Unternehmen.

Das betrifft Sie beispielsweise bereits, wenn:

• Mitarbeitende Texte mit ChatGPT vorformulieren oder Recherchen über Perplexity durchführen.
• Ihr Marketing-Team Bilder mit Canva oder Midjourney für Ihre Webseiten erstellt.
• Ihre Entwickler Programmiercodes mit Claude oder GitHub Copilot schreiben.

Der Zeitplan im Überblick

Die Umsetzung des Gesetzes erfolgt schrittweise über mehrere Jahre. Für Sie sind vor allem die Fristen im Jahr 2026 und darüber hinaus entscheidend:

• Februar 2025 (Bereits aktiv): Die KI-Schulungspflicht 2026 ist de facto bereits in Kraft. Unternehmen müssen sicherstellen, dass ihr Personal im Umgang mit KI geschult ist. Gefährliche KI-Systeme wurden verboten.
• August 2025 (Bereits aktiv): Seit dem Spätsommer letzten Jahres gelten strengere Regeln für General Purpose AI (GPAI) – also die universellen Basismodelle wie die Technologie hinter GPT-4 oder Claude.
• August 2026: Umfassende Transparenzpflichten treten in Kraft. KI-generierte Inhalte müssen eindeutig als solche gekennzeichnet werden.
• Dezember 2027 / August 2028: Die strengsten Auflagen für Hochrisiko-Systeme greifen vollständig.

Die vier Risikoklassen einfach erklärt

Das Herzstück des EU AI Act ist ein risikobasierter Ansatz. Je nachdem, wie gefährlich eine KI-Anwendung für die Gesellschaft eingestuft wird, gelten unterschiedliche Regeln.

[Klasse 1: Verboten] ---> [Klasse 2: Hochrisiko] ---> [Klasse 3: Begrenztes Risiko] ---> [Klasse 4: Minimales Risiko]

1. Unzulässiges Risiko (Verboten)

Einige KI-Anwendungen sind seit Februar 2025 in der EU komplett verboten. Dazu gehören biometrische Echtzeitüberwachung im öffentlichen Raum, staatliche Bewertungssysteme des Sozialverhaltens (Social Scoring) sowie manipulative KI-Systeme, die das Verhalten von Menschen unbewusst zum Nachteil beeinflussen.

2. Hohes Risiko (Hochrisiko-KI)

Hierunter fallen KI-Systeme, die tiefgreifende Auswirkungen auf das Leben von Menschen haben. Beispiele hierfür sind KI-gestützte Bewerbungsverfahren (CV-Scanner), Systeme zur Kreditwürdigkeitsprüfung oder der Einsatz von KI in der medizinischen Diagnostik. Unternehmen, die solche Systeme nutzen, müssen strenge Risikomanagement- und Qualitätssicherungssysteme etablieren sowie eine menschliche Aufsicht garantieren.

3. Begrenztes Risiko (Transparenzpflicht)

In diese Kategorie fallen die meisten Anwendungen, die Sie im normalen Büroalltag nutzen. Hierzu zählen Chatbots, KI-Übersetzungstools oder Bildgeneratoren. Die Hauptanforderung hier lautet: Transparenz. Nutzer müssen wissen, dass sie gerade mit einer KI interagieren oder KI-generierte Inhalte konsumieren.

4. Minimales Risiko

Für harmlose Anwendungen wie Spam-Filter, KI-gesteuerte Videospiele oder einfache Suchfunktionen gelten keine zusätzlichen Pflichten. Sie können diese weiterhin uneingeschränkt nutzen.

Was Sie jetzt bereits tun müssen: Die aktuellen Pflichten

Für den Mittelstand in Deutschland gibt es zwei wesentliche Termine, die jetzt akut auf der Agenda stehen müssen:

Die Schulungspflicht (Bereits aktiv seit Februar 2025)

Seit Februar 2025 gilt für alle Unternehmen die gesetzliche Pflicht zur Förderung der KI-Kompetenz. Arbeitgeber müssen sicherstellen, dass alle Beschäftigten, die im Betrieb mit KI-Systemen arbeiten, das nötige Fachwissen besitzen. Es geht darum, dass Mitarbeitende die Funktionsweise, die Grenzen und die Risiken (wie das „Halluzinieren“ von Daten oder Datenschutzrisiken) der genutzten Werkzeuge verstehen.

Praxis-Tipp der IHK: Dokumentieren Sie genau, wer wann an welcher KI-Schulung teilgenommen hat. Im Falle von Haftungsfragen dient diese Dokumentation als Nachweis, dass Sie Ihrer gesetzlichen Sorgfaltspflicht nachgekommen sind.

Die Transparenzpflicht (Ab August 2026)

Der EU AI Act im August 2026 bringt die Pflicht zur Kennzeichnung. Setzen Sie beispielsweise einen Kundenservice-Chatbot ein, muss dieser ab dem ersten Tag für den Nutzer unmissverständlich als künstliche Intelligenz erkennbar sein. Auch sogenannte Deepfakes (also manipulierte Bilder, Videos oder Tonspuren, die täuschend echt wirken) müssen klar deklariert werden.

Was ändert sich durch den Digital Omnibus?

Die Europäische Union hat erkannt, dass insbesondere kleinere Betriebe durch starre Fristen überfordert werden könnten. Im November 2025 wurde daher der Entwurf für eine digitale Omnibus-Verordnung vorgelegt, die Anfang Mai 2026 zwischen Kommission, Parlament und Rat final beschlossen wurde.

Diese Initiative bringt wichtige Erleichterungen für den EU AI Act für KMU:

• Verschobene Fristen: Die strengen Anforderungen für Hochrisiko-Systeme wurden nach hinten verschoben und treten erst im Dezember 2027 vollständig in Kraft.
• Schonfrist für bestehende Systeme: KI-Systeme, die bereits vor August 2026 auf dem Markt waren, erhalten eine zusätzliche Übergangsfrist von sechs Monaten zur Anpassung.
• KMU-Vorteile für Midcaps: Vereinfachte Nachweispflichten gelten nun auch für mittlere Unternehmen mit etwas höheren Mitarbeiterzahlen.

Wichtig jedoch: Die Kernpflichten (wie die Schulungspflicht und das Verbot gefährlicher Systeme) bleiben von diesen Aufschüben unberührt!

Welche Strafen drohen bei Verstößen?

Ein Verstoß gegen das neue KI-Gesetz ist kein Kavaliersdelikt. Bei schweren Verstößen (etwa dem Einsatz verbotener KI-Systeme) drohen Bußgelder von bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes.

Für die Überwachung und Einhaltung ist in Deutschland unter anderem das Bundesamt für Sicherheit in der Informationstechnik (BSI) zuständig.

Zwar sieht Artikel 62 der Verordnung deutliche Erleichterungen, reduzierte Strafen und bevorzugten Zugang zu behördlichen Testumgebungen (KI-Sandboxes) für KMU vor. Dennoch warnen Branchenexperten eindringlich davor, das Thema auf die leichte Schulter zu nehmen, da bereits kleinere Bußgelder für mittelständische Betriebe existenzbedrohend sein können.

Ihr 3-Schritte-Plan für die Umsetzung

Um den Anforderungen des EU AI Act 2026 in Deutschland gerecht zu werden, sollten Sie folgendes Vorgehen wählen:

Schritt 1: Das KI-Inventar erstellen

Erfassen Sie systematisch, welche KI-Systeme in den einzelnen Abteilungen Ihres Unternehmens genutzt werden. Erstellen Sie eine einfache Liste: Von ChatGPT im Marketing über Übersetzungs-Plugins bis hin zu Analyse-Tools in der HR-Abteilung.

Schritt 2: Rollen klären und Schulungen dokumentieren

Legen Sie fest, wer im Unternehmen die Verantwortung für das Thema KI trägt. Organisieren Sie eine grundlegende Schulung für alle betroffenen Mitarbeiter und halten Sie die Teilnahme schriftlich fest.

Schritt 3: Transparenzvorgaben vorbereiten

Prüfen Sie, wo Kunden oder externe Partner mit Ihrer KI in Berührung kommen. Bereiten Sie die Benutzeroberflächen Ihrer Systeme (z. B. Web-Chatbots) rechtzeitig so vor, dass bis August 2026 ein deutlicher Hinweis auf den KI-Einsatz zu sehen ist.

Fazit

Der EU AI Act ist kein reines Bürokratiemonster für Tech-Giganten. Er betrifft im Jahr 2026 praktisch jedes Unternehmen, das moderne Software einsetzt. Die gute Nachricht ist: Wer jetzt strukturiert vorgeht, die Schulung der Mitarbeiter dokumentiert und ein einfaches KI-Register führt, ist für die kommenden gesetzlichen Änderungen bestens gerüstet.

Ihr nächster Schritt: Starten Sie noch heute mit der Erstellung Ihres internen KI-Inventars. Eine Stunde Bestandsaufnahme heute schützt Sie morgen vor teuren rechtlichen Konsequenzen.