EU AI Act: Welche Pflichten gelten aktuell – und für wen?

Stand: Mai 2026 – unter Berücksichtigung des laufenden „Digital Omnibus"-Verfahrens auf EU-Ebene.

Die EU-KI-Verordnung („AI Act", Verordnung (EU) 2024/1689) bringt kein einheitliches Pflichtenpaket für alle Organisationen. Welche Anforderungen relevant werden, hängt insbesondere ab von der Rolle einer Organisation, der Risikoklasse des KI-Systems, dem konkreten Einsatzkontext und teilweise von der Frage, ob Transparenzpflichten oder Hochrisiko-Regeln betroffen sind.

Gerade für KI-Beauftragte, Compliance-Verantwortliche, Datenschutz- und Governance-Teams entsteht dadurch die Herausforderung, KI-Anwendungen strukturiert zu inventarisieren und sauber einzuordnen.

1. Die zentrale Frage zuerst: Welche Rolle hat Ihre Organisation?

Der AI Act unterscheidet verschiedene Rollen entlang der KI-Wertschöpfungskette. Die Pflichten unterscheiden sich teilweise erheblich.

Anbieter („Provider")

Anbieter ist vereinfacht gesagt, wer ein KI-System entwickelt oder unter eigenem Namen bereitstellt. Das kann auch Integration, Zweckänderung oder zentrale Bereitstellung betreffen. Typische Anbieterpflichten: Risikomanagement, technische Dokumentation, Daten- und Governance-Anforderungen, Transparenzpflichten, Konformitätsbewertung und CE-Kennzeichnung bei Hochrisiko-Systemen.

Betreiber („Deployer")

Betreiber ist, wer ein KI-System verwendet – das betrifft Hochschulen, Unternehmen, Behörden und Forschungseinrichtungen. Mögliche Betreiberpflichten: sachgerechte Nutzung, Aufsicht und Governance, Dokumentation, Human Oversight, Information betroffener Personen und Datenschutzprüfungen.

Importeur und Händler

Weitere Rollen mit spezifischen Verantwortungen entlang der Lieferkette. Auch diese müssen Konformität überprüfen und Dokumentation bewahren.

2. Die Risikologik des AI Act

Der AI Act arbeitet risikobasiert. Vier Ebenen sind zu unterscheiden:

• Verbotene KI (Art. 5): Bestimmte KI-Praktiken sind grundsätzlich untersagt – etwa Systeme zu Sozialkreditbewertung oder biometrische Echtzeit-Fernidentifizierung in unkontrolliertem Umfeld
• Hochrisiko-KI (Anhang I und III): Strenge regulatorische Anforderungen einschließlich Konformitätsbewertung und CE-Kennzeichnung
• Transparenzpflichten (Art. 50): Bestimmte Informationspflichten für generative KI und andere Systeme
• Minimales Risiko: Grundsätzlich keine spezifischen AI-Act-Pflichten

3. Hochrisiko-KI-Systeme: Anhang I und Anhang III

Hochrisiko nach Anhang I umfasst kritische Infrastrukturen, Biometrie, Beschäftigungsverhältnisse und bestimmte Bildungskontexte. Anhang III ist mit dem Digital Omnibus gerade in Überprüfung und könnte weitere Kategorien hinzufügen.

Für diese Systeme gelten insbesondere: technische Dokumentation, Datenqualitätsmanagement, Logging, Transparenz für Nutzer, Human Oversight und regelmäßige Konformitätsprüfungen.

4. Transparenzpflichten (Art. 50)

Anbieter von generativen KI-Systemen müssen ab 02.12.2026 transparent machen, dass KI-generierte Inhalte vorliegen. Auch Betreiber müssen Nutzer informieren, wenn sie mit KI-Systemen interagieren, die zur Entscheidungsfindung herangezogen werden oder deren Output sie erhalten.

5. KI-Kompetenz und Governance

Seit Februar 2025 ist KI-Kompetenz („AI Literacy") ein verpflichtender Governance-Baustein. Organisationen müssen sicherstellen, dass Personen, die KI-Systeme entscheidend nutzen, diese sachgerecht und risikobewusst bedienen können. Das bedeutet Schulungen, Dokumentation und kontinuierliche Überwachung der Kompetenzentwicklung.

6. Zeitplan und Digital Omnibus

Die wichtigsten Fristen für Betreiber und Anbieter:

• 02.12.2026: Transparenzpflichten (Art. 50) – insbesondere für generative KI
• 02.12.2027: Hochrisiko-Anforderungen nach Anhang III (nach Omnibus-Anpassungen)
• 02.08.2028: Hochrisiko-Anforderungen nach Anhang I (nach Omnibus-Anpassungen)

Das Digital Omnibus Verfahren ist noch laufend und könnte Definitionen und Kategorien verschieben. KI-Beauftragte sollten diese Entwicklung regelmäßig monitoring.

7. Praktische Konsequenzen für KI-Beauftragte

Die größte Herausforderung ist nicht die Dokumentation einzelner Systeme, sondern strukturierte Gesamtsteuerung:

• KI-Inventarisierung: Systematische Erfassung aller KI-Systeme in der Organisation
• Rollenklärung: Wer ist Anbieter, wer Betreiber? Oft überlappend innerhalb einer Organisation
• Risikoklassifizierung: Strukturierte Einordnung nach Annexen und Risikoklassen
• Dokumentation & Governance: Dokumentationspflichten und Audit-Readiness
• Transparenzprozesse: Wie informieren wir Nutzer, Betroffene und Behörden?
• Nachweisfähigkeit: Audit-Trails, Entscheidungsprotokolle, Konformitätsnachweis

Fazit

Der AI Act verlangt keine pauschale „KI-Zulassung". Entscheidend ist die strukturierte Einordnung: Welche Rolle hat die Organisation? Welche Risikoklasse liegt vor? Welche Transparenz- oder Governancepflichten sind relevant? Welche Dokumentation sollte vorbereitet werden?

Für KI-Beauftragte bedeutet das: Jetzt ist die Phase für belastbare Governance-, Inventarisierungs- und Dokumentationsstrukturen. Die Fristen 2026-2028 rücken näher – der erste Schritt ist eine strukturierte Übersicht über alle KI-Systeme der Organisation und deren Risikoklasse.

Hinweis: Dieser Beitrag dient der allgemeinen Information und stellt keine Rechtsberatung dar. Für die verbindliche rechtliche Bewertung Ihres Einzelfalls wenden Sie sich bitte an eine Rechtsanwältin oder einen Rechtsanwalt.

← Zurück zu Community