EU AI Act.
Die KI-Verordnung für Unternehmen: Rollen, Anwendungsfälle, geltende Pflichten und der Weg zum passenden Nachweis.
- Verordnung (EU) 2024/1689 · Änderungsstand 27.07.2026
- Von Derya Altinay
- Stand: 22.10.2026
- Fachlich freigegeben von Jonathan Bezdek am 22.10.2026
- Lesezeit: 7 Min.
Kurzantwort.
Der EU AI Act regelt künstliche Intelligenz anhand von Anwendungsfall, Risiko und Rolle. Die KI-Verordnung unterscheidet unter anderem Anbieter und Betreiber, verbietet bestimmte Praktiken und verlangt für Hochrisiko-KI besondere Schutzmaßnahmen und Nachweise. Transparenz, KI-Kompetenz und Modellanbieterpflichten sind gesondert zu prüfen; Art. 113 bestimmt die gestaffelte Anwendung.
Die KI-Verordnung und ihr aktueller Stand.
Der EU AI Act ist eine unmittelbar geltende EU-Verordnung und kein freiwilliger Sicherheitsstandard. Die Verordnung (EU) 2024/1689 ordnet Pflichten für KI-Systeme und KI-Modelle mit allgemeinem Verwendungszweck. Der bekannte Überblick über AI Act Risikoklassen hilft beim Einstieg; eine konkrete Entscheidung braucht zusätzlich die Rolle des Unternehmens und den vorgesehenen Einsatz.
Die Verordnung (EU) 2026/1744 hat die KI-Verordnung geändert und gilt seit dem 27. Juli 2026. Ihr Art. 1 Nr. 40 ändert den Zeitplan in Art. 113 KI-Verordnung: Für Hochrisiko-Systeme nach Art. 6 Abs. 2 und Anhang III greifen Kapitel III Abschnitte 1 bis 3 grundsätzlich ab dem 2. Dezember 2027, für den Produktweg nach Art. 6 Abs. 1 und Anhang I ab dem 2. August 2028. Art. 6 Abs. 5 ist dabei ausgenommen.
Der allgemeine Anwendungsbeginn bleibt der 2. August 2026. Verbote und KI-Kompetenz sowie Regelungen zu Modellen mit allgemeinem Verwendungszweck haben eigene frühere Termine; einzelne neu ergänzte Verbote gelten erst ab dem 2. Dezember 2026. Die Verlängerung bestimmter Hochrisiko-Termine verschiebt deshalb die KI-Verordnung insgesamt nicht. Für bereits bereitgestellte Systeme und Modelle sind zusätzlich die Übergangsregeln aus Art. 111 zu prüfen.
Für wen der EU AI Act gilt.
Der EU AI Act betrifft nach Art. 2 insbesondere Anbieter, die KI-Systeme auf den EU-Markt bringen oder in Betrieb nehmen, und Betreiber mit Sitz oder Standort in der EU. Auch bestimmte Akteure außerhalb der EU werden erfasst, wenn Systemausgaben in der EU verwendet werden. Einführer, Händler und Produkthersteller haben eigene Rollen. Rein private, nichtberufliche Nutzung ist anders zu behandeln als der Einsatz im Unternehmen.
Ein Unternehmen sollte seine Rolle für jeden Anwendungsfall klären. Wer einen fremden Dienst einkauft, hat damit noch nicht die Rolle für jede darauf aufbauende Anwendung abschließend bestimmt. Modell und fertiges System sind ebenfalls unterschiedliche Bezugspunkte. Zweck, Bereitstellung und tatsächliche Verwendung gehören deshalb in die Prüfung; eine unternehmensweite Einstufung allein anhand des Modellnamens ist zu ungenau.
AI-Act-Pflichten hängen von Rolle und Einsatz ab.
Die AI-Act-Pflichten bilden kein einheitliches Maßnahmenpaket für jeden KI-Einsatz. Die folgenden Bereiche dienen der Orientierung; die anwendbaren Artikel und Termine müssen für das jeweilige System und die jeweilige Rolle bestimmt werden.
Verbote und Hochrisiko-Einstufung prüfen.
Art. 5 beschreibt verbotene Praktiken, Art. 6 die Hochrisiko-Einstufung. Der Produktweg verbindet den Bezug zu Anhang I mit der erforderlichen Drittprüfung; der zweite Weg betrifft gelistete Anwendungsfälle nach Anhang III. Nicht jede Anwendung in einer genannten Branche ist automatisch hochriskant. Ausnahmen verlangen eine begründete Prüfung der konkreten Funktion.
KI-Kompetenz entwickeln.
Art. 4 verlangt in seiner geänderten Fassung Maßnahmen, die die Entwicklung von KI-Kompetenz unterstützen. Vorwissen, Erfahrung, Aufgaben und Einsatzkontext sind zu berücksichtigen. Anbieter und Betreiber müssen keinen bestimmten individuellen Kompetenzstand garantieren. Ein allgemeines Kurszertifikat ersetzt daher weder die Auswahl geeigneter Maßnahmen noch die Auseinandersetzung mit den eingesetzten Systemen.
Hochrisiko-KI sicher und nachvollziehbar gestalten.
Die Hochrisiko-Anforderungen in Art. 9 bis 15 betreffen unter anderem Risikomanagement, Daten, Dokumentation, Aufzeichnungen, Informationen, menschliche Aufsicht sowie Genauigkeit, Robustheit und Cybersicherheit. Anbieterpflichten und das Qualitätsmanagement nach Art. 17 organisieren diese Arbeit. Welche Vorgaben wann greifen, folgt aus dem konkreten Regime und dem Anwendungszeitplan.
Verantwortung im Betrieb wahrnehmen.
Betreiberpflichten nach Art. 26 unterscheiden sich von den Aufgaben der Anbieter. Bei anwendbaren Hochrisiko-Regeln gehören insbesondere der Betrieb nach Anleitung, geeignete menschliche Aufsicht und die Überwachung der Verwendung dazu. Aufsicht braucht befähigte Personen mit tatsächlicher Handlungsmöglichkeit; die bloße Benennung einer zuständigen Stelle belegt noch keinen wirksamen Eingriff im Arbeitsablauf.
Transparenz gezielt umsetzen.
Art. 50 enthält besondere Informations- und Kennzeichnungspflichten für bestimmte Systeme und Ausgaben. Dazu gehören etwa der erkennbare Kontakt mit KI und der Umgang mit bestimmten künstlich erzeugten Inhalten. Wer informieren oder kennzeichnen muss, richtet sich nach Vorschrift und Rolle. Eine pauschale Regel für jedes intern mit KI bearbeitete Dokument lässt sich daraus nicht ableiten.
Modellpflichten getrennt betrachten.
Kapitel V enthält eigene Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck, auf Englisch General-Purpose AI oder GPAI. Zusätzliche Anforderungen betreffen Modelle mit systemischem Risiko. Der Einsatz eines solchen Modells macht ein Unternehmen nicht automatisch zum Modellanbieter; zugleich klärt die Dokumentation des Modells noch nicht sämtliche Pflichten für das darauf aufgebaute System.
Die Umsetzung beginnt beim Anwendungsfall.
Zweck und Einsatz erfassen.
Beschreiben Sie als praktischen Einstieg, welche Aufgabe ein KI-System übernimmt, wer es verwendet und welche Personen oder Entscheidungen seine Ausgaben betreffen.
Rolle und Geltungsbereich klären.
Halten Sie fest, welche Akteursrolle Ihre Organisation einnimmt und welche Prüfung des EU-Bezugs sowie möglicher Ausnahmen diese Entscheidung trägt.
Einstufung fachlich prüfen.
Prüfen Sie Verbote, Hochrisikowege und Transparenzfragen mit den fachlich, technisch und rechtlich Verantwortlichen und dokumentieren Sie die Begründung.
Pflichten und Termine bestimmen.
Ordnen Sie den einschlägigen Vorgaben konkrete Verantwortliche und den jeweils geltenden Anwendungszeitpunkt zu, einschließlich gesonderter Übergangsregeln.
Nachweise und Betrieb verbinden.
Planen Sie erforderliche Unterlagen, Prüfungen und Aufsicht so, dass sie die tatsächliche Verwendung des Systems und den anwendbaren Nachweisweg abbilden.
Änderungen erneut bewerten.
Überprüfen Sie als praktische Empfehlung die Entscheidungen bei Änderungen an Zweck, Funktionsumfang, Einsatzumgebung oder Verantwortlichkeiten und halten Sie den neuen Stand fest.
Der Nachweis folgt dem jeweiligen Verfahren.
Die KI-Verordnung sieht keinen einheitlichen Zertifikatskauf für alle Unternehmen vor. Für Hochrisiko-KI bestimmt Art. 43 das anwendbare Konformitätsbewertungsverfahren. Je nach System ist interne Kontrolle oder die Beteiligung einer notifizierten Stelle vorgesehen; Produktvorschriften können den Verfahrensweg mitbestimmen. Dokumentation, gegebenenfalls EU-Konformitätserklärung, CE-Kennzeichnung und Registrierung sind jeweils im passenden gesetzlichen Zusammenhang zu betrachten.
Eine Bescheinigung einer notifizierten Stelle ist von einem freiwilligen Managementsystemzertifikat zu unterscheiden. Art. 44 Abs. 2 begrenzt die dort geregelte Gültigkeit auf höchstens fünf Jahre für Systeme nach Anhang I und vier Jahre für Systeme nach Anhang III; maßgeblich ist der angegebene Zeitraum mit den Bedingungen des Verfahrens. Diese Grenzen sind keine allgemeine Laufzeit für sämtliche AI-Act-Nachweise. Die Pflichten im Betrieb bleiben zusätzlich zu beachten.
Andere Frameworks unterstützen unterschiedliche Aufgaben.
Bei KI-Produkten können zusätzlich die eigenständig zu prüfenden Produktpflichten des Cyber Resilience Act relevant sein.
ISO 42001 strukturiert ein KI-Managementsystem, während das NIST AI RMF einen freiwilligen Rahmen für KI-Risiken bietet. Beide können die Organisation der Arbeit unterstützen, belegen aber keine automatische Konformität mit dem EU AI Act. Die DSGVO gilt bei personenbezogener Verarbeitung eigenständig weiter; eine AI-Act-Einstufung ersetzt keine datenschutzrechtliche Prüfung.
In Secani.
Secani enthält einen redaktionellen Unternehmenskatalog zum EU AI Act mit Rollen- und Profilangaben sowie Umsetzungshinweisen und Nachweisbeispielen. Anbieter, Betreiber und weitere Rollen werden getrennt erfasst. Die Arbeitshilfe unterstützt die strukturierte Bearbeitung; sie ersetzt weder die fachliche Einstufung noch ein gesetzlich vorgeschriebenes Bewertungsverfahren. Der Katalog ist kein behördlicher Konformitätsnachweis.
Nächster Schritt.
Wählen Sie einen konkreten produktiven oder geplanten KI-Anwendungsfall aus und bringen Sie dessen fachlich und technisch Verantwortliche mit der rechtlichen Prüfung zusammen. Das erste Ergebnis sollte eine begründete Entscheidung zu Rolle, Einsatz und einschlägigen Pflichten sein. Daraus entsteht ein bearbeitbarer Nachweisplan; eine ungeprüfte Liste sämtlicher Verordnungsartikel hilft dafür weniger.
Quellen.
- Europäische Kommission: Cyber Resilience Act
- KI-Verordnung: konsolidierter Stand 27. Juli 2026
- Verordnung (EU) 2026/1744: Digital Omnibus on AI, insbesondere Art. 1 Nr. 5 und 40
- Europäische Kommission: AI Act und Anwendungszeitplan
- Offizieller AI Act Service Desk: Art. 2, Anwendungsbereich
- Offizieller AI Act Service Desk: Art. 4, KI-Kompetenz
- Offizieller AI Act Service Desk: Art. 6, Hochrisiko-Einstufung
- Offizieller AI Act Service Desk: Art. 17, Qualitätsmanagement
- Offizieller AI Act Service Desk: Art. 26, Betreiberpflichten
- Offizieller AI Act Service Desk: Art. 43, Konformitätsbewertung
- Offizieller AI Act Service Desk: Art. 44, Bescheinigungen
- Offizieller AI Act Service Desk: Art. 50, Transparenzpflichten
- Offizieller AI Act Service Desk: Art. 113, Anwendung
Häufige Fragen.
Nein. Art. 6 knüpft die Einstufung an bestimmte Produktkonstellationen oder gelistete Anwendungsfälle mit ihren Voraussetzungen und Ausnahmen. Der Einsatz eines leistungsfähigen Modells allein entscheidet die Einstufung nicht.
Nein. Die Rolle hängt von Bereitstellung, eigener Anwendung und möglichen Änderungen ab. Der Vertrag mit einem Modell- oder Dienstanbieter klärt die Verantwortung für das fertige System nicht automatisch.
Nein. Ein KI-Managementsystem kann Verantwortlichkeiten und Abläufe ordnen, während die gesetzlichen Pflichten für den jeweiligen Einsatz gesondert zu prüfen sind. Ein Managementsystemzertifikat ist kein pauschaler Nachweis sämtlicher Anforderungen des EU AI Act.
Nein. Die erforderlichen Nachweise folgen aus Rolle, System und anwendbaren Vorschriften. Art. 43 unterscheidet mehrere Konformitätsbewertungsverfahren; nicht jedes Verfahren sieht die Beteiligung einer externen Stelle vor.
KI-Verantwortung konkret bearbeiten.
Verbinden Sie in Secani Anforderungen, Zuständigkeiten und Nachweise für Ihre geprüften Anwendungsfälle.
Diese Seite ordnet die KI-Verordnung allgemein ein. Maßgeblich sind die geltenden Rechtsakte und die Prüfung des konkreten Anwendungsfalls.