Blog - 24. Juli 2026
Fristen AI Act
Chatbots beantworten Kundenanfragen, generative KI erstellt Inhalte für Social Media und intelligente Text-Tools verfassen die aktuellen Pressemitteilungen. So ist Künstliche Intelligenz in vielen Unternehmen längst ein fester Bestandteil der Prozesse. Doch für den transparenten Umgang mit KI-Anwendungen gelten bald strengere Regelungen, die den Handlungsdruck für Unternehmen erhöhen. Ab dem 2. August 2026 treten weitere Anforderungen des EU AI Acts in Kraft, darunter wichtige Transparenzpflichten. Verantwortliche sollten deshalb jetzt prüfen, wo sie KI einsetzen und welche Kennzeichnungspflichten für sie gelten.
Die Fristen des AI Acts haben sich zuletzt geändert. Die ursprünglich für August vorgesehenen umfassenden Pflichten für Hochrisiko-KI wurden durch den europäischen „Digital Omnibus on AI“ verschoben. Die neuen Fristen liegen beim 2. Dezember 2027 für eigenständige Hochrisiko-Systeme und beim 2. August 2028 für Hochrisiko-KI, die in regulierte Produkte integriert ist.
Mehr Zeit bedeutet jedoch nicht weniger Handlungsbedarf. Die Hochrisiko-Anforderungen umzusetzen, erfordert viel Vorbereitung. Unternehmen sollten deshalb bereits jetzt mit der Bestandsaufnahme, Risikobewertung und Planung der erforderlichen Prozesse beginnen.
Was ist der EU AI Act?
Mit der Verordnung (EU) 2024/1689, dem EU AI Act, führt die Europäische Union erstmals einheitliche Regeln für Künstliche Intelligenz ein. Sie sollen dafür sorgen, dass Unternehmen KI nachvollziehbar und verantwortungsvoll entwickeln und einsetzen. Dabei geht es nicht darum, die Technologie auszubremsen, sondern Risiken zu reduzieren, Schäden vorzubeugen und eine sichere Nutzung ihrer Vorteile zu ermöglichen. Die Verordnung gilt bereits seit dem 1. August 2024, ihre einzelnen Regelungen werden jedoch schrittweise gültig.
Der AI Act richtet sich dabei nicht nur an große Technologiekonzerne. Er unterscheidet mehrere Rollen entlang der KI-Wertschöpfungskette. Für die meisten Unternehmen sind besonders zwei Rollen relevant:
Die vier Risikokategorien
Ein intelligenter Spamfilter ist anders zu bewerten als ein KI-Tool, das Bewerbungen vorsortiert. Daher verfolgt der AI Act einen risikobasierten Ansatz. Das heißt, je größer die möglichen Auswirkungen eines KI-Systems auf Menschen und ihre Grundrechte sind, desto strenger sind die Anforderungen und Regelungen. Für die Risikoeinordnung kommt es unter anderem auf den Einsatzbereich, die verarbeiteten Daten und die möglichen Folgen einer Fehlentscheidung an. Dabei sind KI-Systeme mit unannehmbarem Risiko bis auf wenige Ausnahmen verboten. Für KI-Systeme mit minimalem Risiko gelten hingegen deutlich geringere Regelungen.
Veranschaulichen lässt sich dieses Modell durch eine Pyramide mit vier Risikokategorien.
Was gilt ab dem 2. August konkret?
Im Mittelpunkt des Stichtags stehen die Transparenzpflichten aus Artikel 50. Sie gelten nicht nur für Hochrisiko-Systeme, sondern für KI-Anwendungen aus allen Risikokategorien, also auch für viele alltägliche KI-Anwendungen.
Interaktionen mit KI
Interagiert ein KI-System direkt mit natürlichen Personen, muss der Anbieter des Systems für eine angemessene Kennzeichnung sorgen. Das heißt, es muss für Nutzerinnen und Nutzer deutlich erkennbar sein, dass sie mit einer KI interagieren. Das betrifft beispielsweise Chatbots auf Websites, telefonischen Support oder Systeme, die selbstständig auf Kundenanfragen reagieren. Der Hinweis muss spätestens bei der ersten Interaktion erfolgen. Er muss klar verständlich sein und den gängigen Anforderungen der Barrierefreiheit entsprechen. Ein versteckter Satz in den Nutzungsbedingungen oder den FAQ reicht nicht aus.
Synthetische Inhalte
Anbieter von KI-Systemen, die Texte, Bilder, Audio- oder Videoinhalte erzeugen, müssen dafür sorgen, dass die Ergebnisse in einem maschinenlesbaren Format gekennzeichnet und als KI-generiert erkennbar sind. Dabei sollten sie darauf achten, diese Kennzeichnung technisch wirksam und robust umzusetzen.
Systeme zur Emotionserkennung oder biometrischen Kategorisierung
Setzt ein Unternehmen Systeme zur Emotionserkennung oder biometrischen Kategorisierung ein, müssen die betroffenen Personen über deren Einsatz informiert werden. Zusätzlich bleiben die Vorgaben der Datenschutz-Grundverordnung und anderer Datenschutzvorschriften verpflichtend. Vor der Nutzung ist außerdem zu prüfen, ob der Anwendungsfall nicht bereits zu den verbotenen Praktiken gehört. Emotionserkennung am Arbeitsplatz oder in Bildungseinrichtungen ist grundsätzlich untersagt, sofern keine gesetzliche Ausnahme greift.
Deep Fakes
Unternehmen, die KI-Tools zur Erstellung von Deepfakes verwenden, müssen dies offen kommunizieren und die Inhalte deutlich kennzeichnen. Deepfakes sind im AI Act definiert als KI-generierte oder manipulierte Bild-, Audio- oder Videoinhalte, die reale Personen, Objekte, Orte, Einrichtungen oder Ereignisse täuschend echt nachbilden und deshalb fälschlicherweise als authentisch erscheinen können.
KI-generierte Texte
Auch KI-generierte Texte werden kennzeichnungspflichtig, sofern sie veröffentlicht werden, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren. Die Pflicht entfällt, wenn die Inhalte einer menschlichen Überprüfung oder redaktionellen Kontrolle unterzogen wurden und eine natürliche oder juristische Person die redaktionelle Verantwortung für die Veröffentlichung übernimmt.
Was sollten Unternehmen jetzt tun?
Unternehmen sollten die neuen Transparenzpflichten nicht unterschätzen. Für Verstöße gegen diese Pflichten sieht der AI Act Geldbußen von bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres vor. Falls Sie in Ihrem Unternehmen dafür verantwortlich sind, die Transparenzpflichten des AI Acts umzusetzen, können Ihnen die folgenden Schritte dabei helfen, Sanktionen sowie damit verbundene Reputationsschäden zu vermeiden:
Schritt 1: KI-Anwendungen erfassen
Erfassen Sie alle beschafften KI-Anwendungen, eingebetteten KI-Funktionen und kostenlosen Tools, die in Ihren Arbeitsprozessen Verwendung finden. Beziehen Sie dabei, sofern möglich, auch sogenannte Schatten-KI mit ein. Das sind KI-Anwendungen, die Ihre Mitarbeitenden mit privaten Accounts ohne Aufsicht durch die IT-Abteilung nutzen und deren Nutzung die Führungskräfte nicht formell freigegeben haben.
Schritt 2: Rollen und Pflichten prüfen
Klären Sie für jedes System, ob Ihr Unternehmen der Anbieter oder Betreiber ist. Prüfen Sie besonders, ob Anpassungen, Rebranding oder eine Implementierung eines KI-Modells ihr Unternehmen zum Anbieter machen. Ermitteln Sie dann die Anwendungen, die unter Artikel 50 des AI Acts fallen und für die dementsprechend Transparenzpflichten aktiv werden.
Schritt 3: Verantwortlichkeiten festlegen
Benennen Sie im Unternehmen verantwortliche Personen und verteilen Sie klare Aufgaben für die KI-Governance. Mitarbeitende sollten rollenbezogen geschult werden, damit sie Risiken erkennen und KI-Systeme sachgerecht verwenden können.
Schritt 4: Transparenzlücken schließen
Testen Sie den Kontakt mit KI-Anwendungen aus Sicht der Nutzinnern und Nutzer: Erkennen Sie sofort, dass Sie mit einer KI interagieren? Sind Kennzeichnungen an veröffentlichten Deepfake-Inhalten sichtbar?
Prüfen Sie zudem, ob KI-generierte Texte von öffentlichem Interesse entsprechend gekennzeichnet sind oder es für diese einen dokumentierten Redaktionsprozess gibt. Sofern Ihr Unternehmen eine generative KI anbietet, sollten Sie kontrollieren, ob die ausgegebenen Inhalte mit einer maschinenlesbaren Kennzeichnung versehen sind.
Eine unternehmensweite Transparenzstrategie mit einem ausformulierten Leitfaden kann dabei helfen, Prozesse klarer zu machen und widersprüchliche Kennzeichnungen zu vermeiden.
Schritt 5: Pflege und Dokumentation einrichten
Für jede genutzte KI-Anwendung sollten Sie die Einstufung und daraus abgeleiteten Maßnahmen dokumentieren. Auch die betrieblichen Verantwortlichkeiten sollten Sie festhalten. Planen Sie zudem ein, dass sich Funktionen und Nutzungsweisen von KI-Systemen verändern. Führen Sie regelmäßige Kontrollen und Freigabeprozesse für neue Anwendungen ein.
Der 2. August 2026 sollte nicht der Startpunkt, sondern der Abschluss der wichtigsten Vorbereitungen sein. Sie wissen nun, welche Inhalte einer Transparenzpflicht unterliegen und welche Schritte dabei helfen können, diesen Pflichten nachzukommen. Nutzen Sie die verbleibende Zeit, um Zuständigkeiten zu klären, Transparenzlücken zu schließen und die erforderlichen Maßnahmen dauerhaft in Ihren Prozessen zu verankern.