EU AI Act für Unternehmen – was gilt, wenn du KI nutzt?

Kurz gesagt

Wenn dein Unternehmen KI nutzt, etwa einen KI-Assistenten für E-Mails und Termine, ist es nach dem EU AI Act Betreiber und muss vor allem die KI-Kompetenz seines Teams unterstützen (seit 2. Februar 2025) und je nach Einsatz Transparenzpflichten beachten (seit 2. August 2026). Weitergehende Pflichten kommen erst bei Hochrisiko-KI dazu, etwa wenn KI Bewerbungen sichtet oder die Kreditwürdigkeit von Personen prüft, und gelten nach dem KI-Omnibus ab dem 2. Dezember 2027. Einzelne Praktiken wie Social Scoring oder das Ableiten von Gefühlen am Arbeitsplatz sind seit Februar 2025 verboten.

Veröffentlicht am · Aktualisiert am · Quellen geprüft am

Überblick, keine Rechtsberatung. Stand der Rechtslage: November 2026.

Herausgegeben von GRETUS®, Anbieter eines KI-Assistenten für Unternehmen. Wo wir GRETUS nennen, steht es so da.

Anbieter oder Betreiber: welche Rolle du hast

Der EU AI Act, auf Deutsch KI-Verordnung, regelt künstliche Intelligenz nach ihrem Risiko (Verordnung (EU) 2024/1689). Er ist seit dem 1. August 2024 in Kraft und gilt schrittweise. Welche Pflichten dich treffen, hängt von deiner Rolle ab:

  • Anbieter entwickeln ein KI-System oder lassen es entwickeln und bringen es unter eigenem Namen auf den Markt oder in Betrieb.
  • Betreiber verwenden ein KI-System in eigener Verantwortung, außer für rein private Zwecke (Art. 3 Nr. 4). Das ist dein Unternehmen, sobald es einen KI-Assistenten, einen KI-Chat oder ein Übersetzungsprogramm mit KI nutzt. Mitarbeitende, die nach deinen Vorgaben arbeiten, sind laut EU-Kommission keine eigenen Betreiber.

Die Regeln folgen vier Stufen: verbotene Praktiken, Hochrisiko-KI, KI mit Transparenzpflichten und KI mit minimalem Risiko. In die letzte Stufe fällt nach Einschätzung der EU-Kommission der größte Teil der KI-Systeme, die heute in der EU genutzt werden, etwa Spamfilter. Dafür gibt es keine besonderen Anforderungen, die Pflicht zur KI-Kompetenz gilt aber für jedes Unternehmen, das KI einsetzt.

Zeitplan: was seit wann gilt

Stand: November 2026, also nach der Änderung durch den KI-Omnibus:

Seit oder ab Was gilt Betrifft vor allem
2. Februar 2025 Verbote wie Social Scoring (Art. 5), Pflicht zur KI-Kompetenz (Art. 4) alle Anbieter und Betreiber
2. August 2025 Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck Hersteller großer KI-Modelle
2. August 2026 Transparenzpflichten (Art. 50), Aufsicht durch nationale Behörden Anbieter und Betreiber
2. Dezember 2026 neue Verbote, etwa für KI, die ohne Einwilligung sexualisierte Darstellungen realer Personen erzeugt Anbieter und Betreiber
2. Dezember 2027 Pflichten für Hochrisiko-KI nach Anhang III etwa Personalauswahl, Kreditprüfung
2. August 2028 Pflichten für Hochrisiko-KI in Produkten nach Anhang I Hersteller etwa von Maschinen

Der KI-Omnibus, englisch Digital Omnibus on AI (Verordnung (EU) 2026/1744), ist seit dem 27. Juli 2026 in Kraft. Er hat die Hochrisiko-Pflichten verschoben, die sonst ab dem 2. August 2026 und dem 2. August 2027 gegolten hätten. Die KI-Kompetenz hat er vereinfacht: Unternehmen ergreifen weiter Maßnahmen, ein bestimmtes Kompetenzniveau schreibt das Gesetz aber nicht mehr vor. Die Termine der bisherigen Verbote und der Transparenzpflichten blieben. Nur Anbieter generativer KI, die schon vor dem 2. August 2026 auf dem Markt war, haben für die maschinenlesbare Markierung ihrer Inhalte bis zum 2. Dezember 2026 Zeit.

Was ein KI-Assistent für E-Mails und Termine bedeutet

Ein Assistent, der E-Mails zusammenfasst, Antworten entwirft, freie Termine findet oder morgens ein Briefing schreibt, ist in aller Regel weder verboten noch Hochrisiko-KI, denn diese Aufgaben stehen nicht in Anhang III. Ein Beispiel: Ein Malerbetrieb lässt sich Antworten auf Anfragen vorbereiten, die die Inhaberin prüft und selbst versendet. Für den Betrieb zählen zwei Punkte.

KI-Kompetenz: Wer mit dem Assistenten arbeitet, sollte wissen, was er kann, dass er Fakten erfinden oder Anfragen falsch verstehen kann und was vor dem Versand zu prüfen ist. Das gilt laut EU-Kommission auch für Firmen, die nur Texte mit einem KI-Chat schreiben. Ein Zertifikat braucht es nicht, ein interner Vermerk über Einweisungen ist sinnvoll. Eine Checkliste, eine Nachweis-Tabelle und einen Schulungsplan für 60 Minuten findest du im Ratgeber KI-Kompetenz nachweisen, eine Vorlage für die Regeln im Team im Ratgeber KI-Richtlinie für Mitarbeitende.

Transparenz: Eine E-Mail, die du prüfst und selbst versendest, musst du nach dem Wortlaut von Art. 50 nicht als KI-Text kennzeichnen. Betreiber müssen Deepfakes offenlegen, außerdem KI-Texte, die veröffentlicht werden, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren, es sei denn, ein Mensch hat sie inhaltlich geprüft und jemand trägt die redaktionelle Verantwortung. Eine bloße Rechtschreibkorrektur zählt laut EU-Kommission nicht als Prüfung. Dass Menschen mit einer KI chatten, etwa auf deiner Website, muss der Anbieter des Chatbots erkennbar machen. Lässt du einen Chatbot entwickeln und nimmst ihn unter eigenem Namen in Betrieb, kannst du selbst Anbieter sein.

Für personenbezogene Daten gilt daneben die DSGVO, siehe KI DSGVO-konform nutzen.

Wann aus Alltags-KI Hochrisiko-KI wird

Ob KI hochriskant ist, hängt vom Zweck ab, nicht vom Werkzeug. Derselbe Assistent, der sonst Anfragen beantwortet, kann unter Anhang III fallen, wenn du ihn für einen dort genannten Zweck einsetzt. Für kleine und mittlere Unternehmen sind diese Fälle am wichtigsten:

Einsatz Einstufung
Antworten vorbereiten, Termine planen, Texte entwerfen kein Hochrisiko
Bewerbungen sichten, filtern oder Bewerber bewerten Hochrisiko (Anhang III Nr. 4 Buchst. a)
Leistung von Beschäftigten bewerten, Aufgaben nach persönlichen Merkmalen zuteilen Hochrisiko (Anhang III Nr. 4 Buchst. b)
Kreditwürdigkeit natürlicher Personen prüfen, außer zur Aufdeckung von Betrug Hochrisiko (Anhang III Nr. 5 Buchst. b)
Gefühle von Beschäftigten ableiten, etwa aus Stimme oder Gesicht verboten, außer aus medizinischen oder Sicherheitsgründen

Eine Ausnahme regelt Art. 6 Abs. 3: Erledigt ein solches System etwa nur eine eng gefasste Verfahrensaufgabe oder eine vorbereitende Aufgabe und beeinflusst es das Ergebnis einer Entscheidung nicht wesentlich, gilt es nicht als hochriskant. Erstellt es Profile von Personen, bleibt es hochriskant. Wer ein KI-System, das nicht als hochriskant gilt, für einen solchen Zweck umwidmet, etwa einen allgemeinen KI-Chat zum Bewerten von Bewerbungen, kann nach Art. 25 selbst als Anbieter eines Hochrisiko-Systems gelten, mit deutlich mehr Pflichten.

Betreiber von Hochrisiko-KI nach Anhang III müssen ab dem 2. Dezember 2027 unter anderem das System nach der Betriebsanleitung einsetzen, die menschliche Aufsicht kompetenten Personen übertragen, automatisch erzeugte Protokolle mindestens sechs Monate aufbewahren und Beschäftigte vor dem Einsatz am Arbeitsplatz informieren (Art. 26).

Aufsicht und Bußgelder

Seit dem 2. August 2026 überwachen nationale Marktüberwachungsbehörden die Einhaltung der Regeln, auch die Pflicht zur KI-Kompetenz. Welche Behörde zuständig ist, legt jeder Mitgliedstaat fest. Die Höchstbeträge der Bußgelder stehen in Art. 99:

  • verbotene Praktiken: bis zu 35 Mio. Euro oder 7 Prozent des weltweiten Jahresumsatzes,
  • Pflichten von Betreibern von Hochrisiko-KI und Transparenzpflichten: bis zu 15 Mio. Euro oder 3 Prozent,
  • für KMU gilt jeweils der niedrigere der beiden Werte.

Für die KI-Kompetenz nennt der AI Act keinen eigenen Bußgeldrahmen. Sanktionen richten sich nach nationalem Recht und müssen laut EU-Kommission verhältnismäßig sein.

Checkliste: Das solltest du jetzt tun

  1. Bestandsaufnahme: Schreib auf, welche KI-Werkzeuge dein Team wofür nutzt, auch kostenlose Chats und KI-Funktionen in vorhandener Software.
  2. Einordnen: Prüfe jeden Einsatz auf die Verbote und die Bereiche in Anhang III. Für eine erste Einschätzung hilft der Compliance Checker der EU-Kommission.
  3. KI-Kompetenz: Weise dein Team ein, leg fest, was vor dem Versand geprüft wird, und notiere, wer wann eingewiesen wurde, etwa mit der Nachweis-Tabelle aus KI-Kompetenz nachweisen. Wie der Start im Team gelingt, steht im Ratgeber KI im Team einführen.
  4. Transparenz: Prüfe Chats auf deiner Website, veröffentlichte Texte sowie Bilder, Videos und Tonaufnahmen, die mit KI entstehen.
  5. Menschliche Prüfung: Auch wo der AI Act es nicht verlangt, sollte ein Mensch freigeben, was nach außen geht. Siehe KI-Agenten sicher einsetzen.
  6. Hochrisiko früh klären: Planst du KI für Personalentscheidungen oder Kreditprüfungen, hol dir rechtzeitig vor dem 2. Dezember 2027 rechtlichen Rat.

So hilft GRETUS dabei

GRETUS arbeitet in deinem Postfach und deinem Kalender: Es fasst Mails zusammen, schreibt Antworten als Entwurf und findet freie Termine. Wofür du es einsetzt, entscheidest du als Betreiber. Diese Funktionen helfen bei den Punkten oben:

  • Freigaben: Was etwas sendet, anlegt, ändert oder löscht, legt GRETUS standardmäßig zur Freigabe vor, bei E-Mails mit dem ganzen Text. Lockern lässt sich das je Integration oder für einzelne KI-Mitarbeiter, dort nur mit ausdrücklicher Bestätigung der Risiken.
  • Protokoll: Jede Aktion steht 24 Monate im Protokoll, auch wer einem KI-Mitarbeiter selbstständiges Handeln erlaubt hat.
  • Hinweis im Chat: Unter dem Chat steht, dass der Assistent sich irren kann und Wichtiges geprüft werden sollte. Eine Einweisung deines Teams ersetzt das nicht.
  • KI-Anbieter: Die KI ist inklusive und läuft über Mistral AI aus Frankreich, das Daten standardmäßig in der EU speichert. Mit eigenem Schlüssel wählst du auch einen anderen Anbieter, die Bedingungen aller Anbieter stehen unter Sicherheit.

Ausprobieren kannst du das in der Testphase.

Quellen

Alle Seiten abgerufen am 9. November 2026:

Häufige Fragen

Ist ein KI-Assistent für E-Mails ein Hochrisiko-KI-System?

In der Regel nicht. E-Mails zusammenfassen, Antworten entwerfen und Termine planen gehören nicht zu den Bereichen in Anhang III des AI Act. Hochrisiko wird KI erst bei Zwecken wie dem Sichten von Bewerbungen, dem Bewerten von Beschäftigten oder der Prüfung der Kreditwürdigkeit von Personen.

Wurde der AI Act verschoben?

Teilweise. Der KI-Omnibus, die Verordnung (EU) 2026/1744, verschiebt die Pflichten für Hochrisiko-KI auf den 2. Dezember 2027 und für KI in Produkten wie Maschinen auf den 2. August 2028. Die bisherigen Verbote und die KI-Kompetenz gelten weiter seit dem 2. Februar 2025, die Transparenzpflichten seit dem 2. August 2026.

Ist mein Unternehmen Betreiber, wenn das Team nur einen KI-Chat nutzt?

Ja. Betreiber ist jedes Unternehmen, das ein KI-System in eigener Verantwortung beruflich verwendet, auch wenn es damit nur Texte schreibt (Art. 3 Nr. 4). Damit gilt vor allem die Pflicht, die KI-Kompetenz des Teams zu unterstützen.

Welche Bußgelder drohen kleinen Unternehmen nach dem AI Act?

Das hängt vom Verstoß ab. Für verbotene Praktiken sieht Art. 99 bis zu 35 Mio. Euro oder 7 Prozent des weltweiten Jahresumsatzes vor, für Verstöße gegen Betreiberpflichten bei Hochrisiko-KI und gegen Transparenzpflichten bis zu 15 Mio. Euro oder 3 Prozent, für KMU gilt jeweils der niedrigere Wert. Für die KI-Kompetenz regeln die Mitgliedstaaten Sanktionen nach nationalem Recht.

Vom Lesen zum Ausprobieren.

Lass GRETUS mit deinem eigenen Postfach, Kalender und Firmenwissen für dich arbeiten.

7 Tage kostenlos testen · Demo anfragen