Das Wichtigste für Ihren Betrieb
Erst den Einsatz verstehen. Dann die Pflichten zuordnen.
Der AI Act gilt stufenweise. Unternehmen müssen je Anwendung klären, ob sie Anbieter oder Betreiber sind, verbotene Praktiken vermeiden, Maßnahmen zur KI-Kompetenz organisieren und die seit 2. August 2026 geltenden Transparenzpflichten nach Artikel 50 dort erfüllen, wo ihr Einsatz darunterfällt. Der Digital Omnibus on AI (Verordnung (EU) 2026/1744) hat unter anderem Artikel 4 neu gefasst, Übergänge für bestimmte bestehende generative Systeme geschaffen und die Hochrisiko-Fristen verschoben.
Jede produktive KI-Anwendung braucht eine dokumentierte Rolle, einen klaren Zweck und eine begründete Einordnung.
Ein Inventar verbindet Anwendung, Daten, Nutzer, Anbieter und menschliche Aufsicht.
Die operative Einordnung ersetzt keine rechtliche Prüfung im Einzelfall.
IN DIESEM BEITRAG3 Kapitel
Welche AI-Act-Fristen gelten für Anwender?
Die KI-Verordnung gilt stufenweise. Seit 2. Februar 2025 gelten unter anderem die bisherigen Verbote bestimmter KI-Praktiken und Artikel 4 zur KI-Kompetenz. Der Digital Omnibus on AI – Verordnung (EU) 2026/1744, veröffentlicht am 24. Juli 2026 – hat mehrere Vorschriften des AI Acts geändert. Dazu gehört die Neufassung von Artikel 4: Anbieter und Betreiber müssen Maßnahmen ergreifen, die den Aufbau von KI-Kompetenz bei den beteiligten Personen unterstützen. Ein bestimmtes Kompetenzniveau jeder einzelnen Person müssen sie ausdrücklich nicht garantieren.
Die Transparenzpflichten nach Artikel 50 gelten seit 2. August 2026. Anbieter interaktiver KI müssen direkte KI-Interaktionen kenntlich machen; für bestimmte generative Systeme gelten Pflichten zur maschinenlesbaren Kennzeichnung synthetischer Inhalte. Betreiber müssen unter anderem bei Emotions- oder biometrischer Kategorisierung, Deepfakes und bestimmten KI-generierten Veröffentlichungen von öffentlichem Interesse Transparenz herstellen. Für Systeme, die synthetische Audio-, Bild-, Video- oder Textinhalte erzeugen und bereits vor dem 2. August 2026 in Verkehr gebracht wurden, läuft die Übergangsfrist zur Erfüllung von Artikel 50 Absatz 2 bis 2. Dezember 2026.
Auch der Hochrisiko-Zeitplan wurde verschoben: Die Anforderungen für Systeme nach Artikel 6 Absatz 2 und Anhang III gelten ab 2. Dezember 2027; für produktintegrierte Hochrisiko-Systeme nach Artikel 6 Absatz 1 und Anhang I ab 2. August 2028. Zusätzlich greifen ab 2. Dezember 2026 neue Verbote für bestimmte KI-Systeme, die realistische nicht-einvernehmliche intime Darstellungen oder Darstellungen sexuellen Missbrauchs von Kindern erzeugen oder manipulieren; der genaue Anwendungsbereich enthält gesetzliche Voraussetzungen und Ausnahmen. Für mittelständische Anwender bleibt deshalb die Reihenfolge entscheidend: Anwendung inventarisieren, eigene Rolle bestimmen, Transparenzpflicht prüfen und eine mögliche Hochrisiko-Einstufung separat bewerten.
Welche sieben Fragen sollten Anwender jetzt klären?
- Welche KI-Systeme nutzen wir überhaupt? Inklusive der KI-Funktionen in Bestandssoftware und der Tools, die Mitarbeitende privat mitgebracht haben. Ohne Inventar keine Bewertung.
- Welche Daten erhalten diese Systeme? Personenbezogene Daten, Kundendaten, Geschäftsgeheimnisse – hier verzahnt sich der AI Act mit der DSGVO.
- Wer prüft die Ergebnisse? Eine gesetzliche Pflicht zur menschlichen Aufsicht ist Teil der Anforderungen an Hochrisiko-Systeme; diese greifen für Anhang-III-Systeme ab 2. Dezember 2027 und für produktintegrierte Hochrisiko-Systeme ab 2. August 2028. Unabhängig davon kann eine menschliche Freigabe auch bei anderen sensiblen Workflows betrieblich sinnvoll sein.
- Welche Maßnahmen zur KI-Kompetenz sind nötig? Artikel 4 verpflichtet Anbieter und Betreiber, Maßnahmen zu ergreifen, die den Aufbau von KI-Kompetenz unterstützen und zum Einsatzkontext sowie zu den beteiligten Personen passen. Ein bestimmtes individuelles Kompetenzniveau muss nicht garantiert werden.
- Wo müssen wir Transparenz herstellen? Ab 2. August 2026 müssen bestimmte direkte KI-Interaktionen erkennbar sein. Zusätzlich sind je nach Rolle maschinenlesbare Markierungen, Hinweise bei Deepfakes, Emotions- oder biometrischer Kategorisierung sowie bei bestimmten Texten zu Themen von öffentlichem Interesse erforderlich.
- Nutzen wir etwas, das als Hochrisiko gelten könnte? Etwa KI in der Personalauswahl oder Kreditwürdigkeitsprüfung. Dann gelten deutlich strengere Betreiberpflichten – und Fachberatung ist Pflichtprogramm.
- Wer ist intern verantwortlich? Eine benannte Person, die das Inventar pflegt, neue Tools bewertet und Fragen kanalisiert. Ohne Zuständigkeit versandet jede Compliance.
Warum das operativ eine Chance ist
Die Fragen der Checkliste sind exakt die Fragen guter Automatisierungspraxis: Inventar, Datenqualität, menschliche Eskalation, klare Verantwortung. Die Antworten schaffen eine Grundlage für die betriebliche und rechtliche Prüfung. Ob der konkrete Einsatz alle Pflichten erfüllt und wirtschaftlich sinnvoll ist, muss gesondert bewertet werden. Und wer bereits strukturiert automatisiert, etwa mit KI-Agenten mit Mensch-in-der-Schleife, schafft zugleich die organisatorische Grundlage für nachvollziehbare Transparenz und Aufsicht. Für Zugriffe, Betriebsfähigkeit und technische Verantwortlichkeiten ergänzt die Vertiefung Cybersecurity als Betriebsfrage diese Governance-Perspektive.
Anwendungen, Rollen und Kontrollgrenzen für Ihren Betrieb festlegen: KI-Beratung für den Mittelstand.
AI-Act-Inventar für den Mittelstand
Beginnen Sie mit einer tatsächlich eingesetzten KI-Anwendung: Sind Zweck, Nutzerkreis und Verantwortung dokumentiert?
| Prüffeld | Leitfrage | Belastbarer Nachweis | Konsequenz |
|---|---|---|---|
| Anwendung | Welche KI wird wofür tatsächlich genutzt? | Inventar mit Zweck, Nutzer und Anbieter. | Schattennutzung sichtbar machen. |
| Rolle | Ist das Unternehmen Anbieter, Betreiber/Deployer oder nur Nutzer eines Dienstes? | Rollenbewertung je Anwendung. | Pflichten nicht pauschal übertragen. |
| Risiko | Verboten, Transparenzfall, Hochrisiko oder sonstiger Einsatz? | Begründete Klassifizierung. | Kontrollen angemessen planen. |
| Betrieb | Welche Kompetenz, Aufsicht und Dokumentation ist nötig? | Verantwortliche, Regeln und Nachweise. | Governance in den Prozess integrieren. |
Wer muss beim KI-Einsatz was verantworten?
Risikobereitschaft und Governance freigeben.
Zweck, Nutzung und Ergebnisverantwortung benennen.
Anbieter, Datenfluss, Zugriff und Betrieb prüfen.
Warnsignale
- Es gibt kein Inventar der produktiv genutzten KI.
- „Der Anbieter ist verantwortlich“ ersetzt die eigene Rollenprüfung.
- Mitarbeitende nutzen sensible Daten ohne klare Regeln.
- Rechtliche Einordnung wird mit technischer Sicherheit verwechselt.
Quellen, Methodik und Einordnung.
Nachweise und methodische Einordnung sind am Ende des Artikels gebündelt.
Quellen und Einordnung
Offizielle Quellen und Aktualität
Fachlich geprüft am 22. September 2026. Eingearbeitet sind die Verordnung (EU) 2026/1744, die Leitlinien zu Artikel 50 und der aktuelle europäische Anwendungszeitplan. Für eine konkrete rechtliche Bewertung bleiben Rolle, Systemklasse, Ausnahme und Einsatzkontext maßgeblich.
- EU-Kommission: AI Act und aktueller Anwendungszeitplan
- EU-Kommission: Leitlinien zu den Transparenzpflichten nach Artikel 50
- EU-Kommission: Fragen und Antworten zu Artikel 50
- EU-Kommission: Code of Practice für KI-generierte Inhalte
- EUR-Lex: Verordnung (EU) 2024/1689
- EUR-Lex: Verordnung (EU) 2026/1744 – Digital Omnibus on AI
Der nächste Schritt ist ein belastbares KI-Inventar – kein pauschales Rechtsprojekt
- EntscheidungJede produktive KI-Anwendung braucht eine dokumentierte Rolle, einen klaren Zweck und eine begründete Einordnung.
- NachweisEin Inventar verbindet Anwendung, Daten, Nutzer, Anbieter und menschliche Aufsicht.
- GrenzeDie operative Einordnung ersetzt keine rechtliche Prüfung im Einzelfall.
KI-Einsatz betrieblich einordnen.
Beschreiben Sie eine Anwendung und die offene Frage zu ihrem betrieblichen Einsatz.
KI-Einsatz betrieblich einordnen →