Die Entscheidung in Kürze
Der AI Act verlangt keine pauschale Stilllegung von KI. Unternehmen müssen zunächst ihre Rolle und den konkreten Einsatz einordnen, verbotene Praktiken vermeiden, KI-Kompetenz organisieren und je nach System zusätzliche Transparenz-, Dokumentations- oder Hochrisikoanforderungen erfüllen.
Jede produktive KI-Anwendung braucht eine dokumentierte Rolle, einen klaren Zweck und eine begründete Einordnung.
Ein Inventar verbindet Anwendung, Daten, Nutzer, Anbieter und menschliche Aufsicht.
Die operative Einordnung ersetzt keine rechtliche Prüfung im Einzelfall.
Die Fristen im Überblick – und was für Anwender zählt
Die KI-Verordnung ist seit August 2024 in Kraft und greift stufenweise: Seit Februar 2025 gelten die Verbote bestimmter Praktiken und die Pflicht zur KI-Kompetenz der Mitarbeitenden, seit August 2025 Regeln für Anbieter von General-Purpose-AI-Modellen. Am 2. August 2026 werden weitere allgemeine Transparenz-, Governance- und Durchsetzungsregeln anwendbar. Für bestimmte Hochrisiko-Systeme gelten nach dem im Mai 2026 politisch vereinbarten europäischen Zeitplan spätere Termine: für die in Anhang III erfassten Bereiche ab 2. Dezember 2027, für in regulierte Produkte integrierte Systeme ab 2. August 2028. Wichtig für die Einordnung: Viele Pflichten treffen Anbieter; auch Betreiber – also Unternehmen, die KI einsetzen – müssen Inventar, Verantwortung, Kompetenz und menschliche Aufsicht sauber organisieren.
Die Anwender-Checkliste: sieben Fragen
- Welche KI-Systeme nutzen wir überhaupt? Inklusive der KI-Funktionen in Bestandssoftware und der Tools, die Mitarbeitende privat mitgebracht haben. Ohne Inventar keine Bewertung.
- Welche Daten erhalten diese Systeme? Personenbezogene Daten, Kundendaten, Geschäftsgeheimnisse – hier verzahnt sich der AI Act mit der DSGVO.
- Wer prüft die Ergebnisse? Menschliche Aufsicht ist bei kritischen Anwendungen Pflicht und bei allen anderen gesunder Menschenverstand.
- Welche Mitarbeitenden brauchen KI-Kompetenz? Die Pflicht gilt bereits. Gemeint ist kein Zertifikatskurs, sondern ein der Nutzung angemessenes Verständnis: Was kann das Werkzeug, wo irrt es, was darf hinein?
- Wo müssen wir Transparenz herstellen? Wer mit einem Chatbot interagiert, muss das erkennen können; KI-erzeugte Inhalte sind in bestimmten Fällen zu kennzeichnen.
- Nutzen wir etwas, das als Hochrisiko gelten könnte? Etwa KI in der Personalauswahl oder Kreditwürdigkeitsprüfung. Dann gelten deutlich strengere Betreiberpflichten – und Fachberatung ist Pflichtprogramm.
- Wer ist intern verantwortlich? Eine benannte Person, die das Inventar pflegt, neue Tools bewertet und Fragen kanalisiert. Ohne Zuständigkeit versandet jede Compliance.
Warum das operativ eine Chance ist
Die Fragen der Checkliste sind exakt die Fragen guter Automatisierungspraxis: Inventar, Datenqualität, menschliche Eskalation, klare Verantwortung. Wer sie beantwortet, wird nicht nur regelkonform – er weiß endlich, wo KI sich lohnt und wo bewusst nicht. Und wer bereits strukturiert automatisiert, etwa mit KI-Agenten mit Mensch-in-der-Schleife, erfüllt viele Anforderungen dem Geist nach schon heute.
AI-Act-Inventar für den Mittelstand
Entscheidend ist, welche Voraussetzung für Ihren konkreten Fall noch nicht belegt ist.
| Prüffeld | Leitfrage | Belastbarer Nachweis | Konsequenz |
|---|---|---|---|
| Anwendung | Welche KI wird wofür tatsächlich genutzt? | Inventar mit Zweck, Nutzer und Anbieter. | Schattennutzung sichtbar machen. |
| Rolle | Ist das Unternehmen Anbieter, Betreiber/Deployer oder nur Nutzer eines Dienstes? | Rollenbewertung je Anwendung. | Pflichten nicht pauschal übertragen. |
| Risiko | Verboten, Transparenzfall, Hochrisiko oder sonstiger Einsatz? | Begründete Klassifizierung. | Kontrollen angemessen planen. |
| Betrieb | Welche Kompetenz, Aufsicht und Dokumentation ist nötig? | Verantwortliche, Regeln und Nachweise. | Governance in den Prozess integrieren. |
Responsibility Ledger
Risikobereitschaft und Governance freigeben.
Zweck, Nutzung und Ergebnisverantwortung benennen.
Anbieter, Datenfluss, Zugriff und Betrieb prüfen.
Warnsignale
- Es gibt kein Inventar der produktiv genutzten KI.
- „Der Anbieter ist verantwortlich“ ersetzt die eigene Rollenprüfung.
- Mitarbeitende nutzen sensible Daten ohne klare Regeln.
- Rechtliche Einordnung wird mit technischer Sicherheit verwechselt.
WISSEN UND DETAILS
Quellen, Prüfstand und vertiefende Informationen.
Ergänzende Nachweise und Detailfragen sind vollständig am Ende des Artikels gebündelt.
Inhalt und Fortschritt
Quellen, Prüfstand und Einordnung
Offizielle Quellen und Aktualität
Fachlich geprüft am 20. Juli 2026. Der europäische Umsetzungsfahrplan und unterstützende Leitlinien entwickeln sich weiter; für eine konkrete rechtliche Bewertung ist der aktuelle Einzelfall maßgeblich.
Was jetzt entschieden werden sollte
- EntscheidungJede produktive KI-Anwendung braucht eine dokumentierte Rolle, einen klaren Zweck und eine begründete Einordnung.
- NachweisEin Inventar verbindet Anwendung, Daten, Nutzer, Anbieter und menschliche Aufsicht.
- Bewusste GrenzeDie operative Einordnung ersetzt keine rechtliche Prüfung im Einzelfall.