Der EU AI Act ist kein Zukunftsthema mehr. Seit dem 2. August 2026 gilt ein weiterer zentraler Teil der Verordnung unmittelbar in der EU. Bereits seit Februar 2025 gelten unter anderem Verbote bestimmter KI-Praktiken und Anforderungen an KI-Kompetenz, seit August 2025 außerdem Governance-Regeln und Pflichten für General-Purpose-AI-Modelle.
Für Unternehmen bedeutet das vor allem eines: Es reicht nicht mehr, KI einfach „irgendwo einzusetzen“. Organisationen müssen wissen, wo KI verwendet wird, wofür sie eingesetzt wird, wer verantwortlich ist und welche Pflichten daraus entstehen.
1. Zuerst: Welche KI setzen wir überhaupt ein?
Viele Unternehmen haben heute kein vollständiges Bild davon.
KI steckt beispielsweise in:
- Chatbots und Assistenten
- Microsoft-Copilot- oder ähnlichen Lösungen
- Recruiting-Software
- Kundenservice-Systemen
- Analyse- und Prognosetools
- Marketing- und Content-Systemen
- Betrugserkennung
- automatisierten Entscheidungsunterstützungen
Der erste sinnvolle Schritt ist deshalb ein AI Inventory, also ein Verzeichnis der eingesetzten KI-Systeme und Use Cases.
Dabei sollte zumindest dokumentiert werden:
Was wird eingesetzt? Wer nutzt es? Für welchen Zweck? Welche Daten werden verarbeitet? Wer ist intern verantwortlich?
Das ist die Basis für jede weitere Governance.
2. Nicht jede KI ist gleich kritisch
Der AI Act arbeitet risikobasiert. Entscheidend ist also nicht nur, ob KI eingesetzt wird, sondern wie und wo.
Besonders sensibel sind beispielsweise KI-Systeme in Bereichen wie Beschäftigung, Bildung, kritischer Infrastruktur, Biometrie oder bestimmten öffentlichen Entscheidungsprozessen. Für Hochrisiko-Systeme gelten umfangreichere Anforderungen; die entsprechenden Pflichten greifen nach dem aktuell vereinbarten Zeitplan für viele Bereiche ab 2. Dezember 2027, für in bestimmte Produkte eingebettete Systeme ab 2. August 2028.
Das bedeutet aber nicht, dass Unternehmen bis dahin warten sollten.
Gerade weil Klassifizierung, Dokumentation, Prozesse und Verantwortlichkeiten Zeit benötigen, sollte die Vorbereitung jetzt beginnen.
3. Seit August 2026 sind Transparenzpflichten besonders relevant
Neu besonders konkret sind die Transparenzregeln nach Artikel 50.
Anbieter bestimmter KI-Systeme müssen Systeme so gestalten, dass Menschen erkennen können, wenn sie direkt mit einer KI interagieren. Außerdem müssen KI-generierte oder manipulierte Inhalte in bestimmten Fällen technisch erkennbar gemacht werden. Betreiber müssen unter anderem bei bestimmten Deepfakes, Emotionserkennung, biometrischer Kategorisierung oder bestimmten KI-generierten Inhalten informieren. Diese Pflichten gelten seit 2. August 2026.
Für Unternehmen heißt das praktisch:
Wenn ein Kunde mit einem Bot spricht, sollte nicht der Eindruck entstehen, er spreche mit einem Menschen.
Wenn KI Inhalte erzeugt oder verändert, muss geprüft werden, ob Kennzeichnungs- oder Informationspflichten greifen.
Wenn KI in sensiblen Kontexten eingesetzt wird, braucht es klare Transparenz gegenüber Betroffenen.
4. KI-Kompetenz ist keine freiwillige Weiterbildung mehr
Bereits seit 2. Februar 2025 verlangt der AI Act, dass Anbieter und Betreiber von KI-Systemen Maßnahmen für ausreichende AI Literacy / KI-Kompetenz treffen.
Das heißt nicht, dass jede Mitarbeiterin und jeder Mitarbeiter KI-Expertin oder -Experte werden muss.
Aber Personen, die KI einsetzen, sollten verstehen:
- was das jeweilige System kann und nicht kann
- welche Risiken entstehen können
- wie Ergebnisse überprüft werden
- welche Daten eingegeben werden dürfen
- wann menschliche Kontrolle erforderlich ist
- welche internen Regeln gelten
Eine einmalige allgemeine „KI-Schulung“ wird dafür in vielen Unternehmen nicht reichen.
Sinnvoller ist ein rollenbezogener Ansatz: Geschäftsführung, Fachbereiche, HR, IT, Datenschutz und Entwickler benötigen jeweils unterschiedliche Kompetenzen.
5. Verantwortung muss geklärt werden
Das wird aus meiner Sicht einer der wichtigsten Governance-Punkte.
Wenn ein Unternehmen zehn oder fünfzig KI-Anwendungen nutzt, sollte klar sein:
Wer darf einen neuen KI-Use-Case starten?
Wer bewertet Risiko und Nutzen?
Wer prüft Datenschutz und Informationssicherheit?
Wer entscheidet über den produktiven Einsatz?
Wer überwacht das System danach?
Wer stoppt einen Use Case, wenn Probleme auftreten?
Genau hier verbindet sich der AI Act mit guter Unternehmens-Governance.
Ohne klare Rollen entsteht entweder Wildwuchs oder das Gegenteil: Jede Entscheidung landet bei IT, Datenschutz oder Geschäftsführung und KI-Innovation wird unnötig langsam.
6. Unternehmen brauchen einen einfachen KI-Governance-Prozess
Für viele Organisationen muss das kein riesiges Regelwerk sein.
Ein pragmatischer Prozess kann beispielsweise so aussehen:
Idee → Bewertung → Risikoklassifizierung → Freigabe → Umsetzung → Monitoring
Dazu gehören einige klare Verantwortlichkeiten und wenige definierte Entscheidungspunkte.
Für einfache Anwendungen kann der Prozess schlank sein.
Für sensible oder möglicherweise hochriskante Anwendungen braucht es eine tiefere Prüfung.
So entsteht Governance, die Innovation ermöglicht, statt sie zu verhindern.
7. Informationssicherheit und KI gehören zusammen
Der AI Act sollte außerdem nicht isoliert betrachtet werden.
KI-Systeme greifen häufig auf Unternehmensdaten zu, kommunizieren mit Cloud-Diensten oder werden in bestehende IT-Systeme integriert.
Damit stellen sich klassische Fragen der Informationssicherheit:
- Welche Daten verlassen das Unternehmen?
- Wo werden Daten verarbeitet?
- Werden Eingaben zum Training verwendet?
- Wie werden Zugriffe gesteuert?
- Welche Dienstleister sind beteiligt?
- Was passiert bei einem Sicherheitsvorfall?
Für Organisationen mit einem ISMS oder einer Orientierung an ISO 27001 ist es deshalb sinnvoll, KI-Risiken in bestehende Governance-, Risiko- und Security-Prozesse zu integrieren, statt dafür eine völlig parallele Welt aufzubauen.
8. Was ich Unternehmen jetzt konkret empfehlen würde
Wer KI bereits nutzt, sollte nicht mit einem 100-seitigen AI-Policy-Dokument beginnen.
Die sinnvolleren ersten Schritte sind:
- KI-Anwendungen und Use Cases erfassen
- Risiken und regulatorische Relevanz klassifizieren
- Verantwortlichkeiten festlegen
- einen pragmatischen Freigabeprozess definieren
- KI-Kompetenz gezielt aufbauen
- Transparenzpflichten prüfen
- Datenschutz und Informationssicherheit integrieren
- Monitoring und regelmäßige Reviews etablieren
Damit ist ein Unternehmen nicht automatisch in jedem Detail „AI-Act-compliant“. Aber es schafft die organisatorische Grundlage, auf der Compliance überhaupt möglich wird.
Fazit
Der EU AI Act ist weniger ein reines IT-Thema als ein Governance- und Führungsthema.
Unternehmen müssen nicht nur verstehen, welche KI-Technologie sie einsetzen. Sie müssen entscheiden, welche KI sie einsetzen wollen, unter welchen Bedingungen und mit welcher Verantwortung.
Gerade seit August 2026 wird das konkreter: Transparenzpflichten gelten, KI-Kompetenz ist bereits verpflichtend und weitere Anforderungen folgen schrittweise.
Die entscheidende Frage lautet deshalb nicht mehr:
„Nutzen wir KI?“
sondern:
„Können wir nachvollziehbar erklären, wie wir KI auswählen, steuern, überwachen und verantworten?“
Genau dort beginnt wirksame KI-Governance.
Bereit, mehr zu erfahren?
Nehmen Sie einfach Kontakt mit mir auf
