EU AI Act, was Unternehmen jetzt wissen und tun müssen
Mit dem EU AI Act hat die Europäische Union den weltweit ersten umfassenden Rechtsrahmen für den Einsatz künstlicher Intelligenz geschaffen. Die Verordnung legt fest, welche KI-Anwendungen erlaubt sind, welche verboten werden und welche Pflichten Unternehmen beim Einsatz von KI erfüllen müssen. Grundlage ist ein risikobasierter Ansatz, der KI-Anwendungen nach ihrem Gefährdungspotenzial in vier Kategorien einteilt, von unannehmbarem Risiko bis zu minimalem Risiko.
Betroffen sind nahezu alle Unternehmen, denn KI steckt heute längst nicht mehr nur in spezialisierten Softwarelösungen. Sie wird in Bewerbungsverfahren eingesetzt, in Marketingbildern, in Chatbots, in automatisierten Entscheidungen und in vielen weiteren Bereichen des Arbeitsalltags. Je nach Einsatzgebiet und Risiko gelten dabei unterschiedliche Pflichten, etwa zur Dokumentation, zur Transparenz oder zur menschlichen Kontrolle über die Ergebnisse.
Die meisten Pflichten sind inzwischen in Kraft. Dieser Beitrag gibt Ihnen einen Überblick darüber, was der EU AI Act regelt, welche Pflichten für Unternehmen bereits gelten und was Sie jetzt tun sollten, um gut aufgestellt zu sein.
Was ist der EU AI Act, Risikoklassen im Überblick
Der EU AI Act ist eine Verordnung der Europäischen Union, die den Einsatz künstlicher Intelligenz einheitlich reguliert. Er gilt seit dem 1. August 2024 und bildet den weltweit ersten umfassenden Rechtsrahmen für KI.
Das Herzstück des Regelwerks ist ein risikobasierter Ansatz. KI-Anwendungen werden in vier Klassen eingeteilt, von unannehmbarem Risiko (vollständig verboten, etwa Social Scoring) bis minimalem Risiko (keine Auflagen, etwa Spamfilter). Für Unternehmen, die KI einsetzen, sind in der Praxis vor allem die beiden mittleren Klassen entscheidend.
Hohes Risiko: Hierunter fallen sensible Einsatzbereiche wie Personalauswahl, Kreditwürdigkeitsprüfungen oder kritische Infrastruktur. Für diese Systeme gelten umfangreiche Dokumentations-, Aufsichts- und Konformitätspflichten.
Begrenztes Risiko: Dazu gehören Chatbots, generative KI und sogenannte Deepfakes, also KI-generierte Inhalte, die echt wirken. Für diese Anwendungen greifen vor allem Transparenzpflichten. Nutzer müssen erkennen können, dass sie mit einer KI interagieren oder dass ein Inhalt künstlich erzeugt wurde.
Welche Pflichten konkret greifen, hängt dabei nicht nur von der Risikoklasse ab, sondern auch von der Rolle, die das Unternehmen gegenüber dem KI-System einnimmt.
In welcher Rolle agiert Ihr Unternehmen
Der EU AI Act unterscheidet vier Rollen, die unterschiedliche Pflichten mit sich bringen. Für die allermeisten Unternehmen ist dabei nur eine Rolle praktisch relevant, nämlich die des Betreibers.
Betreiber sind Unternehmen, die ein KI-System im eigenen Namen und unter eigener Verantwortung einsetzen. Wer etwa ein KI-gestütztes Bewerbermanagement-Tool nutzt, eine KI zur Erstellung von Marketingbildern einsetzt oder einen Chatbot auf der Website betreibt, agiert in der Betreiberrolle. Betreiber müssen insbesondere sicherstellen, dass sie das System bestimmungsgemäß einsetzen, die vom Anbieter vorgegebenen Nutzungsbedingungen einhalten und bei Hochrisiko-KI für menschliche Aufsicht sorgen.
Daneben kennt der EU AI Act die Rollen des Anbieters (entwickelt KI-Systeme), des Importeurs (bringt KI aus Drittländern in die EU) und des Händlers (vertreibt KI-Systeme in der EU). Für klassische Anwenderunternehmen sind diese Rollen in der Regel nicht einschlägig.
Welche Pflichten in der Betreiberrolle konkret zu erfüllen sind, zeigen die folgenden fünf Pflichtbereiche.
Die zentralen Pflichten des EU AI Act für Unternehmen
Transparenz- und Kennzeichnungspflichten (Artikel 50): Wer KI-generierte Inhalte wie Bilder, Videos oder Audios veröffentlicht, muss diese als künstlich erzeugt kennzeichnen. Auch bei Chatbots oder KI-gestützten Interaktionen muss erkennbar sein, dass die Nutzer mit einer KI kommunizieren. Besonders relevant ist diese Pflicht für Marketing, Kommunikation und Social Media.
Risikomanagement und technische Dokumentation: Für Hochrisiko-KI-Systeme, etwa im Personalwesen oder in kritischen Infrastrukturen, müssen Unternehmen ein Risikomanagementsystem einrichten und die eingesetzten Systeme umfassend dokumentieren.
Menschliche Kontrolle (Human-in-the-Loop): Wesentliche Entscheidungen dürfen nicht vollautomatisch durch eine KI getroffen werden, sondern müssen von Menschen geprüft und dokumentiert werden.
Schulungspflichten (Artikel 4): Alle Mitarbeitenden, die mit KI-Systemen arbeiten, müssen über ausreichende KI-Kompetenz verfügen, sowohl technisch als auch mit Blick auf rechtliche Anforderungen.
Meldewesen und Hinweisgeberschutz (Artikel 87 und 78): Der EU AI Act verweist in Artikel 87 ausdrücklich auf die europäische Whistleblower-Richtlinie und verpflichtet Unternehmen, interne Meldekanäle für Verstöße bereitzustellen. Seit dem 24. November 2025 betreibt die EU-Kommission zusätzlich ein eigenes Hinweisgeber-Portal, über das Verstöße auch extern gemeldet werden können. Für Unternehmen ab 50 Beschäftigten besteht ohnehin die Pflicht nach § 12 HinSchG, eine interne Meldestelle einzurichten. Wer diese Pflicht bereits erfüllt, hat beim EU AI Act einen entscheidenden Baustein schon erledigt.
Typische KI-Anwendungen im Unternehmensalltag
In der Praxis begegnet uns KI in vielen Bereichen, oft ohne dass es den Beteiligten bewusst ist. Welche Pflichten jeweils greifen, hängt von der Risikoklasse der Anwendung ab. Personal-Anwendungen gelten in vielen Fällen als Hochrisiko-KI und unterliegen damit umfangreichen Dokumentations- und Aufsichtspflichten. Für KI-Bilder, Chatbots und ähnliche Anwendungen stehen vor allem die Transparenzpflichten nach Artikel 50 im Vordergrund. Zusätzlich sind bei personalrelevanten KI-Systemen die Mitbestimmungsrechte des Betriebsrats nach § 87 Abs. 1 Nr. 6 BetrVG zu berücksichtigen.
Werden diese Pflichten nicht eingehalten, kann das für Unternehmen empfindliche Folgen haben.
Sanktionen und Bußgelder bei Verstößen gegen den EU AI Act
Der EU AI Act sieht bei Verstößen Bußgelder von bis zu 35 Mio. Euro oder 7 Prozent des weltweiten Jahresumsatzes vor. Die höchsten Strafen gelten für verbotene KI-Praktiken, für Verstöße gegen Pflichten bei Hochrisiko-KI oder gegen die Transparenzregeln nach Artikel 50 fallen die Bußgelder geringer aus.
Hinzu kommen Reputationsrisiken. Seit dem 24. November 2025 können Verstöße über ein eigenes EU-Hinweisgeber-Portal auch anonym gemeldet werden. Interne Meldekanäle gewinnen dadurch zusätzlich an Bedeutung.
Für whistle.law-Kunden ist das eine gute Nachricht. Ihr Meldekanal ist längst einsatzbereit, die Kategorie "Verstöße gegen den EU AI Act" lässt sich mit wenigen Klicks ergänzen. Hinweise werden intern bearbeitet, bevor sie über das EU-Portal nach außen gelangen. Ein echter Vorteil, der sich jetzt auszahlt.
whistle.law meint dazu
Der EU AI Act ist in Kraft getreten. Die ersten Prüfbehörden arbeiten, und mit dem EU-Hinweisgeber-Portal zum AI Act existiert seit November 2025 ein eigenes Meldesystem für Verstöße. Für Compliance-, Legal- und HR-Verantwortliche stellt sich damit nicht mehr die Frage, ob die Umsetzung beginnt, sondern wie strukturiert sie läuft.
Bei whistle.law begleiten wir Unternehmen und Kommunen dabei, EU-Regulierung einfach, digital und compliant umzusetzen. Unser Fokus liegt auf dem Hinweisgeberschutzgesetz, das als integraler Bestandteil der KI-Compliance an Bedeutung gewinnt. Wer mehr darüber erfahren möchte, wie sich EU AI Act und Hinweisgeberschutz zu einer gemeinsamen Compliance-Architektur verbinden, findet in unserem Beitrag zu EU AI Act und Hinweisgeberschutz weiterführende Einblicke.
Wenn Sie Ihren Meldekanal auf den neuen Rechtsrahmen vorbereiten möchten, vereinbaren Sie eine kostenfreie Demo mit unserem Team. Schon ab 60 Euro im Monat setzen Sie das Hinweisgeberschutzgesetz vollständig gesetzeskonform um, mit Servern in Deutschland und ISO 27001-Zertifizierung.