EU AI Act für Unternehmen: was er verlangt

Timo Wevelsiep•Aktualisiert: 23.07.2026

Hinweis zum Inhalt: Versionen, Befehle und Preise können sich ändern. Bitte prüfen Sie kritische Schritte vor dem produktiven Einsatz eigenständig. Dieser Leitfaden ersetzt keine individuelle Beratung.

KI verantwortet und nachweisbar betreiben lassen? WZ-IT baut und betreibt KI auf eigener Infrastruktur - mit Protokollierung und Nachvollziehbarkeit als Grundlage für Compliance, DSGVO-konform aus einer Hand. Managed KI ansehen

Mit dem EU AI Act bekommt der Einsatz künstlicher Intelligenz erstmals einen verbindlichen europäischen Rechtsrahmen. Für Unternehmen ist die zentrale Frage nicht „ob", sondern „welche Pflichten gelten für meine Anwendung". Dieser Artikel erklärt den risikobasierten Ansatz, die Klassen, die Regeln für Basismodelle und den Zeitplan - als Einordnung, nicht als Rechtsberatung. Stand Juli 2026.

Was der EU AI Act regelt

Der EU AI Act ist die europäische Verordnung für künstliche Intelligenz. Ihr Kern ist ein risikobasierter Ansatz: Nicht jede KI wird gleich behandelt, sondern nach dem Risiko, das von ihrem konkreten Einsatz ausgeht. Je höher das Risiko, desto strenger die Pflichten.

Wichtig für die Einordnung: Der EU AI Act knüpft am Anwendungsfall an, nicht an der Technik oder am Betriebsort. Dasselbe Modell kann in einer harmlosen Anwendung kaum Pflichten auslösen und in einem kritischen Bereich umfangreiche. Der erste Schritt ist deshalb immer, die eigene Anwendung einer Risikoklasse zuzuordnen.

Die vier Risikoklassen

Der EU AI Act unterscheidet vier Stufen:

Verbotene Praktiken - Anwendungen wie Social Scoring oder bestimmte manipulative Systeme sind untersagt.
Hochrisiko-Systeme - etwa in kritischen Infrastrukturen, im Personalwesen oder bei bestimmten regulierten Produkten. Sie müssen Risikomanagement, Daten-Governance, Protokollierung, menschliche Aufsicht und eine Konformitätsbewertung nachweisen.
Begrenztes Risiko - hier gelten Transparenzpflichten. Ein Chatbot muss sich etwa als KI zu erkennen geben.
Minimales Risiko - der Großteil der Anwendungen; weitgehend ohne besondere Pflichten.

Die meisten Unternehmensanwendungen fallen in die unteren beiden Klassen. Wer aber KI in sensiblen Bereichen einsetzt, sollte die Hochrisiko-Anforderungen früh prüfen.

GPAI: Regeln für Basismodelle

Eine eigene Kategorie bilden allgemein einsetzbare KI-Modelle (General-Purpose AI, GPAI) - die großen Basismodelle, auf denen viele Anwendungen aufsetzen. Für ihre Anbieter gelten eigene Pflichten, etwa zur technischen Dokumentation und zu Angaben über die Trainingsdaten; Modelle mit systemischem Risiko unterliegen zusätzlichen Anforderungen.

Für Unternehmen, die solche Modelle nur einsetzen (statt sie anzubieten), sind vor allem die Pflichten aus der Risikoklasse ihrer Anwendung maßgeblich. Wer ein offenes Modell selbst betreibt, sollte dennoch wissen, unter welcher Lizenz und mit welcher Dokumentation es kommt.

Der gestaffelte Zeitplan

Der EU AI Act tritt gestaffelt in Kraft, über mehrere Stichtage verteilt. Verbotene Praktiken und Vorgaben zur KI-Kompetenz gelten seit Anfang 2025, die GPAI-Pflichten seit Mitte 2025, und die umfangreichen Hochrisiko-Anforderungen folgen in weiteren Stufen.

Die genauen Fristen werden politisch noch justiert - es gibt Vorschläge, einzelne Hochrisiko-Termine zu verschieben. Maßgeblich ist deshalb die jeweils aktuelle Fassung; der Zeitplan gehört auf die Beobachtungsliste. Bei Verstößen drohen Bußgelder von bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes.

Was Unternehmen tun sollten

Der pragmatische Einstieg ist eine Bestandsaufnahme: Welche KI-Anwendungen sind im Einsatz oder geplant, und in welche Risikoklasse fallen sie? Daraus ergibt sich, welche Pflichten überhaupt relevant sind - für die meisten Anwendungen sind es Transparenz und Dokumentation, nicht die volle Hochrisiko-Konformität.

Eine wiederkehrende Anforderung über die Klassen hinweg ist die Nachvollziehbarkeit: nachweisen zu können, was ein System auf welche Eingabe hin getan hat. Genau das liefert der eigene, souveräne Betrieb einfacher - die Protokollierung etwa über eine Observability-Schicht wie Langfuse, die Kontrolle über die Daten über souveräne, lokale KI. Der EU AI Act ersetzt keine rechtliche Prüfung im Einzelfall - aber wer KI auf kontrollierter Infrastruktur betreibt, hat die belastbarere Grundlage, seine Pflichten zu erfüllen.

Lieber betreiben lassen?

Sie möchten Lokale & Souveräne KI nicht selbst betreiben? WZ-IT übernimmt Einrichtung, Betrieb und Wartung - DSGVO-konform aus Deutschland.

Ai Server →

Häufig gestellte Fragen

Antworten auf die wichtigsten Fragen

Der EU AI Act ist die europäische Verordnung zur Regulierung künstlicher Intelligenz. Er verfolgt einen risikobasierten Ansatz: Je höher das Risiko einer KI-Anwendung, desto strenger die Pflichten. Verbotene Praktiken sind untersagt, Hochrisiko-Systeme unterliegen umfangreichen Auflagen, und für allgemeine KI-Modelle (GPAI) gelten eigene Regeln.

Vier. Verbotene Praktiken (etwa Social Scoring oder manipulative Systeme) sind untersagt. Hochrisiko-Systeme (etwa in kritischen Bereichen) müssen Risikomanagement, Daten-Governance, Protokollierung und menschliche Aufsicht nachweisen. Systeme mit begrenztem Risiko unterliegen Transparenzpflichten - ein Chatbot muss sich etwa als KI zu erkennen geben. Systeme mit minimalem Risiko sind weitgehend frei.

Ja, der EU AI Act knüpft an den Anwendungsfall und das Risiko an, nicht an den Betriebsort. Ein selbst gehostetes Modell entbindet nicht von den Pflichten. Der eigene Betrieb erleichtert aber die Erfüllung: Protokollierung, Nachvollziehbarkeit und Kontrolle über die Datenflüsse lassen sich auf eigener Infrastruktur deutlich einfacher umsetzen.

GPAI steht für General-Purpose AI, also allgemein einsetzbare Basismodelle. Für ihre Anbieter gelten eigene Pflichten, etwa zur technischen Dokumentation und zu Angaben über die Trainingsdaten; Modelle mit systemischem Risiko unterliegen zusätzlichen Anforderungen. Für Unternehmen, die solche Modelle nur einsetzen, sind vor allem die Pflichten aus der jeweiligen Risikoklasse der Anwendung relevant.

Der EU AI Act tritt gestaffelt in Kraft: Verbotene Praktiken und Vorgaben zur KI-Kompetenz gelten seit Anfang 2025, die GPAI-Pflichten seit Mitte 2025, und die umfangreichen Hochrisiko-Anforderungen folgen später. Die genauen Fristen werden politisch noch justiert - maßgeblich ist die jeweils aktuelle Fassung, weshalb der Zeitplan im Auge behalten werden sollte.

Erheblich. Für schwere Verstöße sieht der EU AI Act Bußgelder von bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist. Für Verstöße im Zusammenhang mit GPAI-Modellen gelten gestaffelte Obergrenzen. Die Höhe unterstreicht, dass Compliance kein Randthema ist.