EU AI Act: KI-Einsatz wird zur operativen Führungsaufgabe
Stand: 7. August 2026
Seit dem 2. August 2026 gelten weitere zentrale Regeln des EU AI Act. Dieser Beitrag zeigt, warum ein sauberer Überblick über Zweck, Daten, Verantwortlichkeiten, menschliche Kontrolle und Transparenz zur unmittelbaren Betriebsanforderung wird.
Was sich seit dem 2. August 2026 geändert hat
Am 2. August 2026 ist der EU AI Act für viele Unternehmen vom Gesetzestext zur konkreten Betriebsanforderung geworden. Die Europäische Kommission und nationale Behörden können nun weitere Vorschriften durchsetzen. Gleichzeitig gelten neue Transparenzpflichten für bestimmte KI-Systeme.
Das betrifft nicht nur Entwickler großer Modelle. Es betrifft auch Unternehmen, die KI einkaufen, konfigurieren und im Alltag einsetzen: im Kundenservice, in der Personalgewinnung, bei der Bearbeitung von Dokumenten oder über autonome beziehungsweise teilautonome KI-Agenten.
Der entscheidende Punkt: Ein KI-Tool ist nicht allein deshalb unkritisch, weil es von einem bekannten Anbieter stammt oder „nur unterstützend“ eingesetzt wird. Relevant sind der konkrete Zweck, die betroffenen Menschen, die verarbeiteten Daten und die tatsächliche Entscheidungsmacht des Systems.
Kurz gesagt: Unternehmen brauchen einen Überblick darüber, wo KI läuft, welche Daten sie verarbeitet, wer sie verantwortet, wann Menschen eingreifen und wie Betroffene informiert werden.
Der AI Act gilt stufenweise. Einige Regeln gelten bereits seit dem 2. Februar 2025, darunter das Verbot bestimmter KI-Praktiken und Anforderungen an KI-Kompetenz. Seit dem 2. August 2026 greifen nun weitere zentrale Teile der Verordnung.
- die allgemeine Anwendung weiterer Regelungen des AI Act,
- die Durchsetzung durch das AI Office der Europäischen Kommission und zuständige nationale Behörden,
- Transparenzpflichten für bestimmte KI-Systeme nach Artikel 50,
- Vorgaben für viele Hochrisiko-KI-Systeme, etwa in bestimmten Beschäftigungs- und Recruiting-Kontexten.
Wichtig ist die Differenzierung: Nicht jede KI-Anwendung unterliegt denselben Pflichten. Der AI Act arbeitet risikobasiert. Ein KI-gestützter Entwurf für einen internen Text ist anders zu bewerten als ein System, das Bewerbungen vorsortiert oder Kundinnen und Kunden automatisiert zu einer Vertragsentscheidung lenkt.
Der häufigste Fehler: KI als einzelnes Tool statt als Prozess betrachten
In vielen Unternehmen beginnt KI-Nutzung pragmatisch: Ein Team aktiviert einen Chatbot auf der Website, HR testet ein Tool zur Vorauswahl von Bewerbungen, Mitarbeitende laden Dokumente zur Zusammenfassung hoch oder ein Agent beantwortet E-Mails und aktualisiert Daten im CRM.
- Welchen Zweck erfüllt das System konkret?
- Welche Daten gelangen hinein und wohin gehen sie weiter?
- Wer entscheidet über Einsatz, Konfiguration und Freigaben?
- Welche Entscheidungen trifft die KI selbst, welche Menschen?
- Wie erkennen Kundinnen, Bewerber oder Mitarbeitende den KI-Einsatz?
- Was passiert bei falschen, diskriminierenden oder unzulässigen Ergebnissen?
Der AI Act verlangt nicht, dass jedes Unternehmen ein eigenes Compliance-Team aufbaut. Er verlangt aber, dass Organisationen ihren KI-Einsatz nachvollziehbar steuern. Ein guter Start ist ein KI-Verzeichnis, das nicht in einer Schublade verschwindet, sondern Teil des laufenden Betriebs wird.
Vier typische Einsatzfelder im Praxischeck
1. KI in der Kundenkommunikation: Transparenz darf kein Nachgedanke sein
Ein Chatbot auf einer Website, ein KI-Assistent im Support oder automatisierte Antworten über Messenger können Kundenerlebnisse verbessern. Seit dem 2. August sind Transparenzregeln dafür deutlich relevanter. Personen sollen erkennen können, wenn sie mit KI interagieren. In der Praxis sollte diese Information sichtbar, verständlich und rechtzeitig erfolgen – nicht versteckt in einer Datenschutzerklärung.
Eine klare Formulierung kann etwa so aussehen: „Sie chatten mit unserem digitalen KI-Assistenten. Bei komplexen Fragen oder auf Wunsch übernimmt ein Mitglied unseres Teams.“
Praxisfragen: Ist der KI-Einsatz klar erkennbar? Kann ein Mensch unkompliziert übernehmen? Welche Antworten darf das System nicht geben? Werden Gesprächsverläufe gespeichert, für Training genutzt oder an Dritte übermittelt?
2. Recruiting: KI kann schnell in den Hochrisikobereich fallen
Systeme, die Bewerbungen analysieren, Kandidaten bewerten, priorisieren oder Empfehlungen für Auswahlentscheidungen geben, können unter die Hochrisiko-Regeln des AI Act fallen. Die Verordnung nennt KI-Systeme im Bereich Beschäftigung, Personalmanagement und Zugang zur Selbstständigkeit ausdrücklich als sensibles Feld.
Das gilt auch dann, wenn die finale Entscheidung offiziell bei einem Menschen liegt. Eine menschliche Freigabe ist nur dann wirksam, wenn sie mehr ist als ein Klick auf „Bestätigen“. Recruiter müssen verstehen können, nach welchen Kriterien vorsortiert wird, welche Daten in die Bewertung einfließen, welche Fehlerquellen bestehen und wann ein Ergebnis überprüft werden muss.
3. Dokumentenprüfung: Der Anwendungsfall entscheidet, nicht der Produktname
„KI prüft Dokumente“ kann eine interne Zusammenfassung, das Extrahieren von Rechnungsdaten, das Erkennen fehlender Unterlagen oder eine Empfehlung zu Kredit, Versicherung oder Bewerbung bedeuten. Diese Fälle sind regulatorisch nicht gleich. Entscheidend sind Funktion und Wirkung: Werden Personen bewertet, priorisiert oder ausgeschlossen? Hat das Ergebnis rechtliche oder faktische Auswirkungen? Kann ein Mitarbeitender die Entscheidung nachvollziehen und korrigieren?
Der AI Act ersetzt die DSGVO nicht. Beide Regelwerke greifen nebeneinander. Wer personenbezogene Daten mit KI verarbeitet, muss deshalb weiterhin Rechtsgrundlage, Zweckbindung, Datenminimierung, Informationspflichten, Auftragsverarbeitung und gegebenenfalls Datenschutz-Folgenabschätzung prüfen.
4. KI-Agenten: Verantwortung endet nicht beim Prompt
KI-Agenten können Aufgaben selbstständig anstoßen, Informationen aus mehreren Systemen verbinden, E-Mails vorbereiten, Daten im CRM ändern, Dokumente erzeugen oder Folgeaktionen auslösen. Mit jeder Berechtigung steigt das Risiko. Ein Agent, der lediglich einen Entwurf vorbereitet, ist anders zu bewerten als ein Agent, der Angebote versendet, Kundendaten verändert, Bewerber vorsortiert oder Zahlungen anstößt.
Je höher die Auswirkung einer durch KI durchgeführten Handlung, desto stärker muss die menschliche Kontrolle im Prozess sein.
Die fünf Bausteine einer KI-Governance
1. KI-Inventar: Wissen, was tatsächlich im Einsatz ist
Erfassen Sie nicht nur offiziell beschaffte Software. Berücksichtigen Sie auch KI-Funktionen in Office-, CRM-, HR- und Support-Systemen, externe Chatbots und Textgeneratoren, Automationen mit KI-Komponenten, eigene Entwicklungen und API-Anbindungen sowie Testprojekte einzelner Teams.
2. Zweck und Grenzen schriftlich festlegen
„Wir nutzen KI zur Effizienzsteigerung“ ist keine ausreichende Beschreibung. Der Zweck muss konkret sein. Beispiel: Der Chatbot beantwortet allgemeine Fragen zu Öffnungszeiten, Leistungen und dem Ablauf einer Anfrage. Er erteilt keine individuelle Rechts-, Finanz- oder Gesundheitsberatung, gibt keine verbindlichen Preise aus und fragt keine besonderen Kategorien personenbezogener Daten ab.
3. Datenfluss und Vertragslage prüfen
Zu prüfen sind unter anderem Auftragsverarbeitungsvertrag und Rollenverteilung, Speicherorte und Drittlandtransfers, Einstellungen zur Nutzung von Daten für Modelltraining, Löschfristen, Zugriffsrechte und technische sowie organisatorische Maßnahmen.
4. Menschliche Kontrolle konkret gestalten
„Human in the loop“ bleibt wirkungslos, wenn kein Mensch Zeit, Wissen oder Handlungsspielraum hat, die KI wirklich zu korrigieren. Wirksame Kontrolle braucht klare Auslöser für eine Prüfung, Zugriff auf relevante Informationen, echte Befugnis zum Überstimmen, dokumentierte Eskalationswege und regelmäßige Qualitätskontrollen.
5. Transparenz und KI-Kompetenz als Betriebsaufgabe verstehen
KI-Kompetenz bedeutet nicht, dass alle Mitarbeitenden technische Experten werden müssen. Sie sollen Chancen, Grenzen und Risiken der Systeme verstehen, die sie einsetzen. Sinnvoll sind kurze, rollenbezogene Schulungen anhand der tatsächlich genutzten Anwendungen.
Braucht jedes Unternehmen einen KI-Beauftragten?
Eine gesetzlich vorgeschriebene Rolle mit dieser Bezeichnung gibt es im AI Act nicht. In der Praxis braucht es aber eine klar benannte Person oder ein festes Team, das den KI-Einsatz koordiniert.
Der KI-Beauftragte führt das KI-Inventar, bündelt Anfragen aus Fachbereichen, organisiert die Risiko- und Datenschutzprüfung, achtet auf Schulungen und dokumentiert Freigaben sowie Vorfälle. Die Rolle ersetzt weder Datenschutzbeauftragte noch IT-Sicherheit oder Rechtsberatung. Sie schafft jedoch einen verbindlichen Anlaufpunkt und verhindert, dass einzelne Teams neue KI-Anwendungen ohne gemeinsame Regeln einführen.
In kleineren Unternehmen kann diese Aufgabe bei der Geschäftsführung, IT-Leitung oder Datenschutzkoordination liegen; bei komplexeren Anwendungen sollte sie bereichsübergreifend mit HR, Fachabteilung, IT und Datenschutz arbeiten.
Checkliste für Unternehmen
- KI-Inventar und Kurzbewertungen konsolidieren.
- Verantwortliche Teams gezielt schulen.
- Vertrags- und Datenschutzprüfung für priorisierte Tools anstoßen.
- Regelmäßige Überprüfung fest einplanen, etwa quartalsweise oder bei wesentlichen Änderungen.
Fazit: KI-Governance ist jetzt Teil guter Unternehmensführung
Der EU AI Act zwingt Unternehmen nicht dazu, auf KI zu verzichten. Er verlangt, dass KI nicht unbemerkt, unkontrolliert und ohne klare Zuständigkeit in kritische Prozesse hineinwächst. Wer Zweck, Datenflüsse, Verantwortung, menschliche Kontrolle und Transparenz nachvollziehbar dokumentiert, reduziert Risiken und schafft eine bessere Grundlage für produktiven KI-Einsatz.
FAQ
Gilt der EU AI Act auch für kleine Unternehmen?
Ja. Die grundsätzliche Anwendbarkeit hängt vom KI-System und seinem Einsatz ab, nicht allein von der Größe des Unternehmens.
Ersetzt der AI Act die DSGVO?
Nein. Werden personenbezogene Daten verarbeitet, bleiben die Datenschutzanforderungen vollständig relevant.
Braucht unser Unternehmen eine schriftliche KI-Richtlinie?
Der AI Act schreibt nicht für jede Organisation ein Dokument mit genau diesem Namen vor. Eine klare, schriftliche KI-Richtlinie ist aber ein sinnvoller Weg, um erlaubte Tools, sensible Daten, Freigaben, menschliche Kontrolle und Meldewege verständlich festzuhalten. Sie sollte zum tatsächlichen KI-Einsatz passen und regelmäßig aktualisiert werden.
Was bedeutet KI-Kompetenz praktisch?
Unternehmen, die KI-Systeme betreiben oder einsetzen, sollen nach Artikel 4 des AI Act Maßnahmen treffen, damit Mitarbeitende und weitere Personen, die mit den Systemen arbeiten, über ausreichende KI-Kompetenz verfügen. Praktisch heißt das: rollenbezogene Schulungen zu Funktionsweise, Grenzen, Fehlerquellen, Datenschutz und sicheren Eskalationswegen – nicht zwingend ein allgemeines Technikseminar für alle.
Wer prüft ein extern eingekauftes KI-Tool?
Der Anbieter trägt Verantwortung für seine Rolle als Anbieter. Das einsetzende Unternehmen bleibt jedoch dafür verantwortlich, den konkreten Zweck, die Datenflüsse, Zugriffsrechte, Konfiguration, menschliche Aufsicht und Transparenz im eigenen Prozess zu prüfen. Ein Hinweis des Anbieters auf „AI-Act-Compliance“ ersetzt diese Einsatzprüfung nicht.
Was ist Shadow AI und wie sollte ein Unternehmen damit umgehen?
Von Shadow AI spricht man, wenn Mitarbeitende KI-Tools ohne abgestimmte Freigabe oder außerhalb der vorgesehenen Regeln nutzen. Das Risiko liegt vor allem in unbekannten Datenflüssen, unklaren Vertragsbedingungen und nicht nachvollziehbaren Entscheidungen. Hilfreich sind klar kommunizierte Freigabewege, sichere Alternativen und ein offenes Meldeverfahren statt einer reinen Verbotskultur.
Wie oft sollte das KI-Inventar überprüft werden?
Die Verordnung legt nicht für jedes Unternehmen einen einheitlichen Prüfturnus fest. Gute Praxis ist eine regelmäßige Überprüfung und zusätzlich eine Aktualisierung, wenn sich Zweck, Modell, Anbieter, Datenarten, Berechtigungen oder die Entscheidungsmacht des Systems wesentlich ändern.
Muss jeder Website-Chatbot gekennzeichnet werden?
Für KI-Systeme, die direkt mit Menschen interagieren, sind Transparenzpflichten relevant. Nutzer sollen grundsätzlich erkennen können, dass sie mit KI kommunizieren. Die konkrete Umsetzung hängt von System, Rolle des Unternehmens und Nutzungskontext ab.
Ist KI im Recruiting automatisch verboten?
Nein. Bestimmte besonders schädliche KI-Praktiken sind verboten. KI-Systeme im Recruiting können jedoch als Hochrisiko-Systeme eingestuft sein und dann strengen Anforderungen unterliegen.
Quellen und fachliche Einordnung
1. EUR-Lex – eur-lex.europa.eu: Verordnung (EU) 2024/1689, Artificial Intelligence Act
Anwendungszeitpunkte, Risikokategorien und Pflichten.
2. Europäische Kommission – digital-strategy.ec.europa.eu: Durchsetzung und neue Transparenzpflichten ab 2. August 2026
3. Europäische Kommission – digital-strategy.ec.europa.eu: Leitlinien zu Transparenzpflichten für Anbieter und Betreiber von KI-Systemen
4. Europäische Kommission – digital-strategy.ec.europa.eu: Fragen und Antworten zur KI-Kompetenz
5. Europäischer Datenschutzausschuss – edpb.europa.eu: Statement zur Rolle der Datenschutzbehörden im AI-Act-Rahmen
Redaktioneller Hinweis: Stand 9. August 2026. Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung. Die Einordnung einzelner Systeme hängt immer vom konkreten Einsatz, den Datenflüssen, den Rollen der Beteiligten und den Auswirkungen auf betroffene Personen ab.
