EU AI Act ab August 2026: Diese Pflichten gelten für Hochrisiko-KI
Im August 2026 wird der Großteil der KI-Verordnung anwendbar. Welche Systeme als Hochrisiko gelten und welche Pflichten Anbieter und Betreiber nach Art. 9 ff. treffen.
Der Zeitplan der KI-Verordnung
Die Verordnung (EU) 2024/1689 — der EU AI Act — gilt gestaffelt: Die Verbote inakzeptabler KI-Praktiken sind seit Februar 2025 anwendbar, die Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck seit August 2025. Ab dem 2. August 2026 wird der Großteil der Verordnung anwendbar, darunter die Anforderungen an Hochrisiko-Systeme nach Anhang III; für Hochrisiko-KI als Sicherheitskomponente regulierter Produkte nach Anhang I gilt eine verlängerte Frist bis August 2027.
Welche Systeme gelten als Hochrisiko?
Anhang III listet die kritischen Einsatzfelder: unter anderem Beschäftigung und Personalmanagement (etwa KI-gestützte Bewerberauswahl), Kreditwürdigkeitsprüfung, kritische Infrastruktur, Bildung, Strafverfolgung und der Zugang zu wesentlichen Diensten. Entscheidend ist der Einsatzzweck, nicht die Technologie — dasselbe Sprachmodell kann je nach Verwendung minimales oder hohes Risiko bedeuten. Eine Einordnung aller vier Risikoklassen finden Sie im Überblick EU AI Act: Risikoklassen.
Die Anbieterpflichten nach Art. 9 ff.
- Risikomanagementsystem (Art. 9): dokumentierter, iterativer Prozess über den gesamten Lebenszyklus
- Daten-Governance (Art. 10): Trainings-, Validierungs- und Testdaten müssen relevant, repräsentativ und möglichst fehlerfrei sein
- Technische Dokumentation und Aufzeichnungen (Art. 11, 12): Nachweisbarkeit der Konformität, automatische Protokollierung
- Transparenz und menschliche Aufsicht (Art. 13, 14): verständliche Betriebsanleitungen, wirksame Eingriffsmöglichkeiten
- Genauigkeit, Robustheit, Cybersicherheit (Art. 15) sowie Konformitätsbewertung und CE-Kennzeichnung vor dem Inverkehrbringen
Auch Betreiber sind in der Pflicht
Wer ein Hochrisiko-System lediglich einsetzt, ist als Betreiber nach Art. 26 verpflichtet: Nutzung gemäß Betriebsanleitung, Übertragung der menschlichen Aufsicht auf kompetente Personen, Kontrolle der Eingabedaten, Aufbewahrung der Protokolle und Information der betroffenen Beschäftigten vor der Inbetriebnahme. Arbeitgeber, die etwa KI-gestützte Bewerbungstools nutzen, sollten diese Pflichten nicht unterschätzen — hinzu kommt seit Februar 2025 die Pflicht zur KI-Kompetenz des Personals nach Art. 4.
Was Sie jetzt tun sollten
Inventarisieren Sie zunächst alle eingesetzten und geplanten KI-Systeme und ordnen Sie jedes System einer Risikoklasse zu. Für Hochrisiko-Kandidaten klären Sie Ihre Rolle — Anbieter oder Betreiber — und die daraus folgenden Pflichten. Der EU AI Act Agent unterstützt bei Klassifizierung und Dokumentation. Bußgelder reichen nach Art. 99 bis 35 Mio. € oder 7 % des weltweiten Jahresumsatzes.
Häufige Fragen
Bin ich Anbieter oder Betreiber im Sinne des AI Act?
Anbieter ist, wer ein KI-System entwickelt oder unter eigenem Namen in Verkehr bringt; Betreiber ist, wer es in eigener Verantwortung beruflich nutzt. Vorsicht: Wer ein fremdes Hochrisiko-System wesentlich verändert oder unter eigener Marke anbietet, kann nach Art. 25 selbst zum Anbieter mit allen Anbieterpflichten werden.
Fällt der Einsatz von ChatGPT oder ähnlichen Tools unter die Hochrisiko-Pflichten?
Die bloße Büronutzung generativer KI ist in der Regel kein Hochrisiko-Anwendungsfall. Entscheidend ist der Einsatzzweck: Wird ein solches Tool etwa zur Bewertung von Bewerbern oder zur Kreditentscheidung eingesetzt, kann der Anwendungsfall unter Anhang III fallen. Unabhängig davon gelten Transparenzpflichten und die Pflicht zur KI-Kompetenz des Personals nach Art. 4.
Was bedeutet die Konformitätsbewertung für Hochrisiko-KI?
Vor dem Inverkehrbringen muss der Anbieter nachweisen, dass das System die Anforderungen der Art. 9 bis 15 erfüllt. Für die meisten Anhang-III-Systeme genügt eine interne Kontrolle anhand harmonisierter Normen; anschließend werden EU-Konformitätserklärung und CE-Kennzeichnung ausgestellt und das System in der EU-Datenbank registriert.
Gibt es Erleichterungen für kleine Unternehmen?
Ja. Die Verordnung sieht für KMU und Start-ups vereinfachte technische Dokumentation, bevorzugten und kostenfreien Zugang zu KI-Reallaboren sowie bei Bußgeldern die Berücksichtigung der wirtschaftlichen Lage vor. Von den materiellen Anforderungen an Hochrisiko-Systeme befreit die Unternehmensgröße jedoch nicht.
Weiterführende Artikel
Die 7 teuersten Compliance-Fehler deutscher KMU
Von der fehlenden LUCID-Registrierung bis zur verspäteten Datenpannen-Meldung: Diese sieben Versäumnisse kosten den Mittelstand regelmäßig fünf- bis siebenstellige Beträge.
CybersicherheitNIS2 für Zulieferer: Wie Lieferkettenklauseln auch kleine Betriebe treffen
Unter 50 Mitarbeiter und trotzdem NIS2-Anforderungen im Vertrag? Warum regulierte Kunden ihre Pflichten an Zulieferer weiterreichen — und wie Sie reagieren sollten.