Beantwortet von Matthias Hinsche Stand
Die Verordnung wirkt größer, als sie für die meisten Betriebe ist. Entscheidend ist die Einordnung in eine Risikoklasse, und die meisten betrieblichen Anwendungen landen in der niedrigsten.
Die Klassen
Verboten. Soziale Bewertung von Menschen, Emotionserkennung am Arbeitsplatz, bestimmte biometrische Verfahren. Für den normalen Mittelstand kein Thema.
Hochrisiko. Anwendungen, die über Menschen entscheiden: Bewerberauswahl, Kreditvergabe, Zugang zu Bildung, Sicherheitskomponenten in Produkten. Hier gelten Dokumentations-, Prüf- und Aufsichtspflichten.
Begrenztes Risiko. Chatbots und generative Systeme. Pflicht ist Transparenz: Nutzer müssen erkennen, dass sie mit einem System sprechen, und KI-erzeugte Inhalte sind kenntlich zu machen.
Minimales Risiko. Der Rest, also die Mehrheit: Textentwürfe, Klassifikation, Automatisierung interner Abläufe. Keine besonderen Pflichten.
Was praktisch für dich gilt
Zwei Punkte betreffen fast jeden.
KI-Kompetenz. Wer KI einsetzt, muss dafür sorgen, dass die damit arbeitenden Personen ausreichend Kenntnisse haben. Das verlangt keine Zertifikate, aber eine nachweisbare Einweisung.
Transparenz. Wo Kunden mit einem System interagieren oder KI-erzeugte Inhalte sehen, gehört ein Hinweis dazu.
Die Fristen
Die Pflichten für eigenständige Hochrisiko-Systeme greifen nach dem Digital Omnibus vom Juni 2026 erst ab dem 2. Dezember 2027, für KI in regulierten Produkten ab dem 2. August 2028. Die Transparenzpflichten und das KI-Kompetenz-Gebot gelten bereits.
Was ein sinnvoller erster Schritt ist
Eine Liste: Welche KI-Werkzeuge werden bei uns tatsächlich eingesetzt, von wem, mit welchen Daten. Diese Übersicht fehlt in den meisten Unternehmen und ist die Grundlage für jede weitere Bewertung.
Was der Act für dich als Anwender bedeutet, nicht als Hersteller
Ein Punkt sorgt regelmäßig für Verwirrung: Die meisten Pflichten treffen Anbieter von KI-Systemen, nicht Anwender. Wer ChatGPT, einen Chatbot-Baukasten oder eine Automatisierungsplattform einsetzt, ist Betreiber, nicht Anbieter.
Das ändert sich, wenn du ein System unter eigenem Namen an Kunden weitergibst oder wesentlich veränderst. Dann rutschst du in die Anbieterrolle mit deutlich mehr Pflichten. Diese Grenze lohnt eine Prüfung, bevor eine KI-Funktion Teil deines eigenen Produkts wird.
Details zu den Regeln im Team stehen in Brauche ich eine KI-Richtlinie?.
Wir sind keine Rechtsberatung. Bei der Einordnung und Umsetzung helfen wir: KI-Leitfaden. (Stand: August 2026)