AI Act: Was Unternehmen seit dem 2. August beachten müssen

Für den EU AI Act hat eine neue Umsetzungsphase begonnen. Neu sind vor allem Transparenzpflichten und schärfere Aufsichtsmöglichkeiten gegenüber Anbietern von General-Purpose-AI-Modellen, kurz GPAI.

Chatbots und KI-Inhalte müssen erkennbar sein

Unternehmen, die Chatbots oder vergleichbare KI-Systeme einsetzen, müssen Nutzerinnen und Nutzer grundsätzlich darüber informieren, dass sie mit einer Maschine interagieren. Das gilt beispielsweise für automatisierte Kundenchats, telefonische Sprachbots und digitale Beratungsangebote.

Anbieter generativer KI-Systeme müssen ihre Lösungen so gestalten, dass künstlich erzeugte oder manipulierte Ausgaben maschinenlesbar erkannt werden können. Dafür kommen etwa Metadaten oder digitale Wasserzeichen infrage. Der AI Act schreibt dabei keine technische Methode vor. Weitere Einzelheiten enthalten die Leitlinien der EU-Kommission zu den Transparenzpflichten nach Artikel 50.

Neue Offenlegungspflichten können Unternehmen treffen, die Deepfakes oder bestimmte KI-generierte Inhalte zu Themen von öffentlichem Interesse veröffentlichen. Dabei bestehen Ausnahmen, unter anderem für Inhalte, die einer ausreichenden menschlichen Prüfung oder redaktionellen Verantwortung unterliegen.

Unternehmen sollten exakt prüfen, welche Inhalte veröffentlicht werden, wie sie erzeugt wurden und ob gesetzliche Hinweise erforderlich sind.

EU kann gegenüber Modellanbietern durchgreifen

Eine zweite wichtige Neuerung betrifft die großen Anbieter allgemein einsetzbarer KI-Modelle. Die GPAI-Pflichten gelten bereits seit August 2025. Seit dem 2. August 2026 kann die Europäische Kommission sie jedoch aktiv überwachen und durchsetzen.

Das europäische AI Office kann von Anbietern technische Dokumentationen und weitere Informationen verlangen. Unter bestimmten gesetzlichen Voraussetzungen darf die Kommission Modelle evaluieren, Abhilfemaßnahmen anordnen und bei schwerwiegenden Risiken die Bereitstellung einschränken oder eine Rücknahme verlangen.

Eine allgemeine staatliche Vorabzulassung für jedes neue KI-Modell entsteht dadurch nicht. Anbieter müssen aber in der Lage sein, Risiken, Testverfahren, Sicherheitsmaßnahmen und technische Prozesse gegenüber der Aufsicht nachvollziehbar darzustellen. Die Einzelheiten zu Anwendungsbereich, Pflichten und Durchsetzung erläutern die EU-Leitlinien für Anbieter von General-Purpose-AI-Modellen.

Bei Verstößen gegen die GPAI-Vorgaben drohen Geldbußen von bis zu 15 Millionen Euro oder drei Prozent des weltweiten Jahresumsatzes. Sanktionen können auch verhängt werden, wenn Anbieter Informationen verweigern, falsche oder irreführende Angaben übermitteln oder eine rechtmäßig angeordnete Modellevaluation blockieren.

Wer externe KI-Dienste integriert, ist auf verlässliche Dokumentationen, technische Kennzeichnungen und schnelle Informationen bei Sicherheitsvorfällen angewiesen.

Aufgaben für Anwenderunternehmen

Unternehmen, die KI einsetzen, sollten ihre Prozesse überprüfen.

• Kundenschnittstellen müssen klar erkennen lassen, wann ein Chatbot, Sprachbot oder KI-Agent eingesetzt wird.
• Veröffentlichungsprozesse sollen sicherstellen, dass notwendige Kennzeichnungen und Offenlegungen bei Bildern, Audio, Video und Text erhalten bleiben.
• Verträge mit KI-Anbietern sollen regeln, welche technischen Informationen, Kennzeichnungen, Sicherheitsnachweise und Vorfallmeldungen bereitgestellt werden.
• Interne Zuständigkeiten für Beschaffung, Freigaben, Beschwerden, Sicherheitsvorfälle und Behördenanfragen sind festzulegen.

Ein dokumentiertes Verzeichnis der eingesetzten KI-Systeme eignet sich als Governance-Instrument. Zur Förderung von KI-Kompetenz sollten Schulungen an den konkreten Aufgaben und Risiken der Beschäftigten ausgerichtet werden.

Hochrisiko-Regeln kommen später

Die umfangreichen Vorgaben für Hochrisiko-KI wurden verschoben. Für entsprechende Anwendungen gelten die zentralen Anforderungen erst ab dem 2. Dezember 2027. Dazu können unter anderem Systeme in Personalentscheidungen, Bildung, Kreditwürdigkeitsprüfung, kritischer Infrastruktur und Migration zählen.

Für Hochrisiko-KI, die Bestandteil regulierter Produkte ist, wurde der Termin auf den 2. August 2028 verlegt. Die neuen Fristen ergeben sich aus der Verordnung (EU) 2026/1744 – Digital Omnibus on AI.

Unternehmen erhalten zwar mehr Vorbereitungszeit. Sie sollten die Entwicklung von Risikomanagement, Dokumentation, Protokollierung und menschlicher Aufsicht dennoch nicht bis kurz vor den neuen Stichtagen aufschieben.

Cybervorfälle werden zum ersten Praxistest

Wie relevant die Aufsicht werden kann, zeigen aktuelle Vorfälle mit autonomen KI-Agenten von OpenAI und Anthropic. Beide Unternehmen stehen nach Berichten über unerwartete Cyberaktivitäten ihrer Modelle mit der EU-Kommission in Kontakt.

Monitoring, Vorfallsmeldungen und die Kontrolle agentischer Systeme gewinnen an Bedeutung. Wenn KI-Systeme selbstständig auf Dateien, Programmierschnittstellen oder Unternehmensanwendungen zugreifen können, sind vorab Berechtigungen, laufende Überwachung und Abschaltmöglichkeiten sicherzustellen.

KI-VO Herausgegeben von Dr. Silvio Andrae und Jan Pohle Regeln für mächtige Systeme Mit der KI-Verordnung (EU) 2024/1689 hat die EU erstmals einen umfassenden Rechtsrahmen für Künstliche Intelligenz geschaffen. Sie etabliert europaweit einheitliche Standards für Innovation, Risikosteuerung und Grundrechtsschutz – und setzt damit zugleich internationale Maßstäbe. Der Kommentar analysiert die komplexen Anforderungen der Verordnung systematisch und interdisziplinär – aus rechtlicher, technischer und ethischer Perspektive. Er verbindet dogmatische Präzision mit regulatorischer Einordnung und praktischer Umsetzbarkeit und bietet Orientierung für Unternehmen, Behörden, Beraterinnen und Berater sowie Entwickler bei der rechtssicheren Umsetzung. Fundierte und verständliche Erläuterung der zentralen Regelungen der KI-VO, insbesondere der auslegungsbedürftigen Begriffsbestimmungen nach Art. 3 Analyse von Abgrenzungsfragen und Wechselwirkungen mit bestehendem Recht – vom Produktsicherheitsrecht über die DSGVO bis zu den Rechtsakten der digitalen Agenda der EU Einordnung künftiger Konkretisierungen durch delegierte Rechtsakte, Leitlinien und harmonisierte Normen