EU-Verordnung (EU) 2024/1689

EU AI Act: Jetzt gelten die
Transparenzpflichten

Die Verordnung wirkt gestuft — und der Zeitplan hat sich zuletzt verschoben. Aktiv sind bereits die verbotenen Praktiken, die KI-Kompetenzpflicht und seit August 2026 die Transparenzpflichten. Die Hochrisiko-Anforderungen wurden nach hinten gelegt. Wir sortieren, was für Sie jetzt gilt.

30 Minuten · kostenlos · kein Verkaufsdruck · Sie bekommen danach eine schriftliche Einschätzung

Gilt das für uns?

Sie nutzen KI —
auch wenn Sie keine bauen

Die Verordnung trifft nicht nur Entwickler. Wer KI-Systeme im eigenen Namen einsetzt, hat eigene Pflichten — und das sind heute praktisch alle.

Betrifft Sie sehr wahrscheinlich

  • Sie setzen KI-gestützte Werkzeuge ein: Chatbots, Textgeneratoren, Bewerbervorauswahl, Bild- oder Sprachverarbeitung
  • Sie veröffentlichen Inhalte, die mit KI erzeugt oder verändert wurden
  • Sie entwickeln oder integrieren KI-Funktionen in eigene Produkte
  • Sie setzen KI in sensiblen Bereichen ein — Personalauswahl, Kreditwürdigkeit, Zugangskontrolle, Bildung

Betrifft Sie eher nicht

  • Rein private Nutzung ohne beruflichen Zusammenhang
  • Klassische regelbasierte Software ohne lernende oder ableitende Komponenten
  • Aber: Der Anwendungsbereich ist weiter gefasst, als die meisten annehmen — die Einstufung sollte dokumentiert sein, gerade wenn Sie zu dem Ergebnis kommen, nicht betroffen zu sein

Wichtig zum Zeitplan: Die Fristen für Hochrisiko-Systeme wurden auf EU-Ebene nach hinten verschoben — eigenständige Systeme nach Anhang III auf Dezember 2027, in Produkte eingebettete KI auf August 2028. Ein erheblicher Teil der frei verfügbaren Ratgeber im Netz bildet diesen Stand noch nicht ab und nennt weiterhin August 2026. Wer danach plant, arbeitet mit überholten Annahmen — in beide Richtungen. Wir prüfen den aktuellen Stand für Ihren konkreten Fall.

Was gefordert wird

Erst einordnen,
dann umsetzen

Fast alle Fehler entstehen vor der ersten Maßnahme: Wer seine KI-Systeme nicht kennt und nicht eingestuft hat, kann weder Pflichten erfüllen noch begründen, warum keine bestehen.

1
KI-Inventar

Welche KI-Systeme sind bei Ihnen im Einsatz — auch die, die als Funktion in einem gekauften Werkzeug stecken? Ohne diese Liste ist alles Weitere Spekulation.

2
Risikoklassifizierung

Je System die Einstufung in eine der vier Stufen, dokumentiert und begründet. Auch das Ergebnis „minimales Risiko" ist eine Feststellung, die belegt sein sollte.

3
Verbotene Praktiken ausschließen

Bestimmte Anwendungen sind unzulässig — etwa Social Scoring oder bestimmte Formen biometrischer Kategorisierung. Diese Prüfung steht am Anfang, denn hier greift der höchste Bußgeldrahmen.

4
KI-Kompetenz

Beschäftigte, die mit KI-Systemen arbeiten, müssen über ausreichende Kompetenz verfügen. Diese Pflicht gilt bereits und lässt sich mit überschaubarem Aufwand nachweisen.

5
Transparenz und Kennzeichnung

Seit August 2026 wirksam: Offenlegung bei KI-Interaktion, maschinenlesbare Kennzeichnung synthetischer Inhalte, Hinweise bei Deepfakes sowie bei Emotionserkennung und biometrischer Kategorisierung.

6
Vorbereitung auf Hochrisiko

Wer Systeme betreibt, die künftig als hochriskant gelten, sollte die Zeit bis Dezember 2027 nutzen: Risikomanagement, Datenqualität, Protokollierung, menschliche Aufsicht und technische Dokumentation.

Was auf dem Spiel steht

Der höchste Bußgeldrahmen
der EU-Digitalgesetzgebung

💶
35 Mio. € / 7 %
Verbotene Praktiken

Der höchste Rahmen der Verordnung greift bei unzulässigen Anwendungen. Deshalb steht diese Prüfung ganz am Anfang — sie ist schnell erledigt und schließt das größte Risiko aus.

🏷️
15 Mio. € / 3 %
Transparenz und Hochrisiko

Für Verstöße gegen die Kennzeichnungs- und Transparenzpflichten sowie gegen die Hochrisiko-Anforderungen. Die Transparenzpflichten sind seit August 2026 wirksam.

📄
 
Veraltete Dokumentation

Das unterschätzte Risiko: Der Zeitplan wurde auf EU-Ebene angepasst. Wer sich auf Leitfäden aus der Zeit davor stützt, dokumentiert gegen einen Stand, den es so nicht mehr gibt.

So gehen wir vor

Vom Inventar
zur belegbaren Einstufung

Der AI Act belohnt frühe Ordnung. Wer seine Systeme kennt und eingestuft hat, kann jede Frist gelassen abwarten — wer nicht, muss jedes Mal neu recherchieren.

Woche 1–2
KI-Inventar erstellen

Wir erfassen die eingesetzten Systeme — einschließlich der KI-Funktionen in Werkzeugen, die Sie nicht als KI eingekauft haben. Meist der überraschendste Teil des Projekts.

Woche 2–3
Klassifizierung und Verbotsprüfung

Jedes System wird eingestuft und die Prüfung auf verbotene Praktiken dokumentiert. Ergebnis ist eine belastbare Grundlage statt einer Vermutung.

Monat 1–2
Sofort geltende Pflichten

Transparenz und Kennzeichnung umsetzen, KI-Kompetenz der Beschäftigten nachweisen, KI-Richtlinie verabschieden. Das ist der Teil, der heute wirksam ist.

Monat 2–3
Governance verankern

Zuständigkeiten, Freigabeprozess für neue KI-Werkzeuge, Umgang mit Anbietern. Verhindert, dass das Inventar nach drei Monaten wieder veraltet ist.

Bis 12/2027
Hochrisiko vorbereiten

Für Systeme, die künftig als hochriskant gelten: Risikomanagement, Datenqualität, Protokollierung, menschliche Aufsicht, technische Dokumentation. Mit Zeitpuffer statt unter Druck.

Das bekommen Sie

Am Ende liegt etwas
auf dem Tisch — nicht nur ein Gefühl

KI-Governance ist neu — umso wichtiger ist, dass am Ende etwas Vorzeigbares dasteht.

KI-InventarAlle eingesetzten Systeme erfasst, inklusive eingebetteter Funktionen
KlassifizierungsberichtJe System die Risikostufe, begründet und nachvollziehbar dokumentiert
Prüfung auf verbotene PraktikenDokumentiertes Ergebnis — die Absicherung gegen den höchsten Bußgeldrahmen
KI-RichtlinieVerbindliche Regeln für den Einsatz von KI im Unternehmen, verständlich formuliert
Transparenz- und KennzeichnungskonzeptWo, wie und womit gekennzeichnet wird — umsetzbar beschrieben
Schulungsnachweis KI-KompetenzErfüllt die bereits geltende Pflicht und ist dokumentiert
Freigabeprozess für neue WerkzeugeDamit das Inventar aktuell bleibt, ohne dass jemand hinterherlaufen muss
Roadmap bis Dezember 2027Priorisierter Plan für die verschobenen Hochrisiko-Anforderungen
Was wir geleistet haben

Erfahrung, die sich
nachrechnen lässt

XXKI-Inventare erstellt und klassifiziert
XXXeingesetzte KI-Systeme eingestuft
X Wochenim Schnitt bis zur belegbaren Klassifizierung
  • KI-Inventare aufgebaut, die auch die versteckten Funktionen in Standardsoftware erfassen
  • Risikoklassifizierungen dokumentiert — inklusive der begründeten Feststellung, dass kein Handlungsbedarf besteht
  • Transparenz- und Kennzeichnungspflichten praktisch umgesetzt statt nur beschrieben
  • KI-Richtlinien verfasst, die Beschäftigte tatsächlich lesen und anwenden können
  • KI-Governance an ein bestehendes ISMS angedockt, statt ein zweites System aufzubauen

Platzhalter: Die drei Kennzahlen oben sind noch nicht belegt. Vor dem Livegang durch echte Werte ersetzen — oder den Zahlenblock entfernen und nur die Liste stehen lassen. Markierung entfernen: class="todo" im Quelltext löschen.

FAQ

Häufige Fragen zu EU AI Act

Gelten die Hochrisiko-Pflichten nicht seit August 2026?
Das war der ursprüngliche Plan, er wurde auf EU-Ebene geändert. Eigenständige Hochrisiko-Systeme nach Anhang III sind nun ab dem 02.12.2027 erfasst, in Produkte eingebettete KI nach Anhang I ab dem 02.08.2028. Seit dem 02.08.2026 wirksam sind stattdessen die Transparenzpflichten. Viele Ratgeber im Netz bilden diese Änderung noch nicht ab — das ist derzeit die häufigste Fehlerquelle.
Wir entwickeln keine KI, wir nutzen sie nur. Betrifft uns das trotzdem?
Ja. Die Verordnung unterscheidet zwischen Anbietern und Betreibern; wer ein KI-System im eigenen Namen einsetzt, hat eigene Pflichten. Dazu zählen insbesondere die KI-Kompetenz der Beschäftigten und die Transparenzpflichten. Der Aufwand ist deutlich geringer als für Anbieter, aber er ist nicht null.
Was fällt unter die Transparenzpflichten?
Im Kern vier Fälle: Menschen müssen erkennen können, dass sie mit einem KI-System interagieren; synthetisch erzeugte oder veränderte Inhalte müssen maschinenlesbar gekennzeichnet werden; Deepfakes sind offenzulegen; und beim Einsatz von Emotionserkennung oder biometrischer Kategorisierung sind die Betroffenen zu informieren. Für generative Systeme, die bereits vor August 2026 auf dem Markt waren, gibt es bei der Kennzeichnung eine Übergangsfrist bis Dezember 2026.
Wie hängt der AI Act mit der DSGVO zusammen?
Beide gelten nebeneinander. Verarbeitet ein KI-System personenbezogene Daten, brauchen Sie zusätzlich eine Rechtsgrundlage, gegebenenfalls eine Datenschutz-Folgenabschätzung und müssen die Betroffenenrechte gewährleisten. In der Praxis lohnt es sich, beide Themen gemeinsam zu bearbeiten — das KI-Inventar und das Verarbeitungsverzeichnis überschneiden sich erheblich.
Was bringt uns ein KI-Inventar konkret?
Es ist die Voraussetzung für alles Weitere und hat einen unmittelbaren Nebeneffekt: Die meisten Unternehmen entdecken dabei zum ersten Mal, wie viele KI-Funktionen bereits im Einsatz sind — häufig eingeführt von einzelnen Abteilungen, ohne Freigabe und ohne Prüfung des Anbieters. Der Erkenntnisgewinn ist oft größer als der Compliance-Nutzen.
Sollen wir warten, bis die Hochrisiko-Regeln greifen?
Mit den konkreten Hochrisiko-Maßnahmen können Sie sich Zeit lassen — die Frist ist ehrlich weit. Mit Inventar, Klassifizierung und Verbotsprüfung nicht: Diese kosten wenig, sind Voraussetzung für jede spätere Entscheidung und schließen das größte Bußgeldrisiko sofort aus. Der teuerste Weg ist, 2027 bei null anzufangen.
Immer noch unsicher?

Klären Sie es
in 60 Sekunden

Kostenlos starten

Sortieren wir zuerst,
was bei Ihnen überhaupt läuft

In 30 Minuten wissen Sie, ob und wie EU AI Act Sie trifft, was zuerst dran ist — und was Sie sich sparen können. Ohne Fachchinesisch, ohne Verkaufsdruck.