AI-Act-Pflichten für Unternehmen: Checkliste und Fristen

Wer KI-Systeme einsetzt, ob selbst entwickelt oder als zugekaufte Softwarelösung, trägt Verantwortung. Die Frage ist nicht ob, sondern welche Pflichten gelten. Systeme, die ohne AI-Act-Konformität implementiert werden, müssen später technisch nachdokumentiert, neu bewertet und teils umgebaut werden. Das verursacht deutlich höhere Kosten als ein strukturierter Einstieg von Beginn an.

Dieser Artikel zeigt, welche Verpflichtungen für welche KI-Systeme gelten, welche Fristen bereits laufen und was Ihr Unternehmen jetzt konkret tun muss.

Risikoklassen im EU AI Act: So stufen Sie Ihre KI-Systeme ein

Bevor ein Unternehmen seine Pflichten kennt, muss es verstehen, in welche Risikoklasse seine KI-Systeme fallen. Von dieser Einstufung hängt das gesamte Konformitätsprogramm ab.

Verbotene KI-Praktiken: Was seit Februar 2025 untersagt ist

Seit dem 2. Februar 2025 sind bestimmte KI-Anwendungen kategorisch verboten, ohne Übergangszeitraum und unabhängig von der Unternehmensgröße. Dazu gehören Social-Scoring-Systeme, biometrische Echtzeit-Identifikation im öffentlichen Raum sowie manipulative Systeme, die das Verhalten von Personen gezielt ausnutzen. Wer solche Systeme einsetzt, riskiert Bußgelder von bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes.

Besonders relevant für Einkäufer: Auch zugekaufte SaaS-Lösungen (Software as a Service) können verbotene Komponenten enthalten. Wer ein KI-Tool lizenziert, ohne den Funktionsumfang zu prüfen, übernimmt das rechtliche Risiko mit.

Hochriskante Systeme: Wann eine KI in die strenge Kategorie fällt

Als hochriskant gelten KI-Systeme, die in sensiblen Bereichen eingesetzt werden: Personalentscheidungen und Bewerberscreening, Kreditvergabe, kritische Infrastruktur, medizinische Diagnose sowie biometrische Klassifikation. Die vollständige Liste der Einsatzbereiche findet sich in Anhang III der Verordnung.

Ein häufiges Missverständnis: Auch wer ein fertiges Hochrisiko-System nur betreibt, also nicht selbst entwickelt, hat Pflichten. Der Unterschied zwischen Anbieter und Betreiber ist entscheidend. Anbieter tragen die primäre Produktverantwortung mit umfangreichem Pflichtenprogramm. Betreiber müssen das System gemäß Anbieteranweisungen einsetzen, menschliche Aufsicht sicherstellen und Vorkommnisse melden. Keine dieser Pflichten entfällt, nur weil das System zugekauft wurde.

Begrenzte und minimale Risikoklassen: Was wirklich gilt

Chatbots und ähnliche Systeme fallen typischerweise in die Kategorie des begrenzten Risikos. Hier greift vor allem eine Transparenzpflicht: Nutzer müssen erkennen, dass sie mit KI interagieren (vgl. Transparenzanforderungen im AI Act). Systeme mit minimalem Risiko, etwa Spam-Filter oder Empfehlungsalgorithmen, unterliegen nach dem AI Act keinen spezifischen Anforderungen.

Auch wenn keine gesetzliche Pflicht besteht: Eine interne Governance für sämtliche KI-Systeme ist sinnvoll. Sie schafft Übersicht, erleichtert spätere Klassifikationsentscheidungen und zeigt Prüfbehörden, dass das Unternehmen strukturiert vorgeht.

AI-Act-Pflichten für Unternehmen: Konkrete Anforderungen bei hochriskanten KI-Systemen

Hochriskante KI löst das umfangreichste Pflichtenprogramm aus. Wer hier ohne Vorbereitung in eine Behördenprüfung geht, steht mit leeren Händen da.

Ein kontinuierliches Risikomanagementsystem muss vor Inbetriebnahme eingerichtet sein und laufend aktualisiert werden. Dazu kommt eine Daten-Governance, die Herkunft, Umfang und Qualität der Trainingsdaten dokumentiert. Automatische Protokolle des Systems müssen nach den einschlägigen Vorgaben der Verordnung (vgl. Art. 12 und Anhang IV) mindestens sechs Monate aufbewahrt werden.

Die technische Dokumentation nach Anhang IV umfasst: allgemeine Systembeschreibung, Architektur und Designentscheidungen, Datenquellen und Datenverarbeitung, Testergebnisse, Risikomanagement sowie Maßnahmen zur menschlichen Aufsicht. Diese Dokumentation muss vor der Inbetriebnahme vorliegen und zusammen mit der EU-Konformitätserklärung zehn Jahre lang aufbewahrt werden. Für Anbieter kommt ein Qualitätsmanagementsystem als verpflichtende Voraussetzung hinzu.

Betreiber, also Unternehmen, die ein hochriskantes System einsetzen, ohne es selbst zu entwickeln, haben darüber hinaus folgende Pflichten:

• betroffene Personen über KI-gestützte Entscheidungen informieren,
• angemessene menschliche Aufsicht im Betrieb sicherstellen,
• Vorkommnisse an die zuständigen Behörden melden.

Diese Pflichten sind enger als jene der Anbieter, aber keineswegs trivial.

Fristen und Stichtage: Was wann verbindlich wird

Viele Unternehmen denken, noch ausreichend Zeit zu haben. Die Realität: Mehrere Stichtage sind bereits verstrichen, und der nächste wichtige Termin rückt schnell näher.

• 1. August 2024: Formelles Inkrafttreten der Verordnung
• 2. Februar 2025: Verbote für unzulässige KI-Praktiken sind verbindlich
• 2. August 2025: Regeln für Allzweck-KI-Modelle (große Sprachmodelle wie GPT-Varianten) sind anwendbar
• 2. August 2026: Der Großteil der übrigen Pflichten greift, darunter viele Transparenz- und Governance-Vorgaben
• 2. August 2027: Kernpflichten für hochriskante KI-Systeme nach Art. 6 Abs. 1 werden vollständig anwendbar

Der häufigste Fehler: „Wir haben noch bis 2027 Zeit.“ Das stimmt nur für bestimmte Hochrisiko-Pflichten. Für Verbote und Allzweck-KI-Regeln laufen die Uhren längst. Und selbst wer auf 2027 blickt: Risikomanagementsystem, technische Dokumentation und Qualitätsmanagement brauchen erhebliche Vorlaufzeit. Wer im Sommer 2027 die Anforderungen erfüllen will, muss spätestens jetzt anfangen.

AI-Act-Pflichten für KMU: Was der Gesetzgeber wirklich verlangt

Es gibt Erleichterungen für kleine und mittlere Unternehmen, aber keine Ausnahmen. Wer das verwechselt, begeht einen teuren Fehler.

Erleichterungen: Was der Gesetzgeber für KMU vorsieht

Der AI Act enthält mehrere Unterstützungsmaßnahmen. KMU erhalten vorrangigen, beim Erstmarkteintritt kostenfreien Zugang zu regulatorischen Sandbox-Umgebungen, also kontrollierten Testumgebungen unter realen Bedingungen. Gebühren für Konformitätsbewertungen werden proportional zur Unternehmensgröße reduziert. Für die technische Dokumentation sind vereinfachte Vorlagen vorgesehen. Mitgliedstaaten müssen zudem spezielle Beratungs- und Schulungsangebote für KMU bereitstellen. In Österreich ist laut verfügbaren Informationen die RTR-KI-Servicestelle als nationale Anlaufstelle vorgesehen; eine offizielle Bestätigung sollte über die Website der RTR oder das zuständige Ministerium eingeholt werden.

Schulungspflicht nach Art. 4: KI-Kompetenz im Team aufbauen

Art. 4 des AI Act verpflichtet sowohl Anbieter als auch Betreiber, nach bestem Bemühen für ausreichende KI-Kompetenz ihres Personals zu sorgen. Ein fixes Curriculum schreibt das Gesetz nicht vor. Der Einsatzkontext, die Risiken des jeweiligen Systems und die rechtlichen Rahmenbedingungen müssen jedoch abgedeckt sein.

Schulung ist kein Einmalereignis. Bei neuen Systemen oder wesentlichen Aktualisierungen sind Auffrischungen notwendig. Wer Mitarbeitende nur einmal schult und danach nichts dokumentiert, erfüllt die Anforderungen des Art. 4 nicht ausreichend.

Mehr dazu, wie sich diese Pflicht in der Praxis umsetzen lässt, finden Sie in unserem Beitrag zur KI-Schulung für Mitarbeiter.

Häufige Missverständnisse, die teuer werden können

„Wir nutzen nur SaaS-KI-Tools, also haben wir keine Pflichten.“ Falsch. Betreiber hochriskanter Systeme tragen eigene Pflichten nach dem AI Act, unabhängig davon, ob sie das System selbst entwickelt haben. Wer ein fertiges Tool einsetzt, übernimmt damit auch die Betreiberverantwortung.

„Als KMU sind wir generell ausgenommen.“ Ebenfalls falsch. Risikomanagementsystem, Dokumentation und Transparenzpflichten gelten unabhängig von der Unternehmensgröße, sobald ein hochriskantes System im Einsatz ist. Die Erleichterungen betreffen Verfahren und Kosten, nicht die inhaltlichen Anforderungen selbst.

„Wir haben bis 2027 Zeit.“ Nur für bestimmte Hochrisiko-Pflichten korrekt. Verbote sind seit Februar 2025 verbindlich, Allzweck-KI-Regeln seit August 2025. Wer diese Stichtage ignoriert, bewegt sich bereits heute in einem rechtlich riskanten Bereich.

AI-Act-Pflichten für Unternehmen: Checkliste in 7 Schritten

Konformität ist kein Projekt, das man einmal abschließt. Aber ein strukturierter Einstieg macht den Unterschied zwischen rechtlicher Sicherheit und reaktivem Chaos.

1. KI-Inventar erstellen: Alle KI-Systeme und KI-gestützten Dienste im Unternehmen erfassen, inklusive zugekaufter SaaS-Lösungen.
2. Risikoklasse bestimmen: Für jedes System prüfen: verbotene Praktiken, hochriskant, begrenzt riskant oder minimales Risiko?
3. Rollen und Verantwortlichkeiten zuweisen: Wer ist intern für Konformität, Dokumentation und Meldung von Vorkommnissen zuständig?
4. Technische Dokumentation aufsetzen: Für hochriskante Systeme selbst erstellen oder beim Anbieter einfordern und intern archivieren.
5. Risikobewertung und Risikomanagementsystem einrichten: Bei zugekauften Hochrisiko-Systemen den Anbieter auf Konformitätsnachweise prüfen.
6. KI-Kompetenz-Schulungen durchführen: Alle betroffenen Mitarbeitenden schulen, Schwerpunkt auf Funktionsweise, Risiken, Grenzen und rechtliche Anforderungen des jeweiligen Systems.
7. Laufende Aufsicht und Überwachung einrichten: Protokolle aufbewahren, Vorkommnisse dokumentieren und einen internen Prozess für Prüfvorbereitung etablieren.

Compliance von Anfang an: Der entscheidende Unterschied

Systeme, die ohne AI-Act-Konformität implementiert wurden, brauchen im Nachhinein erheblichen Aufwand: Dokumentation muss rückwirkend erstellt, Risikobewertungen müssen wiederholt und Systemteile müssen mitunter neu aufgebaut werden. Fehlende Unterlagen bei einer Behördenprüfung bedeuten nicht nur Bußgeldrisiko, sondern können je nach Sachlage auch zu einem vorläufigen Anwendungsstopp oder Nachbesserungspflichten führen. Frühzeitige Konformität schafft hingegen Vertrauen bei Kunden, Partnern und Behörden.

Bei KI Schmiede sind die AI-Act-Pflichten für Unternehmen kein Zusatzmodul, sondern fester Bestandteil jedes KI-Projekts. Die Risikoklassifizierung erfolgt im Rahmen der Erstanalyse, die technische Dokumentation entsteht während der Implementierungsphase, und die Schulungen der Mitarbeitenden sind Teil der Verankerungsphase. Das 4-Phasen-Modell (Analyse, Workshop, Pilot, Verankerung) ist so aufgebaut, dass kein Unternehmen am Projektende mit einem Konformitäts-Rückstand startet.

Für KMU, die rechtliche Sicherheit und messbaren Nutzen gleichzeitig anstreben: Die kostenlose KI-Erstanalyse von KI Schmiede zeigt auf, welche Systeme klassifiziert werden müssen, welche Fristen für Ihr Unternehmen bereits laufen und wo der größte Handlungsbedarf liegt. Jetzt KI-Inventar prüfen und den ersten Schritt setzen.

Fazit: AI-Act-Pflichten für Unternehmen ernst nehmen, jetzt handeln

Jetzt kostenlose KI-Erstanalyse anfragen