KI · Governance · 6 MIN LESEZEIT

AI Act: Fristen und Pflichten für Anwender im Mittelstand

Wenn Copilot, ChatGPT, Bildgeneratoren oder eigene KI-Workflows produktiv laufen, ist die entscheidende Frage nicht mehr, ob der AI Act kommt. Entscheidend ist, welche Rolle Ihr Unternehmen bei jeder Anwendung tatsächlich hat – und welche Pflichten und Nachweise daraus entstehen.

Direkte Antwort lesen

Veröffentlicht am 7. August 2026Von Steffen Flemme

Einordnung und Relevanz

Ordnen Sie zuerst die konkrete Anwendung ein: Zweck, Rolle, Nutzer und erzeugte Inhalte. Erst daraus ergibt sich, welche Pflicht tatsächlich greift.

Welche betriebliche Verantwortung entsteht aus diesem konkreten KI-Einsatz?

Geschäftsführung und ComplianceFachbereiche mit KI-AnwendungenIT, Datenschutz und Informationssicherheit

„Bei uns läuft keine KI.“ – ein Blick genügtEine Zeile je Anwendung

„Wir nutzen keine KI.“KI-Inventar

Copilotim Office-Paket
KI
- Zweck
- Rolle
- Einstufung
ChatGPTprivat mitgebracht
KI
- Zweck
- Rolle
- Einstufung
Bildgeneratorim Marketing
KI
- Zweck
- Rolle
- Einstufung
KI-Funktionin der Bestandssoftware
KI
- Zweck
- Rolle
- Einstufung

KI im Einsatz„keine“4 Anwendungen

Rolleungeprüftje Anwendung belegt

Der AI Act gilt nicht pauschal für „die KI im Unternehmen“, sondern je Anwendung und Rolle.

Schema · keine Kundendaten

NBC-THESE

KI-Governance beginnt nicht mit einer Richtlinie. Sie beginnt damit, herauszufinden, wo längst KI verwendet wird.

Das Wichtigste für Ihren Betrieb

Erst den Einsatz verstehen. Dann die Pflichten zuordnen.

Der AI Act gilt stufenweise. Unternehmen müssen je Anwendung klären, ob sie Anbieter oder Betreiber sind, verbotene Praktiken vermeiden, Maßnahmen zur KI-Kompetenz organisieren und die seit 2. August 2026 geltenden Transparenzpflichten nach Artikel 50 dort erfüllen, wo ihr Einsatz darunterfällt. Der Digital Omnibus on AI (Verordnung (EU) 2026/1744) hat unter anderem Artikel 4 neu gefasst, Übergänge für bestimmte bestehende generative Systeme geschaffen und die Hochrisiko-Fristen verschoben.

ENTSCHEIDUNG

Jede produktive KI-Anwendung braucht eine dokumentierte Rolle, einen klaren Zweck und eine begründete Einordnung.

NACHWEIS

Ein Inventar verbindet Anwendung, Daten, Nutzer, Anbieter und menschliche Aufsicht.

GRENZE

Die operative Einordnung ersetzt keine rechtliche Prüfung im Einzelfall.

NÄCHSTER SCHRITTBetriebliche Kontrollgrenzen eines Pilots ansehen

IN DIESEM BEITRAG3 Kapitel

Welche AI-Act-Fristen gelten für Anwender?
Welche sieben Fragen sollten Anwender jetzt klären?
Warum das operativ eine Chance ist

Welche AI-Act-Fristen gelten für Anwender?

Fristen · stufenweise

Die Frist gehört zur konkreten Pflicht.

Operative Einordnung, keine rechtliche Prüfung im Einzelfall.

Fachliche Erläuterung und vollständige Prüfpunkte

Die KI-Verordnung gilt stufenweise. Seit 2. Februar 2025 gelten unter anderem die bisherigen Verbote bestimmter KI-Praktiken und Artikel 4 zur KI-Kompetenz. Der Digital Omnibus on AI – Verordnung (EU) 2026/1744, veröffentlicht am 24. Juli 2026 – hat mehrere Vorschriften des AI Acts geändert. Dazu gehört die Neufassung von Artikel 4: Anbieter und Betreiber müssen Maßnahmen ergreifen, die den Aufbau von KI-Kompetenz bei den beteiligten Personen unterstützen. Ein bestimmtes Kompetenzniveau jeder einzelnen Person müssen sie ausdrücklich nicht garantieren.

Die Transparenzpflichten nach Artikel 50 gelten seit 2. August 2026. Anbieter interaktiver KI müssen direkte KI-Interaktionen kenntlich machen; für bestimmte generative Systeme gelten Pflichten zur maschinenlesbaren Kennzeichnung synthetischer Inhalte. Betreiber müssen unter anderem bei Emotions- oder biometrischer Kategorisierung, Deepfakes und bestimmten KI-generierten Veröffentlichungen von öffentlichem Interesse Transparenz herstellen. Für Systeme, die synthetische Audio-, Bild-, Video- oder Textinhalte erzeugen und bereits vor dem 2. August 2026 in Verkehr gebracht wurden, reicht die Übergangsfrist zur Erfüllung von Artikel 50 Absatz 2 bis zum 2. Dezember 2026; spätestens ab diesem Datum müssen auch diese Systeme die Pflicht erfüllen.

Auch der Hochrisiko-Zeitplan wurde verschoben: Die Anforderungen für Systeme nach Artikel 6 Absatz 2 und Anhang III gelten ab 2. Dezember 2027; für produktintegrierte Hochrisiko-Systeme nach Artikel 6 Absatz 1 und Anhang I ab 2. August 2028. Zusätzlich gelten ab dem 2. Dezember 2026 neue Verbote für bestimmte KI-Systeme, die realistische nicht-einvernehmliche intime Darstellungen oder Darstellungen sexuellen Missbrauchs von Kindern erzeugen oder manipulieren; der genaue Anwendungsbereich enthält gesetzliche Voraussetzungen und Ausnahmen. Für mittelständische Anwender bleibt deshalb die Reihenfolge entscheidend: Anwendung inventarisieren, eigene Rolle bestimmen, Transparenzpflicht prüfen und eine mögliche Hochrisiko-Einstufung separat bewerten.

Welche sieben Fragen sollten Anwender jetzt klären?

Sieben Fragen · Ihr Stand

Was können Sie heute schon beantworten?

Tippen Sie an, was Sie heute beantworten können.

0 von 7

Die sieben Fragen ausführlich

Welche KI-Systeme nutzen wir überhaupt? Inklusive der KI-Funktionen in Bestandssoftware und der Tools, die Mitarbeitende privat mitgebracht haben. Ohne Inventar keine Bewertung.
Welche Daten erhalten diese Systeme? Personenbezogene Daten, Kundendaten, Geschäftsgeheimnisse – hier verzahnt sich der AI Act mit der DSGVO.
Wer prüft die Ergebnisse? Eine gesetzliche Pflicht zur menschlichen Aufsicht ist Teil der Anforderungen an Hochrisiko-Systeme; diese greifen für Anhang-III-Systeme ab 2. Dezember 2027 und für produktintegrierte Hochrisiko-Systeme ab 2. August 2028. Unabhängig davon kann eine menschliche Freigabe auch bei anderen sensiblen Workflows betrieblich sinnvoll sein.
Welche Maßnahmen zur KI-Kompetenz sind nötig? Artikel 4 verpflichtet Anbieter und Betreiber, Maßnahmen zu ergreifen, die den Aufbau von KI-Kompetenz unterstützen und zum Einsatzkontext sowie zu den beteiligten Personen passen. Ein bestimmtes individuelles Kompetenzniveau muss nicht garantiert werden.
Wo müssen wir Transparenz herstellen? Ab 2. August 2026 müssen bestimmte direkte KI-Interaktionen erkennbar sein. Zusätzlich sind je nach Rolle maschinenlesbare Markierungen, Hinweise bei Deepfakes, Emotions- oder biometrischer Kategorisierung sowie bei bestimmten Texten zu Themen von öffentlichem Interesse erforderlich.
Nutzen wir etwas, das als Hochrisiko gelten könnte? Etwa KI in der Personalauswahl oder Kreditwürdigkeitsprüfung. Dann gelten deutlich strengere Betreiberpflichten – und Fachberatung ist Pflichtprogramm.
Wer ist intern verantwortlich? Eine benannte Person, die das Inventar pflegt, neue Tools bewertet und Fragen kanalisiert. Ohne Zuständigkeit versandet jede Compliance.

LEITOBJEKT

Anwendbarkeit je Anwendung prüfen

Der AI Act gilt nicht pauschal für „die KI im Unternehmen“, sondern je Anwendung und Rolle. Eine Zeile je Anwendung im Inventar genügt als Ausgangspunkt.

Prüffeld	Frage
Anwendung	Welche KI-Funktion, in welchem Ablauf, mit welchen Daten?
Rolle	Sind wir für diese Anwendung Anbieter oder Betreiber?
Einstufung	Verbotene Praxis, Hochrisiko nach Anhang III oder Anhang I, Transparenzfall nach Artikel 50 oder keiner davon?
Pflicht und Datum	Welche Pflicht folgt daraus, und ab wann gilt sie laut Fristenübersicht in Kapitel 01?
Nachweis	Wer hat die Einstufung mit welchem Rechtsstand geprüft, und wann wird sie überprüft?
Offene Rechtsfrage	Was muss eine Rechtsberatung klären, bevor die Anwendung weiterläuft?

Die Tabelle ersetzt keine rechtliche Prüfung. Sie sorgt dafür, dass jede Anwendung einmal eingeordnet ist und die offenen Fragen bei der richtigen Stelle landen.

Warum das operativ eine Chance ist

Die Fragen der Checkliste sind exakt die Fragen guter Automatisierungspraxis: Inventar, Datenqualität, menschliche Eskalation, klare Verantwortung. Die Antworten schaffen eine Grundlage für die betriebliche und rechtliche Prüfung. Ob der konkrete Einsatz alle Pflichten erfüllt und wirtschaftlich sinnvoll ist, muss gesondert bewertet werden. Und wer bereits strukturiert automatisiert, etwa mit KI-Agenten mit Mensch-in-der-Schleife, schafft zugleich die organisatorische Grundlage für nachvollziehbare Transparenz und Aufsicht. Für Zugriffe, Betriebsfähigkeit und technische Verantwortlichkeiten ergänzt die Vertiefung Cybersecurity als Betriebsfrage diese Governance-Perspektive.

Stand der fachlichen Prüfung: 22. September 2026. Eingearbeitet sind der Digital Omnibus on AI (Verordnung (EU) 2026/1744) und die Leitlinien der EU-Kommission vom 20. Juli 2026 zu Artikel 50 (C(2026) 5054 final). Dieser Beitrag ist eine praxisorientierte Einordnung und ersetzt keine Rechtsberatung. Ausnahmen, Anbieter-/Betreiberrollen und eine mögliche Hochrisiko-Einstufung müssen im konkreten Einsatz geprüft werden. Digital Omnibus auf EUR-Lex →

Anwendungen, Rollen und Kontrollgrenzen für Ihren Betrieb festlegen: KI-Beratung für den Mittelstand.

ENTSCHEIDUNGSHILFE

AI-Act-Inventar für den Mittelstand

Beginnen Sie mit einer tatsächlich eingesetzten KI-Anwendung: Sind Zweck, Nutzerkreis und Verantwortung dokumentiert?

Prüffelder · zum Durchgehen

Gehen Sie die Prüffelder durch und markieren Sie, was bei Ihnen schon belegt ist.

Leitfrage

Welche KI wird wofür tatsächlich genutzt?

Belastbarer Nachweis: Inventar mit Zweck, Nutzer und Anbieter.
Konsequenz: Schattennutzung sichtbar machen.

0 von 4 belegt

Alle Prüffelder als Tabelle

Prüffeld	Leitfrage	Belastbarer Nachweis	Konsequenz
Anwendung	Welche KI wird wofür tatsächlich genutzt?	Inventar mit Zweck, Nutzer und Anbieter.	Schattennutzung sichtbar machen.
Rolle	Ist das Unternehmen Anbieter, Betreiber/Deployer oder nur Nutzer eines Dienstes?	Rollenbewertung je Anwendung.	Pflichten nicht pauschal übertragen.
Risiko	Verboten, Transparenzfall, Hochrisiko oder sonstiger Einsatz?	Begründete Klassifizierung.	Kontrollen angemessen planen.
Betrieb	Welche Kompetenz, Aufsicht und Dokumentation ist nötig?	Verantwortliche, Regeln und Nachweise.	Governance in den Prozess integrieren.

Wer muss beim KI-Einsatz was verantworten?

Management/Compliance

Risikobereitschaft und Governance freigeben.

Fachbereich

Zweck, Nutzung und Ergebnisverantwortung benennen.

IT/Datenschutz/Sicherheit

Anbieter, Datenfluss, Zugriff und Betrieb prüfen.

Entscheidungshilfe · Warnsignale

Welche Warnsignale sehen Sie bei sich?

Tippen Sie an, was bei Ihnen zutrifft.

0 von 4

Quellen, Methodik und Einordnung.

Nachweise und methodische Einordnung sind am Ende des Artikels gebündelt.

Quellen und Einordnung

Offizielle Quellen und Aktualität

Fachlich geprüft am 22. September 2026. Eingearbeitet sind die Verordnung (EU) 2026/1744, die Leitlinien zu Artikel 50 und der aktuelle europäische Anwendungszeitplan. Für eine konkrete rechtliche Bewertung bleiben Rolle, Systemklasse, Ausnahme und Einsatzkontext maßgeblich.

FAZIT

Der nächste Schritt ist ein belastbares KI-Inventar – kein pauschales Rechtsprojekt

KI-Einsatz betrieblich einordnen.

Beschreiben Sie eine Anwendung und die offene Frage zu ihrem betrieblichen Einsatz.

KI-Einsatz betrieblich einordnen →