AI-Act-Pflichten für Unternehmen, die KI nur nutzen
Wer KI-Werkzeuge einsetzt und nicht selbst entwickelt, ist nach der KI-Verordnung Betreiber und hat wenige, aber feste Pflichten. Hier stehen sie mit Datum, dazu die Fälle, in denen ein Betrieb ungeplant zum Anbieter wird.
Nächster TerminNeue Verbote für nicht einvernehmliche sexuelle Deepfakes; Markierungspflicht für Generatoren, die schon vor dem 02.08.2026 auf dem Markt waren
Ihre Pflichten auf einen Blick
| Pflicht | Wen sie trifft | Gilt seit | Fundstelle |
|---|---|---|---|
| Keine verbotenen Praktiken, etwa Emotionserkennung am Arbeitsplatz, Social Scoring, manipulative Techniken | alle | 02.02.2025 | Art. 5 |
| KI-Kompetenz des Personals fördern — Einzelheiten | Anbieter und Betreiber | 02.02.2025 | Art. 4 |
| Chatbots als KI erkennbar machen, Deepfakes und bestimmte Texte offenlegen — Einzelheiten | Anbieter (Chatbot), Betreiber (Inhalte) | 02.08.2026 | Art. 50 |
| Betriebsanleitung befolgen, menschliche Aufsicht, Protokolle mindestens sechs Monate, Beschäftigte vorab informieren | nur Betreiber von Hochrisiko-Systemen nach Anhang III | 02.12.2027 | Art. 26 |
Für Copilot, ChatGPT oder einen eingekauften Chatbot im Büroalltag bleiben davon die ersten drei Zeilen.
Betreiber oder Anbieter
Die Rolle entscheidet, welche Pflichten gelten. Betreiber ist, wer ein KI-System in eigener Verantwortung beruflich verwendet (Art. 3 Nr. 4). Anbieter ist, wer ein KI-System entwickelt oder entwickeln lässt und es unter eigenem Namen in Verkehr bringt oder in Betrieb nimmt (Art. 3 Nr. 3).
- Sie nutzen Copilot, ChatGPT Business oder Claude Team: Betreiber.
- Sie binden ein fertiges Chat-Produkt eines Herstellers auf Ihrer Website ein: Betreiber; der Hersteller ist Anbieter.
- Eine Agentur baut Ihnen einen Kundenservice-Bot, der unter Ihrer Marke läuft: Hier können Sie selbst Anbieter sein, denn Sie lassen entwickeln und nehmen unter eigenem Namen in Betrieb. Für einen Chatbot heißt das vor allem Art. 50 Abs. 1. Klären Sie im Vertrag, wer den Hinweis umsetzt.
- Sie setzen Ihren Namen auf ein fremdes Hochrisiko-System, verändern es wesentlich oder machen aus einem Allzweck-Werkzeug ein Hochrisiko-System: Dann gelten Sie als Anbieter mit allen Anbieterpflichten (Art. 25 Abs. 1).
Wo die Hochrisiko-Grenze liegt
Die meisten Büroanwendungen sind kein Hochrisiko. Ernst wird es dort, wo ein System über Menschen entscheidet oder mitentscheidet. Anhang III nennt unter anderem:
- Bewerbungen sichten, filtern oder Bewerber bewerten, gezielte Stellenanzeigen schalten.
- Entscheidungen über Beförderung, Kündigung, Aufgabenverteilung nach persönlichem Verhalten, Leistungsbewertung von Beschäftigten.
- Zugang zu Bildung und Bewertung von Prüfungen.
- Kreditwürdigkeit natürlicher Personen und Zugang zu grundlegenden Leistungen.
- Sicherheitsbauteile in kritischer Infrastruktur, Biometrie.
Ein Werkzeug, das Lebensläufe vorsortiert, ist damit kein Büroassistent mehr. Für Betreiber solcher Systeme gilt Art. 26 ab dem 02.12.2027, für Hochrisiko-KI in Produkten nach Anhang I ab dem 02.08.2028. Wer das plant, sollte nicht bis 2027 warten: Auswahl und Vertrag entscheiden heute, ob der Anbieter die nötige Betriebsanleitung liefert.
Zeitplan
- Verordnung in Kraft
- Verbotene Praktiken (Art. 5), KI-Kompetenz (Art. 4)
- Regeln für KI-Modelle mit allgemeinem Verwendungszweck, Behörden, Sanktionen
- Digital-Omnibus zur KI in Kraft: Art. 4 neu gefasst, Hochrisiko-Termine verschoben
- Allgemeiner Geltungsbeginn, Transparenzpflichten (Art. 50)
- Heute,
- Neue Verbote für nicht einvernehmliche sexuelle Deepfakes; Markierungspflicht für Generatoren, die schon vor dem 02.08.2026 auf dem Markt waren
- Hochrisiko-Systeme nach Anhang III (Personal, Bildung, Kredit …)
- Hochrisiko-Systeme in Produkten nach Anhang I
Nach Art. 113 und Art. 111 Abs. 4 in der Fassung nach dem Digital-Omnibus.
Wer aufsieht
In Deutschland ist seit dem 29.07.2026 die Bundesnetzagentur Marktüberwachungsbehörde, Anlaufstelle und Beschwerdestelle (KI-MIG); in regulierten Bereichen bleibt die bekannte Fachaufsicht zuständig, etwa die BaFin. In Österreich ist die KI-Servicestelle der RTR Anlaufstelle; die Zuständigkeit für die Durchsetzung war nach deren FAQ am 07.10.2026 noch nicht geregelt. Die Schweiz übernimmt die Verordnung nicht, Schweizer Betriebe trifft sie aber, wenn sie KI-Systeme in der EU anbieten oder ihre KI-Ausgaben dort verwendet werden. Einzelheiten zu Bußgeldern stehen bei der Schulungspflicht und der Kennzeichnungspflicht.
Was Sie jetzt tun
- Alle KI-Werkzeuge auflisten, mit Zweck und Daten. Die Liste ist Grundlage für alles Weitere.
- Je Werkzeug die Rolle klären: Betreiber oder Anbieter.
- Prüfen, ob etwas Verbotenes oder Hochrisiko dabei ist — am ehesten im Personalbereich.
- Schulung planen und festhalten (Schulungspflicht).
- Chatbots und veröffentlichte KI-Inhalte prüfen (Kennzeichnungspflicht).
- Datenschutz daneben nicht vergessen: Die KI-Verordnung ersetzt die DSGVO nicht. Was in ein Werkzeug darf, steht unter DSGVO und Betriebsdaten.
Unterstützung finden
Für eine Bestandsaufnahme oder eine KI-Richtlinie: Beschreiben Sie, was Sie einsetzen. Passende Betriebe aus dem Register melden sich, die Anfrage kostet nichts.
Leistungsfeld Compliance & AI Act
PPIHamburgProzessautomatisierung · Software
SmartShotsHausenMarketing
coretressKölnSecurity · Schulung
RovAIOberwaltersdorfProzessautomatisierung · Agenten & Chatbots
it-novumFuldaProzessautomatisierung · Dokumente
GEFIMBraunschweigSecurity · IT-Dienste
KI-Quadrat SystemhausGablitzSecurity · Software
RaDigSol e.UNeustift im StubaitalSchulung · Software
Anbieterinformationen der MindsMachines AIDüsseldorfBeratung · Prozessautomatisierung
Travel+Feel magazine publishingNeukeferlohAgenten & Chatbots · Schulung
PCM HoldingEben im PongauProzessautomatisierung · Agenten & Chatbots
AI-Trust ZTLaßnitzhöheBeratung · Software
AI KayserZugSchulung · Beratung
KI Datenschutz und ComplianceBerlinSchulung · Web
Andreas GrossFellbachSchulung · Dokumente
FA ManagementberatungLeipzigSchulung
carmasecEssenSecurity · IT-Dienste
INPROSA ConsultBergisch GladbachProzessautomatisierung · SchulungHäufige Fragen
Welche Pflichten haben wir, wenn wir KI-Tools nur nutzen?
Als Betreiber: keine verbotenen Praktiken (seit 02.02.2025), KI-Kompetenz des Personals fördern (seit 02.02.2025) und die Transparenzpflichten für Deepfakes und bestimmte Texte (seit 02.08.2026). Pflichten nach Art. 26 kommen nur bei Hochrisiko-Systemen dazu, ab dem 02.12.2027.
Gilt der AI Act auch für kleine Unternehmen?
Ja, es gibt keine Untergrenze nach Größe. Erleichterungen betreffen vor allem Bußgelder: Für KMU gilt der niedrigere der beiden Höchstbeträge (Art. 99 Abs. 6). Kommission und Mitgliedstaaten sollen KMU bei der KI-Kompetenz unterstützen (Art. 4 Abs. 2).
Ist Microsoft Copilot ein Hochrisiko-System?
Im Büroalltag nein. Hochrisiko ist ein Einsatzzweck aus Anhang III, etwa das Sichten von Bewerbungen. Wer ein Allzweck-Werkzeug für einen solchen Zweck einsetzt und anpasst, kann nach Art. 25 Abs. 1 Buchst. c selbst zum Anbieter eines Hochrisiko-Systems werden.
Was hat der Digital-Omnibus geändert?
Seit dem 27.07.2026 verlangt Art. 4 Maßnahmen zur KI-Kompetenz statt eines ausreichenden Niveaus je Person; die Hochrisiko-Pflichten beginnen am 02.12.2027 und 02.08.2028; dazu kamen Erleichterungen für kleine Midcap-Unternehmen und neue Verbote ab dem 02.12.2026.
Brauchen wir eine KI-Richtlinie?
Vorgeschrieben ist sie nicht. Sie ist aber der naheliegende Ort, um Werkzeugliste, Datenregeln, Kennzeichnung und Schulung festzuhalten — also genau das, was Sie bei einer Nachfrage vorlegen wollen. Mehr im Glossar.
Quellen
- KI-Verordnung, Art. 3 Begriffsbestimmungen (Nr. 3, 4, 56, 60) EU-Kommission, AI Act Service Desk (konsolidiert, Stand 27.07.2026), abgerufen am 07.10.2026
- KI-Verordnung, Art. 4 KI-Kompetenz (geändert durch den Digital-Omnibus) EU-Kommission, AI Act Service Desk (konsolidiert, Stand 27.07.2026), abgerufen am 07.10.2026
- KI-Verordnung, Art. 5 Verbotene Praktiken EU-Kommission, AI Act Service Desk (konsolidiert, Stand 27.07.2026), abgerufen am 07.10.2026
- KI-Verordnung, Art. 25 Verantwortlichkeiten entlang der Wertschöpfungskette EU-Kommission, AI Act Service Desk (konsolidiert, Stand 27.07.2026), abgerufen am 07.10.2026
- KI-Verordnung, Art. 26 Pflichten der Betreiber von Hochrisiko-KI-Systemen EU-Kommission, AI Act Service Desk (konsolidiert, Stand 27.07.2026), abgerufen am 07.10.2026
- KI-Verordnung, Anhang III Hochrisiko-KI-Systeme EU-Kommission, AI Act Service Desk (konsolidiert, Stand 27.07.2026), abgerufen am 07.10.2026
- KI-Verordnung, Art. 50 Transparenzpflichten EU-Kommission, AI Act Service Desk (konsolidiert, Stand 27.07.2026), abgerufen am 07.10.2026
- KI-Verordnung, Art. 99 Sanktionen EU-Kommission, AI Act Service Desk (konsolidiert, Stand 27.07.2026), abgerufen am 07.10.2026
- KI-Verordnung, Art. 111 Abs. 4 Übergang für Art. 50 Abs. 2 EU-Kommission, AI Act Service Desk (konsolidiert, Stand 27.07.2026), abgerufen am 07.10.2026
- KI-Verordnung, Art. 113 Inkrafttreten und Geltungsbeginn EU-Kommission, AI Act Service Desk (konsolidiert, Stand 27.07.2026), abgerufen am 07.10.2026
- AI Act – Regulatory framework, Zeitplan und Digital-Omnibus (Stand 03.08.2026) EU-Kommission, abgerufen am 07.10.2026
- KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG) vom 22.07.2026, §§ 2, 15, 16 Bundesministerium der Justiz, gesetze-im-internet.de, abgerufen am 07.10.2026
- Bundesnetzagentur übernimmt zentrale Rolle bei der Umsetzung der KI-Verordnung (29.07.2026) Bundesnetzagentur, abgerufen am 07.10.2026
- KI-Servicestelle: FAQ zum AI Act RTR-GmbH, abgerufen am 07.10.2026
- Medienmitteilung zur KI-Regulierung (12.02.2025) Schweizerischer Bundesrat, abgerufen am 07.10.2026
Stand der Rechtslage: 07.10.2026, geltende Fassung nach dem Digital-Omnibus zur KI. Diese Seite ordnet die Rechtslage ein und ist keine Rechtsberatung.