Der EU AI Act betrifft dich –
auch wenn du „nur" ChatGPT nutzt.

Seit Februar 2025 gelten die ersten Pflichten, ab dem 2. August 2026 kommen die Kennzeichnungspflichten für KI-Inhalte dazu. Wer KI im Unternehmen einsetzt, ist als Betreiber erfasst – vom Chatbot bis zur Bewerbervorauswahl. Finde in 2 Minuten heraus, welche Risiko-Klasse für euch gilt und was jetzt zu tun ist.

Kostenlosen Check starten → 2 Minuten · anonym · sofort ein Ergebnis
4Risiko-Klassen – von minimal bis verboten
7 %vom Jahresumsatz – so hoch können Strafen sein
Aug 2026Kennzeichnungspflicht für KI-Inhalte beginnt

Was der EU AI Act ist – und warum er den Mittelstand trifft

Der AI Act ist die weltweit erste umfassende KI-Regulierung. Er reguliert nicht die Technik, sondern wie ihr KI einsetzt – abgestuft nach Risiko. Wichtig: Es geht nicht nur um KI-Hersteller. Auch wer fertige KI-Tools nutzt (Betreiber), hat Pflichten.

Verboten

Unzulässiges Risiko

Social Scoring, manipulative Systeme, biometrische Massenüberwachung. Seit Feb 2025 verboten.

Hochrisiko

Strenge Auflagen

KI in Personalauswahl, Kreditwürdigkeit, kritischer Infrastruktur, Bildung. Dokumentation, Aufsicht, Risikomanagement nötig – ab Aug 2026.

Begrenzt

Transparenzpflicht

Chatbots, KI-generierte Inhalte, Deepfakes. Nutzer müssen wissen, dass sie mit KI interagieren bzw. Inhalte KI-erzeugt sind.

Minimal

Kaum Auflagen – aber

Interne Nutzung von ChatGPT & Co. ist meist minimales Risiko. Aber: KI-Kompetenz-Pflicht (Art. 4) gilt trotzdem – seit Feb 2025.

Wischen für alle Risiko-Klassen

Feb 2025Verbotene Praktiken + KI-Kompetenz-Pflicht (Art. 4) in Kraft
Aug 2025Pflichten für General-Purpose-AI (z. B. große Sprachmodelle)
Aug 2026Transparenz- & Kennzeichnungspflichten für Betreiber (Deepfakes, KI-Texte, Chatbots)
Dez 2027Hochrisiko-Pflichten für KI, die über Menschen entscheidet – per Änderungsverordnung vom 27.07.2026 verschoben
Aug 2028KI als Sicherheitsbauteil in regulierten Produkten (Medizintechnik, Maschinen)

Wischen für alle Stufen

Update · Änderungsverordnung vom 27. Juli 2026

„EU verschiebt den AI Act" und „Ab August gilt alles" – beides war halb richtig

Der AI Act tritt in Stufen in Kraft – es gibt nicht ein Datum, sondern mehrere. Und fünf Tage vor dem großen Stichtag hat eine Änderungsverordnung den Zeitplan nochmal umgestellt. Deshalb standen in derselben Woche beide Schlagzeilen nebeneinander in der Presse.

Was sich geändert hat: Die Hochrisiko-Pflichten (KI, die über Menschen entscheidet) rutschen auf den 2. Dezember 2027, KI als Sicherheitsbauteil in regulierten Produkten auf August 2028 – laut Verordnungstext, weil technische Normen und nationale Aufsichtsstrukturen nicht fertig waren. Die KI-Kompetenz-Pflicht wurde von „sicherstellen" auf „fördern" abgeschwächt.

Was unverändert läuft: Die Verbote aus Februar 2025 und die Kennzeichnungspflichten ab dem 2. August 2026. Wer auf „ist doch verschoben" setzt, verwechselt die Stufen.

Was konkret gilt – Stufe für Stufe

Kein Jura-Deutsch, sondern das, was ein Betrieb ohne Rechtsabteilung wissen muss.

Gilt seit 2. Feb 2025 Vier Verbote + eine Pflicht

Verboten ist:

  • Emotionserkennung bei Mitarbeitern & Bewerbern – Software, die aus Mimik, Stimme oder Verhalten auf Gefühle schließt. Ausnahme: Medizin/Sicherheit (z. B. Müdigkeitserkennung bei Berufskraftfahrern).
  • Biometrische Rückschlüsse auf geschützte Merkmale – aus Gesicht oder Stimme auf Herkunft, Religion, politische Haltung, Sexualleben schließen.
  • Ungezieltes Sammeln von Gesichtsbildern aus dem Internet oder Überwachungskameras für Erkennungsdatenbanken.
  • Social Scoring – Menschen nach Sozialverhalten bewerten und sie deshalb in anderem Zusammenhang schlechter behandeln.

Praktisch relevant für normale Betriebe ist vor allem das erste: Solche Recruiting-Tools werden aktiv verkauft und klingen nach objektiver Personalarbeit.

Pflicht ist: KI-Kompetenz (Art. 4)

Wer KI einsetzt, muss dafür sorgen, dass die Leute verstehen, was die Tools können und wo die Grenzen sind. Gilt auch für Agenturen und Freelancer, die in eurem Auftrag arbeiten. Seit dem 27. Juli abgeschwächt von „sicherstellen" auf „fördern".

Nicht vorgeschrieben: Zertifikat, Mindeststundenzahl, Prüfung, KI-Beauftragter, externe Stelle.

Was zählt, ist eine Schulung, die ihr belegen könnt. Genau dafür gibt es unser Schulungsprogramm mit dokumentiertem Nachweis.

Ab 2. Aug 2026 Kennzeichnung: Was ihr als Betreiber offenlegen müsst

Kennzeichnen müsst ihr:

  • Deepfakes – KI-erzeugtes oder -manipuliertes Bild-, Ton- oder Videomaterial, das der Wirklichkeit stark ähnelt und als echt durchgehen würde. Auch Gegenstände, Orte, Ereignisse – ob ihr täuschen wolltet, spielt keine Rolle.
  • KI-Texte zu Themen von öffentlichem Interesse (Politik, Gesundheit, Energie, Gesetzeslage). Entfällt vollständig, sobald ein Mensch den Text geprüft hat und die redaktionelle Verantwortung trägt.
  • Emotionserkennung/Biometrie außerhalb des Arbeitsverhältnisses – z. B. Stimmungsanalyse in der Telefonhotline. Betroffene müssen informiert werden.

Keine Pflicht bei:

  • Eindeutig unechten Inhalten (stilisierte Figuren, sprechende Tiere, offensichtliche Fiktion)
  • Reiner KI-Postproduktion (Hintergrund, Licht, Ton) – außer die Bearbeitung erzeugt selbst einen Deepfake
  • Allem, was vor dem 2. August veröffentlicht wurde – rückwirkend gilt nichts

Wie ihr kennzeichnet:

  • Gesetzlich zwingend nur zwei Dinge: klar und eindeutig, und spätestens beim ersten Kontakt mit dem Inhalt. Design und Platzierung sind frei.
  • Der freiwillige, offiziell anerkannte Code of Practice (Juni 2026) bietet EU-Icons – ihr dürft auch ein eigenes Symbol im Corporate Design nutzen, es sollte „KI"/„AI" enthalten.
  • Auf Websites darf das Label neben dem Bild/Video stehen oder als Overlay – nicht ins Bild eingebettet.
  • Versteckte Metadaten oder HTML-Tags reichen nicht – die Kennzeichnung muss für Menschen sichtbar oder hörbar sein.

Nicht eure Pflicht:

  • Die maschinenlesbare Markierung (Wasserzeichen, Provenance-Metadaten) ist Anbieterpflicht – OpenAI, Midjourney, Adobe & Co. (Übergangsfrist bis Dez 2026).
  • Chatbot-Kennzeichnung steht formal beim Anbieter – praktisch ist ein Hinweissatz überm Chatfenster eine halbe Stunde Arbeit. Ein Verweis in den AGB genügt laut Kommission ausdrücklich nicht.

Nicht betroffen: ChatGPT und Copilot fürs Büro, Buchhaltungs-KI, Übersetzungstools, Terminplanung, Belegerkennung. Illustrationen, Grafiken, Icons. Produkttexte, Newsletter, Angebote, Stellenanzeigen, Social Posts über den eigenen Betrieb.

Ab 2. Dez 2027 Nur für KI, die über Menschen entscheidet

Personalauswahl, Kreditvergabe, Bildung, kritische Infrastruktur. Dann nötig: eine benannte Person, die das System beaufsichtigt, Systemüberwachung, Protokolle aufbewahren, Beschäftigte vorab informieren, Erklärung auf Verlangen der betroffenen Person. Für KI als Sicherheitsbauteil in regulierten Produkten (Medizintechnik, Maschinen): ab 2. August 2028.

Strafen – und wer euch überhaupt meldet

Die Bußgeldrahmen:

  • Verstoß gegen die Verbote: bis 35 Mio. € oder 7 % Weltjahresumsatz
  • Verstoß gegen die Kennzeichnung: bis 15 Mio. € oder 3 %
  • Falsche Auskunft an die Behörde: bis 7,5 Mio. € oder 1 %
  • Bei KMU gilt immer der niedrigere der beiden Werte
  • Vor jeder Sanktion: Warnung + 30 Tage zum Nachbessern
  • Für die Kompetenzpflicht (Art. 4) gibt es keinen eigenen Bußgeldtatbestand

Realistische Einordnung, die auch Anwaltskanzleien so schreiben: Weil der Gestaltungsspielraum groß ist und noch keine gängige Kennzeichnungspraxis existiert, ist mit hohen Strafen zunächst nicht zu rechnen.

Zuständig & wer meldet:

  • Aufsichtsbehörde in Deutschland ist die Bundesnetzagentur (Durchführungsgesetz im Juli 2026 durch den Bundesrat) – nicht das BSI.
  • Die Behörde baut erst auf. Realistisch kommen Meldungen von: betroffenen Personen über das neue Beschwerderecht, eigenen Mitarbeitern über den erweiterten Hinweisgeberschutz, Wettbewerbern per Abmahnung und Großkunden über den Lieferantenfragebogen.

Die To-do-Liste – nach Dringlichkeit

Sofort
  • Recruiting- und Feedback-Tools prüfen: Analysiert eines Bewerber oder Mitarbeiter (Mimik, Stimme, Verhalten)? Abschalten. Höchste Bußgeldstufe, seit anderthalb Jahren verboten.
Diese Woche
  • Hinweissatz über das Chatfenster – sichtbar, bevor der Kunde tippt
  • Sichtbares KI-Label an fotorealistische Bilder, KI-Stimmen und KI-Videos (EU-Icon oder eigenes Symbol mit „KI")
  • Ansage in die Warteschleife, falls eine Software Anruferstimmung auswertet
In den nächsten Wochen
  • Liste aller KI-Tools im Haus – auch die selbst besorgten
  • Eine Stunde Teamrunde zu fünf Punkten: KI erfindet Dinge · was darf nicht in die Tools · wer prüft den Output · welche Tools sind freigegeben · was ist verboten
  • Zwei Seiten Leitfaden fürs Onboarding
  • Datum und Teilnehmer notieren – das ist euer Nachweis. Den schickt ihr niemandem, aber ihr habt ihn.
  • Nur bei KI, die über Menschen entscheidet: jetzt aufschreiben, wer final entscheidet und wie das dokumentiert wird

Wischen für alle To-dos

Die Teamrunde, der Leitfaden und der dokumentierte Nachweis – genau das übernehmen wir mit den KI-Schulungen im Whitelabel-Format, auf Wunsch inklusive externem KI-Beauftragten.

Betrifft der AI Act euch? In 2 Minuten Klarheit.

Beantworte 7 Fragen zu eurem KI-Einsatz. Du bekommst sofort eine erste Einschätzung eurer Risiko-Klasse + konkrete nächste Schritte. Anonym, kostenlos, ohne Anmeldung.

Hinweis: Dieser Check ist eine unverbindliche Ersteinschätzung und ersetzt keine Rechtsberatung.

Was gerade oft falsch erzählt wird

„Ab August gilt der AI Act komplett."Überholt seit dem 27. Juli – Hochrisiko kommt erst Dez 2027.
„Die EU hat den AI Act gekippt."Verbote und Transparenzpflichten laufen unverändert.
„Das BSI wird Aufsichtsbehörde."Es ist die Bundesnetzagentur.
„Für fehlende Schulungen drohen Millionenbußgelder."Für Art. 4 gibt es keinen eigenen Bußgeldtatbestand.
„Ihr müsst eure Bilder technisch signieren."Wasserzeichen sind Anbieterpflicht (OpenAI, Adobe & Co.), nicht eure.
„Ihr müsst jedes KI-Bild kennzeichnen."Nur Deepfakes, also fotorealistische Inhalte. Illustrationen nicht.

Unsicher, was für euch gilt? 30 Minuten, kostenlos.

Wir ordnen euren KI-Einsatz gemeinsam ein und zeigen die konkreten nächsten Schritte – ohne Beratersprech, ohne Pitch.

Termin buchen →