EU AI Act 2026: Was Unternehmen jetzt wissen müssen

Was eine KI-Lösung für den Unternehmenseinsatz heute erfüllen muss, ist nicht mehr allein eine Frage des Funktionsumfangs. Mit dem EU AI Act hat die Europäische Union das weltweit erste umfassende Regelwerk für künstliche Intelligenz geschaffen – und Unternehmen stehen vor der Aufgabe, ihre KI-Nutzung systematisch zu bewerten und wo nötig anzupassen.

Was eine konforme KI-Lösung für Unternehmen heute leisten muss: DSGVO-Konformität, nachweisbare Datentrennung, Audit Logs, kein Training mit Unternehmensdaten, europäische Partner und ein AVV nach Art. 28 DSGVO. Dieser Leitfaden zeigt Ihnen, was der EU AI Act konkret bedeutet, welche Fristen gelten und wie Sie Ihr Unternehmen systematisch auf Konformität ausrichten.

Was ist der EU AI Act?

Der EU AI Act (Verordnung (EU) 2024/1689) ist die erste umfassende KI-Regulierung weltweit. Er klassifiziert KI-Systeme nach ihrem Risikopotenzial und legt je nach Risikoklasse unterschiedliche Anforderungen an Entwickler und Nutzer fest. Ziel ist es, den Einsatz von KI in der EU sicher, transparent und grundrechtskonform zu gestalten, ohne Innovation übermäßig zu bremsen.

Der Act gilt für alle Unternehmen, die KI-Systeme in der EU anbieten oder nutzen – unabhängig davon, wo sie ihren Sitz haben. Damit betrifft er auch US-amerikanische und asiatische Anbieter, sobald ihre Systeme in der EU eingesetzt werden.

Zeitplan der Anwendbarkeit

Der EU AI Act trat am 1. August 2024 in Kraft, wird jedoch schrittweise angewendet:

• Ab Februar 2025: Verbote für inakzeptable KI-Risiken gelten.
• Ab August 2025: Verhaltenskodizes für allgemeine KI-Modelle (GPAI) greifen.
• Ab August 2026: Vollständige Anwendbarkeit für die meisten Hochrisiko-KI-Systeme.
• Ab August 2027: Restliche Hochrisiko-Systeme (Anhang I) müssen konform sein.

Die vier Risikoklassen

Der EU AI Act unterscheidet KI-Systeme in vier Risikoklassen. Die Einordnung entscheidet darüber, welche Pflichten für Anbieter und Betreiber gelten.

Welche Unternehmen sind betroffen?

Der EU AI Act gilt für zwei Kategorien von Akteuren. Entscheidend ist, welche Rolle Ihr Unternehmen im KI-Ökosystem einnimmt:

Anbieter

Anbieter entwickeln KI-Systeme und bringen sie auf den Markt. Sie tragen die größte Verantwortung: Sie müssen die technische Dokumentation erstellen, Konformitätsbewertungen durchführen und – bei Hochrisiko-KI – eine CE-Kennzeichnung anbringen. Anbieter aus Drittstaaten, die ihre Systeme in der EU einsetzen, müssen einen EU-Bevollmächtigten benennen.

Betreiber

Betreiber nutzen KI-Systeme im eigenen Unternehmen. Ihre Pflichten sind geringer als die der Anbieter, aber nicht zu vernachlässigen: Sie müssen sicherstellen, dass sie das System nur für den vorgesehenen Zweck einsetzen, menschliche Aufsicht gewährleisten und – bei Hochrisiko-KI – Protokolle führen sowie ihre Mitarbeiter schulen.

Praxishinweis: Wer ein Standard-KI-Tool wie Lurus als Assistenzwerkzeug für interne Aufgaben einsetzt, agiert in der Regel als Betreiber mit überschaubaren Pflichten. Die Verantwortung für die technische Konformität der Plattform liegt beim Anbieter.

Verbotene KI-Praktiken (seit Februar 2025)

Seit dem 2. Februar 2025 sind bestimmte KI-Anwendungen in der EU vollständig verboten. Diese Verbote gelten ohne Übergangsfrist und betreffen alle Unternehmen, die solche Systeme anbieten oder einsetzen:

• Social Scoring durch staatliche Stellen: KI-Systeme, die Menschen auf Basis ihres sozialen Verhaltens bewerten und benachteiligen.
• Manipulative KI-Techniken: Systeme, die unterbewusste Einflussnahme nutzen oder Schwächen von Personen ausnutzen, um ihr Verhalten gegen ihren Willen zu steuern.
• Biometrische Echtzeit-Fernidentifizierung: Gesichtserkennung im öffentlichen Raum durch staatliche Stellen (mit sehr engen Ausnahmen für Strafverfolgung).
• Biometrische Kategorisierung nach sensiblen Merkmalen: Klassifizierung von Personen nach politischer Meinung, religiöser Überzeugung, sexueller Orientierung oder ethnischer Herkunft.
• Predictive Policing auf Einzelpersonenbasis: Vorhersage künftiger Straftaten einzelner Personen allein auf Basis von Persönlichkeitsmerkmalen.

Pflichten für Hochrisiko-KI-Systeme

Hochrisiko-KI-Systeme unterliegen den strengsten Anforderungen des EU AI Acts. Als Hochrisiko gilt KI, die in folgenden Bereichen eingesetzt wird:

• Personalentscheidungen (Einstellung, Kündigung, Beurteilung)
• Kreditvergabe und Bonitätsbewertung
• Kritische Infrastruktur (Energie, Wasser, Verkehr)
• Bildung und Berufsausbildung
• Strafverfolgung und Justizverwaltung
• Migrationskontrolle und Asylverfahren
• Medizinprodukte mit KI-Komponente

Betreiber solcher Systeme müssen unter anderem:

• Eine Risiko- und Folgeabschätzung durchführen
• Lückenlose Protokollierung aller relevanten Interaktionen sicherstellen
• Menschliche Aufsicht und Eingriffsmöglichkeiten gewährleisten
• Das System nur für seinen vorgesehenen Zweck einsetzen
• Mitarbeiter im Umgang mit dem System schulen
• Zuständigen Behörden auf Anfrage Informationen bereitstellen

Wichtig: Ein Standard-KI-Assistent, der für allgemeine Aufgaben wie Texterstellung, Recherche oder interne Kommunikation genutzt wird, ist in der Regel kein Hochrisiko-System. Kritisch wird es, wenn KI-Ausgaben direkt und ohne menschliche Prüfung in Personalentscheidungen oder Kreditbewertungen einfließen.

EU AI Act vs. DSGVO: Was gilt wann?

Viele Unternehmen fragen sich, wie sich EU AI Act und DSGVO zueinander verhalten. Beide Regelwerke existieren nebeneinander und ergänzen sich.

Kurz gesagt: Wer DSGVO-konform ist, erfüllt damit nicht automatisch die Anforderungen des EU AI Acts – und umgekehrt. Für Unternehmen, die personenbezogene Daten mit KI verarbeiten, gelten beide Regelwerke gleichzeitig.

Compliance-Checkliste: 10 Schritte für Unternehmen

Die folgende Checkliste hilft Ihnen, Ihren aktuellen Stand zu bewerten und notwendige Maßnahmen zu identifizieren. Für jeden Punkt ist angegeben, wie Lurus Unternehmen dabei unterstützt.

Wie Lurus Unternehmen bei der Konformität unterstützt

Lurus ist als KI-Plattform von Anfang an auf Transparenz, Nachvollziehbarkeit und Datenschutz ausgelegt. Die Anforderungen, die der EU AI Act an KI-Betreiber stellt, spiegeln sich in den Funktionen wider, die Lurus Unternehmen bereits heute bietet.

Audit Logs für vollständige Nachvollziehbarkeit

Können Sie nachweisen, welche KI-Interaktionen in Ihrem Unternehmen stattgefunden haben? Lurus protokolliert alle KI-Interaktionen lückenlos und stellt diese als Audit Logs zur Verfügung. Das ermöglicht Transparenz gegenüber Behörden, internen Compliance-Teams und – wo erforderlich – gegenüber betroffenen Personen.

Kein Training mit Unternehmensdaten

Werden Ihre Eingaben genutzt, um KI-Modelle zu trainieren? Bei Lurus lautet die Antwort klar: Nein. Lurus verarbeitet keine Nutzerdaten für das Training von KI-Modellen. Das ist ein zentraler Aspekt für Unternehmen, die mit sensiblen Daten arbeiten.

Lokale Speicherung ohne Serverübertragung

Lurus bietet die Möglichkeit, Chat-Verläufe ausschließlich lokal im Browser zu speichern – ohne Übertragung auf externe Server. Das minimiert den Verarbeitungsumfang und unterstützt eine datenschutzfreundliche KI-Nutzung.

Europäische Partner und AVV

Lurus setzt auf europäische Partner für seine Infrastruktur und stellt auf Anfrage einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO bereit. Damit können Unternehmen ihre Verarbeitungstätigkeiten vollständig dokumentieren.

Fazit

Der EU AI Act ist kein bürokratisches Hindernis, sondern eine Chance: Unternehmen, die ihre KI-Nutzung jetzt systematisch aufstellen, schaffen Vertrauen bei Kunden, Partnern und Behörden – und vermeiden kostspielige Nachbesserungen unter Zeitdruck.

Die wesentlichen Handlungsfelder sind klar: Inventar der KI-Systeme erstellen, Risikoklassen bestimmen, Protokollierung sicherstellen, AVV abschließen und interne Richtlinien verabschieden. Wer diese Schritte konsequent umsetzt, ist für August 2026 gut vorbereitet.

Lurus unterstützt Unternehmen dabei, KI transparent, nachvollziehbar und regelkonform einzusetzen – mit Audit Logs, lokaler Speicherung, europäischen Partnern und einem klaren Bekenntnis zum Datenschutz.

FAQ