Seit dem 2. August 2026 ist der EU AI Act in weiten Teilen anwendbar. Gleichzeitig gelten neue Transparenzpflichten für bestimmte KI-Systeme und KI-generierte Inhalte. Für Unternehmen bedeutet das: Der Einsatz von ChatGPT, Copilot oder anderen KI-Werkzeugen ist nicht automatisch verboten oder hochriskant – aber je nach Einsatzgebiet entstehen konkrete Pflichten.
Gerade kleine und mittlere Unternehmen sollten deshalb unterscheiden zwischen interner Produktivitäts-KI, öffentlich eingesetzten Chatbots, KI-generierten Inhalten und regulierten Hochrisiko-Anwendungen.
Was hat sich am 2. August 2026 geändert?
Die Europäische Kommission bestätigt, dass der AI Act seit dem 2. August 2026 grundsätzlich anwendbar ist, wobei für einzelne Regelbereiche andere Übergangsfristen gelten. Besonders relevant für viele Unternehmen sind seit August die Transparenzpflichten aus Artikel 50.
Diese Regeln sollen sicherstellen, dass Menschen erkennen können, wenn sie mit einem KI-System interagieren oder bestimmten KI-generierten beziehungsweise manipulierten Inhalten ausgesetzt sind.
Vier Bereiche, die Unternehmen kennen sollten
1. Chatbots und interaktive KI
Wenn Personen direkt mit einem KI-System interagieren, muss grundsätzlich erkennbar sein, dass es sich um KI und nicht um einen Menschen handelt. Für einen öffentlichen Support-Chatbot auf einer Unternehmenswebsite ist diese Transparenz daher besonders relevant.
2. KI-generierte oder manipulierte Inhalte
Anbieter bestimmter generativer KI-Systeme müssen technische Maßnahmen vorsehen, damit künstlich erzeugte oder manipulierte Inhalte maschinenlesbar als solche erkannt werden können.
3. Deepfakes
Wer KI-Systeme einsetzt, um Deepfake-Bilder, -Audio oder -Videos zu erzeugen oder zu verändern, muss die künstliche Herkunft in den erfassten Fällen sichtbar offenlegen.
4. Texte zu Themen von öffentlichem Interesse
Besondere Transparenzregeln können gelten, wenn KI Texte erzeugt oder manipuliert, die veröffentlicht werden, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren und keine menschliche Überprüfung oder redaktionelle Kontrolle erfolgt.
Was bedeutet das für ChatGPT und Copilot im Büro?
Die interne Verwendung eines generativen KI-Assistenten für Zusammenfassungen, Entwürfe, Ideen oder normale Büroaufgaben macht ein Unternehmen nicht automatisch zum Betreiber eines Hochrisiko-KI-Systems.
Trotzdem sollte es klare interne Regeln geben. Dazu gehören Datenschutz, Umgang mit vertraulichen Daten, Urheberrecht, Freigabeprozesse, Qualitätskontrolle und die Frage, welche Inhalte ohne menschliche Prüfung veröffentlicht werden dürfen.
AI Literacy gilt bereits länger
Ein weiterer wichtiger Punkt ist die sogenannte KI-Kompetenz beziehungsweise AI Literacy. Entsprechende Pflichten sind bereits seit dem 2. Februar 2025 anwendbar. Unternehmen sollten deshalb sicherstellen, dass Mitarbeiter KI-Systeme nicht nur bedienen können, sondern auch Risiken, Grenzen und einen sicheren Umgang verstehen.
Nicht jede KI ist Hochrisiko-KI
Der AI Act arbeitet mit einem risikobasierten Ansatz. Viele im Alltag eingesetzte KI-Systeme fallen in den Bereich geringes oder minimales Risiko. Für bestimmte Hochrisiko-Anwendungen – etwa in sensiblen Bereichen wie Beschäftigung, Bildung, kritischer Infrastruktur oder biometrischen Anwendungen – gelten deutlich strengere Anforderungen und teilweise spätere Anwendungstermine.
Unternehmen sollten daher zuerst den konkreten Use Case bewerten, statt pauschal jedes KI-Tool gleich zu behandeln.
Praktische Checkliste für Unternehmen
- KI-Inventar erstellen: Welche Teams verwenden welche KI-Systeme und wofür?
- Daten klassifizieren: Dürfen personenbezogene, vertrauliche oder kundenbezogene Daten eingegeben werden?
- Öffentliche KI-Systeme kennzeichnen: Bei Chatbots und betroffenen KI-Interaktionen Transparenz sicherstellen.
- Content-Prozesse definieren: KI-generierte Inhalte vor Veröffentlichung prüfen und Freigaben dokumentieren.
- Mitarbeiter schulen: AI Literacy, Datenschutz, Prompting und Sicherheitsrisiken abdecken.
- Anbieter prüfen: Verträge, Datenverarbeitung, technische Schutzmaßnahmen und Compliance-Dokumentation bewerten.
- Risikoklasse bestimmen: Besonders bei HR, biometrischen Anwendungen oder kritischen Prozessen fachliche und gegebenenfalls rechtliche Prüfung einholen.
FAQ
Muss jedes Unternehmen KI-generierte Texte kennzeichnen?
Nein. Die konkrete Pflicht hängt vom Einsatz und Kontext ab. Artikel 50 enthält besondere Regeln unter anderem für Deepfakes und bestimmte Texte zu Angelegenheiten von öffentlichem Interesse ohne menschliche redaktionelle Kontrolle.
Ist ChatGPT im Unternehmen seit August 2026 verboten?
Nein. Der AI Act verbietet nicht pauschal den Einsatz generativer KI im Unternehmen. Entscheidend sind Einsatzgebiet, Risikoklasse und die jeweils anwendbaren Pflichten.
Müssen kleine Unternehmen den AI Act ebenfalls beachten?
Ja, wenn ihre Nutzung in den Anwendungsbereich fällt. Bei Sanktionen und Aufsicht können Verhältnismäßigkeit und Unternehmensgröße berücksichtigt werden, die Pflichten selbst sollten jedoch geprüft werden.
Fazit
Der AI Act sollte nicht als Grund verstanden werden, KI nicht einzusetzen. Er zwingt Unternehmen vielmehr dazu, den Einsatz strukturierter zu organisieren: Wer nutzt welche KI, mit welchen Daten, für welchen Zweck und unter welcher Kontrolle?
Unternehmen, die jetzt ein einfaches KI-Inventar, klare interne Regeln und nachvollziehbare Freigabeprozesse etablieren, schaffen gleichzeitig bessere Compliance und einen sichereren KI-Einsatz.
Hinweis: Dieser Beitrag dient der allgemeinen Information und ersetzt keine individuelle Rechtsberatung.
Autor: Salman Dolatpanah Gortlar
Quellen: Europäische Kommission – AI Act · Guidelines zu Artikel 50
Bildnachweis: Fabian Kleiser / Unsplash