Der Countdown läuft: Am 2. August 2026 müssen alle High-Risk-KI-Systeme in der EU compliant sein. Wer bis dahin die strengen Anforderungen nicht erfüllt, riskiert Bußgelder bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes. Das Problem: Viele Unternehmen hinken massiv hinterher.Die EU-Verordnung zur künstlichen Intelligenz (EU AI Act) ist das weltweit erste umfassende Regelwerk für KI-Systeme. Sie wurde am 13. Juni 2024 im Amtsblatt der Europäischen Union veröffentlicht und schafft einen rechtlichen Rahmen, der Innovation fördern und gleichzeitig Grundrechte, Sicherheit und Vertrauen schützen soll.
Während die Verordnung bereits seit August 2024 in Teilen gilt, rückt jetzt der kritischste Stichtag in den Fokus: der 2. August 2026. An diesem Tag müssen sämtliche Anbieter und Nutzer von High-Risk-KI-Systemen die strengen Anforderungen der Artikel 9–17 (Provider) und Artikel 26 (Deployer) erfüllen.
Studien zeigen, dass ein Großteil der betroffenen Organisationen noch nicht einmal eine vollständige Inventarisierung ihrer KI-Systeme vorgenommen hat – geschweige denn Konformitätsbewertungen, Risikomanagementsysteme oder technische Dokumentationen erstellt hat. Die Zeit wird knapp.
Was ist der EU AI Act?
Der EU AI Act (Verordnung (EU) 2024/1689) verfolgt einen risikobasierten Ansatz: KI-Systeme werden nach Risiko kategorisiert – von „unannehmbarem Risiko“ (verboten) über „hohes Risiko“ (streng reguliert) bis zu „minimalem Risiko“ (kaum reguliert).
Der AI Act gilt für:
- Anbieter (Provider): Unternehmen, die KI-Systeme entwickeln oder auf dem EU-Markt bereitstellen
- Nutzer (Deployer): Organisationen, die KI-Systeme unter eigener Verantwortung einsetzen
- Importeure und Händler: Unternehmen, die KI-Systeme in die EU einführen
Was sind High-Risk-KI-Systeme?
High-Risk-KI-Systeme sind solche, die ein erhebliches Risiko für Gesundheit, Sicherheit oder Grundrechte darstellen. Sie sind in Annex III des AI Act aufgelistet:
- Biometrische Identifikation – Gesichtserkennung, Emotionserkennung
- Kritische Infrastruktur – Strom-, Wasser-, Verkehrsnetze
- Bildung – Bewertung von Lernenden, Prüfungssysteme
- HR & Recruiting – CV-Screening, Bewerberbewertung, Leistungsbeurteilung
- Kreditscoring – Bonitätsprüfung, Risikobewertung für Versicherungen
- Strafverfolgung – Personenbewertung, Vorhersage von Straftaten
- Migration – Visa-Prüfung, Grenzkontrolle
- Rechtspflege – Unterstützung bei Gerichtsentscheidungen
⚠️ Wichtig: Auch wenn Sie KI-Systeme nur einkaufen und nutzen, gelten für Sie als Deployer umfangreiche Compliance-Pflichten!
Die wichtigsten Pflichten für Anbieter und Nutzer
Pflichten für Anbieter (Provider) – Artikel 9–17
- Risikomanagement-System (Artikel 9)
Identifikation und Bewertung von Risiken für Gesundheit, Sicherheit und Grundrechte - Datengouvernance (Artikel 10)
Hohe Datenqualität, Überprüfung auf Bias und Diskriminierung - Technische Dokumentation (Artikel 11)
Detaillierte Beschreibung, Risikoanalysen, Testberichte – Aufbewahrung: 10 Jahre - Protokollierung (Artikel 12)
Automatische Aufzeichnung relevanter Ereignisse - Transparenz (Artikel 13)
Klare Gebrauchsanweisungen, Offenlegung von Zwecken und Grenzen - Menschliche Aufsicht (Artikel 14)
Human Oversight, Möglichkeit zur Überschreibung - Cybersicherheit (Artikel 15)
Hohe Genauigkeit, Resilienz gegenüber Angriffen - Qualitätsmanagement-System (Artikel 17)
QMS über den gesamten Lebenszyklus, Post-Market Monitoring - Konformitätsbewertung (Artikel 43)
CE-Kennzeichnung, Registrierung in der EU-Datenbank
Pflichten für Nutzer (Deployer) – Artikel 26
- Systemnutzung gemäß Gebrauchsanweisung
- Menschliche Aufsicht sicherstellen – geschultes Personal
- Logging – mindestens 6 Monate Aufbewahrungspflicht
- Incident Reporting – Meldung schwerwiegender Vorfälle
- Fundamental Rights Impact Assessment (FRIA) bei Bedarf
EU AI Act Bußgelder: Bis zu 35 Millionen Euro oder 7 % Umsatz
Der EU AI Act sieht abgestufte Bußgelder vor, die deutlich über DSGVO-Strafen hinausgehen:
| Verstoß | Geldstrafe | % Umsatz |
|---|---|---|
| Verbotene KI-Praktiken | 35 Mio. € | 7 % |
| High-Risk-Verstöße | 15 Mio. € | 3 % |
| Transparenzverstöße | 15 Mio. € | 3 % |
| Informationspflichten | 7,5 Mio. € | 1 % |
Beispiele: Ein Unternehmen mit 1 Milliarde € Umsatz riskiert bis zu 70 Millionen Euro Strafe. Bei 10 Milliarden € Umsatz sind es bis zu 700 Millionen Euro.
Die Durchsetzung erfolgt durch nationale Aufsichtsbehörden ab dem 2. August 2026. Nicht-compliant Systeme dürfen nicht mehr eingesetzt werden.
Was bedeutet das konkret?
Die Bußgelder sind keine theoretische Drohkulisse. Die nationale Aufsichtsbehörden werden ab August 2026 aktiv Kontrollen durchführen. Unternehmen, die nicht compliant sind, müssen mit folgenden Konsequenzen rechnen:
- Geldstrafen in Millionenhöhe
- Verbote zur weiteren Nutzung oder Vermarktung des KI-Systems
- Reputationsschäden und Vertrauensverlust bei Kunden und Partnern
- Wettbewerbsnachteile, wenn Konkurrenten schneller compliant sind
Für KMUs gibt es Verhältnismäßigkeitsanpassungen, aber auch kleinere Unternehmen sind nicht vor Strafen gefeit. Die Behörden werden Größe und wirtschaftliche Kapazität berücksichtigen, aber die Compliance-Anforderungen gelten grundsätzlich für alle.
Warum viele Unternehmen noch nicht bereit sind
Trotz der Dringlichkeit sind viele Unternehmen noch weit von der Compliance entfernt. Die Gründe sind vielfältig:
1. Mangelndes Bewusstsein
Viele Unternehmen wissen nicht, dass sie betroffen sind. Insbesondere bei eingekauften KI-Systemen (z. B. HR-Software, Kreditscoring-Tools) ist vielen Nutzern nicht klar, dass sie als Deployer eigene Compliance-Pflichten haben.
2. Fehlende Inventarisierung
Viele Organisationen haben keine vollständige Übersicht darüber, welche KI-Systeme sie einsetzen. Ohne Inventar ist eine Klassifizierung als High-Risk unmöglich – und damit auch die gezielte Compliance-Vorbereitung.
3. Komplexität der Anforderungen
Die Pflichten des AI Act sind umfangreich und technisch anspruchsvoll. Die Erstellung eines Qualitätsmanagement-Systems, die Durchführung von Konformitätsbewertungen und die Implementierung von Logging- und Oversight-Mechanismen erfordern tiefgehendes Fachwissen und erhebliche Ressourcen.
4. Knappe Ressourcen
Insbesondere KMUs und mittelständische Unternehmen kämpfen mit begrenzten Budgets und Personalkapazitäten. Die Compliance-Vorbereitung konkurriert mit anderen Prioritäten – oft wird sie aufgeschoben, bis es zu spät ist.
5. Hoffnung auf Fristverlängerung
Es gab Gerüchte über eine mögliche Verschiebung des Stichtags auf Ende 2027. Diese Hoffnung hat sich jedoch nicht bewahrheitet. Der 2. August 2026 steht fest – und es gibt keine Anzeichen für eine offizielle Verlängerung.
Die Realität ist: Die Zeit wird knapp. Unternehmen, die jetzt nicht handeln, werden den Stichtag verpassen – mit allen Konsequenzen.
5-Schritte-Plan zur EU AI Act Compliance
Schritt 1: Inventarisierung & Klassifizierung
Ziel: Verschaffen Sie sich einen vollständigen Überblick über alle KI-Systeme, die Ihr Unternehmen entwickelt oder einsetzt.
- Erfassen Sie alle KI-gestützten Tools, Systeme und Anwendungen
- Identifizieren Sie, welche davon als High-Risk gelten (Abgleich mit Annex III)
- Dokumentieren Sie Anbieter, Zweck, Einsatzbereich und Datenflüsse
- Erstellen Sie eine Risikomatrix
Tipp: Beziehen Sie alle Abteilungen ein – HR, Vertrieb, IT, Controlling. KI-Systeme werden oft dezentral eingekauft und eingesetzt.
Schritt 2: Gap-Analyse
Ziel: Identifizieren Sie die Lücken zwischen Ihrem aktuellen Stand und den Anforderungen des AI Act.
- Prüfen Sie für jedes High-Risk-System, welche Compliance-Anforderungen fehlen
- Bewerten Sie vorhandene Dokumentationen, Policies und Prozesse
- Identifizieren Sie fehlende technische Maßnahmen (z. B. Logging, Oversight)
- Erstellen Sie einen priorisierten Maßnahmenplan
Tipp: Nutzen Sie Frameworks wie das AI Controls Matrix (AICM) der Cloud Security Alliance, um Ihre Analyse zu strukturieren.
Schritt 3: Dokumentation & QMS
Ziel: Erstellen Sie die erforderliche technische Dokumentation und etablieren Sie ein Qualitätsmanagement-System.
- Entwickeln Sie ein QMS nach Artikel 17 (Policies, Governance, Prozesse)
- Erstellen Sie technische Dokumentationen gemäß Annex IV
- Dokumentieren Sie Risikoanalysen und Maßnahmen zur Risikominderung
- Implementieren Sie Datengouvernance-Prozesse (Datenqualität, Bias-Checks)
- Erstellen Sie Gebrauchsanweisungen und Transparenzdokumente
Tipp: KMUs können vereinfachte Dokumentationsvorlagen nutzen. Der AI Act berücksichtigt die Verhältnismäßigkeit.
Schritt 4: Technische Implementierung
Ziel: Setzen Sie die technischen Anforderungen um – Logging, Human Oversight, Cybersicherheit.
- Implementieren Sie automatisierte Logging-Mechanismen
- Richten Sie Human-Oversight-Prozesse ein (Schulungen, klare Verantwortlichkeiten)
- Stellen Sie Robustheit und Cybersicherheit sicher (Tests, Penetrationstests)
- Etablieren Sie Post-Market-Monitoring und Incident-Reporting-Workflows
- Testen Sie die Systeme auf Genauigkeit, Diskriminierungsfreiheit und Zuverlässigkeit
Tipp: Beginnen Sie mit den kritischsten Systemen und arbeiten Sie sich Priorität für Priorität vor.
Schritt 5: Audit & Zertifizierung
Ziel: Lassen Sie Ihre Compliance formal bestätigen und bringen Sie Ihre Systeme in die EU-Datenbank ein.
- Führen Sie interne Audits durch
- Je nach System: Konformitätsbewertung intern (Annex VI) oder durch benannte Stelle
- Erstellen Sie Konformitätserklärungen
- Bringen Sie die CE-Kennzeichnung an
- Registrieren Sie Ihre Systeme in der EU-Datenbank
Wichtig: Planen Sie Pufferzeiten ein! Externe Zertifizierungsstellen können ausgebucht sein – rechnen Sie mit Wartezeiten.
Wie Biteno Sie zur EU AI Act Compliance führt
Alles klar, dann rücken wir Ihre lokalen KI-Lösungen als Herzstück der Compliance-Strategie in den Vordergrund. Wenn die KI lokal läuft und bereits zertifiziert ist, erledigen sich viele regulatorische Sorgen quasi von selbst.
Hier ist der Entwurf mit klarem Fokus auf Ihr Produkt:
EU AI Act Compliance durch lokale KI-Lösungen von Biteno
Sie fragen sich, wie Sie die strengen Vorgaben des EU AI Acts ohne gigantischen Aufwand erfüllen sollen? Die Antwort liegt nicht in komplexen Regelwerken, sondern in der richtigen Technologie.
Biteno macht Compliance einfach: Wir bieten Ihnen lokale KI-Systeme und KI-Agenten. Damit behalten Sie die volle Souveränität über Ihre Daten und erfüllen höchste Sicherheitsstandards direkt „out of the box“.
Ihr Compliance-Vorsprung mit unserer lokalen KI:
-
ISO-Zertifizierung inklusive Unsere KI-Systeme sind nach geltenden ISO-Normen zertifiziert. Das reduziert Ihren Dokumentationsaufwand für den EU AI Act erheblich, da die Basis bereits geprüft und sicher ist.
-
Datensouveränität & Cybersecurity Da die KI lokal in Ihrer Infrastruktur läuft, verlassen sensible Daten niemals Ihr Unternehmen. Dies erfüllt direkt Kernanforderungen des AI Acts an die Datensicherheit und den Schutz der Privatsphäre.
-
KI-Inventarisierung & Klassifizierung Wir implementieren Ihre lokale KI so, dass sie klar klassifizierbar ist. Wir helfen Ihnen dabei, Transparenzpflichten ohne Umwege zu erfüllen.
-
Vorbereitetes Qualitätsmanagement (QMS) Unsere lokalen Systeme sind so konzipiert, dass sie sich nahtlos in Ihr Qualitätsmanagement integrieren lassen – inklusive der notwendigen Logging-Funktionen und technischen Dokumentationen.
-
Technische Maßnahmen „by Design“ Vorgaben wie Human Oversight und technisches Monitoring sind in unseren lokalen Lösungen bereits strukturell verankert. Wir setzen die Anforderungen nicht nur theoretisch, sondern technisch direkt um.
-
Begleitung bis zur Zertifizierung Wir liefern nicht nur die Hardware und Software, sondern begleiten Sie durch interne Audits und die finale Konformitätsbewertung für Ihren gesamten KI-Einsatz.
Warum Biteno?
- Erfahrung: Wir beraten Unternehmen seit Jahren zu digitalen Compliance-Themen – von DSGVO bis NIS2.
- Praxisnähe: Wir kennen die Herausforderungen von KMUs und Mittelstand und liefern pragmatische, umsetzbare Lösungen.
- Technologie-Know-how: Unsere Experten verstehen KI-Systeme nicht nur rechtlich, sondern auch technisch.
- Ganzheitlicher Ansatz: Wir betrachten Compliance nicht isoliert, sondern im Kontext Ihrer gesamten IT- und Geschäftsstrategie.
Sprechen Sie mit uns – wir helfen Ihnen, den Stichtag zu schaffen.
Fazit: Jetzt handeln – der Countdown läuft
Der 2. August 2026 ist keine ferne Zukunft mehr. Für Unternehmen mit High-Risk-KI-Systemen bedeutet das: Die Zeit zu handeln ist jetzt.
Die wichtigsten Punkte:
- Stichtag: 2. August 2026 – keine Verlängerung
- Betroffene: Anbieter und Nutzer von High-Risk-KI-Systemen
- Bußgelder: Bis zu 35 Mio. € oder 7 % des Jahresumsatzes
- Handlungsplan: Inventarisierung → Gap-Analyse → Dokumentation → Implementierung → Audit
Häufig gestellte Fragen (FAQ)
Gilt der EU AI Act auch für KMUs?
Ja, der AI Act gilt für alle Unternehmen mit High-Risk-KI-Systemen. KMUs erhalten Verhältnismäßigkeitsanpassungen, z. B. vereinfachte Dokumentationspflichten.
Was passiert, wenn ich den Stichtag verpasse?
Ab dem 2. August 2026 dürfen nicht-compliant High-Risk-KI-Systeme nicht mehr eingesetzt werden. Bußgelder bis zu 35 Mio. € oder 7 % des Umsatzes drohen.
Muss ich mein KI-System extern zertifizieren lassen?
Viele High-Risk-Systeme können intern nach Annex VI bewertet werden. In bestimmten Fällen (z. B. Biometrie) ist eine externe Konformitätsbewertung erforderlich.
Gilt der AI Act für KI-Systeme, die ich vor 2026 eingekauft habe?
Legacy-Systeme sind ausgenommen, es sei denn, sie erfahren wesentliche Designänderungen. Als Nutzer (Deployer) haben Sie jedoch Pflichten gemäß Artikel 26.
Wie lange dauert die Compliance-Vorbereitung?
Ein realistischer Zeitplan beträgt 12–18 Monate. Daher ist es wichtig, jetzt zu beginnen.
