Seit der EU AI Act in Kraft getreten ist, schwankt die Berichterstattung zwischen zwei Extremen: Panikmache über Bußgelder von 35 Mio. € auf der einen Seite und die abwiegelnde Haltung „das betrifft uns nicht“ auf der anderen. Beides hilft wenig.

Dieser Artikel ist ein praxisorientiertes Briefing: Was der EU AI Act tatsächlich fordert, für wen er gilt, was die Fristen in der Praxis bedeuten – und welche drei Entscheidungen jedes Unternehmen in der EU vor August 2026 treffen muss.

Unannehmbares Risiko — Verboten. AI-Systeme, die Menschen unbewusst manipulieren, Massenüberwachung durch Behörden ermöglichen oder staatliches Social Scoring einsetzen. Diese sind vollständig untersagt. Die meisten Unternehmen kommen mit diesen Kategorien nicht in Berührung.

Hohes Risiko — vollständige Compliance erforderlich. Hier liegt der Großteil der Compliance-Arbeit. Zu Hochrisiko-AI zählen Systeme, die eingesetzt werden bei: Einstellungs- und Beschäftigungsentscheidungen, Bonitätsprüfung und Finanzdienstleistungen, Bildungsbewertungen, Gesundheitswesen und Medizinprodukten, Strafverfolgung, Grenzkontrolle sowie AI in sicherheitskritischer Infrastruktur. Wenn Sie AI in einem dieser Bereiche einsetzen – oder Ihr AI-Anbieter dies tut –, haben Sie umfangreiche Compliance-Pflichten, darunter technische Dokumentation, Verfahren zur menschlichen Aufsicht und eine Konformitätsbewertung.

Begrenztes Risiko — Transparenzpflichten.

Chatbots und AI, die direkt mit Menschen interagiert, müssen offenlegen, dass der Nutzer mit AI kommuniziert. Das ist die Mindestanforderung – und viele kundenorientierte AI-Einsätze erfüllen sie derzeit nicht.

Minimales Risiko — keine spezifischen Anforderungen.

Spamfilter, AI-gestützte Empfehlungssysteme für Inhalte, die meisten Produktivitäts-AI-Tools. Sie fallen in diese Kategorie. Doch „minimales Risiko“ bedeutet nicht null Pflichten – Sie müssen weiterhin wissen, was Sie betreiben, und in der Lage sein, eine erfolgte Risikobewertung nachzuweisen.

Organisationen, die dies gut umsetzen, behandeln es als Governance-Programm und nicht als einmaliges Projekt. Sie pflegen eine AI-Inventur, die mit jedem neu eingeführten Tool aktuell bleibt. Sie erstellen eine AI-Governance-Richtlinie, die sowohl für Beschaffung als auch für den Einsatz gilt – sodass jeder neue AI-Kauf automatisch eine Klassifizierungsprüfung auslöst, bevor er ins Unternehmen gelangt. Sie implementieren Verfahren zur menschlichen Aufsicht, die dokumentiert und tatsächlich gelebt werden – nicht nur niedergeschrieben sind.

Sie erkennen außerdem, dass Compliance und wettbewerbsfähiger AI-Einsatz sich nicht widersprechen. Organisationen mit solider Governance-Infrastruktur sind in der Regel auch bei der AI-Implementierung insgesamt stärker – denn die Disziplin, die Compliance erfordert, ist dieselbe Disziplin, die gutes AI-Projektmanagement erfordert.

Die Frist im August 2026 ist real. Die Bußgelder – bis zu 35 Mio. € oder 7 % des weltweiten Jahresumsatzes – sind real. Doch für die meisten Unternehmen in der EU ist der Weg zur Compliance klarer, als es die Schlagzeilen vermuten lassen. Er beginnt damit, zu wissen, was man betreibt.