EU AI Act Readiness: wissen, welche KI Sie einsetzen, welche Pflichten gelten könnten und was sich ändern muss.
Seit dem 2. August 2026 gilt der EU AI Act, die europäische KI-Verordnung, in weiten Teilen, und die Durchsetzung hat begonnen. Sechs Tage zuvor wurden die Pflichten für Hochrisiko-KI-Systeme auf Dezember 2027 verschoben. Beides trifft zu, und genau deshalb widersprechen sich derzeit so viele Empfehlungen. Wir helfen Ihnen, die KI zu finden, die in Ihrem Unternehmen bereits im Einsatz ist, und zu klären, welche Pflichten für wen gelten könnten. Außerdem verankern wir die Governance in den Abläufen, nach denen Ihre Teams ohnehin arbeiten.
Readiness, Governance-Design und Umsetzung. Keine Rechtsberatung.
Das Hochrisiko-Kapitel wurde verschoben. Alles andere nicht.
Am 27. Juli 2026, sechs Tage vor dem wichtigsten Geltungsbeginn, hat der Digital Omnibus on AI (Verordnung (EU) 2026/1744) den AI Act geändert. Verschoben wurden ausschließlich die Pflichten für Hochrisiko-KI-Systeme: Für eigenständige Hochrisiko-KI-Systeme (Anhang III) gelten sie jetzt ab dem 2. Dezember 2027, für Hochrisiko-KI-Systeme in regulierten Produkten (Anhang I) ab dem 2. August 2028. Alles andere blieb im Zeitplan. Seit dem 2. August 2026 ist der übrige AI Act weitgehend anwendbar, und die Durchsetzung hat begonnen.
Seit dem 2. Februar 2025: verbotene Praktiken und KI-Kompetenz. Seit dem 2. August 2025: Regeln für KI-Modelle mit allgemeinem Verwendungszweck. Seit dem 2. August 2026: Transparenzpflichten, Registrierung und Durchsetzung.
Neu ist eine neunte verbotene Praxis: KI-generierte, nicht einvernehmliche sexuelle Intimbilder oder Darstellungen sexuellen Kindesmissbrauchs. Hinzu kommt eine Übergangsfrist für die Kennzeichnung synthetischer Inhalte aus bestimmten generativen Systemen, die bereits vor dem 2. August 2026 auf dem Markt waren.
Ab diesen Terminen gelten die Pflichten für Hochrisiko-KI-Systeme. Sie umfassen Klassifizierungsregeln, Risikomanagement, Daten, Dokumentation, Protokollierung, menschliche Aufsicht, Genauigkeit und Cybersicherheit sowie die Pflichten der Anbieter und Betreiber.
„Die EU hat den AI Act verschoben“ und „Das Hochrisiko-Kapitel wurde aufgeschoben“ sagen nicht dasselbe. Wenn Ihre Planung davon ausging, dass alles ab dem 2. August 2026 gilt, haben Sie für einen Teil davon sechzehn Monate mehr Zeit. Ein anderer Teil ist bereits überfällig.
Teuer wird Hochrisiko-Readiness nicht durch das Schreiben von Dokumenten. Die Kosten entstehen, weil Sie jedes KI-System im Unternehmen finden, klären, was es jeweils tut, und das Inventar aktuell halten müssen, während Anbieter neue Funktionen ausliefern. An dieser Arbeit ändert die Verschiebung nichts.
Die größte Readiness-Lücke ist die KI, die niemand aufgeschrieben hat.
Für KI, von deren Existenz Sie nichts wissen, können Sie auch keine Pflichten bewerten. Das ist keine Kritik an der Governance, sondern eine Beschreibung dessen, wie KI ins Unternehmen gekommen ist: über Kanäle, die keine zentrale Stelle steuert.
Das Inventar ist unvollständig
KI kam auf drei Wegen ins Unternehmen: in Produkten, die Sie bereits besaßen, mit Software, die unterhalb der Einkaufsschwellen gekauft wurde, und als Funktion in Unternehmensanwendungen, die Sie sonst gut steuern.
Die Rollen sind unklar
Welche Pflichten Sie haben, hängt davon ab, ob Sie für ein bestimmtes System Anbieter oder Betreiber sind. Die meisten Unternehmen sind an verschiedenen Stellen beides. Wann sie von einer Rolle in die andere gewechselt sind, merken sie manchmal gar nicht.
Die Klassifizierung ist uneinheitlich
Wer drei Personen fragt, ob ein Anwendungsfall ein hohes Risiko birgt, erhält drei verschiedene Antworten. Der Grund: Klassifiziert wird nach Produktname oder Anbieter, nicht danach, was das System tut und wen es betrifft.
Die Nachweise sind verstreut
Begründungen gibt es, verteilt auf E-Mails, Besprechungen und Tabellen. Es fehlt aber ein Nachweis, den Sie auf Anfrage vorlegen können.
Ihre Anbieter sind die am schnellsten wachsende Quelle neuer Einträge. Sobald ein Softwareanbieter in einem Produkt, das Sie bereits nutzen, eine KI-Funktion einschaltet, ändert sich Ihr Inventar. Damit ist das Thema ebenso eine Aufgabe des Lieferantenmanagements wie der Governance. AI Control Tower hält dieses Inventar aktuell, mit einer verantwortlichen Person und einem Lebenszyklus für jeden Eintrag.
Sie können belegen, welche KI Sie einsetzen, was sie tut, wer dafür verantwortlich ist und welche Nachweise Ihre Entscheidungen dazu stützen.
Readiness ist weder ein Zertifikat noch ein Rechtsgutachten, sondern ein Zustand im laufenden Betrieb.
Und die Nachweise entstehen im laufenden Prozess, statt erst auf Nachfrage zusammengesucht zu werden.
Der Prozess ist unsere Empfehlung und kein offizieller Lebenszyklus der EU. Der AI Act legt fest, welche Pflichten gelten, aber nicht, wie Sie sich organisieren, um sie zu erfüllen.
Vier Fragen entscheiden das.
Fallen Sie räumlich in den Anwendungsbereich?
Der AI Act wirkt über die EU hinaus. Ein Sitz außerhalb der EU schließt seine Anwendung für sich genommen nicht aus.
Was ist ein KI-System?
Der AI Act gilt nicht für jede Software, sondern nur für Systeme, die seine Definition eines KI-Systems erfüllen. Weil die Grenze nicht offensichtlich ist, hat die Kommission dazu unverbindliche Leitlinien veröffentlicht.
Welche Rolle haben Sie?
Die Rolle wird für jedes System einzeln bestimmt, nicht für das Unternehmen als Ganzes: Anbieter, Betreiber, Einführer, Händler oder keine davon.
Wofür und in welchem Kontext wird das System eingesetzt?
Davon hängt die Risikokategorie ab. Nach Auffassung der Kommission fällt die große Mehrheit der KI-Systeme in der EU in die Kategorie mit minimalem oder keinem Risiko. Für diese Systeme führt der AI Act keine Regeln ein.
In der Regel sind Unternehmen Betreiber. Das kann sich ändern, wenn Sie auf Basis eines KI-Modells mit allgemeinem Verwendungszweck eine eigene Lösung entwickeln und unter eigenem Namen in Betrieb nehmen. Für jedes System lautet die praktische Readiness-Frage: Welche Rolle haben wir hier, und würde eine Aufsichtsbehörde das genauso sehen?
Wir gehen diese Fragen mit Ihnen System für System durch. Ist für die Antwort eine rechtliche Bewertung nötig, gehört die Frage zu Ihrer Rechtsberatung. Das sagen wir Ihnen offen, statt zu raten.
Steht noch nicht fest, welche KI-Anwendungsfälle sich für Sie lohnen, starten Sie am besten mit AI Use Case Discovery.
Ein und dasselbe Modell kann einen Anwendungsfall mit minimalem Risiko ebenso unterstützen wie einen mit hohem Risiko.
Die Risikokategorien des AI Act richten sich nach der Verwendung, nicht nach der Architektur. Als Hochrisiko-Beispiele nennt die Kommission selbst das Bewerten von Prüfungen, das Sortieren von Lebensläufen und die Beurteilung der Kreditwürdigkeit. Keines davon ist ein Modell. Es sind Aufgaben, für die ein Modell eingesetzt werden könnte.
Aus diesen sechs Kriterien ergibt sich eine vorläufige interne Klassifizierung mit dokumentierter Begründung. Damit sind die meisten Anwendungsfälle bereits geklärt. Die übrigen gehen mit fertiger Analyse an die Rechtsberatung.
Die eine betrifft Beschäftigung und Personalmanagement, darunter Bewerberauswahl und Systeme zur Leistungsbewertung. Die andere betrifft den Zugang zu grundlegenden Diensten und Leistungen, darunter die Prüfung der Kreditwürdigkeit. Beide wurden auf Dezember 2027 verschoben. Das ist Zeit zur Vorbereitung, kein Freibrief zum Ignorieren.
Verboten sind die Emotionserkennung am Arbeitsplatz und die biometrische Kategorisierung, mit der geschützte Merkmale abgeleitet werden. Funktionen zur Stimmungs- und Emotionsanalyse finden sich in Contact-Center-, HR- und Produktivitätsanwendungen häufiger, als den meisten Unternehmen bewusst ist.
Wie Readiness in der Praxis aussieht
Verantwortung
Je Anwendungsfall sind ein Verantwortlicher im Fachbereich und ein technisch Verantwortlicher benannt. Wo Aufsicht nötig ist, kommt eine benannte Person mit der Kompetenz, Ausbildung und Befugnis zum Eingreifen hinzu.
Governance
Dazu gehören Registrierung, Klassifizierung, risikoabhängige Freigabeschwellen, Eskalationswege, ein Prüfrhythmus und der Umgang mit Ausnahmen. Die Regeln werden einmal festgelegt, einheitlich angewandt und bleiben so schlank, dass sie im Alltag auch genutzt werden.
Dokumentation und Nachweise
Begründung der Klassifizierung, Freigaben, Aufsichtskonzept, Unterlagen der Anbieter und Prüfhistorie werden im Zuge der Arbeit dokumentiert.
Technische Kontrollen
Protokollierung und Aufbewahrung, Berechtigungen, Offenlegung, wo nötig, Überwachungssignale und die Möglichkeit, ein System zu stoppen.
Menschen und KI-Kompetenz
KI-Kompetenz ist seit Februar 2025 gesetzlich vorgeschrieben, und keine Pflicht bleibt so oft undokumentiert. Der AI Act verlangt ein Verständnis, das Rolle, Kontext und Risiko angemessen ist. Eine Zertifizierung braucht es nicht. Nötig sind eine Zuordnung, welches Verständnis für welche Rolle und welches Risiko angemessen ist, und ein Nachweis, dass es vermittelt wurde.
Hochrisiko-KI braucht mehr als eine Richtlinie.
Die Anforderungen an Hochrisiko-KI-Systeme sind der anspruchsvollste Teil des AI Act und gelten ab Dezember 2027. Die meisten davon betreffen den Anbieter. Als Betreiber haben Sie eine andere, kürzere Liste. Die folgenden drei Punkte darauf sind Designentscheidungen, kein Papierkram.
Protokolle, mindestens sechs Monate
Betreiber müssen die automatisch erzeugten Protokolle, soweit diese ihrer Kontrolle unterliegen, mindestens sechs Monate aufbewahren. Die Aufbewahrung ist eine Architekturentscheidung und muss vor dem Einsatz geklärt sein.
Die Belegschaft informieren
Bevor Arbeitgeber ein Hochrisiko-KI-System in Betrieb nehmen, müssen sie die Arbeitnehmervertreter und die betroffenen Arbeitnehmer informieren. In Deutschland greifen zusätzlich die Rechte des Betriebsrats, damit wird die Reihenfolge entscheidend.
Aufsicht mit Befugnis
Die menschliche Aufsicht muss Personen übertragen werden, die über die erforderliche Kompetenz, Ausbildung und Befugnis verfügen, um einzugreifen. In der Praxis liegt sie oft bei jemandem, der das System zwar versteht, es aber nicht stoppen kann. Das ist keine Aufsicht.
Eine Grundrechte-Folgenabschätzung ist nicht bei jedem Einsatz eines Hochrisiko-KI-Systems vorgeschrieben. Artikel 27 verpflichtet dazu Einrichtungen des öffentlichen Rechts, private Einrichtungen, die öffentliche Dienste erbringen, sowie Betreiber bestimmter Hochrisiko-KI-Systeme aus Anhang III. Für die meisten privatwirtschaftlichen Betreiber gilt diese Pflicht nicht.
Nicht sicher, wo Ihre Readiness-Lücken liegen?
Wir finden sie mit Ihnen, System für System.
Ob etwas KI-Agent heißt, entscheidet nicht über sein Risiko. Entscheidend ist, was es tut.
Für KI-Agenten gibt es keine eigene rechtliche Kategorie. Ein KI-Agent ist ein KI-System und wird wie jedes andere bewertet. Durch seine Autonomie gewinnen Kontrollen an Gewicht, die es bereits gab.
Berechtigungen und Identität
Welche Systeme erreicht er, und unter welcher Identität handelt er?
Aktionen
Was darf er ohne Freigabe tun?
Nachvollziehbarkeit
Lässt sich im Nachhinein rekonstruieren, was er getan hat?
Verantwortung
Wer ist namentlich verantwortlich?
Stoppen
Wer kann ihn wie schnell stoppen, und wurde das schon getestet?
Diese Fragen würden Sie bei jedem automatisierten Prozess mit Systemzugriff stellen. KI-Agenten machen daraus keine anderen Fragen, aber folgenreichere. Wenn Sie Governance zur Laufzeit für KI-Agenten und weitere KI-Aktivitäten brauchen, ist genau dafür AI Control Tower da.
Governance für KI gehört in den Workflow, nicht in eine Tabelle.
Eine Richtlinie haben die meisten Unternehmen. Was fehlt, ist der Mechanismus: eine Registrierung, die nicht davon abhängt, dass jemand daran denkt, eine Klassifizierung vor dem Einsatz, Freigaben mit Name und Datum und Prüfungen, die auch wirklich stattfinden.
Änderungen bei Anbietern werden überwacht. So wird eine neue KI-Funktion in einer bestehenden Anwendung zum Eintrag im Inventar und nicht zur Überraschung.
Jedes System erhält einen Datensatz mit Angaben zu Rolle (Anbieter oder Betreiber), Zweck, Daten, Betroffenen sowie den benannten Verantwortlichen im Fachbereich und in der Technik.
Klassifiziert wird nach Verwendung und Kontext, nicht nach Anbieter. Ein und dasselbe Modell kann hier ein geringes und dort ein hohes Risiko bedeuten.
Eine benannte Person gibt frei, und die Freigabeschwelle steigt mit dem Risiko. Anwendungsfälle mit geringer Auswirkung laufen über die Standardkontrollen. Alles, was Menschen betrifft oder in eine Hochrisiko-Kategorie fallen könnte, geht an eine höhere Freigabestelle, sobald Klassifizierung, Aufsicht und Protokollierung bestätigt sind.
Der Go-live erfolgt erst, wenn die Betreiberpflichten umgesetzt sind.
Festgelegte Signale sorgen dafür, dass der Eintrag bei einer Änderung automatisch wieder geöffnet wird. Dazu gehören eine neue KI-Funktion, die ein Anbieter einschaltet, ein veränderter Zweck oder Kreis der Betroffenen, nachlassende Genauigkeit und ein Vorfall, der eine eigene Meldepflicht auslöst.
Klassifizierung, Verantwortung und Kontrollen werden regelmäßig überprüft, bei Änderungen auch früher als geplant.
Dafür gibt es einen festgelegten Weg, denn abgeschaltete Systeme hinterlassen Datensätze, die weiter bestehen.
Der Grundsatz dahinter: Nachweise entstehen im Prozess und werden nicht erst für ein Audit zusammengestellt.
Technologie kann Governance im Betrieb umsetzen, aber nicht über Ihre regulatorischen Pflichten entscheiden.
Readiness entscheidet, was gesteuert werden muss
Welche Systeme gibt es, welche Rolle haben Sie, welche Pflichten könnten gelten, und wer ist wofür verantwortlich? Diese Fragen verlangen fachliches Urteil.
AI Control Tower setzt es um
AI Control Tower erkennt KI-Assets, führt das Inventar, steuert Governance-Workflows, wendet Laufzeitkontrollen auf KI-Aktivitäten an und erzeugt Nachweise.
Technologie kann Governance im Betrieb umsetzen, aber nicht über Ihre regulatorischen Pflichten entscheiden. Die mitgelieferten Inhalte zum EU AI Act bilden einen Rahmen, enthalten jedoch keine vorgefertigte Zuordnung zu Ihren Kontrollzielen. Bewertungsvorlagen werden als Entwurf geliefert. Laut ServiceNow selbst sichert die Plattform keine Konformität zu, die Verantwortung dafür bleibt beim Kunden. Die Software ist eine echte Hilfe, ersetzt aber nicht die Entscheidung, welche Artikel für Sie gelten.
Regulierung und nützliche KI sind keine Gegensätze.
Wenn Governance jeden Anwendungsfall gleich behandelt, hat das zwei negative Folgen. Nützliche Vorhaben mit geringem Risiko kommen nicht voran. Und die Mitarbeiter umgehen den Prozess. Genau so entsteht Schatten-KI.
Schnellspur
Gilt für Fälle mit geringer Auswirkung, ohne Betroffene und ohne personenbezogene Daten, die Entscheidungen steuern. Ablauf: registrieren, verantwortliche Person benennen, Standardkontrollen anwenden, loslegen.
Standardprüfung
Gilt für Fälle mit personenbezogenen Daten, Kundenkontakt oder Entscheidungen von begrenzter Tragweite. Ablauf: registrieren, klassifizieren, Begründung dokumentieren, Offenlegung und Aufsicht bestätigen, freigeben.
Erweiterte Prüfung
Gilt für Fälle mit Entscheidungen über Menschen, erheblicher Tragweite oder einer möglichen Hochrisiko-Kategorie. Ablauf: umfassend bewerten, rechtlich einschätzen lassen, Aufsicht gestalten, Protokollierung bestätigen, auf höherer Ebene freigeben.
Stoppen und eskalieren
Gilt für alles, was nach einer verbotenen Praxis aussieht, und für Fälle, in denen die Antwort wirklich unklar ist.
Diese Stufen gehören zur operativen Governance und sind keine Risikoklassen des AI Act. Wir trennen die beiden Begriffswelten bewusst. Sonst wird eine interne Bezeichnung früher oder später wie eine rechtliche Schlussfolgerung behandelt.
Neun Dimensionen.
Ob etwas konform ist oder nicht, beurteilen wir nicht. Diese rechtliche Schlussfolgerung steht uns nicht zu.
Was Sie mitnehmen
Das Inventar
Die Bewertung
Der Plan
Was Sie nicht mitnehmen, ist ein Konformitätsgutachten.
Readiness ist kein Ziel, das man einmal erreicht, sondern ein Zustand, den man halten muss.
Umfang festlegen
Welche Gesellschaften, Märkte und Unternehmensbereiche einbezogen werden.
Das KI-Inventar aufbauen oder prüfen
Hier ist der Vorlauf am längsten. Dazu gehört auch KI, die Sie nicht bewusst gekauft haben.
Rollen und Anwendungsfälle abbilden
Anbieter oder Betreiber je System, mit Hinweis, wo sich die Rolle ändern könnte.
Readiness und Risiko bewerten
Vorläufige Klassifizierung mit dokumentierter Begründung und die Bewertung der Lücken.
Lücken in Governance und Nachweisen benennen
Strukturelle Lücken, nicht fehlende Dokumente in einem Ordner.
Maßnahmen priorisieren
Zuerst die geltenden Pflichten, dann Punkte mit langem Vorlauf, dann Dezember 2027, im Rahmen Ihrer Kapazitäten.
In den Betrieb überführen
Governance wird Teil des Workflows, damit Nachweise dort entstehen, statt gesammelt zu werden.
Laufende Prüfung verankern
Festgelegt werden Prüfrhythmus, Auslöser und das Vorgehen, wenn ein Anbieter das Modell ohne Ihr Zutun austauscht.
Wir leisten keine Rechtsberatung, und wir zertifizieren keine KI-Systeme.
Unsere Aufgabe ist es, regulatorische Anforderungen in operative und technische Readiness umzusetzen. Ist eine förmliche rechtliche Auslegung erforderlich, arbeiten wir mit Ihrer Rechtsberatung zusammen oder empfehlen Ihnen spezialisierte Berater.
Grenzfälle erreichen Ihre Rechtsberatung mit bereits fertiger Analyse. Das Gespräch wird dadurch kürzer und günstiger.
Warum Pulse & Patterns
KI und Betrieb
Wir beschäftigen uns damit, wie KI tatsächlich in Geschäftsprozesse gelangt. Genau dort entstehen die Pflichten.
Governance und Umsetzung
Wir leiten aus den Anforderungen operative Kontrollen und Plattform-Workflows ab und setzen sie anschließend um.
Schwerpunkt ServiceNow
Wo es sinnvoll ist, verbinden wir das Governance-Design mit ServiceNow. Dabei wissen wir, was die Plattform im Standard mitbringt und was nicht.
Unabhängige Beratung
Bei diesem Thema läge es kommerziell nahe, mehr Software zu empfehlen. Wir dokumentieren stattdessen für jede Funktion das empfohlene führende System, auch wenn ein bereits vorhandenes System die bessere Lösung ist.
Wir sind keine Kanzlei. Pulse & Patterns gibt es seit 2025. Vom ersten Gespräch an arbeiten Sie direkt mit erfahrenen Spezialisten zusammen, ohne Betreuungsebene dazwischen und ohne Übergabe.
Ein praxistauglicher Plan für Ihre EU AI Act Readiness
Ausgangspunkt ist das, was in Ihrem Unternehmen tatsächlich im Einsatz ist. Wir helfen Ihnen, die KI zu finden und zu klären, welche Pflichten für wen gelten könnten. Sie erhalten eine Reihenfolge, die Sie begründen können. Darin ist auch markiert, welche Punkte zu Ihrer Rechtsberatung gehören und nicht zu uns.
KI-System
Software im Sinne der Definition des AI Act. Nicht jede Software gehört dazu.
Anbieter
Sie entwickeln ein KI-System oder lassen es entwickeln und bringen es unter eigenem Namen in Verkehr.
Betreiber
Sie verwenden ein KI-System in eigener Verantwortung im Rahmen einer beruflichen Tätigkeit.
Hochrisiko-KI-System
Die Einstufung richtet sich nach Verwendung und Kontext, nicht nach der Technologie. Mit ihr sind umfangreiche Anforderungen verbunden.
Verbotene Praxis
Eine Verwendung von KI, die der AI Act überhaupt nicht zulässt.
KI-Modell mit allgemeinem Verwendungszweck
Ein Modell, das für viele verschiedene Zwecke eingesetzt werden kann, etwa ein großes Sprachmodell.
Transparenzpflicht
Die Pflicht, offenzulegen, dass Menschen mit einer KI interagieren oder dass Inhalte von KI erzeugt wurden.
KI-Kompetenz
Ein angemessenes Verständnis von KI bei den Mitarbeitern, die damit arbeiten. Die Pflicht gilt bereits, eine Zertifizierung ist nicht nötig.
Grundrechte-Folgenabschätzung
Eine bestimmte Bewertung, die manche Betreiber durchführen müssen, nicht alle.
Datenschutz-Folgenabschätzung
Die entsprechende Bewertung nach Datenschutzrecht. Verwandt, aber nicht dasselbe.
Menschliche Aufsicht
Eine benannte Person mit der Kompetenz, Ausbildung und Befugnis, einzugreifen.
Schatten-KI
KI, die im Unternehmen läuft und die niemand erfasst hat.
Agentic AI
Software, die entscheidet, was als Nächstes zu tun ist, und es dann ausführt, im Rahmen der Regeln, die Sie festlegen.
Was ist der EU AI Act?
Der EU AI Act, auf Deutsch oft KI-Verordnung genannt, ist die Verordnung (EU) 2024/1689 und damit der Rechtsrahmen der EU für künstliche Intelligenz. Er ist seit dem 1. August 2024 in Kraft und verfolgt einen risikobasierten Ansatz. Bestimmte KI-Praktiken sind verboten, bestimmte KI-Systeme sind als Hochrisiko-KI-Systeme eingestuft, für manche gelten Transparenzpflichten. Die Mehrheit fällt in eine Kategorie mit minimalem Risiko, für die der AI Act keine Regeln einführt. Geändert wurde er am 27. Juli 2026 durch die Verordnung (EU) 2026/1744, den Digital Omnibus on AI.
Wurde der EU AI Act verschoben?
Teilweise. Verschoben wurden die Pflichten für Hochrisiko-KI-Systeme: für eigenständige Systeme nach Anhang III auf den 2. Dezember 2027 und für Systeme in regulierten Produkten nach Anhang I auf den 2. August 2028. Die Verbote, die KI-Kompetenz, die Regeln für KI-Modelle mit allgemeinem Verwendungszweck, die Transparenzpflichten und die Registrierung blieben im Zeitplan. Seit dem 2. August 2026 ist der AI Act weitgehend anwendbar, und seitdem wird er auch durchgesetzt.
Ab wann gilt der EU AI Act?
Der AI Act gilt schrittweise: verbotene Praktiken und KI-Kompetenz seit dem 2. Februar 2025, Pflichten für KI-Modelle mit allgemeinem Verwendungszweck seit dem 2. August 2025, Transparenzpflichten, Registrierung und Durchsetzung seit dem 2. August 2026. Ab dem 2. Dezember 2026 folgen ein neues Verbot und eine Übergangsfrist zur Kennzeichnung, ab dem 2. Dezember 2027 und dem 2. August 2028 die Pflichten für Hochrisiko-KI-Systeme.
Gilt der EU AI Act für mein Unternehmen?
Das hängt von vier Faktoren ab. Erstens, ob der AI Act Sie räumlich erfasst. Das kann auch außerhalb der EU der Fall sein. Zweitens, ob das, was Sie nutzen, seine Definition eines KI-Systems erfüllt. Drittens, welche Rolle Sie je System haben, meist die des Betreibers. Viertens, wofür und in welchem Kontext Sie jedes System einsetzen. Nach Auffassung der Kommission fällt die große Mehrheit der in der EU genutzten KI-Systeme in die Kategorie mit minimalem oder keinem Risiko.
Woran erkenne ich, ob ein KI-Anwendungsfall hohes Risiko trägt?
Weder am Modell noch am Anbieter. Der AI Act beschreibt die Kategorien nach Verwendung und Kontext, etwa die Bewertung von Prüfungen, das Sortieren von Lebensläufen oder die Bonitätsbewertung. Prüfen Sie für jeden Anwendungsfall sechs Kriterien: Zweck, Einsatzkontext, Betroffene, genutzte Daten, beeinflusste Entscheidung und mögliche Aktionen. Daraus ergibt sich eine vorläufige Klassifizierung mit dokumentierter Begründung. Entweder ist der Fall damit geklärt, oder er geht an die Rechtsberatung.
Welche Pflichten hat ein Betreiber von KI?
Ab dem 2. Dezember 2027 haben Betreiber von Hochrisiko-KI-Systemen folgende Pflichten: Sie verwenden das System gemäß Betriebsanleitung und übertragen die menschliche Aufsicht Personen mit Kompetenz, Ausbildung und Befugnis. Soweit sie die Eingabedaten kontrollieren, sorgen sie für deren Relevanz. Sie überwachen den Betrieb, setzen die Verwendung bei auftretendem Risiko aus und melden dies, melden schwerwiegende Vorfälle und bewahren Protokolle mindestens sechs Monate auf. Arbeitgeber müssen die Arbeitnehmervertreter und die betroffenen Arbeitnehmer vor dem Einsatz informieren. Die Pflicht zur KI-Kompetenz gilt für Betreiber schon jetzt, unabhängig von der Risikostufe.
Gilt der EU AI Act für KI-Agenten?
Ja. Für KI-Agenten gibt es keine eigene rechtliche Kategorie: Ein KI-Agent ist ein KI-System und wird genauso bewertet. Welche Pflichten gelten, richtet sich danach, was er tut, in welchem Kontext, gegenüber wem, mit welchen Daten und mit wie viel Autonomie. Je autonomer er arbeitet, desto wichtiger werden die bestehenden Kontrollen: Berechtigungen, menschliche Freigaben, Nachvollziehbarkeit, Verantwortung und die Möglichkeit, ihn zu stoppen.
Gilt der EU AI Act auch für die Nutzung eines KI-Assistenten mit allgemeinem Verwendungszweck im Arbeitsalltag?
Wer ein KI-Modell mit allgemeinem Verwendungszweck nutzt, wird dadurch nicht zu dessen Anbieter. Maßgeblich sind die Pflichten auf Betreiberseite: Der Anwendungsfall gehört in Ihr KI-Inventar und braucht eine verantwortliche Person. Möglicherweise ist eine Offenlegung nach den Transparenzpflichten nötig, und die Pflicht zur KI-Kompetenz gilt auch hier. Die Risikokategorie hängt vollständig davon ab, wofür Sie den Assistenten einsetzen.
Wie hängt der EU AI Act mit dem Datenschutzrecht zusammen?
Beide gelten nebeneinander. Betreiber von Hochrisiko-KI-Systemen sollen die Informationen des Anbieters nutzen, um eine Datenschutz-Folgenabschätzung zu unterstützen, wo diese erforderlich ist. Eine Grundrechte-Folgenabschätzung ergänzt die Datenschutz-Folgenabschätzung, ersetzt sie aber nicht. Wenn Sie bereits einen Prozess für Folgenabschätzungen, ein Verzeichnis von Verarbeitungstätigkeiten und einen Ablauf für Betroffenenrechte haben, können Sie einen großen Teil der Nachweise für den AI Act darauf aufbauen.
Kann Software uns konform machen?
Nein, und ServiceNow sagt das selbst: Die eigenen Risikoprodukte helfen bei der Umsetzung regulatorischer Anforderungen, sichern aber keine Konformität zu. Eine gute Software führt das Inventar, steuert den Governance-Workflow, wendet Kontrollen an und erzeugt Nachweise. Welche Pflichten für Sie gelten, kann sie jedoch nicht entscheiden. Ebenso wenig kann sie Artikel auf Ihre Kontrollen abbilden oder eine Entscheidung verantworten.
Leistet Pulse & Patterns Rechtsberatung?
Nein. Unser Angebot umfasst Readiness-Bewertung, Governance-Design, Empfehlungen zum Operating Model, Anforderungen an technische Kontrollen und Unterstützung bei der Umsetzung. Ist eine förmliche rechtliche Auslegung erforderlich, arbeiten wir mit Ihrer Rechtsberatung zusammen oder empfehlen Ihnen spezialisierte Berater.