EU AI Act im Unternehmen umsetzen: Was Sie jetzt konkret tun müssen

AI Governance 15. Juni 2026 Marc Lettau-Poelchen 11 min Lesedauer

eu-ai-actai-governancecomplianceai-compliancevendor-managementai-literacy

Der EU AI Act ist kein Zukunftsthema mehr, das man mit einem freundlichen „schauen wir uns im nächsten Quartal an“ an die Wand fahren darf. Die Verordnung ist in Kraft, erste Pflichten gelten bereits, weitere folgen gestaffelt. Für Unternehmen lautet die eigentliche Frage deshalb nicht mehr, ob sie sich mit AI Governance beschäftigen müssen, sondern: Was müssen wir jetzt konkret tun?^[1]

Die erfreulich unerfreuliche Antwort: Sie brauchen keine KI-Taskforce mit fünf Unterarbeitsgruppen und einem 80-seitigen Policy-PDF, das niemand liest. Aber Sie brauchen ein belastbares Grundgerüst. In der Praxis heißt das:

KI-Systeme erfassen
Risiken klassifizieren
interne Regeln definieren
Entscheidungen dokumentieren
Anbieter sauber prüfen
Mitarbeitende schulen

Genau darum geht es in diesem Beitrag: EU AI Act praxisnah umsetzen, ohne in regulatorischen Aktionismus oder organisatorische Selbsthypnose zu verfallen.

Warum Unternehmen jetzt handeln müssen

Der EU AI Act verfolgt einen risikobasierten Ansatz. Je höher das Risiko eines KI-Systems für Sicherheit, Gesundheit oder Grundrechte, desto strenger die Anforderungen.^[1] Das klingt vernünftig – und ist gleichzeitig der Punkt, an dem viele Unternehmen ins Stolpern geraten. Denn die meisten fragen zuerst: „Nutzen wir überhaupt kritische KI?“ Die bessere Frage ist: Für welchen Zweck nutzen wir KI konkret?

Denn nicht das Tool allein ist entscheidend, sondern der Use Case. Ein Textassistent für interne Entwürfe ist regulatorisch etwas anderes als eine KI, die Bewerbende vorsortiert, Mitarbeitende bewertet oder Kreditentscheidungen vorbereitet.^[2]

Mit anderen Worten: Das Problem ist selten „KI“ im Allgemeinen. Das Problem ist der sehr konkrete Moment, in dem ein Unternehmen eine KI auf Menschen, Rechte, Entscheidungen oder sensible Prozesse loslässt und hofft, das werde schon irgendwie modern aussehen.

Schritt 1: Alle KI-Systeme im Unternehmen inventarisieren

Der erste Schritt ist banal, aber unverzichtbar: Erstellen Sie ein KI-Register.

Ohne Inventar keine Risikoklassifizierung.
Ohne Risikoklassifizierung keine Governance.
Ohne Governance keine belastbare Compliance.
Oder, etwas kürzer: ohne Liste nur sehr viel Meinung.

In dieses Register gehören mindestens:

Name des Systems
Anbieter / Vendor
Fachbereich oder Team
konkreter Einsatzzweck
betroffene Personengruppen
verwendete Datenarten
Einfluss auf Entscheidungen oder Prozesse
verantwortliche interne Person
erste rechtliche / regulatorische Einordnung
Datum der letzten Prüfung

Wichtig ist dabei: Nicht nur selbst entwickelte KI erfassen, sondern auch eingekaufte Tools und SaaS-Produkte mit KI-Funktion. Der EU AI Act betrifft nicht nur Anbieter, sondern auch Deployers, also Unternehmen, die KI-Systeme einsetzen.^[3]

Gerade hier liegt in vielen Organisationen die eigentliche Baustelle. Die Fachabteilung nutzt schon drei Tools, der Einkauf kennt zwei davon, IT eines, Legal keins – und alle gehen davon aus, jemand anders habe das sicher im Blick. Ein beeindruckendes Governance-Modell, wenn das Ziel maximale Intransparenz ist.

Schritt 2: KI-Anwendungen nach Risiko klassifizieren

Sobald Sie wissen, welche KI-Systeme im Unternehmen im Einsatz sind, folgt die eigentliche Kernaufgabe: Risikoklassifizierung.

Für die Praxis eignet sich eine Prüfung in drei Stufen.

Verbotene KI-Praktiken erkennen

Artikel 5 des EU AI Act verbietet bestimmte KI-Praktiken bereits seit 2. Februar 2025.^[4] Dazu zählen unter anderem:

manipulative oder täuschende KI mit erheblichem Schadenspotenzial
Ausnutzung schutzbedürftiger Personen oder Gruppen
Social Scoring
bestimmte biometrische Kategorisierung
Emotionserkennung in Arbeits- und Bildungskontexten
ungezieltes Scraping von Gesichtsbilddaten

Für Unternehmen ist das besonders relevant in Bereichen wie:

HR und Recruiting
Workforce Monitoring
biometrische Zugangssysteme
Marketing mit psychologischer Profilbildung

Wenn ein System etwa behauptet, aus Mimik, Stimme oder Verhalten „Emotionen“, „Eignung“ oder „Motivation“ von Bewerbenden oder Mitarbeitenden ableiten zu können, sollte nicht zuerst Begeisterung ausbrechen, sondern eine sehr nüchterne rechtliche Prüfung.^[4]

High-Risk-KI identifizieren

Artikel 6 und Anhang III legen fest, wann ein KI-System als high-risk gilt.^[2] Besonders relevant für Unternehmen sind Anwendungsfälle wie:

Recruiting und Bewerbervorauswahl
Entscheidungen im Beschäftigungskontext
Leistungsbewertung oder Verhaltensüberwachung
Kreditwürdigkeitsprüfung
Zugang zu essenziellen Dienstleistungen
bestimmte biometrische oder sicherheitsrelevante Anwendungen

Hier gilt: Auch wenn nicht jedes KI-System automatisch als Hochrisiko-System einzustufen ist, sollten Unternehmen sensible Einsatzbereiche früh markieren und gesondert steuern. Wer erst mit Governance beginnt, wenn die regulatorische Lage maximal konkret und das Risiko bereits operativ eingebaut ist, betreibt kein Risikomanagement, sondern Hoffnung mit Dashboard.

Transparenzpflichten prüfen

Neben verbotenen und hochriskanten Systemen gibt es KI-Anwendungen mit Transparenzpflichten nach Artikel 50. Diese betreffen unter anderem:

Chatbots oder Systeme, die mit Menschen interagieren
generative KI, die Inhalte erzeugt
Deepfakes
bestimmte emotionserkennende oder biometrische Anwendungen
KI-generierte Inhalte zu Themen von öffentlichem Interesse^[5]

Ab 2. August 2026 greifen hier zentrale Anforderungen.^[1]^[5] Praktisch bedeutet das: Unternehmen müssen prüfen, ob und wie Nutzerinnen und Nutzer darüber informiert werden müssen, dass sie mit KI interagieren oder KI-generierte Inhalte sehen.

Das ist besonders relevant für Marketing, Kundenservice, Kommunikation und Content-Teams. Mit anderen Worten: genau dort, wo man sich bisher gern von Effizienzgewinnen hat blenden lassen.

Schritt 3: AI Governance mit klaren internen Policies aufbauen

Wer den EU AI Act umsetzen will, braucht nicht sofort ein Governance-Handbuch in Romanlänge. Was Unternehmen brauchen, sind wenige, klare und wirksame Regeln.

1. AI Acceptable Use Policy

Diese Policy definiert, welche KI-Tools wofür genutzt werden dürfen und welche Grenzen gelten. Sie sollte insbesondere regeln:

erlaubte und verbotene Use Cases
Umgang mit personenbezogenen und vertraulichen Daten
Pflicht zur menschlichen Prüfung bei sensiblen Ergebnissen
Kennzeichnung KI-generierter Inhalte
Freigabeprozess für neue Tools

Das Ziel ist nicht, Innovation abzuwürgen. Das Ziel ist, zu verhindern, dass Mitarbeitende mit bestem Willen und schlechter Absicherung Unternehmensdaten in irgendeinen Dienst kippen, der dann offiziell niemandem bekannt ist.

2. Policy zur Risikoklassifizierung

Diese Policy beschreibt, wie KI-Systeme eingestuft, dokumentiert und regelmäßig neu bewertet werden. Wichtig ist dabei ein klarer Trigger für Re-Assessments, zum Beispiel bei:

neuen Modellen oder Funktionen
Wechsel des Anbieters
Erweiterung des Anwendungsbereichs
neuer Datennutzung
Einfluss auf zusätzliche Personengruppen

3. Human Oversight und Incident Management

Gerade bei sensiblen Systemen reicht ein „der Mensch ist noch irgendwie im Prozess“ nicht aus. Unternehmen sollten konkret festlegen:

wer Systeme überwacht
wer Entscheidungen freigibt
wer bei Fehlfunktionen eingreift
wie Vorfälle gemeldet werden
wie Logs, Fehler und Eskalationen dokumentiert werden^[3]

4. Procurement- und Vendor-Governance-Policy

Diese Policy stellt sicher, dass KI nicht ungeprüft durch Fachabteilungen, Pilotprojekte oder ambitionierte Software-Demos ins Haus getragen wird. Wer Software einkauft, braucht bei KI andere Prüffragen als nur Preis, Datenschutzanlage und Vertragslaufzeit.

Schritt 4: Dokumentation aufbauen, die im Ernstfall auch etwas taugt

Ein zentraler Baustein jeder AI Compliance ist belastbare Dokumentation. Nicht, weil Dokumentation schön wäre. Sondern weil Unternehmen im Zweifel nachweisen müssen, dass sie Risiken erkannt, bewertet und gesteuert haben.^[2]^[3]

Mindestens sinnvoll sind folgende Dokumentationsbausteine:

KI-Register aller eingesetzten Systeme
Klassifizierungsvermerk je Anwendung
Begründung für die Einstufung
Freigabe- und Entscheidungsprotokolle
Vendor-Akte mit Produktinformationen, Zusicherungen und Risiken
Änderungslog bei neuen Features oder Modellupdates
Schulungsnachweise
Incident-Log

Ein guter Praxissatz lautet: Jede KI-Anwendung braucht einen Owner, einen Zweck und eine Akte. Wenn eines davon fehlt, ist die Wahrscheinlichkeit hoch, dass irgendwann auch die Kontrolle fehlt.

Schritt 5: Vendor-Checks für KI-Anbieter professionalisieren

Viele Unternehmen beziehen KI heute über externe Anbieter. Genau deshalb sind Vendor-Checks ein zentraler Teil der AI Governance.

Ein sauberer KI-Vendor-Check sollte mindestens diese Fragen beantworten:

Was ist das konkrete KI-System oder Modell?
Für welchen Zweck ist es vorgesehen?
Welche Rolle nimmt der Anbieter im regulatorischen Gefüge ein?
Gibt es nachvollziehbare Informationen zu Funktionsweise, Grenzen und Risiken?
Welche Maßnahmen zu Human Oversight, Logging und Monitoring sind vorgesehen?
Wie werden Produktänderungen, Modellupdates und neue Funktionen kommuniziert?
Unterstützt die Lösung Transparenz- und Kennzeichnungspflichten?
Welche Daten werden verarbeitet?
Welche vertraglichen Zusagen gibt es zu Support, Incidents und Auskunftsrechten?

Für Unternehmen ist hier besonders wichtig: „Der Anbieter wird das schon compliant gebaut haben“ ist keine Governance-Strategie. Es ist eher eine Form moderner Folklore.

Gerade in sensiblen Bereichen sollten Vendor-Checks nicht nur technisch oder datenschutzrechtlich, sondern auch AI-Act-bezogen erfolgen. Das betrifft vor allem Dokumentation, Rollenverständnis, Nutzungsgrenzen und die Frage, ob das Produkt bestimmte Pflichten praktisch überhaupt erfüllbar macht.^[3]^[5]

Schritt 6: Mitarbeitende schulen und AI Literacy aufbauen

Ein oft unterschätzter Punkt ist AI Literacy. Artikel 4 verpflichtet Anbieter und Deployers dazu, sicherzustellen, dass Personen, die mit KI-Systemen arbeiten, über ein ausreichendes Maß an KI-Kompetenz verfügen.^[6]

Diese Pflicht gilt bereits seit 2. Februar 2025.^[1]^[6] Die Europäische Kommission betont dabei, dass es keine starre Zertifizierungspflicht gibt. Unternehmen müssen also nicht sofort akademische KI-Abzeichen verteilen. Sie müssen aber sicherstellen, dass Mitarbeitende die Systeme, Risiken und Grenzen in ihrem jeweiligen Kontext verstehen.^[7]

In der Praxis empfiehlt sich ein gestuftes Schulungskonzept:

Basis-Schulung für alle Nutzenden

Inhalte können sein:

Grundlagen zu KI und generativer KI
typische Risiken wie Halluzinationen, Bias und Vertraulichkeitsprobleme
interne Regeln zur erlaubten Nutzung
Kennzeichnungspflichten
Eskalationswege bei Unsicherheiten

Rollenspezifische Schulungen

Beispiele:

HR: verbotene Praktiken, High-Risk-Einsätze, menschliche Kontrolle
Marketing / Kommunikation: Transparenzpflichten, Kennzeichnung, Deepfakes
Einkauf / Legal / IT: Vendor-Checks, Vertragsklauseln, Dokumentation, Governance

Vertiefung für Owner und Führungskräfte

Hier geht es um:

Risikoklassifizierung
Freigabeentscheidungen
Incident Management
Re-Assessment bei Änderungen
Steuerung von Verantwortlichkeiten

Wichtig: Laut Kommission reicht es oft gerade nicht, einfach nur Produktdokumentationen weiterzuleiten und zu hoffen, die Belegschaft werde sich schon irgendwie vernünftig regulieren.^[7] Wer KI einführt, muss auch das Verständnis dazu einführen. Alles andere ist digitalisierte Improvisation.

Konkreter 30-Tage-Plan für Unternehmen

Wer den EU AI Act jetzt pragmatisch angehen will, kann in den nächsten 30 Tagen bereits sehr viel erreichen:

Alle KI-Tools und KI-Anwendungen erfassen
kritische und sensible Use Cases priorisiert prüfen
verbotene Praktiken ausschließen
High-Risk-Kandidaten markieren
AI Acceptable Use Policy verabschieden
Vendor-Check-Fragebogen einführen
Verantwortliche je KI-System festlegen
zentrale Dokumentationsablage einrichten
Basis-Schulung für KI-Nutzende starten
Review-Termin für Neubewertungen definieren

Gerade für KMU ist das wichtig: Der regulatorische Rahmen enthält Unterstützungsmaßnahmen wie Sandboxes, Hilfestellungen und vereinfachte Ansätze.^[8] Das ist hilfreich. Es ersetzt aber nicht die eigene Governance. Auch kleine Unternehmen können KI-Risiken auslösen. Sie tun das dann nur mit weniger Personal und oft mehr Optimismus.

Fazit: EU AI Act umsetzen heißt nicht Perfektion, sondern Struktur

Der EU AI Act verlangt nicht, dass Unternehmen morgen perfekte KI-Organisationen werden. Er verlangt aber sehr wohl, dass Unternehmen strukturiert, nachvollziehbar und risikobewusst handeln.

Die pragmatische Formel lautet:

Inventarisieren. Klassifizieren. Regeln definieren. Dokumentieren. Anbieter prüfen. Mitarbeitende schulen.

Wer das jetzt sauber aufsetzt, reduziert nicht nur regulatorische Risiken, sondern schafft auch bessere Voraussetzungen für den sinnvollen KI-Einsatz im Unternehmen. Wer es nicht tut, wird früher oder später feststellen, dass „Wir nutzen halt ein paar Tools“ keine belastbare Governance-Strategie ist.

Es ist eher der organisatorische Cousin von „Das wird schon gutgehen“.
Und genau diese Methode hat bekanntlich noch nie zuverlässig für Compliance gesorgt.

FAQ zum EU AI Act für Unternehmen

Was müssen Unternehmen beim EU AI Act jetzt zuerst tun?

Der wichtigste erste Schritt ist ein KI-Inventar. Unternehmen sollten alle eingesetzten KI-Systeme erfassen, ihren Zweck dokumentieren und anschließend eine Risikoklassifizierung vornehmen.^[1]^[3]

Gilt der EU AI Act auch für Unternehmen, die nur externe KI-Tools nutzen?

Ja. Der EU AI Act betrifft nicht nur Anbieter, sondern auch Deployers, also Unternehmen, die KI-Systeme einsetzen.^[3]

Welche KI-Anwendungen sind für Unternehmen besonders kritisch?

Besonders kritisch sind Anwendungen in Recruiting, Beschäftigung, Kreditprüfung, biometrischen Kontexten, Verhaltensüberwachung und bei KI-generierten Inhalten mit Transparenzpflichten.^[4]^[2]^[5]

Müssen Unternehmen ihre Mitarbeitenden zu KI schulen?

Ja. Artikel 4 verlangt ein ausreichendes Maß an AI Literacy für Personen, die mit KI-Systemen arbeiten.^[6]^[7]

Reicht Datenschutz-Compliance aus, um den EU AI Act zu erfüllen?

Nein. Datenschutz bleibt wichtig, ersetzt aber keine AI Governance nach dem EU AI Act. Unternehmen müssen zusätzlich Risiko, Transparenz, Verantwortlichkeiten, Dokumentation und Schulungen berücksichtigen.^[1]^[3]

Hinweis: Dieser Beitrag dient der praxisnahen Einordnung und ersetzt keine Rechtsberatung.