Seit dem 2. August 2026 ist eine weitere wichtige Stufe der europäischen KI-Verordnung (AI Act) zu beachten. Für Unternehmen, die künstliche Intelligenz einsetzen, können sich daraus neue Pflichten ergeben. Verstöße können erhebliche Bußgelder nach sich ziehen. Unternehmen sollten daher nach Ansicht von Dr. Späth & Partner Rechtsanwälten mbB mit Sitz in Berlin überprüfen, wo und wie KI im Betrieb eingesetzt wird und ob die neuen Vorgaben eingehalten werden müssen, um nicht erhebliche Nachteile und im schlimmsten Fall empfindliche Bussgelder zu riskieren.
1. Der AI Act betrifft nicht nur große KI-Unternehmen
Die europäische KI-Verordnung wird häufig vor allem mit großen Technologieunternehmen und Anbietern von KI-Modellen in Verbindung gebracht.
Das ist jedoch nicht ausreichend, denn auch Unternehmen, die KI-Systeme lediglich einsetzen, können als sogenannte „Betreiber“ („Deployers“) vom AI Act erfasst werden.
Das kann beispielsweise Unternehmen betreffen, die KI einsetzen für
-Kundenkommunikation und Chatbots,
-Marketing und Werbung,
-Personalentscheidungen und Bewerberauswahl,
-Erstellung oder Bearbeitung von Texten, Bildern oder Videos,
-automatisierte Auswertungen,
-Kundenbewertungen oder Scoring,
-interne Unternehmensprozesse oder
-andere automatisierte Entscheidungsprozesse.
Entscheidend ist deshalb nicht allein, ob ein Unternehmen selbst KI entwickelt, sondern auch die konkrete Nutzung fremder KI-Systeme kann rechtlich relevant sein und hierbei Unternehmen die KI-Vorgaben zu beachten haben.
2. Neue Transparenzpflichten seit dem 2. August 2026
Besondere praktische Bedeutung haben die Transparenzpflichten des Art. 50 AI Act, die seit dem 2. August 2026 anwendbar sind.
So müssen beispielsweise bestimmte KI-Systeme, die unmittelbar mit natürlichen Personen interagieren, so gestaltet bzw. eingesetzt werden, dass die betroffenen Personen grundsätzlich darüber informiert werden, dass sie mit einem KI-System interagieren.
Für Unternehmen kann dies insbesondere bei KI-Chatbots und automatisierter Kundenkommunikation relevant werden.
Auch bei künstlich erzeugten oder manipulierten Bild-, Audio- und Videoinhalten können Kennzeichnungspflichten bestehen. Besondere Anforderungen gelten insbesondere für sogenannte Deepfakes.
Unter bestimmten Voraussetzungen können zudem KI-generierte oder manipulierte Texte, die veröffentlicht werden, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren, einer Offenlegungspflicht unterliegen.
Unternehmen sollten daher nicht davon ausgehen, dass KI-generierte Inhalte ohne Weiteres genauso veröffentlicht werden können wie ausschließlich von Menschen erstellte Inhalte.
3. KI-Kompetenz der Mitarbeiter ist ebenfalls ein wichtiges Thema
Eine weitere Verpflichtung wird in der betrieblichen Praxis teilweise noch unterschätzt.
Nach Art. 4 AI Act müssen Anbieter und Betreiber von KI-Systemen Maßnahmen ergreifen, um nach bestem Wissen und Gewissen ein ausreichendes Maß an KI-Kompetenz („AI Literacy“) ihrer Mitarbeiter und sonstigen mit dem Betrieb und der Nutzung der Systeme befassten Personen sicherzustellen.
Diese Verpflichtung gilt bereits seit dem 2. Februar 2025.
Dabei sind unter anderem die technischen Kenntnisse und Erfahrungen der Mitarbeiter, deren Ausbildung und Schulung sowie der konkrete Einsatzbereich der jeweiligen KI-Systeme zu berücksichtigen.
Für Unternehmen kann es deshalb sinnvoll sein, nicht lediglich den Einsatz von ChatGPT, Microsoft Copilot oder anderen KI-Systemen freizugeben, sondern zugleich klare Regeln für deren Nutzung aufzustellen und Mitarbeiter entsprechend zu informieren bzw. zu schulen.
4. Auch Datenschutz bleibt wichtig
Der AI Act ersetzt die Datenschutz-Grundverordnung nicht.
Wer personenbezogene Daten mittels KI verarbeitet, muss daher zusätzlich prüfen, ob die Anforderungen der DSGVO eingehalten werden.
Das kann insbesondere Fragen betreffen wie:
-Auf welcher Rechtsgrundlage werden personenbezogene Daten verarbeitet?
-Werden Daten an externe KI-Anbieter übermittelt?
-Wo werden die Daten verarbeitet?
-Werden Daten möglicherweise zum Training eines KI-Modells verwendet?
– Ist ein Auftragsverarbeitungsvertrag erforderlich?
-Muss gegebenenfalls eine Datenschutz-Folgenabschätzung durchgeführt werden?
Unternehmen sollten AI-Act-Compliance und Datenschutz daher nicht getrennt voneinander betrachten.
5. Vorsicht: Bei Verstößen können empfindliche Bußgelder drohen!
Unternehmen sollten beachten, dass die möglichen Sanktionen des AI Act erheblich sind.
Abhängig von der Art des Verstoßes sieht die KI-Verordnung Bußgelder in Millionenhöhe bzw. prozentual abhängig vom weltweiten Jahresumsatz eines Unternehmens vor.
Bei bestimmten Verstößen gegen Verpflichtungen des AI Act können beispielsweise Geldbußen von bis zu 15 Millionen Euro oder – bei Unternehmen – bis zu 3 % des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres vorgesehen sein.
Bei bestimmten Verstößen gegen das Verbot unzulässiger KI-Praktiken können die Höchstbeträge noch deutlich höher liegen.
Dabei bedeutet dies selbstverständlich nicht, dass bei jedem kleineren Verstoß unmittelbar Millionenbußgelder verhängt werden. Art, Schwere und Dauer des Verstoßes sowie insbesondere die Größe des Unternehmens können für die Sanktionierung von Bedeutung sein.
Die erheblichen gesetzlichen Bußgeldrahmen zeigen jedoch, dass Unternehmen das Thema nicht ignorieren sollten.
6. Was Unternehmen jetzt tun sollten
Unternehmen, die KI einsetzen, sollten spätestens jetzt eine Bestandsaufnahme durchführen.
In einem ersten „AI Act Check“ kann beispielsweise geprüft werden:
-Welche KI-Systeme werden im Unternehmen eingesetzt?
-Für welche Zwecke werden diese Systeme genutzt?
-Handelt es sich um allgemein verwendete KI oder um Anwendungen mit erhöhtem Risiko?
-Werden personenbezogene oder vertrauliche Daten verarbeitet?
-Werden KI-Systeme gegenüber Kunden oder anderen Personen eingesetzt?
-Bestehen Kennzeichnungs- oder Informationspflichten?
-Sind die Mitarbeiter ausreichend im Umgang mit KI geschult?
-Gibt es bereits eine unternehmensinterne KI-Richtlinie?
-Sind Verantwortlichkeiten für KI-Compliance festgelegt?
-Sind neben dem AI Act auch DSGVO, Urheberrecht und andere rechtliche Vorgaben berücksichtigt?
7. Fazit: AI Act sollte spätestens jetzt auf die Compliance-Agenda
Der 2. August 2026 ist für die praktische Umsetzung des europäischen AI Act ein wichtiger Stichtag.
Unternehmen sollten dabei nicht dem Irrtum unterliegen, die KI-Verordnung betreffe ausschließlich Entwickler großer KI-Systeme. Je nach Einsatzgebiet können auch Unternehmen betroffen sein, die bestehende KI-Anwendungen lediglich in ihre Arbeitsabläufe integrieren.
Dabei muss nicht jedes Unternehmen ein umfangreiches KI-Compliance-System aufbauen. Die notwendigen Maßnahmen hängen vielmehr davon ab, welche KI eingesetzt wird, zu welchem Zweck sie eingesetzt wird und welche Risiken damit verbunden sind.
Eine frühzeitige rechtliche Prüfung kann helfen, Risiken zu erkennen und mit verhältnismäßigem Aufwand geeignete Maßnahmen umzusetzen.
Betroffene Unternehmen können sich mit ihren rechtlichen Fragen zum Einsatz künstlicher Intelligenz und zum EU AI Act gerne an Dr. Späth & Partner Rechtsanwälte mbB wenden, die seit dem Jahr 2002, und somit seit ca. 23 Jahren, als Anwaltskanzlei tätig sind.