Seit dem 2. August 2026 sind die zentralen Transparenzpflichten des EU AI Act verbindlich. Für viele deutsche Unternehmen ist das kein neues Thema mehr auf dem Papier. Es ist jetzt geltendes Recht, mit konkreten Konsequenzen für Beschaffung, Vertragsgestaltung und Tagesgeschäft.
Gleichzeitig zeigt sich ein Muster, das wir in unseren Projekten regelmäßig beobachten: Viele Unternehmen haben eine KI-Strategie auf dem Papier. Eine belastbare Antwort darauf, ob ihr tatsächlicher KI-Einsatz diese Strategie auch abbildet, fehlt oft. Aktuelle Erhebungen bestätigen das. 98 Prozent der Unternehmen verfügen über eine KI-Strategie, doch nur bei 39 Prozent steuert das Top-Management den tatsächlichen Einsatz aktiv. Gleichzeitig nutzen 75 Prozent der Knowledge Worker KI bereits im Arbeitsalltag, oft ohne offizielle Freigabe. Genau in dieser Lücke zwischen Strategiepapier und Praxis entsteht das eigentliche Compliance-Risiko.
Die folgende Checkliste ordnet die sieben Punkte, die für eine belastbare Konformitätsbewertung nicht fehlen dürfen.
1. Risikoklassifizierung: Wissen Sie, welches System wo einzuordnen ist?
Der AI Act unterteilt KI-Systeme nach einem risikobasierten Ansatz, von minimalem Risiko bis Hochrisiko. Für jedes eingesetzte System muss dokumentiert und begründet sein, in welche Klasse es fällt. Wer das nicht strukturiert erfasst hat, kann es in Ausschreibungen und Audits nicht belegen. Genau das fragen Einkaufsabteilungen zunehmend bereits vor Vertragsabschluss ab, unabhängig vom gesetzlichen Stichtag.
2. Rollenklärung: Anbieter, Betreiber, oder beides?
Die Pflichten unterscheiden sich fundamental je nach Rolle. Viele Mittelständler sind faktisch Betreiber von KI-Systemen, etwa wenn sie ein KI-Tool eines Drittanbieters in interne Prozesse integrieren, ohne das strukturiert als solches erfasst zu haben. Diese Unklarheit ist einer der häufigsten Stolpersteine, die wir in Erstgesprächen sehen.
3. Kennzeichnungspflicht nach Artikel 50: Ist Ihr Content erfasst?
Seit dem 2. August müssen KI-generierte Bilder, Videos und Texte mit professionellem Zweck in der EU gekennzeichnet werden. Das betrifft Werbung ebenso wie Produktfotos im Onlinehandel. Bemerkenswert dabei: Eine aktuelle Studie zeigt, dass ein sichtbares KI-generiert-Label die Wahrnehmung eines Produkts verschlechtert, selbst dann, wenn das Foto tatsächlich von einem Menschen stammt. Das macht die korrekte, aber auch die nicht übervorsichtige Kennzeichnung zu einer echten Gestaltungsfrage, nicht nur zu einer juristischen Pflichtübung.
4. Shadow AI: Wird intern genutzt, was offiziell nicht freigegeben ist?
Die eingangs genannte Lücke zwischen KI-Strategie und tatsächlicher Nutzung ist mehr als eine Randnotiz. Wenn Mitarbeitende in sensiblen Bereichen wie HR, Finance oder Recht eigenständig auf nicht freigegebene KI-Tools ausweichen, entsteht eine Compliance-Lücke, die im Audit-Fall schwer zu erklären ist. Eine belastbare Bestandsaufnahme der tatsächlich genutzten Tools, nicht nur der offiziell lizenzierten, gehört an den Anfang jeder Konformitätsbewertung.
5. Datenverarbeitung und Hosting: Wo liegen Ihre Daten wirklich?
Mit zunehmendem Einsatz von KI-Agenten rückt eine oft unterschätzte Frage in den Vordergrund: Wo werden die Daten verarbeitet, und unter welchem rechtlichen Rahmen? Der US CLOUD Act erlaubt US-Behörden unter bestimmten Voraussetzungen Zugriff auf Daten unabhängig vom Speicherort, auch wenn diese formal in der EU liegen. Für Unternehmen mit sensiblen Daten ist das ein Punkt, der in die Anbieterauswahl einfließen sollte, nicht erst nachträglich geprüft wird.
6. Vertragliche Verantwortungsverteilung: Wer haftet im Ernstfall?
Wer trägt die Verantwortung, wenn ein KI-System fehlerhaft arbeitet, der Softwareanbieter oder das einsetzende Unternehmen? Ohne klare vertragliche Regelung trägt im Zweifel der Betreiber das Risiko. Diese Frage sollte vor der Einführung eines Systems geklärt sein, nicht erst, wenn es zum Problem wird.
7. Governance-Prozess: Gibt es einen strukturierten Rahmen statt Einzelfallentscheidungen?
Der letzte Punkt ist zugleich der wichtigste, weil er die anderen sechs erst handhabbar macht. Ein gutes Praxisbeispiel liefert die Sparkassen-Finanzgruppe. Ihre Kommunikationseinheit hat KI-Governance-Prozesse bereits so weit etabliert, dass sie heute als Blaupause für andere Finanzdienstleister dient. Der entscheidende Unterschied zu vielen anderen Unternehmen liegt nicht in der Technologie, sondern in der organisatorischen Verankerung: klare Zuständigkeiten, dokumentierte Freigabeprozesse, regelmäßige Überprüfung statt einmaliger Policy.
Der Zusammenhang zwischen den sieben Punkten
Keiner dieser Punkte funktioniert isoliert. Eine saubere Risikoklassifizierung ohne Rollenklärung bleibt unvollständig. Eine korrekte Kennzeichnung ohne Governance-Prozess ist ein Einzelfallerfolg, kein System. Genau diese Verzahnung unterscheidet Unternehmen, die Compliance-Bereitschaft als Wettbewerbsvorteil in Ausschreibungen nutzen, von denen, die bei jeder neuen Anforderung wieder bei null anfangen.
Die ursprünglich für den 2. August 2026 vorgesehenen Kernpflichten für Hochrisiko-Systeme wurden durch das EU-Digital-Omnibus-Paket verschoben, auf den 2. Dezember 2027 für eigenständige Hochrisiko-Systeme nach Anhang III und auf den 2. August 2028 für produktintegrierte KI nach Anhang I. Verbindlich bleiben zum 2. August 2026 dagegen die Transparenzpflichten nach Artikel 50 sowie der Beginn der aktiven Bußgelddurchsetzung. Einkaufsabteilungen fragen die hier genannten sieben Punkte trotzdem schon heute in Ausschreibungen ab, weil Vorbereitung auf eine absehbare Pflicht in der Praxis früher beginnt als der gesetzliche Stichtag.
Den vollständigen Selbstcheck mit allen sieben Punkten als strukturierte Vorlage finden Sie in unserem Whitepaper zur AI-Act-Konformitätsbewertung.
