In diesem Beitrag

Aktualisiert und fachlich geprüft am 30. September 2026. Der EU AI Act ist seit dem 1. August 2024 in Kraft; erste Verbote gelten seit dem 2. Februar 2025. Die Verordnung (EU) 2026/1744 änderte den Zeitplan und den Produktpfad für Maschinen-KI und gilt seit dem 27. Juli 2026.

Für Unternehmen beginnt die Arbeit nicht mit einer pauschalen Risikoklasse, sondern mit drei Fragen: Welches System ist im Einsatz, welche Rolle hat das Unternehmen und wofür wird die KI verwendet? Eine eingebettete KI-Komponente kann Pflichten auslösen. Sie macht eine Maschine oder OT-Anwendung jedoch nicht automatisch zu Hochrisiko-KI.

Was das Gesetz tatsächlich fordert

Das oft verwendete Modell mit vier Risikostufen hilft bei der ersten Orientierung: verbotene Praktiken, Hochrisiko-KI, Systeme mit Transparenzpflichten und sonstige KI. Juristisch ist diese Einteilung allein aber zu grob. Zu prüfen sind insbesondere die Verbote, Artikel 6 in Verbindung mit Anhang I oder Anhang III, die Transparenzpflichten und gegebenenfalls die Regeln für General-Purpose-AI.

Hochrisiko-Systeme sind gesetzlich abgegrenzt. Artikel 6 Absatz 1 erfasst bestimmte KI-Systeme als Sicherheitsbauteil eines Produkts oder als Produkt, wenn das einschlägige Unionsrecht aus Anhang I eine Konformitätsbewertung durch Dritte verlangt. Artikel 6 Absatz 2 verweist auf die Einsatzfälle in Anhang III, darunter bestimmte Anwendungen in kritischer Infrastruktur, Beschäftigung, Bildung, Strafverfolgung und Migration.

Ein Qualitätskontrollsystem, das Ausschuss erkennt, oder eine KI-gestützte Anomalieerkennung im Prozessleitsystem ist deshalb zunächst ein Prüffall. Erst Zweck, Produktkontext, Rolle des Systems und der einschlägige Eintrag in Anhang I oder III entscheiden über die Hochrisiko-Einstufung.

Maschinen-KI: eigener sektoraler Produktpfad

Die Maschinenverordnung (EU) 2023/1230 steht seit Juli 2026 in Anhang I Abschnitt B des AI Act. Für produktbezogene Hochrisiko-KI nach Artikel 6 Absatz 1 begrenzt Artikel 2 Absatz 2 die unmittelbar anwendbaren AI-Act-Regeln. Weitere Anforderungen werden über das Maschinenrecht integriert; Artikel 8 MVO enthält dafür den sektoralen Regelungsweg.

Das ist weder eine pauschale Befreiung für Maschinenbauer noch das vollständige allgemeine Hochrisiko-Pflichtenpaket des AI Act. Technische Dokumentation, Konformitätsbewertung und gegebenenfalls externe Bewertung müssen anhand des einschlägigen Maschinenrechts geprüft werden. Eine EU-Datenbankregistrierung nach AI Act folgt nicht allein daraus, dass eine Maschine KI enthält. Nutzt dasselbe Unternehmen ein eigenständiges System nach Anhang III, etwa bei der Personalauswahl, ist diese Anwendung gesondert einzuordnen.

Wer betroffen ist — und wer sich fälschlich sicher fühlt

Der Anwendungsbereich erfasst verschiedene Rollen: Anbieter, Betreiber, Bevollmächtigte, Einführer und Händler. Welche Pflichten gelten, hängt von der jeweiligen Rolle ab. Ein Maschinenbauer in Bayern, der eine zugekaufte CNC-Steuerung mit KI-basierter Werkzeugüberwachung integriert, muss daher anders geprüft werden als ein Logistikunternehmen, das eine KI-gestützte Tourenoptimierung lediglich betreibt.

Viele betriebliche KI-Anwendungen fallen nicht unter das Hochrisiko-Regime. Eine belastbare allgemeine Prozentzahl gibt der Verordnungstext jedoch nicht her. Gerade in regulierten Produkten und kritischen Prozessen lohnt sich deshalb eine dokumentierte Einzelfallprüfung.

ISO/IEC 42001 — hilfreicher Rahmen, kein Freifahrtschein

Parallel zum AI Act hat die internationale Normierung mit ISO/IEC 42001 einen Managementsystem-Standard für KI etabliert. Das AIMS (AI Management System) folgt dem bekannten PDCA-Schema: Risikobewertung, Kontrollmaßnahmen, kontinuierliche Verbesserung, Dokumentation. Wer ISO 27001 kennt, findet sich schnell zurecht.

Die entscheidende Einschränkung: Eine ISO/IEC 42001-Zertifizierung schafft keine automatische AI Act-Konformität. Die Norm deckt Governance und Prozessqualität ab — der Act fordert darüber hinaus produktbezogene Anforderungen, technische Nachweise und bei Hochrisiko-KI formale Konformitätsbewertungsverfahren. Beides ergänzt sich, aber keines ersetzt das andere.

Für Unternehmen ergibt sich daraus ein pragmatischer Ansatz: ISO/IEC 42001 als Strukturierungshilfe nutzen und die spezifischen Anforderungen des AI Act gezielt ergänzen, statt eines von beiden allein zu setzen.

Fristen, die zählen

Nach der seit 27. Juli 2026 geltenden Änderungsverordnung sind insbesondere diese Termine relevant:

  • 2. Februar 2025: Verbote für unannehmbares Risiko und Artikel 4 zur KI-Kompetenz gelten. Die geltende Fassung verpflichtet Anbieter und Betreiber, die Entwicklung von KI-Kompetenz zu fördern; ein bestimmtes Schulungszertifikat ist nicht pauschal vorgeschrieben.
  • 2. August 2025: Verpflichtungen für GPAI-Modellanbieter werden wirksam. Bei vor diesem Datum vermarkteten Modellen gilt nach Artikel 111 Absatz 3 eine Übergangsfrist bis 2. August 2027. Modellnutzer sind nicht allein durch die Nutzung GPAI-Modellanbieter.
  • 2. August 2026: Transparenzpflichten nach Artikel 50 gelten für die jeweils erfassten Systeme und Rollen
  • 2. Dezember 2026: Übergangsfrist für Artikel 50 Absatz 2 bei bestimmten generativen Systemen, die bereits vor dem 2. August 2026 auf den Markt kamen; weitere neue Verbote aus Artikel 5 werden anwendbar
  • 2. Dezember 2027: spätester Anwendungstermin für eigenständige Hochrisiko-KI nach Anhang III
  • 2. August 2028: spätester Anwendungstermin für Hochrisiko-KI in regulierten Produkten

Die Hochrisiko-Termine sind geltendes Recht. Artikel 113 nennt sie für die jeweiligen Regeln aus Kapitel III. Für Produkte aus Anhang I Abschnitt B, darunter Maschinen, bleibt die Begrenzung nach Artikel 2 Absatz 2 maßgeblich. Der Termin 2028 verschiebt deshalb nicht pauschal die Anforderungen der Maschinenverordnung.

Die Übergangsfrist im Dezember 2026 betrifft bei Artikel 50 nur die Anbieterpflicht zum maschinenlesbaren Kennzeichnen und zur Erkennbarkeit synthetischer Inhalte nach Absatz 2 bei den genannten Altsystemen (Artikel 111 Absatz 4). Sie verschiebt nicht sämtliche Transparenzpflichten. Auch die Verbote des Artikels 5 sind nach ihrem konkreten Tatbestand und den gesetzlichen Ausnahmen zu prüfen: Echtzeit-Fernidentifizierung in öffentlich zugänglichen Räumen zu Strafverfolgungszwecken ist beispielsweise nicht ausnahmslos verboten.

Die letzte Frist klingt weit weg. Für Produktentwicklungszyklen von 18 bis 36 Monaten ist sie das nicht.

Was jetzt zu tun ist

Drei Schritte, in dieser Reihenfolge:

Erstens: Bestandsaufnahme. Welche KI-Systeme sind im Einsatz oder in der Entwicklung — egal ob selbst entwickelt, zugekauft oder als Komponente verbaut? Diese Frage ist schwerer zu beantworten als sie klingt, weil KI in vielen Produkten nicht explizit als solche ausgewiesen ist.

Zweitens: rechtliche Einordnung. Für jedes identifizierte System werden Rolle, Zweck und Einsatzkontext dokumentiert. Eine mögliche Hochrisiko-Einstufung wird anhand von Artikel 6 sowie Anhang I oder III geprüft. Offene Punkte bleiben als solche dokumentiert, statt vorsorglich als Rechtsfolge festgeschrieben zu werden.

Drittens: Lückenanalyse. Die Prüfung richtet sich nach dem tatsächlich anwendbaren Pflichtenprofil. Bei allgemeinen Hochrisiko-Systemen gehören dazu die Anforderungen aus Kapitel III Abschnitt 2 des AI Act, unter anderem Daten, menschliche Aufsicht, Robustheit und Cybersicherheit. Für produktbezogene Maschinen-KI ist der sektorale Pfad nach Artikel 2 Absatz 2 mit den einschlägigen MVO-Anforderungen abzugleichen. Eine eigenständige Anhang-III-Anwendung wird separat geprüft.

Der vierte Schritt — Umsetzung — ist je nach Ausgangslage ein Sprint oder ein Marathon. Aber er setzt voraus, dass die ersten drei erledigt sind. Die meisten Unternehmen, die ich in Projekten treffe, stecken noch im ersten.

Eine Einschätzung zum Abschluss

Der AI Act verändert Produktentwicklung und KI-Governance schrittweise. Wer Maschinen mit KI-Komponenten entwickelt oder KI-Systeme betrieblich einsetzt, braucht deshalb ein belastbares Inventar und eine nachvollziehbare Einordnung. Nicht jede Anwendung ist Hochrisiko. Ungeprüfte Annahmen sind trotzdem keine tragfähige Grundlage für Entwicklung, Einkauf oder Konformitätsbewertung.

EU-AI-Act-Beratung: Wie ich Industrieunternehmen und Mittelstand bei der Risikoklassifizierung und Gap-Analyse begleite, von der Bestandsaufnahme bis zur Konformitätsbewertung für Hochrisiko-KI, finden Sie unter EU-AI-Act-Beratung.

Quellenstand