EU AI Act Compliance für Industrie und Mittelstand
Seit dem 1. August 2024 ist der AI Act in Kraft, seit dem 2. Februar 2025 gelten die ersten Verbote. Das Thema betrifft nicht nur KI-Entwickler, sondern auch Maschinenbauer, OT-Betreiber und Unternehmen, die KI-Komponenten einsetzen oder in Produkte integrieren.
Rechtsstand September 2026: Die Verordnung (EU) 2026/1744 ist seit 27. Juli 2026 in Kraft. Für Hochrisiko-Systeme nach Anhang III gilt der 2. Dezember 2027 als spätester Anwendungstermin; für Hochrisiko-KI in regulierten Produkten ist es der 2. August 2028. Frühere Pflichten und produktspezifische Übergänge müssen weiterhin für jedes System geprüft werden. Die Transparenzpflichten nach Artikel 50 gelten bereits seit 2. August 2026, soweit einschlägig.
Der AI Act gilt — nur merken es die Wenigsten
Die meisten mittelständischen Unternehmen behandeln den EU AI Act wie eine ferne Bedrohung — irgendwo zwischen DSGVO-Erfahrungsschock und regulatorischer Erschöpfung eingefroren. Das ist ein Fehler.
Wer KI entwickelt, in ein Produkt integriert, einführt, vertreibt oder betreibt, kann je nach Rolle eigene Pflichten haben. Eine eingebettete KI-Komponente macht das Gesamtprodukt jedoch nicht automatisch zu einem Hochrisiko-System.
Entscheidend ist die gesetzliche Einordnung: Hochrisiko-KI liegt insbesondere vor, wenn Artikel 6 Absatz 1 zusammen mit Anhang I oder Artikel 6 Absatz 2 zusammen mit Anhang III erfüllt ist. Qualitätskontrolle und Anomalieerkennung sind deshalb Prüfbeispiele, aber nicht allein wegen möglicher Auswirkungen automatisch Hochrisiko-KI.
Für Maschinen-KI gibt es einen eigenen Produktpfad: Die Maschinenverordnung steht seit Juli 2026 in Anhang I Abschnitt B. Artikel 2 Absatz 2 begrenzt für die dort erfasste produktbezogene Hochrisiko-KI die unmittelbar geltenden AI-Act-Vorschriften. Weitere Sicherheitsanforderungen werden sektorbezogen in das Maschinenrecht integriert. Das allgemeine Hochrisiko-Pflichtenpaket oder eine EU-Datenbankregistrierung darf deshalb nicht pauschal auf jede KI-Maschine übertragen werden. Eine eigenständige Anwendung nach Anhang III ist separat zu prüfen.
Was ich für Ihre AI Act Konformität tue
KI-Bestandsaufnahme
Welche KI-Systeme sind im Einsatz oder in der Entwicklung — selbst entwickelt, zugekauft oder als Komponente verbaut? KI in Produkten ist oft nicht explizit als solche ausgewiesen. Strukturierte Erfassung aller Systeme als Grundlage für die Klassifizierung.
Risikoklassifizierung
Systematische Prüfung von Rolle, Zweck und Einsatzkontext. Für eine mögliche Hochrisiko-Einstufung werden Artikel 6, Anhang I und Anhang III geprüft; daneben sind Verbote, Transparenzpflichten und GPAI-Regeln getrennt einzuordnen.
Gap-Analyse Hochrisiko-KI
Abgleich gegen die tatsächlich anwendbaren Anforderungen: Bei allgemeinen Hochrisiko-Systemen gehören dazu Daten, menschliche Aufsicht, Robustheit und Cybersicherheit. Für Maschinen-KI prüfe ich den sektoralen Produktpfad nach Artikel 2 Absatz 2 und der Maschinenverordnung. Ergebnis ist ein priorisierter Maßnahmenplan.
ISO/IEC 42001 Integration
Aufbau eines AI Management Systems (AIMS) nach ISO/IEC 42001 als Strukturierungshilfe. Die AI Act-spezifischen Anforderungen werden gezielt ergänzt — kein Entweder-oder, sondern ein integrierter Ansatz.
Konformitätsbewertung
Begleitung des einschlägigen Verfahrens und Vorbereitung der technischen Dokumentation. Eine notifizierte Stelle oder Registrierung in der EU-Datenbank wird nur eingeplant, wenn das jeweilige Regelwerk dies verlangt. Bei Maschinen-KI stehen die produktrechtlichen Verfahren und Nachweise im Vordergrund.
Schulung & Governance
Management-Briefing zum AI Act: Wer haftet? Was ist verboten? Welche Fristen gelten? Aufbau interner Governance-Strukturen für den verantwortungsvollen KI-Einsatz.
Der aktuelle Stufenplan des AI Act
2. Februar 2025 — Verbote und KI-Kompetenz
Die seit diesem Datum anwendbaren Verbote aus Artikel 5 greifen bei den dort festgelegten Voraussetzungen. Manipulative Praktiken und Social Scoring sind nicht unabhängig von ihrem Tatbestand verboten. Für biometrische Echtzeit-Fernidentifizierung in öffentlich zugänglichen Räumen zu Strafverfolgungszwecken enthält Artikel 5 eng begrenzte Ausnahmen.
2. August 2025 — GPAI-Modelle
Verpflichtungen für Anbieter von General-Purpose-AI-Modellen werden wirksam. Für Modelle, die bereits vor diesem Datum auf dem Markt waren, gilt nach Artikel 111 Absatz 3 eine Übergangsfrist bis 2. August 2027. Die Nutzung eines zugekauften Modells macht ein Unternehmen nicht automatisch zum GPAI-Modellanbieter.
2. August 2026 — Transparenzpflichten
Artikel 50 gilt für die jeweils erfassten Systeme und Rollen, etwa bei KI-Interaktion oder synthetischen Inhalten. Nur für Anbieter bestimmter generativer Systeme, die vor dem 2. August 2026 auf den Markt kamen, läuft die Übergangsfrist für Artikel 50 Absatz 2 bis 2. Dezember 2026; das verschiebt nicht sämtliche Transparenzpflichten.
2. Dezember 2027 — Hochrisiko-KI nach Anhang III
Die seit 27. Juli 2026 geltende Änderungsverordnung legt diesen spätesten Anwendungstermin für Hochrisiko-Systeme nach Anhang III fest. Dazu können je nach konkreter Funktion etwa Systeme in Personalwesen, kritischer Infrastruktur, Bildung, Strafverfolgung und Migration gehören.
2. August 2028 — KI in regulierten Produkten
Artikel 113 nennt diesen Termin für die Hochrisiko-Regeln nach Artikel 6 Absatz 1 in Verbindung mit Anhang I. Bei Produkten aus Abschnitt B, einschließlich Maschinen, gilt jedoch die Begrenzung aus Artikel 2 Absatz 2. Anforderungen und Übergänge des jeweiligen Produktrechts sind zusätzlich zu prüfen; der Termin verschiebt nicht pauschal Maschinenpflichten.
Artikel 4 gilt bereits seit 2. Februar 2025. Anbieter und Betreiber müssen nach der geltenden Fassung die Entwicklung von KI-Kompetenz fördern. Umfang und Umsetzung richten sich nach Rolle, Einsatzkontext und betroffenen Personen; daraus folgt kein allgemeiner Zwang zu einem bestimmten Schulungszertifikat.
Relevante Normen und Regelwerke
EU AI Act
In Kraft seit August 2024 · Klassifizierung nach Artikel 6 und den Anhängen · Marktortprinzip · geänderte Hochrisiko-Fristen seit Juli 2026
AI Management System
AIMS-Standard · PDCA-Schema · Ergänzt AI Act-Anforderungen · Kein automatischer Freifahrtschein
Maschinenverordnung
Anhang I Abschnitt B des AI Act · Begrenzter direkter Anwendungsbereich nach Artikel 2 Absatz 2 · Sektorale Integration über Artikel 8 MVO
ISMS / Cybersicherheit
AI Act fordert Cybersicherheit für Hochrisiko-KI · ISO 27001 als bewährte Grundlage
EU AI Act — Was Unternehmen wissen wollen
Q01Bin ich als Maschinenbauer vom EU AI Act betroffen?
Nicht jede KI-Funktion macht eine Maschine zu Hochrisiko-KI. Seit der Änderung vom Juli 2026 steht die Maschinenverordnung in Anhang I Abschnitt B des AI Act. Für produktbezogene Hochrisiko-KI begrenzt Artikel 2 Absatz 2 die unmittelbar anwendbaren AI-Act-Regeln; zusätzliche Anforderungen werden über das Maschinenrecht integriert. Eigenständige Anwendungen nach Anhang III, etwa im Personalwesen, sind getrennt zu prüfen.
Q02Ab wann gilt der AI Act für mein Unternehmen?
Viele Verbote gelten seit 2. Februar 2025, GPAI-Pflichten seit 2. August 2025 und die Transparenzpflichten nach Artikel 50 seit 2. August 2026. Für bestimmte vor diesem Datum vermarktete generative Systeme gilt beim maschinenlesbaren Kennzeichnen nach Artikel 50 Absatz 2 eine Übergangsfrist bis 2. Dezember 2026. Die Hochrisiko-Termine sind 2. Dezember 2027 für Anhang III und 2. August 2028 für Artikel 6 Absatz 1 mit Anhang I. Bei Maschinen-KI muss zusätzlich der sektorale Sonderpfad nach Artikel 2 Absatz 2 geprüft werden.
Q03Was ist eine AI Act Risikoklassifizierung?
Eine Risikoklassifizierung ordnet Rolle, Zweck und Einsatzkontext jedes KI-Systems ein. Für Hochrisiko-KI wird zuerst Artikel 6 in Verbindung mit Anhang I oder Anhang III geprüft. Daneben sind verbotene Praktiken, Transparenzpflichten und Pflichten für General-Purpose-AI zu beachten. Das verbreitete Modell mit vier Risikostufen ist eine Orientierung, ersetzt aber nicht diese gesetzliche Prüfung.
Q04Schützt eine ISO/IEC 42001-Zertifizierung vor AI Act-Pflichten?
Nein — ISO/IEC 42001 schafft keine automatische AI Act-Konformität. Die Norm deckt Governance und Prozessqualität ab, der Act fordert zusätzlich produktbezogene Anforderungen, technische Nachweise und bei Hochrisiko-KI formale Konformitätsbewertungsverfahren. Beide ergänzen sich sinnvoll: ISO/IEC 42001 als Strukturierungshilfe, die AI Act-Anforderungen gezielt draufgesattelt.
Q05Was kostet ein AI Act Compliance-Projekt?
Das hängt stark von der Anzahl der KI-Systeme und der Risikoklasse ab. Eine Bestandsaufnahme und Risikoklassifizierung dauert typisch 2–4 Wochen. Eine vollständige Gap-Analyse für Hochrisiko-KI 4–8 Wochen. Ich empfehle als ersten Schritt ein kostenloses 45-Minuten-Gespräch zur Einschätzung des Umfangs.
Amtliche Quellen · Stand 30. September 2026
AI Act: Artikel 2 Absatz 2, 5, 6, 50, 111 und 113 sowie Anhänge I und III · Verordnung (EU) 2026/1744: Artikel 1 und 3 · EU-Kommission: Transparenzpflichten und Übergangsfrist
Passende nächste Themen
Bereit für den nächsten Schritt?
Antwort in der Regel innerhalb von 24 Stunden an Werktagen. Kein Verkaufsgespräch – ein ehrliches Erstgespräch über Ihre Situation.