EU AI Act ab 2025: Pflichten und typische Compliance-Fehler

EU AI Act: Was gilt ab 2025/2026, welche Pflichten treffen Unternehmen konkret und wo werden Fristen, Rollen und GPAI-Regeln in der Praxis unterschätzt?

Einleitung

Der EU AI Act ist für viele Unternehmen zunächst ein Datum im Kalender: „ab August 2026“. In der Praxis entsteht daraus schnell eine trügerische Sicherheit, weil Projekte zur KI-Nutzung in Recruiting, Kundenservice, Compliance oder Produktentwicklung bereits laufen. Häufig wird dabei übersehen, dass der Rechtsrahmen nicht „auf einen Schlag“ kommt, sondern gestuft gilt. Seit 2025 greifen bereits verbindliche Vorgaben, die unmittelbar in Prozesse, Schulungen und Produktentscheidungen hineinwirken. Wer die Übergangslogik falsch liest, riskiert nicht nur Nacharbeit, sondern auch Sanktionen und Projektstopps, wenn eine KI-Anwendung rechtlich als unzulässig oder falsch eingeordnet wird. 

Analyse

Rechtlich handelt es sich um die Verordnung (EU) 2024/1689 („AI Act“), die unmittelbar gilt und einen risikobasierten Ansatz verfolgt. Zentrale Weichenstellung ist der Anwendungsplan in Art. 113: Kapitel I und II gelten seit 2. Februar 2025, weitere Teile seit 2. August 2025, der „Regelbetrieb“ grundsätzlich ab 2. August 2026; für bestimmte Produktkategorien verschiebt sich der Start auf 2. August 2027. 

Für 2025 sind zwei Punkte besonders „sofort“ relevant. Erstens gelten seit 2. Februar 2025 die allgemeinen Bestimmungen (u. a. Definitionen und Rollenlogik) und die Verbote unzulässiger KI-Praktiken. Diese Verbote sind nicht nur „Big-Tech-Theorie“, sondern können sehr konkrete Anwendungsfälle betreffen, etwa wenn Systeme Menschen verdeckt manipulieren oder unzulässige biometrische Kategorisierung in bestimmten Kontexten genutzt wird. Maßgeblich ist, ob eine Praxis unter Art. 5 fällt; dann drohen im Sanktionsrahmen Bußgelder bis 35 Mio. EUR oder 7 % des weltweiten Jahresumsatzes (je nachdem, was höher ist).

Zweitens besteht seit 2. Februar 2025 eine Pflicht zur AI Literacy: Anbieter und Betreiber müssen „nach besten Kräften“ Maßnahmen ergreifen, damit Beschäftigte und sonstige eingesetzte Personen ein ausreichendes Kompetenzniveau für Betrieb und Nutzung der Systeme haben. Das ist keine reine HR-Maßnahme, sondern eine rechtliche Organisationspflicht, die sich an Kontext, Vorkenntnissen und Einsatzrisiken orientiert.

Ab 2. August 2025 ist die zweite Welle gestartet: Unter anderem gelten die Regeln zu General-Purpose AI (GPAI) (Kapitel V) sowie Governance- und Sanktionsbausteine. Wer ein allgemeines KI-Modell „in Verkehr bringt“ oder wesentlich bereitstellt, kann dadurch bereits 2025 in Pflichten geraten; für bereits vor diesem Stichtag am Markt befindliche GPAI-Modelle sieht die EU-Kommission eine Übergangsfrist bis 2. August 2027 vor.

Für 2026 wird häufig mit „jetzt passiert alles“ gerechnet. Der Verordnungstext sieht tatsächlich vor, dass die Mehrzahl der Pflichten ab 2. August 2026 gilt. Dazu gehören auch die Transparenzpflichten des Art. 50, etwa die Kennzeichnungspflichten bei Deepfakes oder bei KI-generierten/manipulierten Texten, die zur Information der Öffentlichkeit veröffentlicht werden.  Die Kernpflichten für „High-Risk“-Systeme (insbesondere Anhang-III-Anwendungsfälle) werden ebenfalls dem Grundsatz nach ab 2026 relevant. Gleichzeitig gilt: Für „High-Risk“ als Sicherheitskomponente bzw. als Produkt im Sinne der produktrechtlichen Harmonisierung (Art. 6 Abs. 1) verschiebt Art. 113 den Anwendungsbeginn auf 2. August 2027.

Ein weiterer praktischer Stolperstein ist die Annahme, dass „Auslandstools“ aus dem Drittland heraus nicht erfasst seien. Der AI Act knüpft jedoch auch an Konstellationen an, in denen der Output in der Union verwendet wird; die Reichweite ist damit faktisch extraterritorial angelegt.

Unternehmen verkalkulieren sich typischerweise in vier Konstellationen. Erstens wird die Rollenverteilung unterschätzt: „Provider“ und „Deployer“ tragen unterschiedliche Pflichten, und Vertragsklauseln ersetzen keine Einordnung nach Verordnung. Zweitens wird „Legacy“ falsch bewertet: Für bereits vor dem Stichtag eingesetzte High-Risk-Systeme kann entscheidend sein, ob nach dem Startdatum wesentliche Änderungen vorgenommen werden; dann kippt ein vermeintlicher Bestandsschutz.  Drittens wird die Transparenz als Marketingthema missverstanden; tatsächlich ist sie eine eigenständige Pflicht, deren Verletzung bußgeldbewehrt sein kann.  Viertens wird auf politische Debatten gesetzt: Die EU-Kommission hat im Kontext eines „Digital Omnibus“ vorgeschlagen, den Anwendungsstart bestimmter High-Risk-Regeln stärker an verfügbare Standards/Tools zu koppeln. Das ändert jedoch nicht automatisch den geltenden Verordnungstext; bis zu einer formellen Änderung bleibt die Fristenlogik des AI Act der Ausgangspunkt jeder Risikoabwägung. 

Rechtsprechung

Spezifische gerichtliche Leitentscheidungen zur Auslegung der Verordnung (EU) 2024/1689 liegen naturgemäß noch nicht vor (Stand 12.01.2026). In dieser Phase prägen vor allem Normtext, delegierte/implementierende Akte, Leitlinien und die sich aufbauende Aufsichts- und Marktüberwachungspraxis die Compliance-Erwartung. Hervorzuheben ist zudem, dass die EU-Kommission bis 2. Februar 2026 Leitlinien zur praktischen Anwendung (u. a. zur Abgrenzung „high-risk“/„nicht high-risk“) vorlegen soll, was die Risikoklassifizierung in der Praxis weiter konkretisieren wird. 

Fazit

Der AI Act wirkt 2025/2026 nicht als „ein Stichtag“, sondern als gestuftes Pflichtenpaket. Bereits seit Februar 2025 gelten Verbote und die Pflicht zu AI-Literacy-Maßnahmen; seit August 2025 greifen GPAI-Regeln und zentrale Governance-Bausteine. Ab August 2026 kommen die breiten Pflichten einschließlich Transparenz nach Art. 50 hinzu; für produktrechtlich eingebettete High-Risk-Systeme startet ein weiterer Block erst ab August 2027. Betroffene sollten KI-Anwendungen daher entlang der Rollen (Anbieter/Betreiber), der Einsatzkontexte und der Terminlogik systematisch einordnen und dokumentieren. Wer nur auf „2026“ starrt oder auf mögliche politische Verschiebungen vertraut, kalkuliert häufig mit der falschen Rechtslage. 

Thema	Gesetzliche Grundlage	Praxis-Tipp
AI Literacy (Kompetenzpflicht) ab 02.02.2025	Art. 4 i. V. m. Art. 113 Verordnung (EU) 2024/1689	Schulungen rollenbezogen aufsetzen (Fachbereich, IT, Compliance, Einkauf), dokumentieren und regelmäßig auffrischen.
Verbotene KI-Praktiken ab 02.02.2025	Art. 5 i. V. m. Art. 113 Verordnung (EU) 2024/1689	Use-Cases vor Go-live gegen die Verbotsliste prüfen; bei Grenzfällen früh Stop/Redesign einplanen.
GPAI-Regeln ab 02.08.2025	Kapitel V i. V. m. Art. 113 Verordnung (EU) 2024/1689	Bei Rebranding, Distribution, Fine-Tuning und „als eigener Dienst“ klären, ob Provider-Pflichten ausgelöst werden.
Transparenzpflichten (z. B. Kennzeichnung/Disclosure) ab 02.08.2026	Art. 50 i. V. m. Art. 113 Verordnung (EU) 2024/1689	Kennzeichnung technisch und organisatorisch fest verankern, besonders in Content-Prozessen und externen Veröffentlichungen.
High-Risk-Systeme: Kernstart ab 02.08.2026; produktrechtliche Fälle teils ab 02.08.2027	Art. 6, Art. 113 Verordnung (EU) 2024/1689	Roadmap strikt nach Rollen und Systemtyp bauen; „wesentliche Änderungen“ als Trigger im Change-Management hinterlegen.
Sanktionsrahmen	Art. 99 Verordnung (EU) 2024/1689	Bußgeldrisiken in Governance und Eskalationswegen abbilden; Verbotsverstöße besonders hoch priorisieren.