AI Act: Was sich am 2. August 2026 geändert hat.

Die Transparenzpflichten und die Pflichten für Hochrisikosysteme gelten nun. Sie treffen jeden, der auf dem europäischen Markt anbietet — unabhängig davon, ob das Unternehmen europäisch ist.

Was in Kraft getreten ist

Seit dem 2. August 2026 gelten die Transparenzpflichten — sie erfassen Interaktionen mit dialogfähigen Systemen, generierte Inhalte und die Kennzeichnung dessen, was synthetisch ist — sowie die Pflichten für Systeme, die als hochriskant eingestuft sind.

Der Punkt, der meist übersehen wird: Die Verordnung folgt dem Markt, nicht dem Firmensitz. Ein Unternehmen außerhalb der Union, das ein System auf dem europäischen Markt bereitstellt oder dessen Ergebnis in der Union genutzt wird, ist erfasst.

Woran man erkennt, ob ein System hochriskant ist

Die Einstufung hängt vom konkreten Zweck ab, nicht von der Technologie. Systeme in Personalauswahl und Beschäftigtenmanagement, beim Zugang zu Krediten, in wesentlichen Diensten, in der Bildung sowie als Sicherheitsbauteile von Produkten zählen zu den anspruchsvolleren Kategorien.

Das ist eine rechtliche Einstufung, und sie wird von Ihrer Rechtsabteilung oder Ihrem Anwalt vorgenommen. Technisch — und hier kommen wir ins Spiel — ist die Fähigkeit, den Nachweis über die Funktionsweise des Systems zu erbringen, sobald diese Einstufung ihn verlangt.

Welche Dokumentation vorliegen muss

• Technische Dokumentation. Systembeschreibung, Zweckbestimmung, verwendete Daten, Architektur und bekannte Grenzen.
• Nutzungsprotokolle. Eine Spur, die rekonstruieren lässt, was das System erhalten, was es entschieden hat und auf welcher Grundlage.
• Menschliche Aufsicht. Der Nachweis, dass wirksames menschliches Eingreifen dort besteht, wo es gefordert ist — nicht nur auf dem Papier.
• Risikomanagement und Datenqualität. Dokumentierte Bewertung der Risiken und der Eignung der verwendeten Daten.
• Nutzerinformation. Wer mit einem KI-System interagiert, muss das wissen.

Wer beaufsichtigt

Jeder Mitgliedstaat benennt eine nationale Marktüberwachungsbehörde, die in der Regel mehrere sektorale Aufsichten koordiniert. Die Struktur ist verteilt: Welche Behörde anklopft, hängt von der Branche ab, in der das System eingesetzt wird.

Was jetzt zu tun ist, der Reihe nach

• Inventarisieren. Welche KI-Systeme es im Unternehmen gibt, einschließlich derer, die innerhalb bereits lizenzierter Werkzeuge hereingekommen sind. Die Liste ist meist länger als erwartet.
• Einstufen. Mit rechtlicher Unterstützung bestimmen, in welche Kategorie jedes fällt.
• Prüfen, was tatsächlich protokolliert wird. Meist ist nicht die Richtlinie das Hindernis — sondern dass das System nie gespeichert hat, was nun gezeigt werden muss.
• Technische Lücken schließen. Protokollierung, Aufsicht und Dokumentation — erstellt, bevor jemand danach fragt, denn Vergangenes lässt sich nicht rekonstruieren.

Wir sind keine Rechtsberater und nehmen keine rechtliche Einstufung Ihres Falls vor. Wir bauen den technischen Teil: die Protokollierung, die Nachvollziehbarkeit und die Betriebsdokumentation, die Ihre Rechtsabteilung in der Hand haben muss.

Häufige Fragen

Gilt das für uns, wenn wir ChatGPT nur intern nutzen?

Transparenzpflichten können greifen, sobald es Kundeninteraktion oder veröffentlichte Inhalte gibt. Die Hochrisikopflichten hängen vom Zweck ab. Das Inventar ist in jedem Fall der erste Schritt.

Wir sind ein Unternehmen außerhalb der EU. Sind wir erfasst?

Wenn Sie das System auf dem Unionsmarkt bereitstellen oder sein Ergebnis in der Union genutzt wird: ja. Maßgeblich ist der Markt, nicht der Sitz.

Welche Lücke finden Sie am häufigsten?

Systeme im Produktivbetrieb, die den zur jeweiligen Antwort verwendeten Kontext nie protokolliert haben. Ohne ihn ist keine Erklärung möglich, und das Protokoll lässt sich nicht rückwirkend erzeugen.

← Alle Leistungen