Der EU AI Act ist seit August 2024 in Kraft und führt schrittweise verbindliche Compliance-Pflichten ein, die Unternehmen bis 2026 zu Risikobewertungen, Transparenz- und Sicherheitsstandards verpflichten. International tätige Unternehmen stehen vor einer Multi-Compliance-Herausforderung: Während der EU AI Act als risikobasierte Vollregulierung gilt, verfolgen die USA Deregulierung und China Inhaltssteuerung. Wer KI in Europa entwickelt oder einsetzt, muss seine Systeme schrittweise anpassen, Hochrisiko-Anwendungen klassifizieren und sektorspezifische Anforderungen wie die Medical Device Regulation berücksichtigen.

EU AI Act: Fristen und Phasen für die Markteinführung – Roadmap für Compliance bis 2026

Der EU AI Act ist seit August 2024 offiziell in Kraft und wird über mehrere Jahre schrittweise wirksam. Für Unternehmen, die KI entwickeln, einsetzen oder beschaffen, bedeutet das: Die Uhr läuft – und die Anforderungen steigen in Stufen.

Der risikobasierte Ansatz als Grundprinzip

Das Regelwerk klassifiziert KI-Systeme nach ihrem Risikopotenzial. Je höher das Risiko, desto strenger die Anforderungen – von Transparenzpflichten für einfache Anwendungen bis hin zu umfangreichen Konformitätsbewertungen für sogenannte Hochrisiko-Systeme. Laut Fraunhofer IPA müssen KI-Systeme dabei häufig auch sektorspezifische Vorgaben erfüllen, etwa aus der EU-Maschinenverordnung oder der Medical Device Regulation.

Vier praktische Implikationen für Unternehmen

1. Bestandsaufnahme der eingesetzten KI-Systeme ist jetzt erforderlich

Wer KI nutzt oder plant einzusetzen, muss zunächst klären, welche Risikoklasse die jeweiligen Systeme fallen. Die Klassifizierung entscheidet darüber, welche Dokumentations-, Transparenz- und Sicherheitspflichten greifen. Diese Einordnung ist kein einmaliger Vorgang, sondern muss bei Systemänderungen wiederholt werden.

2. Hochrisiko-Anwendungen erfordern frühzeitige Vorbereitung

Für Hochrisiko-KI – etwa in der Personalauswahl, im Gesundheitswesen oder in sicherheitskritischen Infrastrukturen – gelten besonders strenge Anforderungen: Risikobewertungen, Datenschutznachweise und technische Sicherheitsstandards müssen nachweislich erfüllt sein. Wer hier zu spät beginnt, riskiert, Produkte oder Prozesse nachträglich aufwendig umbauen zu müssen.

3. Multi-Compliance wird zur Pflicht für international tätige Unternehmen

Wie heise iX in seiner Ausgabe 12/2025 beschreibt, verfolgen andere Länder grundlegend andere Ansätze: Die USA setzen unter der aktuellen Bundesregierung auf Deregulierung und ein Flickwerk einzelstaatlicher Regeln, die Schweiz orientiert sich am Europarats-Rahmen, und China steuert KI primär über Inhaltsregulierung. International agierende Unternehmen müssen daher eine komplexe Multi-Compliance-Strategie aufbauen, die EU-Konformität mit lokalen Sonderanforderungen verbindet.

4. Die DSGVO-Analogie zeigt: Vorbereitung zahlt sich aus

IBM ordnet den EU AI Act in eine Reihe mit der DSGVO ein: Beide Regelwerke haben das Potenzial, als globaler Standard zu wirken. Unternehmen, die frühzeitig in Compliance-Strukturen investieren, vermeiden nicht nur Bußgelder, sondern schaffen laut Einschätzung des Europäischen Parlaments auch Voraussetzungen, um Europa als „globales Kompetenzzentrum für KI vom Labor bis zum Markt zu stärken“.

Was bis 2026 konkret ansteht

Die Anforderungen des EU AI Acts treten gestaffelt in Kraft. Unternehmen sollten die verbleibende Zeit nutzen, um:

• KI-Systeme systematisch zu inventarisieren und zu klassifizieren
• interne Governance-Strukturen für menschliche Aufsicht aufzubauen
• Prozesse für laufende Risikobewertung und Dokumentation zu etablieren
• sektorspezifische Zusatzanforderungen frühzeitig zu identifizieren

Das Fraunhofer IPA bietet dazu praxisnahe Workshops an, die Unternehmen Schritt für Schritt durch die Compliance-Anforderungen führen – mit Fokus auf repräsentative Use Cases insbesondere im Hochrisikobereich.

Quellen

• EU AI Act – IBM Think Insights
• KI-Regulierung weltweit: Die Strategien anderer Länder – heise iX 12/2025
• Schritt für Schritt zur Compliance: Der EU AI Act praxisnah erklärt – Fraunhofer IPA

Häufige Fragen

Wann ist der EU AI Act in Kraft getreten und wie läuft die schrittweise Umsetzung ab?

Der EU AI Act ist seit August 2024 offiziell in Kraft. Die Anforderungen werden nicht sofort, sondern über mehrere Jahre schrittweise wirksam. Unternehmen haben damit eine gestaffelte Übergangsfrist, um ihre KI-Systeme an die neuen Vorgaben anzupassen. Die konkreten Fristen richten sich nach dem Risikoniveau des jeweiligen KI-Systems.

Welche Unternehmen sind vom EU AI Act betroffen?

Der EU AI Act betrifft grundsätzlich jedes Unternehmen, das KI in der EU entwickelt, bereitstellt oder nutzt – unabhängig davon, ob der Unternehmenssitz innerhalb oder außerhalb der EU liegt. Auch Organisationen, die den Einsatz von KI lediglich planen, sollten sich frühzeitig mit den Compliance-Anforderungen befassen.

Nach welchem Prinzip klassifiziert der EU AI Act KI-Systeme?

Der EU AI Act folgt einem risikobasierten Ansatz. KI-Systeme werden je nach ihrem Gefährdungspotenzial in verschiedene Risikoklassen eingeteilt. Hochrisiko-Anwendungen unterliegen dabei den strengsten Anforderungen, etwa bei Risikobewertungen, Datenschutz und technischen Sicherheitsstandards. Zusätzlich können sektorspezifische Regeln gelten, etwa aus der EU-Maschinenverordnung oder der Medical Device Regulation.

Was müssen Unternehmen konkret tun, um bis 2026 compliant zu sein?

Unternehmen müssen ihre KI-Systeme nach dem risikobasierten Ansatz klassifizieren, Risikobewertungen durchführen und Transparenz- sowie Sicherheitsstandards umsetzen. Praxisnahe Workshops, wie jener des Fraunhofer IPA, vermitteln die Grundprinzipien und zeigen anhand konkreter Use Cases, wie Hochrisiko-Anwendungen regelkonform gestaltet werden. Eine frühzeitige interne Bestandsaufnahme aller eingesetzten KI-Systeme ist empfehlenswert.

Wie unterscheidet sich der EU AI Act von KI-Regulierungen in anderen Ländern?

Der EU AI Act gilt als strenge, risikobasierte Vollregulierung mit globalem Vorbildcharakter, ähnlich der DSGVO im Datenschutz. Die USA setzen unter der aktuellen Bundesregierung auf Deregulierung und einzelstaatliche Regeln. Die Schweiz orientiert sich am Europarats-Rahmen als flexiblem Mittelweg. China steuert KI vorrangig über Inhaltsregulierung. Für international tätige Unternehmen entsteht daraus eine komplexe Multi-Compliance-Strategie.