Wie wir unterstützen
Was der AI Act heute vom Unternehmen verlangt, was ein Datum hat und was Sie nicht befürchten müssen
Die Stiftung AI Business Center (AIBC) ist ein Thinktank und Beratungspartner, der Geschäftsleitungen von Unternehmen aus Bau, Industrie und technischen Dienstleistungen dabei unterstützt, künstliche Intelligenz so einzusetzen, dass sie messbare Ergebnisse liefert und Wettbewerbsvorteile schafft. Die Vorbereitung auf den AI Act beginnt bei uns mit der Frage, welche Vorschriften das Unternehmen überhaupt betreffen.
Compliance ist nicht mehr ein Kostenposten der Rechtsabteilung. Sie ist zur Voraussetzung für den Verkauf geworden
Institutionelle Kunden, Investoren und große Auftraggeber fragen immer öfter, wie ein Unternehmen künstliche Intelligenz nutzt, wer dafür verantwortlich ist und ob es rechtskonform handelt. Wer darauf eine geordnete Antwort hat, verkürzt das Einkaufsgespräch. Wer keine hat, beginnt es in der Defensive.
Das Problem, das wir lösen
Viele Materialien zum AI Act vermischen, was heute gilt, was ein Datum hat und was die Verordnung gar nicht verlangt. Im Juli 2026 gingen viele Unternehmen davon aus, das Thema sei vertagt. Das stimmt nur zum Teil: Die Verordnung (EU) 2026/1744, sogenannter AI Omnibus, hat die Pflichten für Hochrisiko-Systeme verschoben. Die Transparenzpflichten nach Art. 50 hat sie nicht verschoben. Sie gelten seit dem 2. August 2026. Die einzige Übergangsfrist, bis zum 2. Dezember 2026, betrifft die maschinenlesbare Kennzeichnung von Inhalten durch Anbieter von Werkzeugen, die vor dem 2. August 2026 in Verkehr gebracht wurden.
Wir ordnen, statt Angst zu machen. Wir beginnen mit Fakten über das Unternehmen: Welche KI-Systeme laufen, wozu dienen sie, wer ist ihr Anbieter und wer ist Betreiber?
Was wir tun
- KI-Anwendungsregister. Wir erfassen die KI-Systeme und -Anwendungen im Unternehmen, jeweils mit Verantwortlichem und Zweck. Das ist eine Führungspraxis und keine gesetzliche Pflicht für alle. Ohne sie lässt sich aber keine weitere Frage beantworten.
- Rollenübersicht. Für jede Anwendung klären wir, ob das Unternehmen Anbieter des KI-Systems ist oder Betreiber. Davon hängt der Umfang der Pflichten ab.
- Übersicht über Pflichten und Fristen. Wir ordnen den Anwendungen die Vorschriften des AI Act mit ihren Geltungsdaten zu. Grenzfälle markieren wir zur Bewertung durch den Rechtsberater des Unternehmens.
- Kompetenz des Personals. Wir helfen, die Maßnahmen zu dokumentieren, mit denen das Unternehmen die KI-Kompetenz seines Personals fördert (Art. 4). Die Vorschrift schreibt keine bestimmte Form vor, auch nicht den Kauf einer Schulung.
- Transparenz gegenüber Kunden. Wir prüfen die Kontaktpunkte mit Kunden, etwa Chats, Assistenten und visuelle Materialien, und klären, was nach Art. 50 eine Information oder Kennzeichnung erfordert und was nicht.
- ESG. Wir klären, ob und ab wann Berichtspflichten das Unternehmen direkt betreffen oder indirekt über Anforderungen von Kunden in der Lieferkette, und welche Daten aus KI-gestützten Prozessen in die Berichterstattung einfließen können.
Fünf Bereiche der Rechtssicherheit
Compliance planen wir vom ersten Tag an in den Prozess ein, statt sie am Ende anzuhängen. Ein KI-Einsatz im Unternehmen berührt meist fünf Rechtsbereiche zugleich:
- AI Act. Die Rolle des Unternehmens gegenüber jedem System, die Pflichten und ihre Geltungsdaten.
- Kundendaten und DSGVO. Welche personenbezogenen Daten in KI-Werkzeuge gelangen, auf welcher Grundlage und wo sie verarbeitet werden.
- Regeln für den KI-Einsatz im Unternehmen. Interne Regeln für die Arbeit mit den Werkzeugen, abgestimmt mit dem Arbeitsrecht und so eingeführt, dass die Beschäftigten sie kennen.
- Verantwortung für das Ergebnis. Wer im Unternehmen für eine mit KI-Unterstützung getroffene Entscheidung verantwortlich ist und wie das Unternehmen dies dokumentiert.
- Verträge mit KI-Anbietern. Eigentum an den Ergebnissen, Vertraulichkeit, Nutzung von Unternehmensdaten zum Training von Modellen und Bedingungen für den Ausstieg aus dem Dienst.
Der letzte Bereich hängt mit der Wahl des Weges zur KI zusammen, die die Seite Datensouveränität und eigene KI-Instanz beschreibt. Umfang und Auslegung jedes Bereichs stimmen wir mit dem Rechtsberater des Unternehmens ab.
Die nächsten Fristen
| Datum | was gilt |
|---|---|
| 2. Dezember 2026 | Ende der Übergangsfrist für die maschinenlesbare Kennzeichnung durch Anbieter von Werkzeugen, die vor dem 2. August 2026 in Verkehr gebracht wurden; Verbot KI-erzeugter intimer Inhalte ohne Einwilligung |
| 2. August 2027 | Anbieter von GPAI-Modellen, die vor dem 2. August 2025 in Verkehr gebracht wurden |
| 2. Dezember 2027 | Hochrisiko-Systeme nach Anhang III |
Den vollständigen Kalender und eine Erläuterung zu Art. 50 finden Sie auf der Seite AI Act in Kommunikation und Vertrieb.
Was im Unternehmen bleibt
- ein KI-Anwendungsregister mit Verantwortlichen und Zwecken,
- eine Übersicht über Rollen und Pflichten mit Geltungsdaten,
- eine Liste der Fälle zur Bewertung durch den Rechtsberater,
- ein Maßnahmenplan für die nächsten Quartale, auch zu Kompetenz und Transparenz,
- Compliance-Kennzahlen für den KI-Wertbericht für die Geschäftsleitung.
Unternehmen, die diesen Prozess geordnet durchlaufen und mit einer AIBC-Bestätigung abschließen wollen, wählen den AIBC-Zertifizierungspfad. Eine AIBC-Bestätigung ist weder eine Konformitätsbewertung durch eine notifizierte Stelle noch eine Entscheidung einer Aufsichtsbehörde. Die Arbeit an der Compliance verbinden wir mit der semantischen Transformation, also der Ordnung von Begriffen, Prozessen und Daten eines Unternehmens, sodass Menschen, Sprachmodelle und Berichte an die Geschäftsleitung sie gleich verstehen: Das KI-Anwendungsregister nutzt dasselbe Vokabular.
Der erste Schritt
Eine Bestandsaufnahme: die Liste der KI-Werkzeuge und -Anwendungen, die das Unternehmen bereits hat, einschließlich derer, die Beschäftigte ohne formelle Entscheidung nutzen. Das dauert meist einige Wochen und zeigt sofort, wo die tatsächlichen Pflichten liegen.
Häufige Fragen
Gilt der AI Act auch für ein Unternehmen, das nur fertige KI-Werkzeuge nutzt?
Ja, allerdings in anderem Umfang als für Anbieter. Ein Unternehmen, das ein KI-System im Rahmen seiner beruflichen Tätigkeit verwendet, ist im Sinne des AI Act Betreiber. Für dieses Unternehmen gelten unter anderem die Förderung der KI-Kompetenz des Personals nach Art. 4 und, soweit anwendbar, die Transparenzpflichten nach Art. 50. Der Umfang hängt davon ab, wofür das Werkzeug dient.
Sind KI-Systeme in der Produktion und auf der Baustelle Hochrisiko-Systeme?
Das hängt von der Zweckbestimmung des Systems ab und davon, ob es Teil eines regulierten Produkts ist. Beispiele für hohes Risiko sind Personalauswahl, Kreditwürdigkeit, kritische Infrastruktur und Biometrie, außerdem Systeme in regulierten Produkten nach Anhang I. Grenzfälle entscheiden wir nicht auf dieser Seite. Sie bewertet der Rechtsberater des Unternehmens anhand einer konkreten Systembeschreibung.
Ab wann gelten die Anforderungen an Hochrisiko-Systeme?
Nach der Änderung durch den AI Omnibus gelten die Pflichten für Hochrisiko-Systeme nach Anhang III ab dem 2. Dezember 2027, für Systeme in regulierten Produkten nach Anhang I ab dem 2. August 2028.
Ersetzt die Stiftung eine Kanzlei?
Nein. Wir erstellen eine Übersicht über Anwendungen, Rollen und Pflichten sowie einen Maßnahmenplan. Umfang und Auslegung stimmen wir mit dem Rechtsberater des Unternehmens ab. Die Inhalte der Stiftung zu Rechtsvorschriften prüft das Vorstandsmitglied, das für Recht und Compliance zuständig ist.
Beginnen wir mit einer Analyse
Sprechen wir darüber, welche Vorschriften Ihr Unternehmen heute betreffen und wie Sie das dokumentieren.