EU AI Act für Führungskräfte — was du als GF persönlich verantwortest.

Mal angenommen, dein Unternehmen nutzt KI im Recruiting. Die HR-Abteilung hat ein Tool eingeführt, das Lebensläufe vorsortiert. Niemand hat dich gefragt. Niemand hat dokumentiert, wie das System entscheidet. Und niemand hat die Mitarbeiter geschult, die damit arbeiten.

Dann kommt eine Beschwerde. Oder eine Behörden-Prüfung. Und der EU AI Act fragt nicht nach dem HR-Leiter — er fragt nach dem verantwortlichen Unternehmen. Das bist du.

Was ab dem 2. August 2026 aktiv durchgesetzt wird

Der EU AI Act gilt seit August 2024 — aber die Aufsichtsbehörden starten mit der aktiven Durchsetzung am 2. August 2026. In Deutschland übernimmt die Bundesnetzagentur die Marktüberwachung. Sie kann prüfen, fordern, und im Wiederholungsfall empfindlich sanktionieren.

Was konkret auf dich zukommt:

• Artikel 4 (KI-Kompetenz): Gilt seit Februar 2025. Dein Unternehmen muss „nach besten Kräften sicherstellen", dass alle Mitarbeitenden, die KI einsetzen, ein ausreichendes Grundverständnis haben. Nicht optional — und ohne Mindestpuffer-Frist.
• Artikel 50 (Transparenz): KI-Systeme, die mit Menschen interagieren, müssen offenlegen, dass es sich um KI handelt. KI-generierte Inhalte müssen erkennbar markiert sein.
• Artikel 6 ff. (Hochrisiko-KI): Systeme, die Personalentscheidungen, Kreditvergabe oder kritische Infrastruktur betreffen, unterliegen strengen Dokumentations- und Prüfpflichten.

Die vier Risikoklassen — und was sie für dich bedeuten

Der EU AI Act teilt KI-Systeme in vier Klassen ein. Das Wichtigste vorab: Die meisten KI-Tools, die Unternehmen im Alltag nutzen (Text-KI, Zusammenfassungen, Recherche), fallen in die untersten Klassen. Aber es gibt Ausnahmen, und die sind teuer.

Der kritische Punkt: Viele Unternehmen nutzen unbewusst Hochrisiko-KI. KI-gestütztes Bewerber-Screening, automatisierte Kreditentscheidungen bei Lieferanten, KI zur Leistungsbeurteilung von Mitarbeitern — das alles ist Hochrisiko, unabhängig vom Namen des Tools.

Deine drei Governance-Entscheidungen

Entscheidung 1: KI-Inventur beauftragen

Du musst wissen, was in deinem Unternehmen läuft. Nicht nur die offiziell eingeführten Tools — auch die, die Mitarbeitende auf eigene Faust nutzen (Schatten-KI). Das Ergebnis ist eine einfache Liste: Welche KI, wofür, von wem, mit welchen Daten.

Das ist kein IT-Projekt. Einen Monat, ein Formular, fertig. Wenn du nichts dokumentiert hast, kannst du der Behörde auch nichts vorzeigen.

Entscheidung 2: Zuständigkeit festlegen

Der EU AI Act braucht eine Ansprechperson. In großen Unternehmen ist das der AI-Compliance-Officer. In KMUs reicht es, wenn jemand — Datenschutzbeauftragter, IT-Leiter oder du selbst — die Verantwortung übernimmt und das schriftlich festgehalten ist.

Diese Person kümmert sich um: Schulungs-Dokumentation, Risiko-Bewertung neuer KI-Tools, Kontakt zur Bundesnetzagentur wenn nötig.

Entscheidung 3: Schulung veranlassen und dokumentieren

Art. 4 verlangt „ausreichende KI-Kompetenz". Das heißt nicht, dass alle deiner Mitarbeiter KI-Spezialisten werden. Es heißt: Alle, die KI im Arbeitsalltag nutzen, müssen verstehen, was das System kann, wo es irrt, und welche Daten sie nicht eingeben dürfen.

Und: Das muss dokumentiert sein. Wer hat wann was gelernt. Sonst hilft die beste Schulung nichts, wenn die Behörde fragt.

Was du NICHT brauchst

Damit das hier nicht zur Panikattacke wird: Was du nicht brauchst.

• Kein offizielles Zertifikat von einer akkreditierten Stelle (für Betreiber der untersten und mittleren Klassen nicht vorgeschrieben).
• Kein teures KI-Audit einer Unternehmensberatung — eine saubere interne Dokumentation reicht in den meisten Fällen.
• Kein KI-Experten-Team — eine zuständige Person und ein klarer Prozess genügen für die meisten KMUs.

Die Bundesnetzagentur: was sie prüfen wird

Die Bundesnetzagentur ist die nationale Marktüberwachungsbehörde für den EU AI Act in Deutschland. Was sie konkret kontrollieren wird, ist noch nicht in jedem Detail kommuniziert. Aber aus den publizierten Leitlinien und europäischen Erfahrungen mit vergleichbaren Regelwerken (DSGVO, NIS2) lässt sich ableiten:

• Beschwerden von Mitarbeitern oder Kunden über KI-Einsatz lösen Prüfungen aus.
• Hochrisiko-Bereiche (HR, Kredit, kritische Infrastruktur) stehen früher im Fokus als Alltagstools.
• Dokumentation ist das Erste, was angefordert wird. Wer nichts hat, steht schlecht da.

Drei Sofortmaßnahmen für die kommenden zwei Wochen

1. Beauftrage eine KI-Inventur in deinem Unternehmen. Formular an alle Abteilungsleiter: Welche KI-Tools werden genutzt, von wem, wofür? Deadline: eine Woche.
2. Bestimme eine zuständige Person für KI-Compliance. Name, Rolle, schriftlich festgehalten. Das kann der Datenschutzbeauftragte sein oder jemand aus der IT.
3. Starte Schulungsplanung für alle Mitarbeitenden, die KI nutzen. Nicht alle gleichzeitig — priorisiere die Bereiche mit dem höchsten Risiko (HR, Finanzen, Kundenkontakt).

Wenn du das in den nächsten zwei Wochen angestoßen hast, hast du die wichtigste Governance-Arbeit getan. Den Rest — Schulungsnachweis, Dokumentation — kannst du systematisch aufbauen.