Der EU AI Act nach dem Omnibus: Was ein CEO jetzt tun muss
Der AI Omnibus hat einen Teil der Pflichten für Hochrisiko-Systeme verschoben. Er hat aber nicht die Verantwortung der Führung für die KI verschoben, die im Unternehmen bereits läuft. Ab dem 2. August 2026 gelten weitere Teile des AI Act, darunter die Transparenz bestimmter KI-Systeme. Die Pflicht, KI-Kompetenz zu fördern, gilt bereits seit Februar 2025.
Für die meisten Unternehmen ist die Hauptfrage deshalb nicht, ob sie eine Rechtsanalyse beauftragen sollen.
Die Hauptfrage lautet:
Wissen Sie, welche KI-Systeme Sie im Unternehmen einsetzen, wem sie gehören, auf welche Daten sie zugreifen und wer für ihre Ergebnisse verantwortlich ist?
Wenn nicht, schafft der AI Act das Problem nicht. Die Regulierung macht nur sichtbar, dass Ihr Unternehmen Technologie ohne klaren operativen Owner einsetzt.
Entscheidungen für die Führung
| Frage | Praktisches Fazit |
|---|---|
| Müssen wir wegen des AI Omnibus KI-Projekte stoppen? | Nein. Sie müssen sie aber erfassen, klassifizieren und steuern. |
| Wurden alle Pflichten verschoben? | Nein. Verschoben wurde vor allem ein Teil der Regeln für Hochrisiko-Systeme. |
| Betrifft der AI Act auch die alltägliche Nutzung von ChatGPT oder Copilot? | Ja, mindestens im Bereich KI-Kompetenz und verantwortungsvolle Nutzung. |
| Müssen wir alles kennzeichnen, was mit KI entstanden ist? | Nein. Die Pflichten unterscheiden sich nach Systemtyp, Inhalt und Rolle des Unternehmens. |
| Brauchen wir ein Register der eingesetzten KI-Systeme? | Ohne dieses lassen sich Pflichten, Risiken und Return nicht zuverlässig bestimmen. |
| Müssen wir einen Head of AI ernennen? | Das Gesetz schreibt keine konkrete Funktion vor. Jemand muss das Thema KI aber verantworten und koordinieren. |
| Was sollte ein CEO als Erstes freigeben? | Einen Owner für das Thema KI und eine 30-tägige Inventur aller KI-Use-Cases. |
Was sich am 27. Juli 2026 geändert hat
Am 27. Juli 2026 ist die Verordnung (EU) 2026/1744 in Kraft getreten, bezeichnet als Digital Omnibus on AI. Sie hat den ursprünglichen AI Act geändert und einige Fristen verschoben, weil europäische Normen, Methodiken und die nationale Aufsichtsinfrastruktur nicht rechtzeitig bereit waren.[1][2]
Für ein durchschnittliches Unternehmen sind vier Änderungen wesentlich.
1. Die Regeln für Hochrisiko-Systeme wurden verschoben
Die Pflichten für Systeme, die nach Anhang III als hochriskant eingestuft sind, gelten ab dem 2. prosince 2027.
Das betrifft zum Beispiel manche KI-Systeme, die eingesetzt werden:
- bei Recruiting, Auswahl und Bewertung von Mitarbeitenden;
- in der Bildung;
- bei der Beurteilung der Kreditwürdigkeit;
- beim Zugang zu bestimmten Grundversorgungsleistungen;
- in der Biometrie;
- in kritischer Infrastruktur.
Die Regeln für KI, die in regulierte Produkte eingebettet ist, gelten ab dem 2. srpna 2028.[2][3]
Das heißt aber nicht, dass Sie ein riskantes System heute einsetzen und sich erst in einem Jahr dafür interessieren können.
Weiterhin gelten die DSGVO, das Arbeitsrecht, der Verbraucherschutz, Cyber-Anforderungen, die vertragliche Haftung und die Pflicht der Geschäftsleitung, mit der Sorgfalt eines ordentlichen Kaufmanns zu handeln. Eine teure KI-Lösung ohne Owner, Dokumentation und menschliche Kontrolle ist eine schlecht gesteuerte Investition, unabhängig davon, wann ein einzelner Artikel des AI Act wirksam wird.
2. KI-Kompetenz bleibt Pflicht
Artikel 4 des AI Act gilt seit dem 2. Februar 2025.
Der AI Omnibus hat den Wortlaut abgeschwächt: Ein Unternehmen muss kein konkretes oder „ausreichendes“ Niveau der KI-Kompetenz jeder einzelnen Person mehr garantieren. Es muss aber weiterhin angemessene Maßnahmen ergreifen, die die KI-Kompetenz der Mitarbeitenden und weiterer Personen fördern, die in seinem Namen mit KI arbeiten.[2][4]
Das heißt nicht, allen Mitarbeitenden ein allgemeines Webinar über Prompting zu kaufen.
Der Umfang der Maßnahmen soll sich richten nach:
- den eingesetzten Systemen;
- den Kenntnissen der konkreten Nutzenden;
- dem Verwendungszweck;
- den damit verbundenen Risiken;
- den Personengruppen, auf die sich KI-Ergebnisse auswirken können.
Wer KI zum Korrekturlesen eines Marketingtextes nutzt, braucht ein anderes Niveau der Vorbereitung als eine Person aus dem Personalbereich, die mit KI-gestützter Bewertung von Kandidaten arbeitet, oder eine Mitarbeiterin, die das Ergebnis eines autonomen Agenten auf dem CRM freigibt.
Ein Unternehmen braucht kein besonderes Zertifikat. Es sollte aber belegen können, welche Maßnahmen es ergriffen hat, wen sie betrafen und warum sie mit Blick auf die eingesetzten Systeme angemessen waren.[4]
3. Die Transparenz wird nicht verschoben
Artikel 50 gilt ab dem 2. srpna 2026.
Die Pflichten unterscheiden sich danach, ob ein Unternehmen Anbieter eines KI-Systems ist oder es nur einsetzt. Sie können insbesondere umfassen:
- die Information, dass eine Person mit einer KI kommuniziert;
- die technische Kennzeichnung KI-generierter oder KI-veränderter Inhalte;
- die Information von Personen, die Systemen zur Emotionserkennung oder biometrischen Kategorisierung ausgesetzt sind;
- die Kennzeichnung von Deepfake-Inhalten;
- die Kennzeichnung bestimmter KI-generierter Texte, die zur Information der Öffentlichkeit über Angelegenheiten von öffentlichem Interesse veröffentlicht werden.
Für Systeme, die synthetische Inhalte erzeugen und vor dem 2. August 2026 in Verkehr gebracht wurden, gibt es eine begrenzte Übergangsfrist bis zum 2. Dezember 2026. Sie betrifft jedoch nur die Anbieterpflicht, eine maschinenlesbare Kennzeichnung nach Art. 50 Abs. 2 sicherzustellen. Es ist kein allgemeiner Aufschub der Transparenz.[2][5]
4. Die Aufsicht wird zur praktischen Frage
Der AI Act ist eine europäische Verordnung und gilt deshalb unmittelbar. Die nationale Aufsichts- und Unterstützungsinfrastruktur, die Zuständigkeiten der Behörden und die praktische Durchsetzung legt jeder Mitgliedstaat selbst fest — prüfen Sie daher die zuständige Behörde in Ihrem Land.
In Tschechien, von wo aus ich arbeite, liegt die Federführung beim Ministerium für Industrie und Handel; der Entwurf der nationalen Infrastruktur sieht eine Aufteilung der Zuständigkeiten auf mehrere Institutionen nach Systemtyp und reguliertem Bereich vor.[9]
Für einen CEO folgt daraus ein einfaches Fazit:
Es reicht nicht, ein Rechtsmemorandum auf SharePoint abgelegt zu haben. Sie müssen zeigen können, wie KI im Unternehmen tatsächlich gesteuert wird.
Bestimmen Sie zuerst Ihre Rolle
Der AI Act unterscheidet mehrere Rollen. Für die meisten Unternehmen sind zwei am wichtigsten.
Betreiber (Deployer): Sie setzen das System ein
Betreiber ist die Organisation, die ein KI-System unter ihrer Aufsicht im Rahmen ihrer beruflichen Tätigkeit einsetzt.[6]
Typisches Beispiel:
- Mitarbeitende nutzen Microsoft Copilot;
- das Vertriebsteam nutzt KI-Funktionen im CRM;
- das Marketing nutzt ChatGPT oder Claude;
- das Kundencenter nutzt einen Voice Agent eines externen Anbieters;
- die Personalabteilung nutzt ein fremdes Tool zur Vorauswahl von Kandidaten.
Die meisten Unternehmen sind bei den meisten ihrer Tools in der Rolle des Betreibers.
Anbieter (Provider): Sie bringen das System unter eigenem Namen in Verkehr
Anbieter ist, wer ein KI-System entwickelt oder entwickeln lässt und es unter eigenem Namen oder eigener Marke in Verkehr bringt oder in Betrieb nimmt.[6]
In diese Rolle können Sie zum Beispiel geraten, wenn Sie:
- einen eigenen KI-Dienst an Kunden verkaufen;
- einen White-Label-Chatbot unter Ihrer Marke ausliefern;
- ein KI-Produkt entwickeln lassen und es als eigenes anbieten;
- den Zweck oder die Funktionsweise eines fremden Systems wesentlich verändern;
- ein Modell eines Dritten in ein Produkt integrieren, für dessen Gesamtfunktion Sie verantwortlich sind.
Dass ein System ein Modell von OpenAI, Anthropic oder Google nutzt, bedeutet nicht automatisch, dass alle Pflichten bei diesem Unternehmen liegen.
Das Modell, das resultierende KI-System, die Benutzeroberfläche und der konkrete betriebliche Einsatz sind verschiedene Verantwortungsschichten.
Sieben typische Use Cases im Unternehmen
1. Mitarbeitende nutzen ChatGPT, Claude oder Copilot
Das Unternehmen sollte wissen:
- wer die Tools nutzt;
- welche Datentypen eingegeben werden dürfen;
- ob personenbezogene oder Kundendaten verwendet werden;
- wer die Ergebnisse kontrolliert;
- in welchen Prozessen KI nur Hilfsmittel ist und wo sie bereits Entscheidungen beeinflusst.
Der bloße Kauf einer Enterprise-Lizenz ist keine Governance.
Eine Lizenz kann einen Teil der Bedingungen der Datenverarbeitung regeln. Sie regelt nicht, ob eine Mitarbeiterin eine Halluzination erkennt, ob sie berechtigt ist, das Dokument zu verarbeiten, und ob sie das KI-Ergebnis als Entscheidungsgrundlage verwenden darf.
2. Auf der Website läuft ein Chatbot oder Voice Agent
Der Kunde muss in den relevanten Situationen wissen, dass er mit einer KI kommuniziert.[5]
Das ist aber nicht die einzige Frage.
Die Führung muss entscheiden:
- was der Agent dem Kunden zusagen darf;
- auf welche Systeme und Daten er Zugriff hat;
- ob er Bestellungen oder Termine ändern darf;
- wann er das Gespräch an einen Menschen übergeben muss;
- wer für eine falsche Auskunft verantwortlich ist;
- wie Incidents erfasst werden;
- wie der geschäftliche Nutzen gemessen wird.
Der Hinweis „Ich bin ein KI-Assistent“ ist der einfachste Teil des ganzen Einsatzes.
3. Das Marketing generiert Texte, Bilder und Videos
Der AI Act bedeutet nicht, dass jeder mit KI überarbeitete Text ein sichtbares Etikett braucht.
Besondere Aufmerksamkeit brauchen aber:
- Deepfakes in Bild, Ton oder Video;
- Inhalte, die fälschlich für authentisch gehalten werden könnten;
- KI-generierte Veröffentlichungen zu Angelegenheiten von öffentlichem Interesse;
- automatisches Publizieren ohne menschliche Kontrolle;
- Inhalte, für die niemand die redaktionelle Verantwortung übernommen hat.
Anbieter generativer Systeme müssen die maschinenlesbare Kennzeichnung synthetischer Inhalte umsetzen. Ein Unternehmen, das ein solches Tool nutzt, sollte prüfen, ob seine Technologie- und Publikationskette die nötigen Metadaten erhält.[5]
4. KI wählt Kandidaten aus oder bewertet Mitarbeitende
KI-Systeme etwa für die Auswahl von Kandidaten, Entscheidungen über Arbeitsverhältnisse, die Zuweisung von Aufgaben oder die Leistungsbewertung können unter Anhang III des AI Act fallen.[7]
Die Hauptpflichten für diese Kategorie wurden auf den 2. Dezember 2027 verschoben. Das ist aber kein Grund, ein System unkontrolliert einzuführen.
Zuerst müssen Sie wissen:
- was das System tatsächlich bewertet;
- auf welchen Daten es beruht;
- ob das Ergebnis nur Unterlagen vorbereitet oder faktisch entscheidet;
- wer seine Empfehlung ändern kann;
- ob sich die Entscheidung erklären lässt;
- ob die Ergebnisse laufend auf systematische Verzerrung geprüft werden.
Die Personalabteilung darf kein Testlabor für ein Tool sein, dessen Logik niemand im Unternehmen vertreten kann.
5. Ein interner KI-Assistent arbeitet auf Unternehmensdokumenten
Ein interner Knowledge Assistant ist in der Regel nicht schon deshalb ein Hochrisiko-System, weil er generative KI nutzt.
Er kann aber realen Schaden anrichten, wenn er:
- ein Dokument einer nicht berechtigten Person zugänglich macht;
- eine veraltete Richtlinie verwendet;
- Informationen aus verschiedenen Kundenakten vermischt;
- eine unbestätigte Notiz als verbindliches Vorgehen darstellt;
- ein Ergebnis ohne Quellenangabe erzeugt.
Die regulatorische Einstufung ist nur ein Teil der Entscheidung. Der zweite ist das operative Risiko, der dritte die Wirtschaftlichkeit.
6. KI bewertet Bonität oder den Zugang zu einer Leistung
Manche Systeme zur Beurteilung von Kreditwürdigkeit, Risiko oder Zugang zu Grundversorgungsleistungen können zu den Hochrisiko-Use-Cases zählen.[7]
Hier reicht die Frage nicht, ob das System „nur empfiehlt“.
Wenn eine Mitarbeiterin die Empfehlung der KI fast immer mechanisch bestätigt, stellt die menschliche Anwesenheit möglicherweise keine echte menschliche Kontrolle dar.
7. KI erkennt Emotionen von Mitarbeitenden
Der Einsatz von KI zur Ableitung von Emotionen am Arbeitsplatz ist grundsätzlich verboten, abgesehen von begrenzten Fällen etwa im Zusammenhang mit Medizin oder Sicherheit.[8]
Wenn Ihnen ein Anbieter die Analyse der Stimmung von Mitarbeitenden aus Stimme, Gesicht oder biometrischen Merkmalen anbietet, ist das kein harmloses HR-Dashboard.
Es ist ein Grund, das Projekt zu stoppen und seine Rechtmäßigkeit sowie den tatsächlichen Zweck unabhängig prüfen zu lassen.
Ohne KI-Register wissen Sie nicht, was Sie steuern
Das erste praktische Ergebnis von KI-Governance soll keine fünfzigseitige Richtlinie sein.
Es soll ein Register der eingesetzten KI-Systeme und Use Cases sein.
Mindestens sollte es enthalten:
| Feld | Was erfasst wird |
|---|---|
| System | Name des Tools oder der Lösung |
| Use-case | Wofür das Unternehmen es tatsächlich einsetzt |
| Owner | Die Person, die für das operative Ergebnis verantwortlich ist |
| Anbieter | Anbieter, Modell und Implementierungspartner |
| Rolle des Unternehmens | Anbieter, Betreiber oder eine andere Rolle |
| Nutzende | Wer das System bedient |
| Betroffene Personen | Wen die Ergebnisse beeinflussen können |
| Daten | Welche Daten das System entgegennimmt und wohin es sie weitergibt |
| Ergebnis | Was das System empfiehlt, generiert oder ausführt |
| Menschliche Kontrolle | Wer wann eingreifen muss |
| Risiko | Vorläufige regulatorische und operative Einstufung |
| Transparenz | Wie Kunde, Mitarbeitende oder Öffentlichkeit informiert werden |
| KPI | Wie Nutzen, Qualität und Fehlerquote gemessen werden |
| Status | Experiment, Pilot, Produktion, ausgesetzt, beendet |
Ohne Register können Sie nicht:
- bestimmen, welche Pflichten Sie treffen;
- angemessene KI-Kompetenz konzipieren;
- Datenzugriffe steuern;
- Anbieter bewerten;
- Incidents verfolgen;
- menschliche Kontrolle belegen;
- den tatsächlichen Return berechnen;
- entscheiden, welches Experiment gestoppt wird.
Das Register ist keine Compliance-Akte für die Aufsichtsbehörde.
Es ist ein Managementinstrument zur Steuerung von Investitionen und Risiko.
Warum Anwalt, IT und Anbieter nicht reichen
Der AI Act ist ein interdisziplinäres Problem. Genau deshalb bleibt er oft ohne echten Owner.
| Role | Was gut beherrscht wird | Was typischerweise nicht verantwortet wird |
|---|---|---|
| Anwalt | Auslegung der Verordnung und rechtliches Risiko | Systembetrieb, Architektur, Adoption und ROI |
| DPO | Personenbezogene Daten und DSGVO | Das gesamte KI-Portfolio und die Geschäftsprioritäten |
| IT und Sicherheit | Identitäten, Zugriffe, Integrationen und Schutz der Infrastruktur | Auswahl der Use Cases und Verantwortung für die Geschäftswirkung |
| Anbieter | Das eigene Produkt und dessen Implementierung | Das Interesse des Unternehmens über Anbieter hinweg und den Return des gesamten Portfolios |
| Abteilungsleitung | Den konkreten Prozess und seine Bedürfnisse | Einheitliche Regeln und Risiken im ganzen Unternehmen |
| Head of AI | Prioritäten, Governance, Architektur, Einsatz und gemessene Wirkung | Die abschließende spezialisierte Rechtsauskunft |
Der AI Act schreibt Ihnen weder vor, die Position Head of AI zu schaffen, noch eine konkrete Governance-Struktur.[4]
Er schreibt Pflichten vor beziehungsweise führt sie schrittweise ein — und jemand muss sie in die Realität übersetzen.
Das ist ein wesentlicher Unterschied.
Ein Anwalt kann die rechtliche Auslegung bestimmen. Er kann nicht allein entscheiden, ob sich ein Voice Agent wirtschaftlich lohnt, welche Berechtigungen er braucht, wo er das Gespräch an einen Menschen übergeben muss und welcher Anbieter die beste Architektur ohne Lock-in bietet.
Die IT kann ein System an das CRM anbinden. Sie kann nicht allein entscheiden, ob der Agent den Preis ändern, einen Termin zusagen oder einen Kunden ablehnen darf.
Ein Anbieter erklärt Ihnen, warum sein Produkt sicher ist. Er wird Ihnen aber nicht unabhängig sagen, dass sein Produkt in Ihrem Prozess wirtschaftlich keinen Sinn ergibt.
Jemand muss die ganze Kette halten:
Business Case → Einstufung → Daten → Architektur → menschliche Kontrolle → Betrieb → KPIs → Board-Reporting.
Gibt es diese Person nicht, steuert das Thema KI faktisch eine Mischung aus Mitarbeitenden, Anbietern, IT und zufällig gekauften Lizenzen.
Ein 30-Tage-Plan für den CEO
Woche 1: Finden Sie heraus, was im Unternehmen tatsächlich läuft
Verlassen Sie sich nicht nur auf zentral eingekaufte Lizenzen.
Erfassen Sie auch:
- individuell genutzte generative Tools;
- KI-Funktionen, die in CRM, ERP und Office-Anwendungen eingebaut sind;
- Automatisierungen, die einzelne Abteilungen gebaut haben;
- externe Agenturen, die in Ihrem Namen KI einsetzen;
- Piloten, die bereits Kunden oder Mitarbeitende beeinflussen.
Das Ergebnis ist die erste Fassung des KI-Registers.
Woche 2: Bestimmen Sie Rolle, Risiko und Owner
Bestimmen Sie bei jedem Use Case:
- warum es ihn gibt;
- wem er gehört;
- ob Sie Anbieter oder Betreiber sind;
- welche Daten er nutzt;
- wen er beeinflusst;
- ob er unter verbotene oder hochriskante Verwendungen fallen kann;
- ob ihn Transparenzpflichten treffen;
- wer rechtlich und operativ für das Ergebnis verantwortlich ist.
Ein System ohne benannten Owner darf nicht in Produktion gehen.
Woche 3: Richten Sie eine minimale Kontrollschicht ein
Definieren Sie für jedes freigegebene System:
- Zugriffe und minimale Berechtigungen;
- erlaubte und verbotene Daten;
- die Punkte menschlicher Freigabe;
- Logging;
- das Verfahren zur Meldung von Incidents;
- die Regeln für Transparenz;
- die erforderliche Vorbereitung der Nutzenden;
- einen Fallback bei Ausfall;
- die Möglichkeit, einen Eingriff zurückzunehmen oder das System abzuschalten.
Das Ziel ist kein Nullrisiko. Das Ziel ist ein bekanntes, angemessenes und gesteuertes Risiko.
Woche 4: Überführen Sie das Register in Board-Entscheidungen
Ordnen Sie jeden Use Case einer von vier Kategorien zu:
- Continue — unter den aktuellen Bedingungen fortführen;
- Remediate — erst nach Schließen einer konkreten Lücke fortführen;
- Pilot only — auf einen kontrollierten Piloten begrenzen;
- Suspend — aussetzen, weil Risiko oder Wirtschaftlichkeit nicht akzeptabel sind.
Das Board soll keine Liste von KI-Tools bekommen.
Es soll eine Übersicht bekommen:
- was KI dem Unternehmen einbringt oder spart;
- wo Risiko entsteht;
- wer für das System verantwortlich ist;
- was behoben werden muss;
- was die nächste Phase kostet;
- welche Projekte gestoppt werden sollen.
Das größte Risiko ist nicht das Bußgeld
Bußgelder sind der sichtbare Teil der Regulierung. Für die meisten mittelständischen Unternehmen wird die erste Sanktion aber nicht der größte Kostenblock sein.
Größere operative Kosten entstehen oft früher:
- mehrere Abteilungen bezahlen gleiche oder sich überschneidende Tools;
- Unternehmensdaten landen in nicht freigegebenen Diensten;
- ein KI-Agent führt eine Aktion aus, für die niemand die Verantwortung übernommen hat;
- eine fertige Integration muss teuer umgebaut werden;
- Mitarbeitende vertrauen den Ergebnissen des Systems nicht mehr;
- ein Kunde bekommt eine falsche Zusage;
- ein Vendor-Lock-in verhindert einen günstigen Modellwechsel;
- ein System hat keine KPIs, sodass sich nicht entscheiden lässt, ob man es ausweitet oder beendet.
Gute KI-Governance ist deshalb kein von Brüssel geschaffener Kostenblock.
Sie ist eine operative Disziplin, die ein Unternehmen auch dann braucht, wenn es den AI Act nicht gäbe.
Was ein CEO diese Woche freigeben sollte
- Einen Owner für das Thema KI benennen. Keine Arbeitsgruppe ohne Befugnis. Eine Person, bei der die Verantwortung endet.
- Eine Inventur aller KI-Use-Cases starten. Einschließlich inoffizieller Tools und KI-Funktionen, die in vorhandener Software eingebaut sind.
- Den Übergang eines neuen Systems in die Produktion ohne Registrierung untersagen. Jeder produktive Use Case braucht Zweck, Owner, Daten, menschliche Kontrolle und KPIs.
- Kundenseitige Systeme vor dem 2. August 2026 überprüfen. Vor allem Chatbots, Voice Agents, Deepfake-Inhalte und automatisch publizierte Inhalte.
- Gezielte KI-Kompetenz einführen. Nach Rollen und Systemen, nicht als ein allgemeiner Kurs für alle.
- HR, Scoring, Biometrie und Entscheidungen über Menschen verstärkt kontrollieren. Der Aufschub der Hochrisiko-Pflichten ist keine Zustimmung zu unkontrolliertem Einsatz.
- Rechtsauskunft und operative Verantwortung trennen. Der Anwalt bestätigt strittige Einstufungen. Jemand anderes muss das ganze System steuern.
Meine Empfehlung
Beginnen Sie nicht mit einem großen „AI-Act-Compliance-Projekt“.
Beginnen Sie damit, die Kontrolle über die KI zu übernehmen, die Sie bereits nutzen.
In einem Unternehmen mit einem einzigen einfachen KI-Tool kann das Thema vorübergehend der CEO, der CTO oder ein anderer fähiger interner Owner tragen.
Sobald KI aber:
- über mehrere Abteilungen hinweg läuft;
- Unternehmens- oder personenbezogene Daten nutzt;
- mit Kunden kommuniziert;
- Mitarbeitende beeinflusst;
- Aktionen in Unternehmenssystemen ausführt;
- ein relevantes Budget verbraucht;
- oder eine messbare Wirkung bringen soll,
ist es keine IT-Nebenaufgabe mehr.
Das Unternehmen braucht eine Person mit dem Mandat, Business Case, Technologie, Governance, Anbieter, Einsatz und Board-Reporting zu einem gesteuerten System zu verbinden.
Das ist die Rolle Head of AI.
Erfassen Sie die KI-Systeme und die Verantwortung in Ihrem Unternehmen. Im ersten AI Leadership Call klären wir, wo im Unternehmen bereits KI läuft, welche Systeme sofortige Aufmerksamkeit brauchen, ob Ihnen ein interner Owner reicht, ob eine eng umrissene Nachbesserung genügt — oder ob ein 90-Tage-AI-Leadership-Sprint Sinn ergibt. Ohne Verkaufspräsentation. Wenn ein breiteres Mandat wirtschaftlich keinen Sinn ergibt, sage ich das.
AI Leadership Call vereinbarenHäufige Fragen
Betrifft der EU AI Act ein Unternehmen, dessen Mitarbeitende nur ChatGPT nutzen?
Ja. Das Unternehmen ist in der Regel Betreiber eines KI-Systems, und es trifft es mindestens die Pflicht, angemessene Maßnahmen zur Förderung der KI-Kompetenz zu ergreifen. Je nach Art der Nutzung können Pflichten zu Transparenz, Datenschutz, Arbeitsrecht oder einem konkreten regulierten Prozess hinzukommen.
Müssen wir jeden mit KI erstellten Text kennzeichnen?
Nein. Der AI Act sieht keine allgemeine Pflicht vor, jeden Text zu kennzeichnen, an dem KI in irgendeiner Weise beteiligt war. Spezifische Pflichten betreffen zum Beispiel Deepfake-Inhalte und bestimmte Texte, die zur Information der Öffentlichkeit über Angelegenheiten von öffentlichem Interesse veröffentlicht werden. Bedeutung haben auch die menschliche Kontrolle und die Übernahme redaktioneller Verantwortung.
Reicht es, den Mitarbeitenden Regeln für die KI-Nutzung zu schicken?
Das bloße Versenden eines Dokuments muss nicht angemessen sein. Die Maßnahmen sollen sich an den eingesetzten Systemen, den Kenntnissen der Nutzenden, dem Verwendungszweck und den damit verbundenen Risiken orientieren. Das Unternehmen sollte belegen können, was es getan hat und warum es das für angemessen hielt.
Müssen wir gesetzlich einen AI Officer oder Head of AI haben?
Nein. Der AI Act schreibt keine konkrete Organisationsstruktur vor. Das Unternehmen muss aber die Erfüllung der Pflichten und den verantwortungsvollen Einsatz von KI sicherstellen. Bei mehreren Systemen über verschiedene Abteilungen hinweg ist es ohne einen einzigen Owner sehr schwer, einheitliche Regeln, Verantwortung und Wirkungsmessung aufrechtzuerhalten.
Können wir mit der Vorbereitung warten, da die Hochrisiko-Regeln verschoben wurden?
Technisch haben Sie mehr Zeit für die Erfüllung der spezifischen Hochrisiko-Anforderungen. Operativ ergibt Warten keinen Sinn. Klassifizierung, Verträge, Datenflüsse, menschliche Kontrolle und Dokumentation lassen sich nur schwer in ein fertiges System nachrüsten. Zudem gelten die übrigen rechtlichen und operativen Anforderungen weiter.
Ersetzt ein Head of AI den Anwalt?
Nein. Ein Head of AI erstellt das Systemregister, die Klassifizierung der Use Cases, die operativen Regeln, die technischen Unterlagen und das Verantwortungsmodell. Eine spezialisierte Kanzlei soll strittige Rechtsfragen bestätigen. Der Sinn der Rolle ist, dass das rechtliche Ergebnis nicht auf dem Papier bleibt, sondern sich in Architektur, Prozessen und echtem Betrieb niederschlägt.
Vertrauenswürdige Quellen
- Verordnung (EU) 2024/1689 des Europäischen Parlaments und des Rates — Artificial Intelligence Act. Der Grundtext der europäischen KI-Regulierung, in Kraft seit dem 1. August 2024. eur-lex.europa.eu
- Verordnung (EU) 2026/1744 des Europäischen Parlaments und des Rates — Digital Omnibus on AI. Der finale Rechtstext der Änderungen, veröffentlicht im Amtsblatt der EU und in Kraft seit dem 27. Juli 2026. eur-lex.europa.eu
- Europäische Kommission: AI Act — application timeline. Aktuelle Übersicht der Fristen, darunter der 2. Dezember 2027 für Anhang III und der 2. August 2028 für regulierte Produkte. ai-act-service-desk.ec.europa.eu
- Europäische Kommission: AI Literacy — Questions & Answers. Offizielle Auslegung des geänderten Artikels 4, angemessener Maßnahmen, der Dokumentation und der Aufsicht. digital-strategy.ec.europa.eu
- Europäische Kommission: Transparency obligations under Article 50. Leitlinien und FAQ zu Chatbots, zur Kennzeichnung synthetischer Inhalte, zu Deepfakes und zu Texten von öffentlichem Interesse. digital-strategy.ec.europa.eu
- EU AI Act Service Desk: Article 3 — Definitions. Das offizielle europäische Informationsportal mit den Definitionen von Anbieter, Betreiber und weiteren Rollen. ai-act-service-desk.ec.europa.eu
- EU AI Act Service Desk: Anhang III und die Pflichten der Betreiber von Hochrisiko-Systemen. Die Kategorien sensibler Verwendungen, darunter Beschäftigung, Bildung, Biometrie und Grundversorgungsleistungen. ai-act-service-desk.ec.europa.eu
- Europäische Kommission: Guidelines on prohibited AI practices. Auslegung der verbotenen Praktiken, darunter Emotionserkennung am Arbeitsplatz und in der Bildung. digital-strategy.ec.europa.eu
- Ministerium für Industrie und Handel der Tschechischen Republik: Umsetzung des AI Act in Tschechien. Informationen zur tschechischen Umsetzung, zur Aufsichtsinfrastruktur und zur Transparenz von KI-Inhalten. mpo.gov.cz
Stand der Quellen und Fristen geprüft am 28. Juli 2026. Der Text ist eine praktische Analyse der KI-Governance für Unternehmensführungen und keine individuelle Rechtsauskunft.