Der AI Act sortiert KI-Systeme in vier Stufen. Je höher das Risiko, desto mehr Pflichten. Die gute Nachricht: Die allermeisten Anwendungen im Büroalltag liegen in den beiden unteren Stufen.
1. Verboten (Art. 5)
Praktiken, die grundsätzlich untersagt sind – seit Februar 2025. Beispiele: Social Scoring, Emotionserkennung am Arbeitsplatz oder in Bildungseinrichtungen (außer aus medizinischen oder Sicherheitsgründen), manipulative Techniken, die Menschen erheblich schaden, und das ungezielte Auslesen von Gesichtsbildern aus dem Internet für Datenbanken.
Neu durch den AI Omnibus: Ab dem 2. Dezember 2026 sind auch KI-Systeme verboten, die intime Bilder realer Personen ohne deren Einwilligung oder Darstellungen sexuellen Kindesmissbrauchs erzeugen.
2. Hochrisiko (Anhang III und Anhang I)
Systeme, die über Menschen entscheiden oder sie bewerten. Relevant für Unternehmen vor allem: Personalwesen (Bewerberauswahl, Beförderung, Kündigung, Leistungsbewertung), Kreditwürdigkeit und kritische Infrastruktur. Wer solche Systeme betreibt, muss unter anderem menschliche Aufsicht sicherstellen, Betroffene informieren und Protokolle aufbewahren. Anbieter müssen Konformitätsbewertung, Risikomanagement und technische Dokumentation leisten.
Wann gilt das? Durch den AI Omnibus wurden die Fristen verschoben: für eigenständige Systeme nach Anhang III auf den 2. Dezember 2027, für KI in regulierten Produkten nach Anhang I auf den 2. August 2028. Wer solche Systeme einsetzt oder plant, sollte trotzdem jetzt mit der Vorbereitung beginnen.
3. Begrenztes Risiko – Transparenzpflichten (Art. 50)
Chatbots, KI-generierte Bilder, Audio und Video sowie Deepfakes. Hier gilt: Menschen müssen erkennen können, dass sie mit KI interagieren oder KI-erzeugte Inhalte sehen. Diese Pflichten gelten seit dem 2. August 2026 und wurden nicht verschoben – Details in Lektion 4.
4. Minimales Risiko
Rechtschreibprüfung, Spamfilter, Empfehlungen im Onlineshop, Übersetzungen, die meisten Textassistenten im internen Gebrauch. Keine besonderen Pflichten außer den Maßnahmen zur KI-Kompetenz nach Art. 4.
Bußgelder
- Verbotene Praktiken: bis zu 35 Mio. € oder 7 % des weltweiten Jahresumsatzes
- Verstöße gegen andere Pflichten (z. B. Hochrisiko, Transparenz): bis zu 15 Mio. € oder 3 %
- Falsche Angaben gegenüber Behörden: bis zu 7,5 Mio. € oder 1 %
Für kleine und mittlere Unternehmen gilt jeweils der niedrigere der beiden Beträge. Der AI Omnibus hat zusätzlich eine begrenzte Bußgeldstufe für kleine Mid-Cap-Unternehmen eingeführt.
Merksatz
Fragen Sie bei jedem System: Entscheidet oder bewertet es Menschen? Wenn ja, prüfen Sie Hochrisiko. Erzeugt es Inhalte oder spricht es mit Menschen? Wenn ja, gelten Transparenzpflichten. Alles andere ist in der Regel minimales Risiko.
Stand: September 2026. Kein Rechtsrat.