Der EU AI Act (Verordnung (EU) 2024/1689 des Europäischen Parlaments und des Rates) ist die weltweit erste umfassende Regulierung der künstlichen Intelligenz. Er ist am 1. August 2024 in Kraft getreten, seine einzelnen Teile werden stufenweise verbindlich. Im Juli 2026 hat die als Digital Omnibus on AI bekannte Novelle (Verordnung (EU) 2026/1744, in Kraft seit 27. Juli 2026) den Zeitplan wesentlich verändert: Sie hat die Pflichten für Hochrisiko-Systeme verschoben, die Pflicht zur KI-Kompetenz abgemildert und die Frist für nationale Sandboxes verlängert. Für tschechische Unternehmen bedeutet das konkrete Pflichten mit klaren Terminen. In diesem Beitrag erklären wir, was der AI Act mit Stand August 2026 genau verlangt, wer betroffen ist und welche Schritte Sie heute unternehmen sollten.
Die vier Risikokategorien: Wo steht Ihr Unternehmen?
Der AI Act teilt KI-Systeme in vier Risikokategorien ein. Davon, wo Ihr System eingeordnet wird, hängt der Umfang Ihrer Pflichten ab.
Verbotene Praktiken (unannehmbares Risiko)
Artikel 5 der Verordnung zählt Praktiken auf, die die EU als unvereinbar mit den Grundrechten ansieht: Social Scoring (durch Behörden wie durch Unternehmen), manipulative Techniken, die Schwächen von Personen ausnutzen, biometrische Echtzeit-Fernidentifizierung im öffentlichen Raum (mit engen Ausnahmen für die Strafverfolgung) oder Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen. Diese Praktiken sind seit dem 2. Februar 2025 verboten. Ab dem 2. Dezember 2026 kommen weitere Verbote hinzu, insbesondere KI-Systeme zur Erstellung nicht einvernehmlicher Intimaufnahmen (sogenannte Nudifier-Apps) und von Darstellungen sexuellen Kindesmissbrauchs. Wenn Sie etwas Derartiges einsetzen, müssen Sie sofort damit aufhören.
Hohes Risiko (Hochrisiko-KI-Systeme)
Hierunter fallen KI-Systeme in Bereichen wie Personalrekrutierung (automatisierte Lebenslaufsichtung, Bewertung von Bewerbern), Zugang zu Finanzdienstleistungen (Kreditwürdigkeitsprüfung), kritische Infrastruktur, Bildung oder öffentliche Verwaltung (Anhang III) sowie KI als Sicherheitskomponente regulierter Produkte, etwa von Maschinen oder Medizinprodukten (Anhang I). Für diese Systeme gelten die strengsten Anforderungen: Konformitätsbewertung, technische Dokumentation, Risikomanagementsystem, Daten-Governance, menschliche Aufsicht und laufende Überwachung. Die volle Anwendung dieser Anforderungen wurde durch die Verordnung (EU) 2026/1744 verschoben: für eigenständige Hochrisiko-Systeme nach Anhang III auf den 2. Dezember 2027, für KI in regulierten Produkten nach Anhang I auf den 2. August 2028.
Begrenztes Risiko (Transparenzpflichten)
Chatbots, Bild- und Textgeneratoren sowie Systeme, die Deepfakes erzeugen, fallen unter Artikel 50. Die Hauptpflicht ist Transparenz: Nutzer müssen wissen, dass sie mit einer KI kommunizieren, Deepfakes müssen gekennzeichnet sein, und KI-generierte Inhalte müssen eine maschinenlesbare Kennzeichnung tragen. Diese Pflichten gelten seit dem 2. August 2026 und betreffen auch Unternehmen, die auf ihrer Website einen Chatbot für den Kundenservice einsetzen. Für generative Systeme, die vor dem 2. August 2026 auf den Markt gebracht wurden, gilt für die maschinenlesbare Kennzeichnung eine Übergangsfrist bis zum 2. Dezember 2026.
Minimales Risiko
Die meisten gängigen KI-Anwendungen (Spamfilter, Empfehlungssysteme in Onlineshops, automatische Textkorrektur) fallen in die Kategorie des minimalen Risikos. Für sie gelten keine besonderen Pflichten, die EU empfiehlt aber die freiwillige Einhaltung von Verhaltenskodizes.
Der Zeitplan nach dem Digital Omnibus: Wann was gilt
Der AI Act gilt nicht auf einen Schlag, sondern in Wellen. Der aktuelle Zeitplan sieht so aus.
2. Februar 2025: Verbot der Praktiken mit unannehmbarem Risiko (Art. 5) und Pflicht zur KI-Kompetenz (Art. 4): Unternehmen müssen Maßnahmen ergreifen, um die KI-Kenntnisse der Mitarbeiter zu fördern, die mit KI arbeiten. Nach der Novelle 2026/1744 muss kein bestimmtes Kompetenzniveau jedes Einzelnen mehr garantiert werden, die Maßnahmen müssen aber nachweisbar sein.
2. August 2025: Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck (GPAI), die Governance-Regeln (Europäisches Büro für KI, nationale Behörden) und der Großteil der Sanktionsbestimmungen.
2. August 2026: Transparenzpflichten nach Art. 50 und der Rest der Verordnung mit Ausnahme der Pflichten für Hochrisiko-Systeme; ab diesem Datum können auch Anbieter von GPAI-Modellen mit Geldbußen belegt werden (Art. 101). Seit dem 3. August 2026 überwachen die nationalen Marktüberwachungsbehörden die Einhaltung.
2. Dezember 2026: neue Verbote (Nudifier-Apps, Darstellungen von Kindesmissbrauch) und Ende der Übergangsfrist für die Kennzeichnung von Inhalten bei generativen Systemen, die vor dem 2. August 2026 auf den Markt kamen.
2. August 2027: Frist für die Mitgliedstaaten zur Einrichtung mindestens einer nationalen regulatorischen Sandbox (verschoben von 2026).
2. Dezember 2027: volle Pflichten für Hochrisiko-Systeme nach Anhang III.
2. August 2028: Pflichten für Hochrisiko-KI in regulierten Produkten nach Anhang I.
Was das für KMU in Tschechien bedeutet
Viele Unternehmer meinen, der AI Act betreffe sie nicht, weil sie „nur ChatGPT nutzen“. Das ist ein Irrtum. Wenn Sie ein KI-System in Ihrem Unternehmen einsetzen (als sogenannter Betreiber, Deployer), haben Sie eigene Pflichten nach Art. 26: ein Hochrisiko-System gemäß den Anweisungen des Anbieters zu verwenden, menschliche Aufsicht sicherzustellen, den Betrieb zu überwachen, Protokolle aufzubewahren sowie Mitarbeiter und Betroffene zu informieren. Das sind nicht die Pflichten des Entwicklers, sie sind aber genauso durchsetzbar. Und unabhängig von der Risikokategorie gilt für jedes Unternehmen, dessen Mitarbeiter mit KI arbeiten, die Pflicht zur KI-Kompetenz nach Art. 4 und seit August 2026 die Transparenzpflicht nach Art. 50.
Für kleine und mittlere Unternehmen enthält der AI Act allerdings Erleichterungen: eine vereinfachte technische Dokumentation, niedrigere Bußgeldobergrenzen und den Zugang zu regulatorischen Sandboxes. Die Frist für die Mitgliedstaaten zur Einrichtung einer Sandbox wurde durch die Novelle auf den 2. August 2027 verschoben. Die tschechische Sandbox bereitet die Tschechische Agentur für Normung (Česká agentura pro standardizaci) vor, für KMU soll sie kostenlos sein; Aufsichtsbehörde soll nach dem in Vorbereitung befindlichen tschechischen KI-Gesetz die Telekommunikationsbehörde ČTÚ werden.
GPAI-Modelle: Wer hat welche Pflichten?
Der AI Act führt ein Sonderregime für KI-Modelle mit allgemeinem Verwendungszweck (General Purpose AI) ein, also für die großen Sprachmodelle hinter ChatGPT, Copilot oder Gemini. Wenn Sie ein solches Modell entwickeln oder wesentlich verändern und als Anbieter in der EU auf den Markt bringen, müssen Sie eine technische Dokumentation zum Training führen, die Transparenzregeln einhalten und das Urheberrecht an den Trainingsdaten beachten; bei Modellen mit systemischem Risiko kommen Pflichten wie Angriffstests und die Meldung schwerwiegender Vorfälle hinzu. Unternehmen, die ein GPAI-Modell lediglich nutzen, haben diese Anbieterpflichten nicht, sie verantworten aber die Art des Einsatzes, insbesondere den Datenschutz, die Transparenz und etwaige Hochrisiko-Anwendungen, die sie auf dem Modell aufbauen.
Sanktionen: Um welche Beträge es geht
Die Geldbußen des AI Acts sind gestaffelt und können erheblich sein. Für verbotene Praktiken drohen bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes. Für Verstöße gegen die übrigen Pflichten, einschließlich der Hochrisiko- und Transparenzpflichten, bis zu 15 Millionen Euro oder 3 % des Umsatzes. Für falsche, unvollständige oder irreführende Angaben gegenüber den Aufsichtsbehörden bis zu 7,5 Millionen Euro oder 1 % des weltweiten Jahresumsatzes. Bei Unternehmen gilt jeweils der höhere Betrag, bei KMU und Start-ups hingegen der niedrigere.
Self-Check: Fünf Fragen für Ihr Unternehmen
Bevor Sie einen Berater ansprechen, beantworten Sie fünf Fragen. Erstens: Wissen Sie, welche KI-Tools im Unternehmen tatsächlich genutzt werden, einschließlich derer, die sich Mitarbeiter selbst beschafft haben? Zweitens: Setzen Sie KI bei der Rekrutierung, der Mitarbeiterbewertung, der Kreditwürdigkeitsprüfung von Kunden oder in einem anderen Bereich aus Anhang III ein? Wenn ja, haben Sie bis Dezember 2027 Zeit, sich auf das Hochrisiko-Regime vorzubereiten. Drittens: Kommuniziert ein Chatbot mit Ihren Kunden oder veröffentlichen Sie KI-generierte Inhalte? Dann gelten für Sie seit August 2026 die Transparenzpflichten. Viertens: Können Sie belegen, wie Sie die KI-Kompetenz Ihrer Mitarbeiter fördern (Schulungen, Regeln)? Fünftens: Haben Sie interne Regeln, wer welches KI-Tool mit welchen Daten nutzen darf? Wenn Sie bei einer Frage gezögert haben, wissen Sie, wo Sie anfangen sollten.
Was Sie heute tun sollten: 5 praktische Schritte
Erstens: Erstellen Sie ein Inventar aller KI-Systeme im Unternehmen, einschließlich jener, die Mitarbeiter ohne offizielle Freigabe nutzen (Schatten-KI). Zweitens: Ordnen Sie jedes System einer Risikokategorie zu. Drittens: Schulen Sie Mitarbeiter und Führungskräfte in KI-Kompetenz und dokumentieren Sie die Schulungen (diese Pflicht gilt seit Februar 2025). Viertens: Erstellen Sie eine interne KI-Richtlinie mit Regeln für Einführung und Nutzung von KI und ergänzen Sie die Nutzerinformation überall dort, wo KI nach außen kommuniziert. Fünftens: Lassen Sie eine fachliche Bewertung nach dem AI Act durchführen, die konkrete Lücken aufzeigt und einen Maßnahmenplan mit Blick auf die Termine 2027 und 2028 vorschlägt.
Wie wir Ihnen helfen können
Bei Surman s.r.o. verbinden wir technische und rechtliche Expertise. Mgr. Jaroslav Surman ist zertifizierter ISO/IEC 42001 Lead Implementer mit praktischer Erfahrung aus der KI-Einführung im Unternehmensumfeld. Wir bieten die vollständige Vorbereitung auf den AI Act: von der Risikobewertung über die Klassifizierung der Systeme und die Erstellung der Dokumentation bis zur Mitarbeiterschulung. In Zusammenarbeit mit der Rechtsanwaltskanzlei von Mgr. Barbora Surmanová decken wir auch die rechtlichen Aspekte ab, die rein technische Anbieter übersehen.
Schieben Sie die Vorbereitung auf den AI Act nicht auf. Kontaktieren Sie uns für ein unverbindliches Erstgespräch und erfahren Sie, wo Ihr Unternehmen steht. Mehr über unsere Leistungen finden Sie auf der Seite EU AI Act.
Stand: August 2026.
