Der EU AI Act greift weiter als viele Unternehmen bisher angenommen haben. Betroffen sind nicht nur Firmen, die selbst KI entwickeln, sondern auch solche, die KI-Funktionen in zugekaufter Software nutzen. Dazu zählen etwa HR-Systeme mit automatisierter Bewerberauswahl, Leistungsbewertungen oder Lernanwendungen mit biometrischen Komponenten.
Das größte Missverständnis
Viele Unternehmen gehen davon aus, der AI Act richte sich hauptsächlich an Technologieanbieter. Das ist falsch. Wer KI-Software eines Drittanbieters einsetzt, übernimmt damit konkrete Dokumentations-, Kontroll- und Nachweispflichten. KI hat sich in Unternehmen längst etabliert, wird aber häufig nicht als regulatorisches Risiko wahrgenommen.
Fristen und Unsicherheiten
Die Transparenzpflichten gelten ab dem 2. August 2026. Für eigenständige Hochrisiko-Systeme wie KI-Tools zur Bewerberauswahl gilt voraussichtlich eine Frist bis Dezember 2027. Bei KI in regulierten Produkten, etwa Medizintechnik oder Maschinen, läuft die Frist bis August 2028.
Die EU-Digital-Omnibus-Gesetzgebung hat einige Fristen verschoben, aber nicht alle. Wer pauschal davon ausgeht, dass sämtliche Pflichten aufgeschoben wurden, riskiert Compliance-Lücken. Bei schwerwiegenden Verstößen drohen Bußgelder bis zu 35 Millionen Euro oder sieben Prozent des weltweiten Jahresumsatzes.
Was Unternehmen jetzt tun sollten
Zunächst braucht es ein vollständiges KI-Inventar, das auch KI-Funktionen in eingekaufter Software erfasst. Anschließend folgt die Risikokategorisierung. Dafür müssen Recht, Compliance, IT, Einkauf und HR eng zusammenarbeiten. Wer heute belastbare Strukturen aufbaut, kann diese später anpassen, sobald technische Standards und nationale Leitlinien vorliegen. FameSystems empfiehlt, nicht auf den letzten Drücker zu warten.