KI einsetzen, ohne die Regeln zu brechen
Seit 2. August 2026 gilt der AI Act in weiten Teilen. Die Pflicht zur KI Kompetenz nach Artikel 4 besteht bereits seit 2. Februar 2025 und trifft praktisch jedes Unternehmen, das KI Werkzeuge einsetzt. Wir bringen Ihre Abläufe, Ihre Dokumentation und Ihr Team auf diesen Stand.
Was aktuell tatsächlich gilt
Stand 17. August 2026. Der Digital Omnibus (Verordnung (EU) 2026/1744, in Kraft seit 27. Juli 2026) hat die Fristen für Hochrisiko Systeme verschoben.
seit 2. Februar 2025
KI Kompetenz, Artikel 4
Beschäftigte, die KI Werkzeuge einsetzen, müssen ausreichend geschult sein. Das ist derzeit die einzige Pflicht, die nahezu alle Unternehmen unmittelbar trifft, auch bei bloßer Nutzung von ChatGPT oder Copilot.
seit 2. August 2026
Transparenzpflichten, Artikel 50
Chatbots müssen sich als KI erkennbar machen, KI erzeugte Inhalte und Deepfakes sind zu kennzeichnen.
ab 2. Dezember 2027
Hochrisiko nach Anhang III
Pflichten für Hochrisiko Systeme nach Artikel 6 Absatz 2. Verschoben durch den Digital Omnibus.
ab 2. August 2028
Hochrisiko nach Anhang I
Pflichten für Hochrisiko Systeme nach Artikel 6 Absatz 1.
Was wir konkret machen
KI Bestandsaufnahme
Welche KI Werkzeuge sind bei Ihnen im Einsatz, wer nutzt sie wofür, welche Daten fließen hinein. Ergebnis ist ein dokumentiertes KI Inventar als Grundlage für jede weitere Bewertung.
KI Inventar und Einsatzübersicht
KI Kompetenz Schulung nach Artikel 4
Praxisschulung für die Menschen, die KI im Alltag nutzen: was geht, was nicht, welche Daten dürfen hinein, wie erkennt man Fehlausgaben. Mit Teilnahmedokumentation.
Schulung, Unterlagen, Teilnahmenachweis
Transparenz operativ umsetzen
Kennzeichnung von Chatbots und KI erzeugten Inhalten technisch und redaktionell umsetzen, damit Artikel 50 im Betrieb tatsächlich eingehalten wird.
Umgesetzte Kennzeichnung, Redaktionsleitfaden
Datenschutz in Prozessen verankern
Verarbeitungstätigkeiten dokumentieren, technische und organisatorische Maßnahmen festhalten, Löschkonzepte in die Abläufe einbauen, statt sie in einem Ordner zu parken.
Prozessdokumentation, TOM Übersicht
Automatisierung datenschutzfreundlich gestalten
Beim Bau von Automatisierungen von Anfang an Datenminimierung, Zugriffstrennung und Nachvollziehbarkeit mitdenken, statt sie nachträglich aufzusetzen.
Umgesetzte Automatisierung mit Datenkonzept
Interne KI Richtlinie
Eine kurze, verständliche Regelung, welche Werkzeuge für welche Zwecke erlaubt sind und welche Daten nie hineingehören. Kurz genug, dass sie gelesen wird.
KI Richtlinie und Einführung im Team
AI Act Dokumentation aufbauen
Wir erstellen die Unterlagen, die die Verordnung vorsieht: Einstufung, Systembeschreibung, Datenherkunft, Kontrollen, menschliche Aufsicht, Protokollierung. Aufgebaut entlang Anhang IV, für KMU in der vereinfachten Form nach Artikel 11.
Dokumentationsmappe je KI System
Protokollierung und Nachweisführung einrichten
Automatisierungen so bauen, dass nachvollziehbar aufgezeichnet wird, was mit welchen Daten geschehen ist, mit einer Aufbewahrung, die die Sechsmonatsfrist trägt. Nachträglich ist das teuer.
Protokollierung im Betrieb, Aufbewahrungskonzept
Die Dokumentation, die der AI Act vorsieht
Der AI Act verlangt weniger Formulare als befürchtet. Die, die er verlangt, müssen aber vorliegen, wenn jemand danach fragt. Die Übersicht zeigt, welche Unterlagen die Verordnung vorsieht und worauf sich jede einzelne stützt.
Welche dieser Unterlagen Ihr konkreter Fall braucht, hängt vom einzelnen System und von Ihrer Rolle ab. Diese Übersicht gibt den Inhalt der Verordnung wieder, sie ist keine Beurteilung Ihres Falls.
Nachweis der KI Kompetenz
Artikel 4, gilt seit 2. Februar 2025
Die Verordnung schreibt keine Form vor, verlangt aber ausreichend geschultes Personal. In der Praxis heißt das: Schulungskonzept, behandelte Inhalte und Teilnahmenachweise, die zeigen, wer wann was gelernt hat.
Betrifft: Anbieter und Betreiber
Kennzeichnung und Hinweise für Nutzer
Artikel 50, gilt seit 2. August 2026
Chatbots müssen als KI erkennbar sein, KI erzeugte Inhalte und Deepfakes sind zu kennzeichnen. Nachzuweisen ist die Umsetzung selbst, gestützt auf einen Kennzeichnungs und Redaktionsleitfaden.
Betrifft: Anbieter und Betreiber betroffener Systeme
Die Einstufung, wenn Sie Hochrisiko verneinen
Artikel 6 Absatz 4
Wer ein System aus dem Anhang III Bereich als nicht hochriskant einschätzt, muss diese Einschätzung dokumentieren, bevor das System in Verkehr gebracht oder in Betrieb genommen wird, sich nach Artikel 49 Absatz 2 registrieren und die Unterlagen den Behörden auf Verlangen vorlegen.
Betrifft: Anbieter von Systemen im Bereich von Anhang III
Technische Dokumentation
Artikel 11 mit Anhang IV
Neun Abschnitte von der Systembeschreibung über das Risikomanagement bis zum Plan für die Beobachtung nach dem Inverkehrbringen. KMU und Start-ups dürfen die Angaben in vereinfachter Form liefern; die Kommission stellt dafür ein vereinfachtes Formular bereit, das benannte Stellen akzeptieren müssen.
Betrifft: Anbieter von Hochrisiko Systemen, Anhang III ab 2. Dezember 2027
Protokolle
Artikel 12 für Anbieter, Artikel 26 Absatz 6 für Betreiber
Systeme müssen Ereignisse automatisch aufzeichnen. Betreiber bewahren diese Protokolle mindestens sechs Monate auf. Das ist eine Anforderung an die technische Umsetzung, nicht bloß an die Ablage.
Betrifft: Hochrisiko Systeme
Betreiberpflichten im laufenden Betrieb
Artikel 26
Einsatz gemäß Betriebsanleitung, Kontrolle der Eingabedaten, benannte menschliche Aufsicht, Beobachtung des Betriebs, Meldung von Vorfällen sowie Information der betroffenen Beschäftigten und ihrer Vertretung nach Absatz 7.
Betrifft: Betreiber von Hochrisiko Systemen
Grundrechte Folgenabschätzung
Artikel 27
Ein privatwirtschaftliches KMU außerhalb öffentlicher Dienstleistungen fällt in der Regel nicht darunter. Das lohnt sich früh zu klären, weil der Anwendungsbereich meist weiter eingeschätzt wird, als er ist.
Betrifft: öffentliche Stellen, private Erbringer öffentlicher Dienste, Einzelfälle aus Anhang III Nummer 5 Buchstabe b und c
Was die DSGVO ohnehin schon verlangt
Artikel 30, 32 und 35 DSGVO
Verzeichnis der Verarbeitungstätigkeiten, technische und organisatorische Maßnahmen und bei hohem Risiko eine Datenschutz Folgenabschätzung. Diese Pflichten bestehen unabhängig vom AI Act und überschneiden sich inhaltlich mit ihm.
Betrifft: faktisch jedes Unternehmen
Der Punkt, den KMU am häufigsten übersehen
Wer ein KI System unter eigenem Namen einsetzt oder es wesentlich verändert, kann nach Artikel 25 selbst zum Anbieter werden, auch wenn er es nur eingekauft hat. Dasselbe gilt, wenn der Zweck eines Systems so geändert wird, dass es dadurch hochriskant wird. Aus einer schlanken Betreiberrolle werden dann die vollen Anbieterpflichten samt technischer Dokumentation. Genau daran denken wir beim Bau von Automatisierungen mit: Wir halten fest, was gebaut wurde, mit welchen Daten und mit welchen Kontrollen, solange die Antworten noch bekannt sind.
Häufige Fragen zu AI Act und Dokumentation
- Welche Dokumentation verlangt der AI Act von einem KMU?
- Das hängt von der Rolle ab. Wer KI nur nutzt, braucht vor allem den Nachweis ausreichender KI Kompetenz nach Artikel 4 und, bei Chatbots oder KI erzeugten Inhalten, die Kennzeichnung nach Artikel 50. Die technische Dokumentation nach Artikel 11 mit Anhang IV trifft Anbieter von Hochrisiko Systemen, für Anhang III ab 2. Dezember 2027. Unabhängig davon bestehen die DSGVO Pflichten nach Artikel 30, 32 und 35 weiter. Welche Pflicht Ihren konkreten Fall trifft, ist eine rechtliche Frage.
- Gilt der AI Act auch, wenn wir nur ChatGPT oder Copilot nutzen?
- Für die Pflicht zur KI Kompetenz nach Artikel 4 ja. Sie gilt seit 2. Februar 2025 für Anbieter und Betreiber und setzt keine eigene Entwicklung voraus. Die Verordnung schreibt keine Form des Nachweises vor; üblich sind Schulungskonzept, behandelte Inhalte und Teilnahmenachweise.
- Können wir zum Anbieter werden, obwohl wir das System nur eingekauft haben?
- Ja. Nach Artikel 25 wird zum Anbieter, wer ein Hochrisiko System unter eigenem Namen einsetzt, es wesentlich verändert oder den Zweck eines Systems so ändert, dass es dadurch hochriskant wird. Dann greifen die vollen Anbieterpflichten samt technischer Dokumentation.
- Dürfen KMU die technische Dokumentation vereinfacht führen?
- Artikel 11 Absatz 1 erlaubt KMU und Start-ups, die Angaben aus Anhang IV in vereinfachter Form zu liefern. Die Kommission stellt dafür ein vereinfachtes Formular bereit, das benannte Stellen für die Konformitätsbewertung akzeptieren müssen. Vereinfacht ist dabei die Form, nicht der Inhalt.
- Erstellt Optima Solutions die Dokumentation oder prüft sie sie rechtlich?
- Wir erstellen sie. Optima Solutions ist Unternehmensberatung und keine Rechtsberatung: Wir nehmen auf, dokumentieren, richten Protokollierung ein und schulen. Die rechtliche Beurteilung, ob die Unterlagen im Einzelfall ausreichen, gehört zu Ihrer Rechtsvertretung.
Was wir ausdrücklich nicht machen
Optima Solutions ist Unternehmensberatung, keine Rechtsberatung. Wir nehmen auf, dokumentieren, gestalten Prozesse und schulen Ihr Team. Wir erstellen keine Rechtsgutachten, nehmen keine rechtliche Bewertung der Zulässigkeit einer Verarbeitung vor, führen keine Konformitätsbewertung im Sinne des AI Act durch und bestätigen keine Konformität. Wir sind keine benannte Stelle und keine Zertifizierungsstelle.
- Für die rechtliche Beurteilung arbeiten wir mit Ihrer Rechtsvertretung oder einem Datenschutzjuristen zusammen und bereiten die Unterlagen so vor, dass diese Prüfung schnell geht.
- Eine Konformitätsbewertung nach AI Act, wo sie erforderlich ist, erfolgt durch die dafür vorgesehenen Stellen, nicht durch uns.
- Unsere Ergebnisse sind organisatorische und technische Umsetzung sowie Dokumentation, keine Zusage eines rechtlichen Ergebnisses.
- Dokumentation erstellen wir nach dem Inhalt der Verordnung. Wir bestätigen aber nicht, dass sie im Einzelfall rechtlich ausreicht; diese Prüfung gehört zur rechtlichen Beurteilung.
Wo stehen Sie beim AI Act?
In einem Erstgespräch klären wir, welche Pflichten Sie aktuell betreffen und was davon organisatorisch zu tun ist.
Die Angaben auf dieser Seite geben den Rechtsstand zum 17. August 2026 wieder und dienen der allgemeinen Information. Sie stellen keine Rechtsberatung dar und begründen kein Mandatsverhältnis.