EU AI Act ab August 2026: Pflichten für Unter­nehmen — und die Cyber­sicherheits‑Lücke

Der EU AI Act ist seit August 2024 in Kraft — aber viele Unternehmen unterschätzen, wie schnell die konkreten Pflichten greifen. Seit August 2026 ist es so weit: Transparenzpflichten für KI-Systeme, die mit Menschen interagieren, sind verbindlich. Wer KI im Kundenservice, in der HR oder im Marketing einsetzt, muss handeln.

Die wichtigsten Pflichten seit August 2026

Die Cybersicherheits-Dimension des AI Acts

Der AI Act wird häufig als reine Compliance-Aufgabe wahrgenommen. Dabei hat er eine unmittelbare Cybersicherheits-Relevanz — in beide Richtungen.

KI als Angriffswerkzeug

Der AI Act verbietet bestimmte gefährliche KI-Anwendungen — aber Angreifer halten sich nicht an EU-Recht. Während Unternehmen Compliance-Aufwand betreiben, nutzen Cyberkriminelle KI für immer ausgefeiltere Angriffe: KI-generierte Phishing-E-Mails, Deepfake-Betrug (CEO-Fraud per KI-Stimme) und automatisierte Schwachstellenscans sind bereits Alltag.

KI-Systeme als Angriffsziele

Unternehmen, die KI einsetzen, schaffen neue Angriffsflächen. KI-Modelle können durch sogenannte Adversarial Attacks manipuliert werden — subtile Eingaben, die das Modell zu falschen Entscheidungen verleiten. Wer KI in sicherheitskritischen Prozessen einsetzt (Betrugserkennung, Zugangskontrolle), muss auch die Sicherheit des KI-Systems selbst gewährleisten.

Was Unternehmen jetzt konkret tun müssen

Schritt 1: KI-Inventar erstellen

Welche KI-Systeme setzt Ihr Unternehmen ein — direkt oder über Drittanbieter? Viele Unternehmen unterschätzen, wie weit KI bereits in ihre Prozesse integriert ist: CRM-Systeme mit KI-Scoring, KI-gestützte Recruiting-Tools, automatische Übersetzer. Jedes System muss bewertet werden.

Schritt 2: Risikoklassifizierung

Der AI Act kategorisiert KI-Systeme in vier Risikoklassen: verboten, hohes Risiko, eingeschränktes Risiko und minimales Risiko. Für jede Klasse gelten unterschiedliche Pflichten. Unsere KI‑Management-Beratung unterstützt Sie bei dieser Klassifizierung.

Schritt 3: Technische Dokumentation und Governance

Hochrisiko-KI-Systeme benötigen eine vollständige technische Dokumentation, Protokollierung aller Entscheidungen und menschliche Aufsicht. Das ist nicht nur eine Compliance-Anforderung — es ist auch die Grundlage für eine nachvollziehbare und angreifbare KI-Sicherheitsstrategie.

Schritt 4: Lieferkette prüfen

Wenn Sie KI-Dienste von Drittanbietern nutzen, sind Sie als Anwender mitverantwortlich für die Compliance. Prüfen Sie, ob Ihre KI-Dienstleister die Anforderungen des AI Acts erfüllen und vertragliche Zusicherungen geben können.

Unser ISO 42001 KI-Managementsystem ist speziell für Unternehmen entwickelt, die KI-Systeme verantwortungsvoll und compliant einsetzen wollen.

Welche KI-Anwendungen sich in Ihrem Unternehmen lohnen und wie sie nach Datenschutz und AI Act einzuordnen sind, zeigt der KI-Potenzialcheck zum Festpreis.