Der EU AI Act ist kein Grund zur Panik. Er ist dein Anlass, KI sauber aufzustellen.

In dieser Pauschalität nein. Der EU AI Act selbst schafft keine persönliche Geschäftsführer-Haftung für KI-Output. Er verpflichtet Unternehmen und sanktioniert Verstöße mit Bußgeldern gegen das Unternehmen (bis 35 Mio. € beziehungsweise 7 % des weltweiten Jahresumsatzes bei verbotenen Praktiken, 15 Mio. € beziehungsweise 3 % bei sonstigen Verstößen). Eine persönliche Verantwortung kann sich aus dem Gesellschaftsrecht ergeben: § 43 GmbHG (Legalitäts- und Organisationspflicht) und § 130 OWiG (Aufsichtspflichtverletzung). Setzt das Unternehmen KI ohne Kontrolle, Kennzeichnung und Nachweis ein und entsteht daraus Schaden oder ein Bußgeld, kann das auf die Geschäftsführung als Organ zurückfallen. Das ist allgemeines Organhaftungsrecht, kein neuer Halluzinations-Paragraf ab August.

Ab dem 2. August 2026 gelten die Transparenzpflichten nach Art. 50 (Nutzer müssen erkennen, dass sie mit KI interagieren, KI-generierte Inhalte sind zu kennzeichnen) sowie die Pflichten für Hochrisiko-KI-Systeme nach Anhang III. Für viele Mittelständler ist das der Punkt, an dem aus „irgendwann“ ein Stichtag mit konkreten Anforderungen wird.

Sehr wahrscheinlich ja. Sobald ihr KI nutzt oder bereitstellt, seid ihr als Betreiber oder Anbieter adressiert. Die meisten Pflichten skalieren mit dem Risiko des Use-Cases, nicht mit der Unternehmensgröße. Die KI-Kompetenz-Pflicht (Art. 4) gilt bereits seit Februar 2025 und kennt keine KMU-Ausnahme. Reine Hochrisiko-Anbieter tragen die größten Lasten, doch Transparenz- und Organisationspflichten treffen praktisch jeden KI-Einsatz im Unternehmen.

Nein. Dass OpenAI oder Microsoft das Modell stellen, verlagert die Verantwortung für den Einsatz im Unternehmen nicht auf sie. Für die Art, wie ihr KI in Kundenkontakt, Entscheidungen und Prozessen einsetzt, seid ihr als Betreiber verantwortlich, inklusive Kennzeichnung, menschlicher Kontrolle und Nachweisbarkeit.

Das musst du explizit prüfen. Viele Standard-Policen decken KI- und Cyber-bezogene Vermögensschäden nicht oder nur eingeschränkt ab. Verlasse dich nicht auf die Annahme, sondern frage deinen Versicherer konkret nach KI-Risiken und lass dir die Deckung schriftlich bestätigen.

Drei Dinge. Erstens: Verschaffe dir einen ehrlichen Überblick, wo dein Unternehmen bei KI-Governance und Compliance steht. Dafür gibt es unseren kostenlosen 5-Minuten-Selbsttest. Zweitens: Setze die vier Bausteine auf, also Kennzeichnung, menschliche Eskalation, Audit-Trail und eine KI-Police. Drittens: Dokumentiere, dass du gehandelt hast. Genau dieser Nachweis ist im Organhaftungsfall entscheidend.