Wer auf die KI-Verordnung vorbereitet ist, hat KI im Betrieb noch nicht im Griff.

Ein Unternehmen kann eine KI-Richtlinie, ein KI-Inventar und einen Workshop zum EU AI Act haben. Trotzdem kontrolliert es seine eingesetzten KI-Systeme möglicherweise nur unzureichend.

Diese Vorbereitungslücke sollte Führungskräfte jetzt beschäftigen.

Der EU AI Act ist keine künftige Gesetzgebung mehr. Seine Vorschriften werden schrittweise anwendbar. Die geltende konsolidierte Verordnung (EU) 2024/1689 ist in Kraft; verschiedene Bestimmungen gelten ab unterschiedlichen Zeitpunkten. Artikel 4 verpflichtet Anbieter und Betreiber zu Maßnahmen, die KI-Kompetenz fördern. Dies betrifft Personal und andere Personen, die in ihrem Auftrag KI-Systeme betreiben oder nutzen. Zu berücksichtigen sind Kenntnisse, Erfahrung, Ausbildung, Schulung und Nutzungskontext. Die einschlägigen Transparenzpflichten für KI-generierte Inhalte nach Artikel 50 gelten ab dem 2. August 2026. Dazu gehören Pflichten zur Markierung, Erkennung und bestimmten Kennzeichnung. Der freiwillige Verhaltenskodex der Europäischen Kommission unterstützt die Umsetzung dieser Transparenzpflichten. Seine Einhaltung kann die Pflichterfüllung erleichtern. Sie ist für sich genommen jedoch kein abschließender Nachweis dafür.

Quellenkontext: EU AI Act · consolidated 2026-07-27 ↗

Rechtliche Vorbereitung und operative Governance sind dennoch nicht gleichbedeutend.

Die Risikoklassifizierung ist wichtig, weil sie bestimmen kann, welche Pflichten gelten.

Nach abgeschlossener Klassifizierung muss die Organisation das System jedoch weiterhin betreiben.

Wer ist dafür verantwortlich? Welches Modell in welcher Version wird tatsächlich eingesetzt? Welche Daten nutzt es? Welche Anbieterbedingungen gelten? Wer hat Zugriff? Welche Entscheidungen kann es beeinflussen? Welche Handlungen kann es ausführen? Welche menschliche Prüfung findet tatsächlich statt? Welche Nachweise zeigen, dass die Kontrollen funktionieren? Was geschieht, wenn der Anbieter das Modell verändert?

Eine Tabellenzeile beantwortet diese Fragen nicht allein.

Artikel 4 wird häufig als Schulungspflicht zusammengefasst.

Quellenkontext: EU AI Act · consolidated 2026-07-27 ↗

Schulung gehört dazu. Im Betrieb brauchen Menschen, die KI nutzen oder beaufsichtigen, jedoch ausreichendes Verständnis für ihre Tätigkeit. Sie müssen erkennen, was das System unterstützen kann, wo seine Grenzen liegen und wann eine Eskalation erforderlich ist.

Für Marketingmitarbeitende kann das bedeuten, Grenzen der Offenlegung und Datenverarbeitung zu verstehen. Für Entwickler kann es bedeuten, Risiken erzeugten Codes und Prüfpflichten zu kennen. Für Führungskräfte kann es bedeuten, eine Modellempfehlung von einem Nachweis zu unterscheiden. Für Freigabeverantwortliche kann es bedeuten, den Bedarf menschlicher Befugnisse bei folgenreichen Agentenhandlungen zu verstehen.

Ein einstündiger Sensibilisierungskurs ersetzt keine rollenspezifische Handlungskompetenz.

Artikel 50 ist besonders aufschlussreich.

Quellenkontext: EU AI Act · consolidated 2026-07-27 ↗

Der Transparenzkodex der Kommission von 2026 behandelt Markierung und Erkennung KI-generierter oder manipulierter Inhalte. Hinzu kommen Kennzeichnungspflichten für bestimmte Betreiber. Der Kodex ist freiwillig; die zugrunde liegenden gesetzlichen Pflichten sind es nicht.

Für die betriebliche Umsetzung muss eine Organisation möglicherweise wissen:

Welches System hat den Inhalt erzeugt? Wurde das Ergebnis von KI erzeugt oder mit KI-Unterstützung erstellt? Welches Markierungsverfahren wurde angewandt? Blieb die Herkunft bei der Weiterverarbeitung nachvollziehbar? Wer ist für die sichtbare Offenlegung verantwortlich? Welche Inhalte fallen unter eine Ausnahme? Kann die Organisation später belegen, was geschehen ist?

Das ist mehr als eine Richtlinienfrage. Es betrifft Daten, Arbeitsabläufe, Herkunft und Nachweise.

Die praktische Kette sieht etwa so aus:

GESETZ UND PFLICHT → FRAGE DER ANWENDBARKEIT → ORGANISATORISCHE ROLLE → SYSTEM UND ANWENDUNGSFALL → KONTROLLANFORDERUNG → UMSETZUNG → NACHWEIS → BEOBACHTUNG → VERÄNDERUNG → ERNEUTE BEWERTUNG.

Jeder Übergang kann scheitern.

Die Rechtsabteilung kann eine Pflicht richtig erkennen, ohne dass die Technik die erforderliche Kontrolle umsetzt. Die Technik kann eine Kontrolle umsetzen, ohne dass jemand Nachweise aufbewahrt. Vorhandene Nachweise können veraltet sein. Ein Anbieter kann Modell oder Leistungsbedingungen ändern. Ein neues Werkzeug kann einem Agenten zusätzliche Fähigkeiten geben. Ein Fachbereich kann ein System für einen Ablauf mit größeren Folgen umwidmen.

Operative Governance hält diese Ebenen verbunden.

Diese Unterscheidung schützt vor einem weiteren verbreiteten Fehler: Governance vollständig auf eine einzige Verordnung auszurichten.

Global tätige Organisationen müssen möglicherweise auch Datenschutz, Cybersicherheit, Branchenregeln, Arbeitsrecht, Verbraucherschutz, geistiges Eigentum, Vertragspflichten, Standards und interne Befugnisse berücksichtigen.

Auch innerhalb der EU kann ein System nach einem AI-Act-Prüfweg ein geringes oder begrenztes Risiko haben. Trotzdem können erhebliche Datenschutz-, Sicherheits-, Reputations- oder Geschäftsrisiken bestehen.

ISO/IEC 42001 ist hilfreich, weil sie KI als organisatorische Managementaufgabe behandelt. Sie reduziert das Thema nicht auf eine einzelne Vorschriften-Checkliste. NISTs AI RMF bietet eine weitere Perspektive auf das Risikomanagement. Beide ersetzen keine rechtliche Prüfung. Ebenso ersetzt der AI Act keine organisatorische Governance.

Quellenkontext: ISO/IEC 42001:2023 ↗

Eine gründlichere Prüfung der AI-Act-Vorbereitung verlangt Nachweise.

Sie fragt nicht nur:

„Haben Sie eine KI-Richtlinie?“

Sondern:

Ist die Richtlinie aktuell? Wer hat sie freigegeben? Wie wird sie umgesetzt? Welche Systeme deckt sie ab? Welche Ausnahmen bestehen? Welche Nachweise belegen die Kontrolle? Wann wurde sie zuletzt getestet? Was geschieht bei einer Systemänderung?

UNESCOs Readiness Assessment Methodology liefert auf nationaler Ebene einen hilfreichen methodischen Vergleich. Sie fragt wiederholt, ob die Wirksamkeit von Strategien und Richtlinien bewertet wurde. Ebenso fragt sie nach zuständigen Umsetzungsstellen, Budgets sowie eingebauter Beobachtung und Evaluation. Das bloße Vorhandensein wird nicht mit Bereitschaft gleichgesetzt.

Unternehmen sollten dieselbe Sorgfalt anwenden.

Das stärkste künftige Betriebsmodell ist keine „jährliche AI-Act-Prüfung“.

Es schafft kontinuierlich Wissen über die Pflichterfüllung:

Die KI-Landschaft verändert sich → die Anwendbarkeit kann sich ändern → Nachweise können ablaufen → Kontrollen müssen möglicherweise angepasst werden → menschliche Befugnisse müssen möglicherweise überprüft werden → Vorfälle können neue Pflichten auslösen → Anbieteränderungen können neue Lücken schaffen.

Hier wird kontinuierliche Beobachtung zur Grundlage.

Damit ist keine Überwachung von Beschäftigten gemeint. Die Organisation braucht Verfahren, um wesentliche Änderungen zu erkennen. Das betrifft KI-Systeme, Anbieter, Vorschriften, Nachweise und Kontrollbedingungen.

Ohne diese Verfahren blickt Compliance stets zurück.

Beginnen Sie mit einer tatsächlichen KI-Nutzung und nicht mit einer unternehmensweiten Prozentzahl für Compliance. Halten Sie System, Zweck, betroffene Personen und die Rolle des Unternehmens fest. Ein Betrieb kann das Modell eines Lieferanten nutzen, einen weiteren Dienst integrieren und eine eigene Anwendung für Kunden bereitstellen. Diese Beziehungen sind jeweils auf der passenden Ebene zu betrachten. Die Produktkategorie eines Anbieters bestimmt nicht automatisch die rechtliche Einordnung jedes nachgelagerten Einsatzes.

Verbinden Sie jede einschlägige Pflicht mit einer verantwortlichen Person für die Umsetzung und einem beobachtbaren Test. Geht es um die Information eines Menschen, ist zu klären, wo der Hinweis erscheint, welche Sprache er verwendet und ob er beim Kanalwechsel erhalten bleibt. Geht es um ein Dokument, müssen Fassung, Aufbewahrung und Zugriff durch Beschäftigte feststehen. Rechtsabteilung und Betrieb benötigen einen gemeinsamen Gegenstand, den beide prüfen können.

Trennen Sie rechtliche Auslegung und Nachweis der tatsächlichen Ausführung. Eine Stellungnahme kann erklären, warum eine Pflicht gilt; ein Bildschirmfoto zeigt einen bestimmten Hinweis; ein Protokoll belegt einen Zeitpunkt. Keines dieser Elemente beweist alle drei Aspekte. Ein zusammenhängender Vorgangsstand macht die unterschiedlichen Beiträge sichtbar und zeigt auch, wo die Kette unvollständig ist. Eine pauschale Reifegradzahl kann diesen Unterschied verdecken, wenn sie alle gesetzten Häkchen gleich behandelt.

Die Änderung von 2026 betrifft Teile des AI Act. Eine ältere Checkliste sollte deshalb nicht ohne Prüfung ihrer Rechtsfassung weiterverwendet werden. Insbesondere sind der allgemeine Anwendungsbeginn von Artikel 50 und eine Übergangsregel für bestimmte bereits angebotene Anbietersysteme unterschiedliche Tatsachen. Für die Markierungspflicht nach Artikel 50 Absatz 2 sieht die Änderung bei entsprechend erfassten Systemen, die vor dem 2. August 2026 auf den Markt kamen, einen Übergang bis zum 2. Dezember 2026 vor. Daraus folgt kein allgemeiner Aufschub sämtlicher Transparenzpflichten. Prüfen Sie die konkrete Vorschrift und die Rolle des Unternehmens in der verabschiedeten Änderung.

Quellenkontext: EU AI Act · consolidated 2026-07-27 ↗

Das ist im Projektalltag relevant. Ein Marketingteam mit einer synthetischen Sprecherfigur sollte nicht annehmen, die Übergangsregel zur technischen Anbietermarkierung erledige auch die eigenen Offenlegungspflichten. Umgekehrt ist eine fehlende technische Kennzeichnung ohne Prüfung von Geltungsbereich und Zeitpunkt kein abschließender Beleg eines Verstoßes. Die Transparenzleitlinien der Kommission ergänzen den Gesetzestext praktisch. Dieser Beitrag formuliert betriebliche Fragen und trifft keine individuelle rechtliche Entscheidung.

Ein hypothetisches Unternehmen verwendet eine generierte Stimme in einem Kundeninformationsdienst. Das Team prüft den ersten Kontakt, die erreichbare Erklärung und den Weg zu einem Menschen. Anschließend betrachtet es die tatsächliche Verarbeitungskette: Ausgangsaudio, Bearbeitung, Übersetzung, Export, Wiedergabe und mögliche Weiterverwendung durch Vertriebspartner. Ein Hinweis, der nur im Erstellungswerkzeug existiert, kann verschwunden sein, bevor jemand das fertige Material wahrnimmt.

Formulieren Sie die Abnahme beobachtbar. Ist der Hinweis erkennbar? Steht er in der Sprache der Seite zur Verfügung? Beschreibt er den KI-Einsatz zutreffend? Enthält ein anderer Kanal gleichwertige Informationen? Dazu gehören die mobile Darstellung und ein zugänglicher Leseweg. Die rechtliche Beratung bestimmt die einschlägige Pflicht; das Umsetzungsteam zeigt, wie die vereinbarte Lösung tatsächlich funktioniert.

Bewahren Sie einen knappen Nachweis über das fertige Material, die einschlägigen Bedingungen und das Testergebnis auf. Bei einer Änderung wird entschieden, welche Prüfungen zu wiederholen sind. Benennen Sie eine redaktionell verantwortliche Person für die veröffentlichten Inhalte. Damit wird eine spätere Korrektur möglich, ohne unnötig personenbezogene Informationen über sämtliche Betrachter zu sammeln. Die Nachweisgestaltung sollte Rechenschaft ermöglichen und zugleich dem Grundsatz der Datenminimierung folgen.

Hilfreich ist außerdem ein Test nach einer gewöhnlichen Weiterverarbeitung. Komprimierung, Untertitelung oder ein anderes Format können die Wahrnehmbarkeit verändern. Verlassen Sie sich deshalb nicht allein auf die Vorschau im Produktionswerkzeug. Prüfen Sie die tatsächlich ausgelieferte Fassung mit den Kanälen, die das Unternehmen verwendet. Das Ergebnis gilt für diese Fassung und diesen Weg, nicht automatisch für jede spätere Ableitung.

Rollenbezogenes Lernen beginnt mit Fehlern, die jemand erkennen können muss. Eine Servicekraft muss bemerken, wenn ein Antwortvorschlag nicht belegt ist. Der Einkauf muss eine angebotene Hostingoption von den Bedingungen des ausgewählten Kontos unterscheiden können. Wer eine generierte Zusammenfassung freigibt, muss wissen, welche Originalunterlagen noch zugänglich sind. Eine gemeinsame Einführung kann kurz bleiben; die praktische Übung muss zur Aufgabe passen.

Nutzen Sie realistische Fälle mit einer erwarteten Reaktion. Lassen Sie Teilnehmende eine unbelegte Aussage erkennen, eine Eskalation erläutern und die aktuelle Arbeitsregel finden. Geben Sie ihnen die Befugnis, einen unsicheren oder unklaren Ablauf anzuhalten. Ein Teilnahmenachweis zeigt, dass eine Schulung stattfand. Er beweist nicht, dass jede Person ein garantiertes Kompetenzniveau erreicht hat. Der geänderte Artikel 4 unterscheidet ausdrücklich zwischen Maßnahmen zur Förderung von KI-Kompetenz und einer Garantie für ein bestimmtes individuelles Niveau.

Quellenkontext: EU AI Act · consolidated 2026-07-27 ↗

Überprüfen Sie die Lerninhalte bei Änderungen an Rolle oder Werkzeug. Wer bisher ausschließlich Texte entworfen hat, benötigt andere Vorbereitung, sobald dieselbe Anwendung selbst Handlungen ausführen kann. Verbinden Sie den Schulungsstand mit Arbeitsanweisungen und einer Ansprechperson. So entsteht eine Verbesserungsschleife, ohne ein Kurszertifikat als Nachweis unternehmensweiter Rechtskonformität auszugeben.

Dabei sollten Rückmeldungen aus der Arbeit einfließen. Wiederholte Missverständnisse können auf unklare Oberflächen oder widersprüchliche Anweisungen hinweisen. Dann reicht eine weitere Schulung möglicherweise nicht aus. Eine klarere Aufgabenverteilung oder ein technisch begrenzter Zugriff kann das Problem besser lösen. Die Zuständigkeit für solche Änderungen gehört in denselben Arbeitszusammenhang wie die Kompetenzmaßnahmen.

Eine hilfreiche Unterlage enthält Verwendungszweck, Rollenbetrachtung, einschlägige Rechtsquellen, Kontrollverantwortliche, Umsetzungsnachweise, offene wesentliche Fragen und den nächsten Prüfgrund. Konzentrieren Sie sich auf Entscheidungen, die den Einsatz tatsächlich verändern können. Eine lange Dokumentenliste ist wenig wert, wenn niemand erkennt, welche fehlende Information den nächsten Schritt verhindert.

Für die Marktorientierung helfen die Prisma-Profile, Anbieterangaben zu prüfen und relevante Fragen in den Vergleich mitzunehmen. Ein AI Trust Record kann Nachweise und Verantwortung für ein benanntes System ordnen. Über eine Anfrage zur Eingrenzung des Vorhabens lässt sich klären, welche technische und organisatorische Arbeit neben rechtlicher Beratung sinnvoll ist. Diese Schritte beginnen mit einer Anfrage. Sie zertifizieren keine Rechtskonformität, aktivieren keinen Überwachungsdienst und ersetzen nicht die verantwortlichen Entscheidungen des Unternehmens.

Können wir unsere aktuellen KI-Systeme und Agenten benennen? Können wir jedes wesentliche System einer Verantwortung und einem Zweck zuordnen? Können wir mögliche AI-Act-Pflichten erkennen, ohne einen Fragebogen als rechtliche Feststellung auszugeben? Können wir Maßnahmen zur KI-Kompetenz nach Rollen belegen? Können wir die Nachweise für wesentliche Kontrollen vorlegen? Können wir bedeutsame Änderungen an Modellen, Anbietern und Systemen erkennen? Können wir menschliche Befugnisse erhalten, wenn die Folgen dies erfordern? Können wir Unbekanntes und Widersprüche erklären, statt daraus falsche Gewissheit zu machen?

Lautet die Antwort „noch nicht“, bedeutet das nicht, dass die Organisation den AI Act verfehlt hat.

Es bedeutet, dass sie betriebliche Aufgaben zu lösen hat.

Diese Arbeit geht über bloße Compliance-Inszenierung hinaus und schafft mehr Nutzen.