Als niemand hinschaute, änderten sich die Regeln

Warum der EU AI Act bereits wirkt — und warum die meisten Organisationen das noch nicht gemerkt haben

Am Montagmorgen ist die Präsentation schon fertig. Die Zahlen kommen aus dem Dashboard, die Zusammenfassung vom KI-Assistenten, die Prognose aus einem Modell irgendwo zwischen Cloud und Rechenzentrum. Niemand hat es explizit beauftragt. Es war einfach — da. Das ist kein Ausnahmefall. Das ist der Normalzustand in den meisten Organisationen heute und genau dieser Normalzustand hat seit dem 2. Februar 2026 ein Problem.

Was ist der EU AI Act — und wen betrifft er wirklich?

Der EU AI Act (Verordnung (EU) 2024/1689) ist das erste umfassende KI-Regulierungsgesetz weltweit. Er gilt für alle Organisationen, die KI-Systeme in der EU einsetzen, entwickeln oder vermarkten — unabhängig davon, wo sie ihren Sitz haben. Künstliche Intelligenz hat sich in die meisten Unternehmen nicht eingeführt — sie hat sich eingeschlichen. Nicht durch Projekte mit Lenkungsausschuss und Go-Live-Termin, sondern durch Updates, die niemand bemerkt hat, durch Features, die einfach funktionierten, durch Workflows, die sich still optimiert haben.

Das Ergebnis: KI ist Betriebsrealität. Aber wer sie verantwortet, wer sie überwacht, wer sie im Zweifel stoppt — das ist in den meisten Organisationen noch offen.

Je selbstverständlicher KI wird, desto seltener wird über sie gesprochen. Nicht über ihre Grenzen. Nicht über ihre Annahmen. Schon gar nicht über Verantwortung. Bis jetzt.
 

2. Februar 2026: Das Datum, das kaum jemand markiert hat

Der 2. Februar 2026 hat keine Systeme gestoppt. Keine Prozesse verändert. Keine Alarme ausgelöst. Aber er hat den Bewertungsmaßstab verschoben — rückwirkend auf alles, was heute im Einsatz ist. Seit diesem Stichtag sind zentrale Teile des EU AI Act anwendbar: Bestimmte KI-Praktiken sind verboten, und Unternehmen müssen sicherstellen, dass die Nutzung von KI verstanden wird — nicht abstrakt, sondern im konkreten Betrieb.

Ab dem 2. Februar 2026 gilt:

• KI im Einsatz muss benennbar sein
• KI im Betrieb muss erklärbar sein
• KI in Entscheidungen muss einordenbar sein

Nicht perfekt dokumentiert. Nicht lückenlos kontrolliert. Aber bewusst betrieben. Der AI Act entzieht eine bequeme Schutzbehauptung: Wir wissen es noch nicht genau. Unwissen ist ab sofort kein neutraler Zustand mehr - es ist eine Luecke, die eingefordert wird.
 

Welche KI-Praktiken sind laut EU AI Act verboten?

Die verbotenen KI-Praktiken wirken auf den ersten Blick wie Extremfälle: Social Scoring durch Behörden, manipulative Systeme, die Schwächen ausnutzen, biometrische Fernüberwachung im öffentlichen Raum. Kaum ein Unternehmen würde von sich behaupten, solche Systeme bewusst einzusetzen.

Aber genau darin liegt die Falle. KI tritt selten als klar abgegrenztes System auf. Sie steckt in Empfehlungsalgorithmen, Priorisierungslogiken, Personalisierungsfeatures — oft eingekauft, nicht selbst gebaut.

Betroffenheit zeigt sich deshalb nicht im Bauchgefühl, sondern im Nachweis. Dort, wo erklärt werden kann: welche KI-Funktionen sind im Einsatz, wofür werden sie genutzt, und warum fallen sie nicht unter die verbotenen Praktiken? Fehlt dieser Überblick, entsteht eine Grauzone — und in genau dieser Grauzone beginnt Regulierung zu wirken.

Wenn KI zur Infrastruktur wird: Die drei Fragen, die sich nicht delegieren lassen

Nehmen wir ein System, das längst Teil des Alltags ist: eine Prognose, die Aufträge priorisiert, Kennzahlen verdichtet und Entscheidungen vorbereitet — betrieben auf der IT-Plattform, entwickelt von einem Dienstleister, genutzt im Fachbereich, aktualisiert per Software-Update. Bislang war diese Konstellation funktional. Und unsichtbar. Niemand musste benennen, dass hier KI wirkt.

Der EU AI Act macht drei Fragen unausweichlich:

• Welche KI-Systeme sind tatsächlich im Betrieb — nicht im Projektplan, sondern in der realen Nutzung?
• Wofür werden sie eingesetzt — und wo werden ihre Ergebnisse wirksam?
• Wer steht dafür ein — wenn diese Wirkung relevant wird?

Diese Fragen lassen sich nicht delegieren. Nicht an Legal. Nicht an Compliance. Nicht auf später.
 

Was bedeutet AI Literacy laut EU AI Act — und warum reichen Schulungen nicht?

AI Literacy wird gerne mit E-Learning-Modulen verwechselt. Folien, Teilnahmebestätigungen, ein Haken in der Compliance-Liste. Tatsächlich zeigt sich AI Literacy im Moment der Entscheidung: Wenn ein Forecast unerwartet abweicht — folgt jemand ihm blind, oder fragt jemand nach? Wenn ein KI-System eine Empfehlung gibt — ist klar, wer sie verantwortet?

Wenn ein Modell ein Ergebnis liefert, dessen Grenzen niemand kennt — wer merkt das überhaupt? AI Literacy entsteht nicht durch Wissen über KI. Sie entsteht durch den Umgang mit ihr — dort, wo Entscheidungen vorbereitet werden und jemand bereit ist, sie auch zu tragen.

Der Betrieb läuft. Die Systeme liefern. Aber wer ist verantwortlich, wenn eines davon versagt — und niemand es erklären kann?
 

Welche Branchen müssen beim EU AI Act besonders schnell handeln?

In regulierten Umfeldern — Finanzdienstleistungen, Gesundheitswesen, öffentliche Verwaltung — gehört Rechenschaft seit Jahren zum Betrieb. Entscheidungen müssen erklärbar sein, gegenüber Aufsicht, Auditoren oder politischen Gremien.

Andere Branchen sind das nicht gewohnt. Dort reicht oft das Ergebnis. Mit dem EU AI Act verschiebt sich diese Komfortzone: Was bislang als technische Unterstützung galt, wird erklärungsbedürftig, sobald es Entscheidungen vorbereitet — unabhängig von der Branche.
 

Eine leise Zäsur — mit lauten Konsequenzen

Nicht alles muss geregelt sein. Aber nichts darf mehr unklar bleiben.

Der EU AI Act markiert den Übergang von implizitem Vertrauen zu belastbarer Verantwortung. Er kommt nicht als Schlag, sondern als Verschiebung. Leise — aber unumkehrbar. Wer KI heute betreibt, ohne sie benennen zu können, sitzt auf einem Risiko, das wächst — still, im Hintergrund, genau wie die Systeme selbst.
 

KI verantworten heißt, sie betreiben zu können

Bei M2 begleiten wir diesen Übergang nicht als juristische Instanz, sondern entlang eines klaren Aufbaus: von belastbarer Datenqualität über AI-Befähigung bis hin zu stabilen, prüfbaren Betriebsmodellen.

Unser Fokus liegt nicht auf abstrakter Compliance, sondern auf der entscheidenden Frage: Läuft Ihre KI verlässlich, skalierbar und auditierbar? Erst wenn Datenqualität gesichert ist, Zuständigkeiten klar sind und Governance technisch verankert wird, entsteht das, was der EU AI Act voraussetzt: ein Betrieb, der erklärbar ist — nicht erst auf Nachfrage, sondern aus eigener Struktur heraus.

FAQ: Die häufigsten Fragen zum EU AI Act

Dieser Abschnitt beantwortet die Fragen, die Unternehmen, IT-Verantwortliche und Führungskräfte am häufigsten stellen.
 

❓ Ab wann gilt der EU AI Act für Unternehmen?
Seit dem 2. Februar 2026 sind die ersten Verbote und Anforderungen des EU AI Acts in Kraft. Die Pflichten für Hochrisiko-KI-Systeme folgen schrittweise bis 2027. Unternehmen sollten nicht auf spätere Fristen warten — die Grundanforderungen an Transparenz und Verantwortung gelten bereits jetzt.

❓ Bin ich als Unternehmen vom EU AI Act betroffen, wenn ich keine eigene KI entwickle?
Ja. Der EU AI Act gilt nicht nur für KI-Entwickler, sondern auch für alle Unternehmen, die KI-Systeme einsetzen — also auch für Nutzer von Drittanbieter-Lösungen, SaaS-Tools mit KI-Funktionen oder eingekauften Modellen. Wer KI im Betrieb nutzt, ist potenziell betroffen.

❓ Welche KI-Praktiken sind durch den EU AI Act verboten?
Verboten sind u.a.: Social Scoring durch staatliche Stellen, manipulative KI-Systeme die Schwächen ausnutzen, biometrische Echtzeit-Überwachung im öffentlichen Raum sowie KI zur Emotionserkennung am Arbeitsplatz oder in Bildungseinrichtungen. Die vollständige Liste findet sich in Artikel 5 der Verordnung.

❓ Was bedeutet AI Literacy im Sinne des EU AI Acts?
Der EU AI Act verpflichtet Unternehmen sicherzustellen, dass Mitarbeitende, die KI einsetzen, über ausreichendes Wissen und Verständnis verfügen — sogenannte AI Literacy. Das bedeutet: Mitarbeitende müssen verstehen, was das System tut, welche Grenzen es hat und wann menschliches Urteil notwendig ist.

❓ Was ist ein Hochrisiko-KI-System laut EU AI Act?
Hochrisiko-KI-Systeme sind solche, die in kritischen Bereichen eingesetzt werden: Personalentscheidungen, Kreditvergabe, medizinische Diagnosen, kritische Infrastruktur, Strafverfolgung oder Bildung. Diese Systeme unterliegen besonders strengen Anforderungen an Dokumentation, Transparenz und menschliche Aufsicht.

❓ Welche Strafen drohen bei Verstößen gegen den EU AI Act?
Bei Verstößen gegen die Verbotsvorschriften drohen Bußgelder von bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes. Bei anderen Verstößen sind es bis zu 15 Millionen Euro oder 3 % des Umsatzes. Für KMUs gelten reduzierte Obergrenzen.

❓ Wie unterscheidet sich der EU AI Act von der DSGVO?
Die DSGVO regelt den Schutz personenbezogener Daten. Der EU AI Act reguliert KI-Systeme als solche — unabhängig davon, ob personenbezogene Daten verarbeitet werden. Beide Regelwerke ergänzen sich, ersetzen sich aber nicht. Ein KI-System kann DSGVO-konform sein und trotzdem gegen den AI Act verstoßen.