EU AI Act für Unternehmen: Pflichten, Zeitplan und Umsetzung

Stand: Juli 2026. Dieser Artikel ist keine Rechtsberatung. Er ordnet ein, was für Unternehmen praktisch relevant ist – für die rechtliche Bewertung deines konkreten Falls gehören Fachanwält:innen oder eine Datenschutzbeauftragte an den Tisch. Er ist Teil unseres Clusters KI-Governance, Datenschutz und Sicherheit.

Problem und Zielgruppe

Der AI Act ist seit dem 1. August 2024 in Kraft, gilt aber gestuft – und genau diese Staffelung sorgt für Verwirrung. Wer im Sommer 2026 nach „EU AI Act Unternehmen” sucht, bekommt widersprüchliche Aussagen: Manche Quellen sagen, ab August 2026 gelte „fast alles”, andere sprechen von Fristen bis 2028. Beides stimmt gleichzeitig, weil die EU die Zeitpläne im ersten Halbjahr 2026 tatsächlich verändert hat – dazu unten mehr.

Für Geschäftsführung, Operations, IT und Fachbereich in KMU stellt sich dabei eine sehr konkrete Frage: Betrifft mich das überhaupt, und wenn ja, was genau muss ich tun – jetzt, nicht irgendwann? Die ehrliche Antwort: Ja, es betrifft praktisch jedes Unternehmen, das KI-Systeme nutzt, unabhängig von der Größe. Aber nicht jedes Unternehmen trifft dieselben Pflichten, und die meisten davon sind für ein KMU, das keine Hochrisiko-Systeme baut oder betreibt, deutlich handhabbarer als der Name „umfassendste KI-Regulierung der Welt” vermuten lässt.

Dieser Artikel beantwortet fünf Fragen im Zusammenhang: Für wen gilt der AI Act, welche Risikoklassen gibt es, welche Pflichten gelten bereits, welche Termine gelten aktuell, und wie startet die Umsetzung. Er ist der Einstiegsartikel in dieses Teilthema; Details zu einzelnen Pflichten – etwa der Kompetenzpflicht nach Art. 4 oder zur Risikobewertung einzelner Systeme – vertiefen die anderen Artikel im Cluster KI-Governance.

Begriffe kurz geklärt

Vier Begriffe tauchen im Rest des Artikels ständig auf, und ihre Verwechslung ist die häufigste Quelle für Missverständnisse:

• Anbieter (Provider): Wer ein KI-System oder ein General-Purpose-AI-Modell entwickelt und unter eigenem Namen oder eigener Marke auf den EU-Markt bringt. Das trifft auf die meisten KMU nicht zu – außer sie bauen selbst KI-Produkte oder lassen ein fremdes System so stark anpassen, dass sie rechtlich zum Anbieter werden.
• Betreiber (Deployer): Wer ein KI-System im eigenen Namen in beruflichem Kontext nutzt. Das trifft auf die meisten KMU zu, sobald ein Team ein KI-Tool im Arbeitsalltag einsetzt – vom Chatbot im Kundenservice bis zur automatisierten Vorsortierung von Bewerbungen.
• General-Purpose-AI-Modell (GPAI): Ein KI-Modell, das für vielfältige Aufgaben nutzbar ist und häufig als Basis für andere KI-Systeme dient – etwa die großen Sprachmodelle hinter vielen Chat- und Assistenzprodukten. Für die meisten Nutzer solcher Modelle gelten primär die Pflichten der jeweiligen GPAI-Anbieter, nicht eigene Anbieterpflichten.
• Hochrisiko-System: Ein KI-System, das entweder Sicherheitsbauteil eines bereits regulierten Produkts ist (z. B. Medizingerät) oder für einen der in Anhang III der Verordnung gelisteten sensiblen Einsatzbereiche bestimmt ist – etwa Personalauswahl, Kreditwürdigkeitsprüfung oder Zugang zu wesentlichen Dienstleistungen.

Wichtig als Abgrenzung nach unten: Ein Unternehmen, das ChatGPT, Copilot oder ein vergleichbares Tool für Textentwürfe, Recherche oder interne Zusammenfassungen einsetzt, ist in aller Regel Betreiber eines Systems mit minimalem oder allenfalls Transparenzrisiko – nicht automatisch im Hochrisiko-Bereich. Die Einstufung hängt am konkreten Verwendungszweck, nicht am Tool als solchem.

Für wen gilt der AI Act?

Der AI Act gilt laut Europäischer Kommission für öffentliche und private Akteure innerhalb und außerhalb der EU, die ein KI-System oder ein General-Purpose-AI-Modell auf dem EU-Markt in Verkehr bringen oder in der EU nutzen. Der Sitz des Unternehmens spielt dabei keine Rolle – entscheidend ist, ob die Auswirkungen der Nutzung in der EU eintreten. Ein US-Anbieter, dessen KI-Tool von einem Unternehmen in Deutschland eingesetzt wird, fällt damit ebenso unter die Verordnung wie ein deutsches KMU selbst.

Drei Ausnahmen sind praktisch relevant:

1. Forschung und Entwicklung vor Markteinführung. Solange ein System nicht auf den Markt gebracht oder in Betrieb genommen wird, greifen die Pflichten noch nicht.
2. Militär, Verteidigung und nationale Sicherheit. Diese Bereiche sind ausdrücklich ausgenommen.
3. Bestimmte Open-Source-Modelle. Für frei zugängliche General-Purpose-AI-Modelle ohne systemisches Risiko gelten reduzierte Dokumentationspflichten.

Für kleine und mittlere Unternehmen sieht die Verordnung zusätzlich unterstützende Maßnahmen vor: bevorzugten Zugang zu regulatorischen Sandboxes, vereinfachte technische Dokumentationsvorlagen für Klein- und Kleinstunternehmen sowie proportional reduzierte Gebühren für Konformitätsbewertungen. Das ändert nichts an der grundsätzlichen Pflicht, aber es senkt den Aufwand, sie zu erfüllen – ein Punkt, der in vielen Diskussionen untergeht.

Für die praktische Selbsteinschätzung reicht meist eine einzige Frage: Setzen wir KI-Systeme im Geschäftsbetrieb ein oder bringen wir selbst welche in den Verkehr? Im ersten Fall bist du Betreiber, im zweiten (zusätzlich) Anbieter – und die Pflichten unterscheiden sich deutlich, wie der nächste Abschnitt zeigt.

Ein Praxisbeispiel aus Beratungsgesprächen: Ein Handwerksbetrieb mit 40 Beschäftigten, der ein Standard-Chatbot-Tool für die Kundenkommunikation auf der Website nutzt, ist Betreiber – nicht Anbieter. Die Pflichten des Anbieters (Konformitätsbewertung, technische Dokumentation) treffen den Tool-Hersteller, nicht den Handwerksbetrieb. Für den Betrieb selbst bleiben vor allem Betreiberpflichten relevant: sachgerechte Nutzung gemäß Anleitung, menschliche Aufsicht dort, wo sie vorgesehen ist, und – sobald der Chatbot mit Kund:innen interagiert – die Transparenzpflicht, dass erkennbar ist, dass keine Person antwortet. Das ist ein anderer, deutlich schlankerer Pflichtenkatalog als der, den viele Unternehmen aus Angst vor „der KI-Verordnung” befürchten.

Welche Risikoklassen gibt es?

Der AI Act ordnet KI-Systeme nicht nach Technologie, sondern nach dem Risiko ihres konkreten Einsatzzwecks in vier Stufen. Das ist der zentrale Denkfehler, den ich in Gesprächen am häufigsten sehe: Unternehmen fragen „ist unser Tool Hochrisiko?”, obwohl die richtige Frage lautet „ist unser Einsatzzweck Hochrisiko?”. Dasselbe Sprachmodell kann in einer Anwendung minimales Risiko haben (Textentwurf) und in einer anderen Hochrisiko sein (automatisierte Vorauswahl von Bewerbungen).

Risikostufe	Was fällt darunter	Beispiele aus der Praxis	Zentrale Pflicht
Unannehmbares Risiko (verboten)	Acht explizit gelistete Praktiken	Social Scoring, manipulative Beeinflussung, ungezieltes Auslesen von Gesichtsbildern, Emotionserkennung am Arbeitsplatz	Einsatz ist untersagt
Hochrisiko	Sicherheitsbauteile regulierter Produkte plus 9 Bereiche aus Anhang III	Bewerber-Vorauswahl, Bonitätsprüfung, Zugang zu wesentlichen Dienstleistungen, bestimmte biometrische Systeme	Risikomanagement, Dokumentation, menschliche Aufsicht, Registrierung
Transparenzrisiko	Systeme mit Interaktions- oder Täuschungspotenzial	Chatbots, KI-generierte Inhalte, Deepfakes	Kenntlichmachung: Nutzer:innen müssen wissen, dass sie mit KI interagieren
Minimales Risiko	Der weit überwiegende Teil aktueller KI-Anwendungen	Textentwürfe, interne Zusammenfassungen, Rechtschreibkorrektur, Übersetzung	Keine neuen Pflichten aus dem AI Act

Eigene Übersichtstabelle Philogic Labs, zusammengestellt aus den Risikokategorien der Europäischen Kommission (siehe Quellen). Sie ersetzt keine Einzelfallprüfung.

Zusätzlich gilt eine eigene Kategorie für General-Purpose-AI-Modelle mit „systemischem Risiko”: Modelle, deren Training mehr als 10^25 FLOP an Rechenleistung verbraucht hat, gelten als potenziell systemisch riskant und unterliegen zusätzlichen Pflichten wie Sicherheitsbewertungen und Vorfallmeldungen – das betrifft praktisch ausschließlich die größten Modellanbieter, nicht die Unternehmen, die diese Modelle nutzen.

Für die meisten KMU, die keine Hochrisiko-Anwendungen bauen oder betreiben, bleibt vor allem die Transparenzpflicht praxisrelevant: Wenn ein Chatbot auf der eigenen Website mit Kund:innen interagiert oder ein Unternehmen KI-generierte Bilder oder Texte veröffentlicht, muss erkennbar sein, dass KI beteiligt war.

Welche Pflichten gelten bereits?

Hier lohnt sich eine ehrliche Bestandsaufnahme, weil sich in den letzten Monaten viel bewegt hat. Bereits verbindlich in Kraft sind, Stand Juli 2026:

Seit dem 2. Februar 2025: Die acht verbotenen Praktiken sowie die Kompetenzpflicht nach Art. 4 (AI Literacy). Letztere verpflichtet Anbieter und Betreiber, für ein angemessenes Kompetenzniveau bei allen Personen zu sorgen, die in ihrem Auftrag mit KI-Systemen arbeiten. Das ist die Pflicht, die die meisten KMU am direktesten betrifft – und die am häufigsten übersehen wird, weil sie ohne technische Infrastruktur auskommt und deshalb nicht wie „Compliance” aussieht. Details dazu behandelt der eigene Artikel zu AI Literacy in diesem Cluster.

Seit dem 2. August 2025: Die Governance-Regeln der Verordnung sowie die Pflichten für Anbieter von General-Purpose-AI-Modellen – Dokumentation, Offenlegung gegenüber nachgelagerten Systemanbietern, Einhaltung des EU-Urheberrechts und für Modelle mit systemischem Risiko zusätzliche Bewertungs- und Meldepflichten. Für Unternehmen, die fremde GPAI-Modelle lediglich nutzen, sind diese Pflichten indirekt relevant: Sie richten sich an die Modellanbieter, nicht an die Nutzer selbst.

Was für die meisten KMU-Betreiber aktuell also faktisch bindend ist, lässt sich auf zwei Punkte verdichten: die Kompetenzpflicht und die Vermeidung der verbotenen Praktiken. Beides ist ohne große Compliance-Struktur umsetzbar, erfordert aber, dass es überhaupt jemand verantwortet – dazu mehr im Umsetzungsabschnitt.

Ein Missverständnis, das mir häufig begegnet: Manche Unternehmen glauben, weil die großen Hochrisiko-Pflichten erst 2027/2028 greifen, könne man das Thema AI Act bis dahin komplett vertagen. Das stimmt für die Hochrisiko-Pflichten selbst, aber nicht für die Kompetenzpflicht – die läuft bereits seit Februar 2025 und wird ab dem 2. August 2026 auch von den nationalen Marktüberwachungsbehörden beaufsichtigt. Wer bis dahin keine dokumentierten Kompetenzmaßnahmen vorweisen kann, hat kein „noch Zeit”-Problem, sondern ein Nachholbedarf-Problem.

Welche Termine gelten aktuell?

Dieser Abschnitt ist der Grund, warum viele Zeitpläne im Netz veraltet sind: Der Gesetzgeber hat die ursprünglich für August 2026 vorgesehenen Fristen für Hochrisiko-Systeme im ersten Halbjahr 2026 verändert. Der Rat der Europäischen Union hat dem entsprechenden Vereinfachungspaket am 29. Juni 2026 final zugestimmt, nachdem das Europäische Parlament dem Ergebnis bereits am 16. Juni 2026 zugestimmt hatte.

Termin	Was gilt ab diesem Datum
1. August 2024	AI Act tritt in Kraft (Veröffentlichung im Amtsblatt)
2. Februar 2025	Verbotene Praktiken untersagt; AI-Kompetenzpflicht (Art. 4) gilt
2. August 2025	Governance-Regeln und Pflichten für GPAI-Anbieter gelten
2. August 2026	Transparenzpflichten (Art. 50) und der überwiegende Teil der übrigen Regeln werden anwendbar
2. Dezember 2026	Übergangsfrist für Transparenzkennzeichnung bei bereits im Markt befindlichen Systemen (Art. 50 Abs. 2) endet
2. August 2027	Frist für den Aufbau nationaler KI-Regulatory-Sandboxes
2. Dezember 2027	Pflichten für eigenständige Hochrisiko-Systeme nach Anhang III (z. B. Personalauswahl, Bonität) werden anwendbar
2. August 2028	Pflichten für Hochrisiko-KI, die in bereits regulierte Produkte eingebettet ist (z. B. Medizingeräte), werden anwendbar

Eigene Zusammenstellung Philogic Labs auf Basis der Angaben von Europäischer Kommission und Rat der EU (siehe Quellen). Diese Tabelle ist eine Orientierungshilfe, keine abschließende Rechtsauskunft – für die verbindliche Einordnung deines konkreten Systems ist der vollständige Verordnungstext maßgeblich.

Die wichtigste praktische Konsequenz: Wenn du in den letzten Monaten gelesen hast, „ab August 2026 gilt der AI Act vollständig”, ist das nur noch bedingt richtig. Die Transparenzpflichten und die meisten übrigen Regeln greifen tatsächlich ab diesem Datum. Die besonders aufwändigen Pflichten für Hochrisiko-Systeme wurden dagegen auf Ende 2027 beziehungsweise 2028 verschoben – ausdrücklich, weil harmonisierte Normen und praktische Leitlinien dafür laut Gesetzgeber noch nicht rechtzeitig vorlagen. Für die meisten KMU ohne Hochrisiko-Anwendungen ändert das an der grundsätzlichen Marschrichtung wenig, nimmt aber Zeitdruck von der Kür einer Compliance-Struktur, die 2026 noch nicht final zu Ende reguliert war.

Wie startet die Umsetzung?

Aus meiner Beratungspraxis ist der größte Fehler nicht, dass Unternehmen zu spät anfangen – sondern dass sie mit dem falschen Schritt anfangen: einer 40-seitigen Richtlinie, bevor überhaupt klar ist, welche Systeme im Haus überhaupt im Einsatz sind. Ich empfehle stattdessen eine Reihenfolge in vier Schritten:

1. KI-Inventar erstellen. Welche KI-Systeme nutzt dein Unternehmen tatsächlich – nicht nur die offiziell eingeführten, sondern auch das, was einzelne Teams eigenständig ausprobieren? Ohne diese Bestandsaufnahme lässt sich keine der folgenden Fragen beantworten. Das Thema unkontrollierter, nicht erfasster KI-Nutzung behandelt der Cluster-Artikel zu Shadow AI vertieft.

2. Rolle und Risikoklasse pro System klären. Für jedes erfasste System: Sind wir Anbieter oder Betreiber? In welchen Anhang-III-Bereich könnte der Einsatzzweck fallen, falls überhaupt? Die meisten Systeme lassen sich mit der Entscheidungsmatrix unten schnell einer der vier Risikostufen zuordnen; für Grenzfälle – etwa KI in der Personalauswahl oder Kreditentscheidung – lohnt sich eine vertiefte Prüfung, im Zweifel mit Rechtsberatung.

3. Kompetenzmaßnahmen aufsetzen. Weil die AI-Kompetenzpflicht bereits seit Februar 2025 gilt, ist das der Schritt mit dem geringsten zeitlichen Puffer. Er muss nicht aufwändig sein: ein rollenbasierter Überblick, was KI kann und wo ihre Grenzen liegen, plus Dokumentation, wer wann geschult wurde, reicht als Nachweis. Details dazu im eigenen Artikel zu AI Literacy.

4. Kurze Nutzungsrichtlinie und laufende Überprüfung. Eine Seite mit klaren Regeln – welche Daten dürfen in welche Tools, wer prüft neue Anbieter, was ist grundsätzlich untersagt – schlägt ein Dokument, das niemand liest. Weil sich sowohl die Systemlandschaft im Unternehmen als auch die Rechtslage weiterentwickeln (wie die Fristverschiebung 2026 zeigt), sollte diese Bestandsaufnahme mindestens vierteljährlich aktualisiert werden, nicht einmalig erstellt und dann liegen gelassen werden.

Wer verantwortet das im Unternehmen?

Für ein KMU reichen zu Beginn zwei benannte Zuständigkeiten – wichtig ist nicht die Größe des Gremiums, sondern dass überhaupt jemand zuständig ist:

• Eine Person mit Überblick über die KI-Nutzung. Sie pflegt das Inventar, kennt die eingesetzten Systeme und ist erste Anlaufstelle, wenn ein Fachbereich ein neues Tool einführen will. In vielen KMU ist das dieselbe Person, die auch Datenschutzfragen koordiniert – die Themen überschneiden sich ohnehin stark.
• Eine Eskalationsstelle für Grenzfälle. Sobald ein System in Richtung Personalentscheidung, Bonitätsprüfung oder biometrische Verarbeitung geht, muss klar sein, wer die vertiefte Prüfung anstößt – intern, mit Rechtsberatung oder beidem. Ohne diese Eskalationsstelle bleiben Grenzfälle liegen, bis sie zum Problem werden.

Was du dafür nicht brauchst: ein AI-Compliance-Team oder eine eigene Position „KI-Beauftragte:r” mit Vollzeitstelle. Für die meisten KMU wächst diese Verantwortung mit der Anzahl und dem Risiko der eingesetzten Systeme, nicht umgekehrt.

Eigene Entscheidungsmatrix: Wo steht ein konkretes KI-System?

Für die zweite Stufe hilft folgende Prüfreihenfolge – sie ersetzt keine Rechtsberatung, sortiert aber die meisten Alltagsfälle schnell vor:

Prüffrage	Wenn Ja	Wenn Nein
Trifft das System eine der acht verbotenen Praktiken (z. B. Social Scoring, Emotionserkennung am Arbeitsplatz)?	Einsatz stoppen, System nicht verwenden	Weiter zu nächster Frage
Ist der Einsatzzweck einem der neun Anhang-III-Bereiche zuzuordnen (z. B. Personalauswahl, Bonität, kritische Infrastruktur) oder Sicherheitsbauteil eines regulierten Produkts?	Hochrisiko-Prüfung starten, Fristen 2027/2028 beachten, Rechtsberatung einbeziehen	Weiter zu nächster Frage
Interagiert das System direkt mit Menschen oder erzeugt es Inhalte, die als menschengemacht missverstanden werden könnten (Chatbot, generierte Texte/Bilder)?	Transparenzpflicht: KI-Herkunft kenntlich machen	Weiter zu nächster Frage
Bleibt der Einsatz auf interne Unterstützung ohne Personenentscheidung beschränkt (Textentwurf, Zusammenfassung, Recherche)?	In der Regel minimales Risiko – Kompetenzpflicht bleibt trotzdem bestehen	Einzelfall genauer prüfen

Eigene Entscheidungsmatrix Philogic Labs. Sie orientiert sich an den offiziellen Risikokategorien, ist aber eine vereinfachte Vorprüfung für den betrieblichen Alltag – keine rechtsverbindliche Klassifizierung.

Wenn du diese Bestandsaufnahme lieber mit externer Unterstützung machst: Wir erfassen KI-Nutzung, Risikoklassen und Leitplanken strukturiert im Rahmen unseres Beratungsangebots, oder du klärst in einem kostenlosen Erstgespräch, ob das für dich passt.

Risiken & Grenzen

Ein paar ehrliche Einschränkungen gehören zu diesem Thema dazu:

• Der Rechtsrahmen ist noch nicht final ausreguliert. Harmonisierte Normen und Durchführungsleitlinien für viele Hochrisiko-Pflichten fehlen laut Gesetzgeber noch – genau deshalb wurden die Fristen 2026 verschoben. Was heute als „wahrscheinliche Auslegung” gilt, kann sich bis 2027/2028 noch konkretisieren.
• Dieser Artikel ist eine Landkarte, keine Einzelfallprüfung. Ob ein konkretes System in eurem Unternehmen Hochrisiko ist, hängt am genauen Einsatzzweck und lässt sich nicht pauschal aus einer Tabelle ablesen. Bei Grenzfällen – insbesondere Personalentscheidungen, Bonitätsprüfung oder biometrischen Anwendungen – gehört die Frage zu Rechtsberatung oder Datenschutzbeauftragten, nicht zu einer Checkliste.
• Bußgelder sind real, aber kein Grund für Aktionismus. Der Rahmen reicht laut Europäischer Kommission bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes bei Verstößen gegen verbotene Praktiken oder Hochrisiko-Pflichten, bis zu 15 Millionen Euro oder 3 % bei anderen Pflichtverstößen und bis zu 7,5 Millionen Euro oder 1,5 % bei falschen Angaben gegenüber Behörden – jeweils der höhere Betrag. Für die meisten KMU mit Standardnutzung (Textentwürfe, interne Assistenz) ist das Risiko eines Bußgelds gering; es steigt deutlich, sobald Personenentscheidungen automatisiert werden.
• Kompetenzaufbau ersetzt keine technischen Schutzmaßnahmen. Die Kompetenzpflicht sorgt dafür, dass Menschen Risiken einschätzen können – sie ersetzt weder Datenschutzmaßnahmen noch die Prüfung von Auftragsverarbeitungsverträgen mit KI-Anbietern.
• Der Artikel kennt dein Unternehmen nicht. Er beschreibt die Struktur des AI Act und den aktuellen Zeitplan, aber ob eines eurer Systeme in einen Anhang-III-Bereich fällt, lässt sich nur am konkreten Fall klären.
• Die Rechtslage kann sich zwischen Veröffentlichung dieses Artikels und deiner Lektüre erneut ändern. Wie die Verschiebung der Hochrisiko-Fristen im Juni 2026 zeigt, ist der AI Act kein abgeschlossenes Regelwerk, sondern wird noch nachjustiert – etwa durch Durchführungsrechtsakte und harmonisierte Normen, die die Kommission bis zu den jeweiligen Anwendungsterminen vorlegen soll. Prüfe bei sicherheitsrelevanten Entscheidungen immer den aktuellen Stand auf den offiziellen Seiten der Europäischen Kommission, nicht nur diesen Artikel.

Checkliste: AI Act für KMU

1. Wir haben ein aktuelles KI-Inventar: alle im Unternehmen genutzten oder eingesetzten KI-Systeme sind erfasst, nicht nur die offiziell eingeführten.
2. Für jedes System ist geklärt, ob wir Anbieter, Betreiber oder beides sind.
3. Wir haben jedes System grob einer Risikostufe zugeordnet (verboten, Hochrisiko, Transparenzpflicht, minimal) – mit der Entscheidungsmatrix oder vertiefter Prüfung bei Grenzfällen.
4. Kein eingesetztes System fällt unter eine der acht verbotenen Praktiken.
5. Wir erfüllen die Kompetenzpflicht nach Art. 4: Die Mitarbeitenden, die mit KI arbeiten, sind rollenbasiert geschult, und das ist dokumentiert.
6. Chatbots und KI-generierte Inhalte, die nach außen wirken, sind als solche erkennbar (Transparenzpflicht).
7. Für mögliche Hochrisiko-Kandidaten (Personalauswahl, Bonität, biometrische Systeme) haben wir die verschobenen Fristen (2027/2028) im Blick, aber schieben die Prüfung nicht unbegrenzt auf.
8. Es gibt eine kurze, aktuelle Nutzungsrichtlinie, die alle kennen.
9. Diese Bestandsaufnahme wird regelmäßig aktualisiert – mindestens vierteljährlich oder bei jeder relevanten Änderung der Rechtslage.
10. Bei Grenzfällen ist geklärt, wer intern oder extern die rechtliche Bewertung übernimmt.

Die vertiefenden Einzelthemen – Kompetenzpflicht, KI-Risikobewertung, KI-Nutzungsrichtlinie, Shadow AI und Datenschutz bei KI-Tools – behandeln die weiteren Artikel im Cluster KI-Governance, Datenschutz und Sicherheit.