Kurz gesagt: Die EU-AI-Act-Checkliste für den Büroalltag besteht aus fünf Punkten: KI-Inventar, Kennzeichnung, Schulungsnachweis, Trennung von Firmendaten und ein Ein-Zeilen-Log. Am 2. August 2026 werden die Transparenzpflichten nach Artikel 50 anwendbar und Bußgelder bis 15 Millionen Euro oder 3 Prozent des Jahresumsatzes durchsetzbar. Alle fünf Punkte zusammen sind ein halber Nachmittag Arbeit.
Eine EU-AI-Act-Checkliste ist eine Liste dokumentierter Entscheidungen darüber, wie in einem Unternehmen KI eingesetzt wird. Konkret bedeutet das: Es geht nicht um perfekte Rechtssicherheit und auch nicht um ein Gutachten. Es geht darum, dass du aufgeschrieben hast, welche Tools laufen, wer sie benutzt, was gekennzeichnet ist und wer geschult wurde. Genau das verlangt die Verordnung — und genau das fehlt in den meisten Büros.
Der Stichtag ist der 2. August 2026. Das sind, während ich das schreibe, noch sechs Tage. Wer bis dahin nichts geändert hat, steht im Zweifel selbst gerade — nicht die Geschäftsführung, nicht die IT. Denn die Pflichten treffen ausdrücklich auch Betreiber, also alle, die KI-Tools einsetzen, nicht nur die Anbieter.
Was ändert sich am 2. August 2026 wirklich?
Am 2. August 2026 werden die Transparenzpflichten aus Artikel 50 der KI-Verordnung anwendbar. Menschen müssen ab dann erkennen können, wenn sie mit einer KI interagieren oder wenn sie KI-erzeugte Inhalte vor sich haben. Ab demselben Datum können die nationalen Aufsichtsbehörden Bußgelder verhängen: bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes, je nachdem, was höher ist. Für Systeme, die vorher schon im Einsatz waren, gilt für die technische Kennzeichnung eine Übergangsfrist bis zum 2. Dezember 2026.
Was nicht am 2. August kommt: die Pflichten für Hochrisiko-Systeme. Die hat die EU per Digital Omnibus verschoben — Anhang III auf Ende 2027, die in regulierte Produkte eingebettete KI nach Anhang I auf 2028. Genau diese Verschiebung sorgt gerade für das größte Missverständnis, dazu unten mehr.
[BILD 2: eu-ai-act-fristen-zeitstrahl-2026.png]
Verschoben wurden nur die Hochrisiko-Teile. Die Pflichten, die dich im Büro betreffen, laufen bereits oder starten jetzt.
Die Details zu den Kennzeichnungspflichten hat die IHK Nürnberg gut aufbereitet — dort steht auch, dass für kleine und mittlere Unternehmen vereinfachte Dokumentationsanforderungen gelten.
Und damit zur Liste.
Ding 1: Wie erstellst du ein KI-Inventar in 20 Minuten?
Ein KI-Inventar ist eine Tabelle mit drei Spalten: welches Tool, wofür, wer sitzt dran. Mehr braucht es am Anfang nicht.
Die entscheidende Regel dabei: Schreib auf, was tatsächlich läuft — nicht, was offiziell freigegeben ist. Also auch das ChatGPT, das jemand über den privaten Account benutzt, weil es schneller geht als der Freigabeprozess.
Dass das kein Randphänomen ist, zeigt eine Bitkom-Befragung von 604 Unternehmen ab 20 Beschäftigten aus Juli und August 2025: In 8 Prozent der Unternehmen ist die Nutzung privater KI-Zugänge weit verbreitet, in 17 Prozent gibt es Einzelfälle, weitere 17 Prozent vermuten sie. Zusammengerechnet gehen also gut vier von zehn Firmen davon aus, dass KI läuft, die nirgends erfasst ist. Gleichzeitig hatten nur 23 Prozent überhaupt Regeln aufgestellt.
Aus fünfzehn Jahren Projektmanagement in der Life-Science-Branche kenne ich das Muster: In jedem Audit war die erste Frage nie „Macht ihr es richtig?“, sondern „Wisst ihr, was ihr überhaupt tut?“. Die zweite Frage kam nur, wenn die erste beantwortet war. Beim AI Act ist es genauso.
So gehst du vor:
- Öffne eine leere Tabelle mit den Spalten Tool, Zweck, Wer nutzt es, Firmen- oder Privatzugang.
- Geh dein eigenes Team durch und frag konkret: „Was benutzt du gerade, auch privat, um schneller fertig zu werden?“ Ohne Vorwurf im Ton — sonst bekommst du keine ehrlichen Antworten.
- Ergänze die KI-Funktionen, die in Tools stecken, die ihr ohnehin habt: Zusammenfassungen im Mailprogramm, Assistenzfunktionen im Office-Paket, Transkription in der Meeting-Software.
- Speichere die Datei an einem Ort, den auch jemand anders findet.
Punkt 3 wird am häufigsten übersehen. Die meisten denken bei „KI-Tool“ an ChatGPT und vergessen die Funktion, die letztes Quartal still in ihre Meeting-Software eingebaut wurde.
Ding 2: Was musst du ab dem 2. August kennzeichnen?
Kennzeichnen musst du überall dort, wo ein Mensch von außen auf das Ergebnis schaut oder mit dem System spricht. Also: Chatbot auf der Website, KI-generierte Antworten im Support, generierte Bilder in der Unternehmenskommunikation.
Eine pauschale Kennzeichnungspflicht für jeden KI-Inhalt gibt es dagegen nicht. Artikel 50 unterscheidet zwischen Anbietern und Betreibern und behandelt Chatbots, Deepfakes und Texte unterschiedlich. Für den Büroalltag reicht als Faustregel: Interaktion und veröffentlichte synthetische Inhalte werden gekennzeichnet, ein internes Protokoll, das du selbst geprüft hast, nicht.
Der Aufwand ist klein. „Erstellt mit KI.“ Ein Satz. Fertig.
Der eigentliche Umstieg passiert im Kopf: nicht kennzeichnen, wenn jemand nachfragt, sondern so bauen, dass es sichtbar ist. Beim Chatbot heißt das ein Satz im ersten Fenster, beim Bild eine Zeile in der Bildunterschrift oder eine kleine Angabe in der Ecke.
Geh dazu einfach dein Inventar aus Ding 1 von oben nach unten durch und setz hinter jede Zeile ein Ja oder Nein in einer neuen Spalte „sichtbar nach außen“. Alles mit Ja braucht einen Hinweis.
Ding 3: Warum ist der Schulungsnachweis die häufigste Lücke?
Weil ihn fast niemand auf dem Schirm hat — und weil er nicht neu ist.
Artikel 4 der KI-Verordnung verlangt bereits seit dem 2. Februar 2025, dass Personen, die im Auftrag des Unternehmens mit KI-Systemen umgehen, über ein angemessenes Maß an KI-Kompetenz verfügen. Unabhängig von der Firmengröße. Auch im Fünf-Personen-Betrieb. Und ausdrücklich auch für externe Dienstleister, freie Mitarbeiter und Praktikanten.
Was die Verordnung nicht vorschreibt, ist ein bestimmtes Format. Es gibt kein behördlich genormtes Zertifikat. Aus der Beweislast folgt aber: Du musst zeigen können, dass du etwas getan hast. In der Praxis akzeptiert wird typischerweise die Kombination aus einem schriftlichen Curriculum, einer Teilnehmerliste mit Namen und Datum und irgendeiner Form von Lernkontrolle.
Der Unterschied zwischen „wir haben da mal drüber geredet“ und „das ist dokumentiert“ ist ein Blatt Papier. Praktisch heißt das: Wenn du dieses Thema mit deinem Team einmal durchgehst — im Meeting, anhand eines Videos, egal wie — und danach ein Blatt mit Datum, Inhalten und Namen ablegst, dann hast du die Grundkompetenz belegt.
Wichtig ist auch der Zeitbezug. Die Pflicht gilt seit Februar 2025, aber durchsetzbar über Bußgelder wird sie erst ab dem 2. August 2026. Wer 2026 noch keinen einzigen Nachweis vorlegen kann, steht bei einer Prüfung schlecht da.
Falls du dafür ein fertiges Gerüst statt eines leeren Blatts willst: In meinem EU AI Act Compliance Kit liegen Vorlagen für Curriculum, Teilnehmerliste, Nutzungsrichtlinie und Inventar bereits vorbereitet — gedacht für Unternehmen, die das in wenigen Tagen abschließen wollen, statt es über Wochen zu bauen.
Ding 4: Welche KI-Version darf welche Firmendaten sehen?
Das ist der wichtigste Punkt der Liste, und er hat mit dem AI Act direkt gar nichts zu tun. Die Rechtsgrundlage ist die DSGVO.
Kundennamen, Mitarbeiterdaten und vertrauliche Zahlen gehören nicht in die kostenlosen Versionen von ChatGPT, Claude oder Gemini. Der Grund: Bei den Gratis- und Privattarifen gibt es in der Regel keinen Auftragsverarbeitungsvertrag, und Eingaben können in das Training der Modelle einfließen.
Der Unterschied liegt im Auftragsverarbeitungsvertrag — nicht im Funktionsumfang.
Der Fix ist überschaubar: Für alles mit Personenbezug nutzt ihr die Team- oder Enterprise-Variante. Die bringt den Vertrag mit und trainiert nicht mit euren Daten. Für allgemeine Texte ohne Namen reicht die normale Version weiter.
Konkret betrifft das die Business-Tarife der bekannten Anbieter — die Details unterscheiden sich allerdings je Tarif und ändern sich regelmäßig. Prüf die Bedingungen deines konkreten Vertrags, statt dich auf eine Aufzählung aus einem Artikel zu verlassen. Das ist einer der Punkte, an denen ich meine eigenen Notizen alle paar Monate korrigieren muss.
Und keine Sorge: Du musst nicht alles umstellen. Nur der rote Bereich braucht die bezahlte Version. Der Rest deiner Arbeit läuft weiter wie bisher.
Wie schnell hier etwas schiefgeht, zeige ich am Bildschirm in diesem Video: Was du im Büro niemals in Gemini oder NotebookLM eingeben darfst.
Ding 5: Was bringt ein Ein-Zeilen-Log?
Es dreht die Beweislast um.
Immer wenn ihr eine neue KI-Nutzung startet, schreibt ihr eine Zeile: Datum, welches Tool, wofür, wer hat es freigegeben. Das ist kein bürokratisches Monster, sondern eine Tabelle, die mit der Zeit zu deinem Nachweis wird — dem Nachweis, dass ihr bewusst entschieden habt.
Im Datenschutz gilt seit jeher: Was du nicht dokumentiert hast, hast du im Zweifel nicht gemacht. Diese eine Zeile ist die billigste Versicherung gegen genau diesen Satz.
Praktisch: Häng das Log als zweites Tabellenblatt an dein Inventar. Dann liegt beides an einem Ort, und du musst dir nicht merken, wo was steht.
Zu viel auf einmal?
Das Thema ist nicht kompliziert, aber es ist viel und meistens kommt es zu dem dazu, was ohnehin schon auf dem Schreibtisch liegt. Wenn du das Gefühl hast, du bräuchtest eigentlich jemanden, der einmal mit dir draufschaut und sortiert, was für eure Situation überhaupt relevant ist: Dafür nehme ich mir 30 Minuten Zeit, unverbindlich.
Wenn du lieber erst selbst weiterprobieren willst auf meinem YouTube-Kanal zeige ich solche Abläufe Schritt für Schritt am Bildschirm.
Der eine Fehler, der alle fünf Punkte wertlos macht
Warten.
„Der AI Act ist doch verschoben“ — das stimmt, aber nur für die Hochrisiko-Teile. Die Kompetenzpflicht aus Artikel 4 gilt seit Februar 2025, die Transparenzpflichten aus Artikel 50 starten am 2. August 2026, und ab da können Behörden Bußgelder verhängen. Wer bis 2027 wartet, wartet an der falschen Stelle.
Dass die Rechtsprechung dabei nicht stillsteht, zeigt ein aktueller Fall: Das Landgericht München I hat Ende Mai 2026 entschieden, dass Plattformbetreiber für KI-generierte Zusammenfassungen von Nutzerbewertungen direkt haften — solche Zusammenfassungen gelten rechtlich als eigene Aussage des Betreibers. Wer KI einsetzt, verantwortet also, was dabei herauskommt.
Die Haftungsfrage ist ein Thema für sich. Ich habe sie hier ausführlicher aufgearbeitet: Lade keine Firmendaten in Claude Cowork — du haftest persönlich.
Häufige Fragen zum EU AI Act im Büro
Gilt der EU AI Act auch für kleine Unternehmen?
Ja. Die Kompetenzpflicht nach Artikel 4 und die Transparenzpflichten nach Artikel 50 gelten unabhängig von der Unternehmensgröße. Für KMU sieht die Verordnung allerdings vereinfachte Dokumentationsanforderungen und einen erleichterten Zugang zu KI-Reallaboren vor.
Was passiert am 2. August 2026 konkret?
Die Transparenzpflichten nach Artikel 50 werden anwendbar, und die nationalen Aufsichtsbehörden können Bußgelder durchsetzen — bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes. Für Systeme, die vorher schon liefen, gilt für die technische Kennzeichnung eine Frist bis zum 2. Dezember 2026.
Muss ich jeden KI-generierten Text kennzeichnen?
Nein. Eine pauschale Kennzeichnungspflicht für jeden KI-Inhalt gibt es nicht. Entscheidend ist, ob Menschen von außen mit dem System interagieren oder synthetische Inhalte veröffentlicht werden. Ein intern genutzter, von dir geprüfter Text fällt in der Regel nicht darunter.
Wie sieht ein gültiger KI-Schulungsnachweis aus?
Es gibt kein vorgeschriebenes Format und kein genormtes Zertifikat. In der Praxis bewährt hat sich die Kombination aus schriftlichem Curriculum, Teilnehmerliste mit Namen und Datum sowie einer Form von Lernkontrolle. Auch eine dokumentierte Inhouse-Schulung reicht aus.
Darf ich ChatGPT im Unternehmen überhaupt noch nutzen?
Ja. Entscheidend ist nur, welche Daten du eingibst und welchen Tarif du nutzt. Für Inhalte ohne Personenbezug ist auch die normale Version unproblematisch. Sobald Kunden- oder Mitarbeiterdaten im Spiel sind, brauchst du einen Tarif mit Auftragsverarbeitungsvertrag.
Wurde der EU AI Act nicht verschoben?
Nur teilweise. Per Digital Omnibus wurden die Hochrisiko-Pflichten verschoben: Anhang III auf Dezember 2027, Anhang I auf August 2028. Kompetenzpflicht und Transparenzpflichten sind davon nicht betroffen.
Fazit
- Fünf Punkte, ein halber Nachmittag: Inventar, Kennzeichnung, Schulungsnachweis, Firmendaten raus aus Gratis-Tools, Ein-Zeilen-Log.
- Der Schulungsnachweis ist die günstigste Lücke, die du schließen kannst — er gilt seit Februar 2025 und kostet dich ein Blatt Papier.
- Nichts davon verlangt Perfektion. Verlangt wird, dass du entschieden und aufgeschrieben hast, wie ihr KI einsetzt.
Mach das in den nächsten Tagen, und der 2. August ist für dich einfach ein Tag im Kalender.
Mehr zu dem Thema, Schritt für Schritt am Bildschirm: auf dem Kanal.
Dieser Artikel ist eine praxisorientierte Einordnung und ersetzt keine Rechtsberatung.
