EU AI Act für Unternehmen: Pflichten, Zeitplan und Umsetzung

Das Wichtigste in Kürze:

• Der AI Act betrifft praktisch jedes Unternehmen, das KI-Systeme einsetzt.
• Seit 2. Februar 2025 gelten die Verbote und die Kompetenzpflicht nach Art. 4.
• Ab 2. August 2026 kommen Transparenzpflichten dazu; Hochrisiko-Fristen wurden auf 2027/2028 verschoben.
• Der beste Start ist ein KI-Inventar, keine 40-seitige Richtlinie.

Stand: Juli 2026. Dieser Artikel ist keine Rechtsberatung. Er ordnet ein, was für Unternehmen praktisch relevant ist. Für die rechtliche Bewertung deines konkreten Falls gehören Fachanwält:innen oder eine Datenschutzbeauftragte an den Tisch. Er ist Teil unseres Clusters KI-Governance, Datenschutz und Sicherheit.

Problem und Zielgruppe

Der AI Act ist seit dem 1. August 2024 in Kraft, gilt aber gestuft. Genau diese Staffelung sorgt für Verwirrung. Wer im Sommer 2026 nach „EU AI Act Unternehmen“ sucht, bekommt widersprüchliche Aussagen. Manche Quellen sagen, ab August 2026 gelte „fast alles“, andere sprechen von Fristen bis 2028, und beides stimmt, weil die EU die Zeitpläne im ersten Halbjahr 2026 verändert hat. Dazu unten mehr.

Für Geschäftsführung, Operations, IT und Fachbereich in KMU stellt sich eine sehr konkrete Frage. Betrifft mich das überhaupt, und was genau muss ich jetzt tun? Die ehrliche Antwort: Ja. Es betrifft praktisch jedes Unternehmen, das KI-Systeme nutzt, unabhängig von der Größe. Aber nicht jedes Unternehmen trifft dieselben Pflichten. Für ein KMU ohne Hochrisiko-Systeme ist vieles deutlich handhabbarer, als der Name „umfassendste KI-Regulierung der Welt“ vermuten lässt.

Dieser Artikel beantwortet 5 Fragen im Zusammenhang: Für wen gilt der AI Act, welche Risikoklassen gibt es, welche Pflichten gelten bereits, welche Termine gelten aktuell, und wie startet die Umsetzung? Er ist der Einstiegsartikel in dieses Teilthema. Details zu einzelnen Pflichten, etwa zur Kompetenzpflicht nach Art. 4 oder zur Risikobewertung, vertiefen die anderen Artikel im Cluster KI-Governance.

Begriffe kurz geklärt

Diese 4 Begriffe tauchen im Rest des Artikels ständig auf. Ihre Verwechslung ist die häufigste Quelle für Missverständnisse.

• Anbieter (Provider): Wer ein KI-System oder ein General-Purpose-AI-Modell entwickelt und unter eigenem Namen auf den EU-Markt bringt. Das trifft auf die meisten KMU nicht zu. Ausnahme: Sie bauen selbst KI-Produkte oder passen ein fremdes System so stark an, dass sie rechtlich zum Anbieter werden.

• Betreiber (Deployer): Wer ein KI-System im eigenen Namen in beruflichem Kontext nutzt. Das trifft auf die meisten KMU zu, sobald ein Team ein KI-Tool im Arbeitsalltag einsetzt, vom Chatbot im Kundenservice bis zur automatisierten Vorsortierung von Bewerbungen.

• General-Purpose-AI-Modell (GPAI): ein KI-Modell für vielfältige Aufgaben, das häufig als Basis für andere KI-Systeme dient, etwa die großen Sprachmodelle hinter vielen Chat- und Assistenzprodukten. Für die meisten Nutzer solcher Modelle gelten primär die Pflichten der jeweiligen GPAI-Anbieter, nicht eigene Anbieterpflichten.

• Hochrisiko-System: ein KI-System, das Sicherheitsbauteil eines bereits regulierten Produkts ist (etwa eines Medizingeräts) oder in einen sensiblen Einsatzbereich aus Anhang III fällt. Dazu zählen etwa Personalauswahl, Kreditwürdigkeitsprüfung und der Zugang zu wesentlichen Dienstleistungen.

Wichtig als Abgrenzung nach unten: Wer ChatGPT, Copilot oder ein vergleichbares Tool für Textentwürfe, Recherche oder interne Zusammenfassungen einsetzt, ist in aller Regel Betreiber. Das betroffene System hat dann minimales oder allenfalls Transparenzrisiko, liegt also nicht automatisch im Hochrisiko-Bereich. Die Einstufung hängt am konkreten Verwendungszweck, nicht am Tool als solchem.

Für wen gilt der AI Act?

Der AI Act gilt laut Europäischer Kommission für öffentliche und private Akteure innerhalb und außerhalb der EU. Entscheidend ist, ob ein KI-System oder GPAI-Modell auf den EU-Markt gebracht oder in der EU genutzt wird. Der Sitz des Unternehmens spielt keine Rolle. Es zählt, ob die Auswirkungen der Nutzung in der EU eintreten. Ein US-Anbieter, dessen KI-Tool von einem Unternehmen in Deutschland eingesetzt wird, fällt damit ebenso unter die Verordnung wie ein deutsches KMU selbst.

Es gibt 3 praktisch relevante Ausnahmen:

1. Forschung und Entwicklung vor Markteinführung. Solange ein System nicht auf den Markt gebracht oder in Betrieb genommen wird, greifen die Pflichten noch nicht.
2. Militär, Verteidigung und nationale Sicherheit. Diese Bereiche sind ausdrücklich ausgenommen.
3. Bestimmte Open-Source-Modelle. Für frei zugängliche GPAI-Modelle ohne systemisches Risiko gelten reduzierte Dokumentationspflichten.

Für KMU sieht die Verordnung zusätzlich 3 unterstützende Maßnahmen vor. Dazu zählen bevorzugter Zugang zu regulatorischen Sandboxes, vereinfachte Dokumentationsvorlagen für Klein- und Kleinstunternehmen sowie reduzierte Gebühren für Konformitätsbewertungen. Das ändert nichts an der grundsätzlichen Pflicht. Es senkt aber den Aufwand, sie zu erfüllen; dieser Punkt geht in vielen Diskussionen unter.

Für die praktische Selbsteinschätzung reicht meist eine einzige Frage. Setzen wir KI-Systeme im Geschäftsbetrieb ein, oder bringen wir selbst welche in den Verkehr? Im ersten Fall bist du Betreiber, im zweiten zusätzlich Anbieter. Die Pflichten unterscheiden sich deutlich, wie der nächste Abschnitt zeigt.

Ein Praxisbeispiel aus Beratungsgesprächen: Ein Handwerksbetrieb mit 40 Beschäftigten nutzt ein Standard-Chatbot-Tool für die Kundenkommunikation auf der Website. Er ist damit Betreiber, nicht Anbieter. Die Pflichten des Anbieters, also Konformitätsbewertung und technische Dokumentation, treffen den Tool-Hersteller.

Für den Betrieb selbst bleiben vor allem Betreiberpflichten relevant: sachgerechte Nutzung gemäß Anleitung und menschliche Aufsicht dort, wo sie vorgesehen ist. Sobald der Chatbot mit Kund:innen interagiert, kommt die Transparenzpflicht dazu; es muss erkennbar sein, dass keine Person antwortet. Das ist ein deutlich schlankerer Pflichtenkatalog als der, den viele Unternehmen aus Angst vor „der KI-Verordnung“ befürchten.

Welche Risikoklassen gibt es?

Der AI Act ordnet KI-Systeme in 4 Stufen, und zwar nach dem Risiko des Einsatzzwecks, nicht nach Technologie. Das ist der zentrale Denkfehler. Ich sehe ihn in Gesprächen am häufigsten. Unternehmen fragen „Ist unser Tool Hochrisiko?“, obwohl die richtige Frage lautet: „Ist unser Einsatzzweck Hochrisiko?“. Dasselbe Sprachmodell kann in einer Anwendung minimales Risiko haben (Textentwurf) und in einer anderen Hochrisiko sein (automatisierte Vorauswahl von Bewerbungen).

• Unannehmbares Risiko (verboten): 8 explizit gelistete Praktiken, darunter Social Scoring, manipulative Beeinflussung, ungezieltes Auslesen von Gesichtsbildern und Emotionserkennung am Arbeitsplatz. Der Einsatz ist untersagt.

• Hochrisiko: Sicherheitsbauteile regulierter Produkte plus 9 Bereiche aus Anhang III, etwa Bewerber-Vorauswahl, Bonitätsprüfung, Zugang zu wesentlichen Dienstleistungen und bestimmte biometrische Systeme. Zentrale Pflichten sind Risikomanagement, Dokumentation, menschliche Aufsicht und Registrierung.

• Transparenzrisiko: Systeme mit Interaktions- oder Täuschungspotenzial wie Chatbots, KI-generierte Inhalte und Deepfakes. Die Pflicht: Nutzer:innen müssen wissen, dass sie mit KI interagieren.

• Minimales Risiko: der weit überwiegende Teil aktueller KI-Anwendungen, etwa Textentwürfe, interne Zusammenfassungen, Rechtschreibkorrektur und Übersetzung. Hier entstehen keine neuen Pflichten aus dem AI Act.

Eigene Übersicht Philogic Labs, zusammengestellt aus den Risikokategorien der Europäischen Kommission (siehe Quellen). Sie ersetzt keine Einzelfallprüfung.

Zusätzlich gibt es eine eigene Kategorie für GPAI-Modelle mit „systemischem Risiko“: Modelle, deren Training mehr als 10^25 FLOP an Rechenleistung verbraucht hat, gelten als potenziell systemisch riskant. Sie unterliegen zusätzlichen Pflichten wie Sicherheitsbewertungen und Vorfallmeldungen. Das betrifft praktisch ausschließlich die größten Modellanbieter, nicht die Unternehmen, die diese Modelle nutzen.

Für die meisten KMU ohne Hochrisiko-Anwendungen bleibt vor allem die Transparenzpflicht praxisrelevant. Interagiert ein Chatbot auf der Website mit Kund:innen, oder veröffentlicht das Unternehmen KI-generierte Bilder oder Texte? Dann muss erkennbar sein, dass KI beteiligt war.

Welche Pflichten gelten bereits?

Hier lohnt sich eine ehrliche Bestandsaufnahme, weil sich in den letzten Monaten viel bewegt hat. Verbindlich in Kraft sind, Stand Juli 2026, die folgenden Regeln.

Seit dem 2. Februar 2025: die 8 verbotenen Praktiken sowie die Kompetenzpflicht nach Art. 4 (AI Literacy). Letztere verpflichtet Anbieter und Betreiber, für ein angemessenes Kompetenzniveau bei allen Personen zu sorgen, die in ihrem Auftrag mit KI-Systemen arbeiten. Diese Pflicht betrifft die meisten KMU am direktesten und wird am häufigsten übersehen. Sie kommt ohne technische Infrastruktur aus. Deshalb wirkt sie nicht wie „Compliance“. Details behandelt der eigene Artikel zu AI Literacy in diesem Cluster.

Seit dem 2. August 2025: die Governance-Regeln der Verordnung sowie die Pflichten für GPAI-Anbieter. Dazu zählen Dokumentation, Offenlegung gegenüber nachgelagerten Systemanbietern und die Einhaltung des EU-Urheberrechts; für Modelle mit systemischem Risiko kommen Bewertungs- und Meldepflichten dazu. Für Unternehmen, die fremde GPAI-Modelle lediglich nutzen, sind diese Pflichten indirekt relevant. Sie richten sich an die Modellanbieter, nicht an die Nutzer selbst.

Was für die meisten KMU-Betreiber aktuell faktisch bindend ist, lässt sich auf 2 Punkte verdichten: die Kompetenzpflicht und die Vermeidung der verbotenen Praktiken. Beides ist ohne große Compliance-Struktur umsetzbar. Es erfordert aber, dass es überhaupt jemand verantwortet; dazu mehr im Umsetzungsabschnitt.

Ein Missverständnis begegnet mir häufig. Manche Unternehmen glauben, das Thema AI Act lasse sich bis 2027/2028 komplett vertagen, weil die großen Hochrisiko-Pflichten erst dann greifen. Das stimmt für die Hochrisiko-Pflichten selbst, aber nicht für die Kompetenzpflicht. Die läuft bereits seit Februar 2025 und wird ab dem 2. August 2026 auch von den nationalen Marktüberwachungsbehörden beaufsichtigt. Wer bis dahin keine dokumentierten Kompetenzmaßnahmen vorweisen kann, hat kein „noch Zeit“-Problem, sondern ein Nachholbedarf-Problem.

Welche Termine gelten aktuell?

Dieser Abschnitt ist der Grund, warum viele Zeitpläne im Netz veraltet sind. Der Gesetzgeber hat die ursprünglich für August 2026 vorgesehenen Fristen für Hochrisiko-Systeme im ersten Halbjahr 2026 verändert. Der Rat der Europäischen Union hat dem Vereinfachungspaket am 29. Juni 2026 final zugestimmt; das Europäische Parlament hatte bereits am 16. Juni 2026 zugestimmt.

• 1. August 2024: Der AI Act tritt in Kraft (Veröffentlichung im Amtsblatt).

• 2. Februar 2025: Verbotene Praktiken sind untersagt; die AI-Kompetenzpflicht (Art. 4) gilt.

• 2. August 2025: Governance-Regeln und Pflichten für GPAI-Anbieter gelten.

• 2. August 2026: Transparenzpflichten (Art. 50) und der überwiegende Teil der übrigen Regeln werden anwendbar.

• 2. Dezember 2026: Die Übergangsfrist für Transparenzkennzeichnung bei bereits im Markt befindlichen Systemen (Art. 50 Abs. 2) endet.

• 2. August 2027: Frist für den Aufbau nationaler KI-Regulatory-Sandboxes.

• 2. Dezember 2027: Pflichten für eigenständige Hochrisiko-Systeme nach Anhang III (etwa Personalauswahl, Bonität) werden anwendbar.

• 2. August 2028: Pflichten für Hochrisiko-KI in bereits regulierten Produkten (etwa Medizingeräten) werden anwendbar.

Eigene Zusammenstellung Philogic Labs auf Basis der Angaben von Europäischer Kommission und Rat der EU (siehe Quellen). Diese Übersicht ist eine Orientierungshilfe, keine abschließende Rechtsauskunft; maßgeblich ist der vollständige Verordnungstext.

Die wichtigste praktische Konsequenz: Der Satz „ab August 2026 gilt der AI Act vollständig“ ist nur noch bedingt richtig. Die Transparenzpflichten und die meisten übrigen Regeln greifen tatsächlich ab diesem Datum; die besonders aufwändigen Pflichten für Hochrisiko-Systeme wurden dagegen auf Ende 2027 beziehungsweise 2028 verschoben. Der Grund laut Gesetzgeber: Harmonisierte Normen und praktische Leitlinien lagen dafür noch nicht rechtzeitig vor.

Für die meisten KMU ohne Hochrisiko-Anwendungen ändert das an der grundsätzlichen Marschrichtung wenig, es nimmt aber Zeitdruck aus einer Compliance-Struktur, die 2026 noch nicht final zu Ende reguliert war.

Wie startet die Umsetzung?

Der größte Fehler aus meiner Beratungspraxis ist nicht, zu spät anzufangen. Es ist der falsche erste Schritt: eine 40-seitige Richtlinie, bevor überhaupt klar ist, welche Systeme im Haus im Einsatz sind. Ich empfehle stattdessen eine Reihenfolge in 4 Schritten.

1. KI-Inventar erstellen. Welche KI-Systeme nutzt dein Unternehmen tatsächlich? Dazu zählen nicht nur die offiziell eingeführten, sondern auch das, was einzelne Teams eigenständig ausprobieren. Ohne diese Bestandsaufnahme lässt sich keine der folgenden Fragen beantworten. Das Thema unkontrollierter, nicht erfasster KI-Nutzung behandelt der Cluster-Artikel zu Shadow AI vertieft.

2. Rolle und Risikoklasse pro System klären. Für jedes erfasste System: Sind wir Anbieter oder Betreiber, und in welchen Anhang-III-Bereich könnte der Einsatzzweck fallen? Die meisten Systeme lassen sich mit der Entscheidungsmatrix unten schnell einer der 4 Risikostufen zuordnen. Für Grenzfälle wie KI in der Personalauswahl oder Kreditentscheidung lohnt sich eine vertiefte Prüfung, im Zweifel mit Rechtsberatung.

3. Kompetenzmaßnahmen aufsetzen. Die AI-Kompetenzpflicht gilt bereits seit Februar 2025; das ist der Schritt mit dem geringsten zeitlichen Puffer. Er muss nicht aufwändig sein. Ein rollenbasierter Überblick, was KI kann und wo ihre Grenzen liegen, plus Dokumentation der Schulungen reicht als Nachweis. Details dazu im eigenen Artikel zu AI Literacy.

4. Kurze Nutzungsrichtlinie und laufende Überprüfung. Eine Seite mit klaren Regeln schlägt ein Dokument, das niemand liest. Hinein gehören: welche Daten in welche Tools dürfen, wer neue Anbieter prüft, was grundsätzlich untersagt ist. Systemlandschaft und Rechtslage entwickeln sich weiter, wie die Fristverschiebung 2026 zeigt. Aktualisiere die Bestandsaufnahme deshalb mindestens vierteljährlich, statt sie einmalig zu erstellen und liegen zu lassen.

Wer verantwortet das im Unternehmen?

Für ein KMU reichen zu Beginn 2 benannte Zuständigkeiten. Wichtig ist nicht die Größe des Gremiums, sondern dass überhaupt jemand zuständig ist.

• Eine Person mit Überblick über die KI-Nutzung. Sie pflegt das Inventar, kennt die eingesetzten Systeme und ist erste Anlaufstelle für neue Tools. In vielen KMU ist das dieselbe Person, die auch Datenschutzfragen koordiniert; die Themen überschneiden sich ohnehin stark.

• Eine Eskalationsstelle für Grenzfälle. Geht ein System in Richtung Personalentscheidung, Bonitätsprüfung oder biometrische Verarbeitung, muss klar sein, wer die vertiefte Prüfung anstößt. Das geht intern, mit Rechtsberatung oder mit beidem. Ohne diese Stelle bleiben Grenzfälle liegen, bis sie zum Problem werden.

Was du dafür nicht brauchst: ein AI-Compliance-Team oder eine Vollzeitstelle „KI-Beauftragte:r“. Für die meisten KMU wächst diese Verantwortung mit der Anzahl und dem Risiko der eingesetzten Systeme, nicht umgekehrt.

Entscheidungsmatrix: Wo steht ein System?

Für Schritt 2 hilft diese Prüfreihenfolge. Sie ersetzt keine Rechtsberatung, sortiert aber die meisten Alltagsfälle schnell vor.

1. Trifft das System eine der 8 verbotenen Praktiken, etwa Social Scoring oder Emotionserkennung am Arbeitsplatz? Wenn ja: Einsatz stoppen, das System nicht verwenden. Wenn nein: weiter zur nächsten Frage.

2. Fällt der Einsatzzweck in einen der 9 Anhang-III-Bereiche, oder ist das System Sicherheitsbauteil eines regulierten Produkts? Beispiele: Personalauswahl, Bonität, kritische Infrastruktur. Wenn ja: Hochrisiko-Prüfung starten, die Fristen 2027/2028 beachten, Rechtsberatung einbeziehen. Wenn nein: weiter zur nächsten Frage.

3. Interagiert das System direkt mit Menschen, oder erzeugt es Inhalte, die als menschengemacht missverstanden werden könnten? Typisch: Chatbot, generierte Texte oder Bilder. Wenn ja: Transparenzpflicht, also die KI-Herkunft kenntlich machen. Wenn nein: weiter zur nächsten Frage.

4. Bleibt der Einsatz auf interne Unterstützung ohne Personenentscheidung beschränkt, etwa Textentwurf, Zusammenfassung oder Recherche? Wenn ja: in der Regel minimales Risiko; die Kompetenzpflicht bleibt trotzdem bestehen. Wenn nein: den Einzelfall genauer prüfen.

Eigene Entscheidungsmatrix Philogic Labs. Sie orientiert sich an den offiziellen Risikokategorien, ist aber eine vereinfachte Vorprüfung für den betrieblichen Alltag, keine rechtsverbindliche Klassifizierung.

Wenn du diese Bestandsaufnahme lieber mit externer Unterstützung machst: Wir erfassen KI-Nutzung, Risikoklassen und Leitplanken strukturiert im Rahmen unseres Beratungsangebots. Oder du klärst in einem kostenlosen Erstgespräch, ob das für dich passt.

Risiken & Grenzen

Ein paar ehrliche Einschränkungen gehören zu diesem Thema dazu; 6 davon nenne ich hier.

• Der Rechtsrahmen ist noch nicht final ausreguliert. Harmonisierte Normen und Durchführungsleitlinien für viele Hochrisiko-Pflichten fehlen laut Gesetzgeber noch; genau deshalb wurden die Fristen 2026 verschoben. Was heute als „wahrscheinliche Auslegung“ gilt, kann sich bis 2027/2028 noch konkretisieren.

• Dieser Artikel ist eine Landkarte, keine Einzelfallprüfung. Ob ein konkretes System in eurem Unternehmen Hochrisiko ist, hängt am genauen Einsatzzweck und lässt sich nicht pauschal aus einer Tabelle ablesen. Grenzfälle wie Personalentscheidungen, Bonitätsprüfung oder biometrische Anwendungen gehören zu Rechtsberatung oder Datenschutzbeauftragten, nicht zu einer Checkliste.

• Bußgelder sind real, aber kein Grund für Aktionismus. Der Rahmen reicht laut Europäischer Kommission bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes bei Verstößen gegen verbotene Praktiken oder Hochrisiko-Pflichten. Bei anderen Pflichtverstößen sind es bis zu 15 Millionen Euro oder 3 %, bei falschen Angaben gegenüber Behörden bis zu 7,5 Millionen Euro oder 1,5 %; maßgeblich ist jeweils der höhere Betrag. Für die meisten KMU mit Standardnutzung wie Textentwürfen oder interner Assistenz ist das Bußgeldrisiko gering. Es steigt deutlich, sobald Personenentscheidungen automatisiert werden.

• Kompetenzaufbau ersetzt keine technischen Schutzmaßnahmen. Die Kompetenzpflicht sorgt dafür, dass Menschen Risiken einschätzen können, sie ersetzt aber weder Datenschutzmaßnahmen noch die Prüfung von Auftragsverarbeitungsverträgen mit KI-Anbietern.

• Der Artikel kennt dein Unternehmen nicht. Er beschreibt die Struktur des AI Act und den aktuellen Zeitplan. Ob eines eurer Systeme in einen Anhang-III-Bereich fällt, lässt sich nur am konkreten Fall klären.

• Die Rechtslage kann sich erneut ändern. Wie die Verschiebung der Hochrisiko-Fristen im Juni 2026 zeigt, ist der AI Act kein abgeschlossenes Regelwerk. Er wird noch nachjustiert, etwa durch Durchführungsrechtsakte und harmonisierte Normen, die die Kommission bis zu den jeweiligen Anwendungsterminen vorlegen soll. Prüfe bei sicherheitsrelevanten Entscheidungen immer den aktuellen Stand auf den offiziellen Seiten der Europäischen Kommission.

Checkliste: AI Act für KMU

Diese 10 Punkte decken den Einstieg ab.

1. Wir haben ein aktuelles KI-Inventar: Alle genutzten oder eingesetzten KI-Systeme sind erfasst, nicht nur die offiziell eingeführten.

2. Für jedes System ist geklärt, ob wir Anbieter, Betreiber oder beides sind.

3. Wir haben jedes System grob einer Risikostufe zugeordnet (verboten, Hochrisiko, Transparenzpflicht, minimal), mit der Entscheidungsmatrix oder vertiefter Prüfung bei Grenzfällen.

4. Kein eingesetztes System fällt unter eine der 8 verbotenen Praktiken.

5. Wir erfüllen die Kompetenzpflicht nach Art. 4: Die Mitarbeitenden, die mit KI arbeiten, sind rollenbasiert geschult, und das ist dokumentiert.

6. Chatbots und KI-generierte Inhalte, die nach außen wirken, sind als solche erkennbar (Transparenzpflicht).

7. Für mögliche Hochrisiko-Kandidaten wie Personalauswahl, Bonität oder biometrische Systeme haben wir die verschobenen Fristen 2027/2028 im Blick, schieben die Prüfung aber nicht unbegrenzt auf.

8. Es gibt eine kurze, aktuelle Nutzungsrichtlinie, die alle kennen.

9. Diese Bestandsaufnahme wird regelmäßig aktualisiert, mindestens vierteljährlich oder bei jeder relevanten Änderung der Rechtslage.

10. Bei Grenzfällen ist geklärt, wer intern oder extern die rechtliche Bewertung übernimmt.

Die vertiefenden Einzelthemen behandeln die weiteren Artikel im Cluster KI-Governance, Datenschutz und Sicherheit: Kompetenzpflicht, KI-Risikobewertung, KI-Nutzungsrichtlinie, Shadow AI und Datenschutz bei KI-Tools.