Agentische KI und EU AI Act: Compliance-Guide 2026

Der EU AI Act ist keine ferne Regulierung mehr. Ab August 2026 gelten Transparenzpflichten für KI-Systeme mit begrenztem Risiko. Genau in diese Kategorie fallen die meisten operativen KI-Agenten im KMU. Dieser Guide zeigt, was das konkret bedeutet und wie Sie in wenigen Schritten compliant werden.

Die Risikoklassen im Überblick

Der AI Act unterscheidet vier Klassen:

1. Unannehmbares Risiko: verboten (Social Scoring, biometrische Massenüberwachung, manipulative Systeme).
2. Hohes Risiko: umfangreiche Dokumentations-, Test- und Meldepflichten (Personalauswahl, Kreditvergabe, kritische Infrastruktur, Medizin).
3. Begrenztes Risiko: Transparenzpflicht (Chatbots, Content-Generierung, viele operative Agenten).
4. Minimales Risiko: keine spezifischen Pflichten.

Die meisten Agenten im KMU-Einsatz (CRM, ERP, Sales, Support) fallen in begrenztes Risiko. Das ist eine gute Nachricht, weil die Anforderungen überschaubar sind.

Was Transparenzpflicht konkret bedeutet

Für begrenztes Risiko müssen Sie fünf Dinge liefern:

1. Kennzeichnung: Nutzer:innen müssen erkennen, dass sie mit einem KI-System interagieren.
2. Transparenzregister: eine öffentlich zugängliche Übersicht, wo im Unternehmen KI eingesetzt wird, mit welchem Zweck und welchem Modell.
3. Kennzeichnung KI-generierter Inhalte: insbesondere bei Texten, Bildern, Audio, die veröffentlicht werden.
4. Ansprechperson: eine benannte Person für Rückfragen und Beschwerden.
5. Dokumentation der Anbieterkette: welches Basismodell (Foundation Model) genutzt wird, welche Feinabstimmung stattgefunden hat.

Ein Beispiel für ein Transparenzregister sehen Sie in unserem eigenen KI-Transparenzhinweis.

Warum agentische KI hier strukturell im Vorteil ist

Ein Agent ist per Definition ein System mit Zielen, Werkzeugen und Aktionen. Anders als ein freies LLM ist jede Aktion protokolliert, jede Freigabe dokumentiert, jeder Datenzugriff nachvollziehbar. Genau das verlangt der AI Act. Ein sauber gebauter Agent liefert die Dokumentation quasi als Nebenprodukt.

Ein freier ChatGPT-Zugang im Unternehmen (Shadow AI) ist dagegen ein Compliance-Albtraum. Kein Log, kein Zweckbezug, kein Verantwortlicher. Deshalb gehen viele Unternehmen 2026 den Weg: freies LLM raus, strukturierter Agent rein.

Der Compliance-Fahrplan in fünf Schritten

1. Inventar: alle KI-Systeme im Unternehmen erfassen (auch Shadow AI).
2. Risikoklasse pro System bestimmen: begrenzt oder hoch.
3. Transparenzregister anlegen und veröffentlichen.
4. Ansprechperson benennen und intern kommunizieren.
5. Bei High-Risk-Systemen: separate Konformitätsbewertung, technische Dokumentation, Meldepflichten.

Für die meisten KMU sind Schritte 1-4 in wenigen Wochen erledigt. Schritt 5 nur, wenn tatsächlich High-Risk-Systeme im Einsatz sind.

Was bei Verstößen droht

Bußgelder bis 35 Millionen Euro oder 7 Prozent des weltweiten Umsatzes bei verbotenen Praktiken, bis 15 Millionen oder 3 Prozent bei High-Risk-Verstößen, bis 7,5 Millionen oder 1 Prozent bei Transparenzverstößen. Für ein KMU sind die realistischen Risiken eher Wettbewerbsschäden und Reputation als Rekordbußgelder, aber die Größenordnung zeigt, dass die EU es ernst meint.

Nächster Schritt

Wenn Sie ein Transparenzregister brauchen oder Ihre bestehenden KI-Einsätze klassifizieren wollen, machen wir das im Rahmen eines Agent-Projekts standardmäßig mit. Mehr im Pillar-Leitfaden Agentische KI für Unternehmen.

Weiterlesen

• EU AI Act Österreich 2026
• Shadow AI: Das unterschätzte Risiko
• Digitale Souveränität und KI
• KI-Transparenzhinweis von ChangeMy.AI