EU AI Act 2026: Was wirklich gilt und was KMU jetzt tun müssen

Die vier Risikoklassen auf einen Blick

Wer den AI Act nur einmal lesen kann, sollte sich diese Tabelle merken. Die Risikoklasse entscheidet über fast alle Folgepflichten — Dokumentation, Konformitätsbewertung, Strafen, Transparenz. Falsche Klassifizierung ist die häufigste Compliance-Lücke in der Praxis.

Risikoklasse	Beispiele	Pflichten	Strafen
Unacceptable (Art. 5)	Social Scoring, manipulative Subliminal-KI, Echtzeit-Biometrie im öffentlichen Raum	Verboten seit 2. Februar 2025	Bis 35 Mio. € oder 7 % Jahresumsatz
High (Art. 6 + Anhang III)	HR-Bewerber-Scoring, Bonitätsprüfung, Bildungsbewertung, kritische Infrastruktur, Strafverfolgung	Risikomanagement, technische Doku, CE-Konformität, menschliche Aufsicht	Bis 15 Mio. € oder 3 % Jahresumsatz
Limited (Art. 50)	Chatbots, Emotion-Recognition, KI-generierte Inhalte (Text, Bild, Video)	Transparenzpflicht — Nutzende informieren	Bis 7,5 Mio. € oder 1 % Jahresumsatz
Minimal	Spam-Filter, KI in Videospielen, Empfehlungs-Algorithmen ohne sensible Wirkung	Keine spezifischen Pflichten — Best Practices empfohlen	—

Diese Tabelle ist ein vereinfachter Einstieg. Die genaue Einordnung pro Use-Case folgt unten in den jeweiligen H2-Sektionen.

Was ist der EU AI Act in einem Satz?

Der EU AI Act (Verordnung (EU) 2024/1689) ist die weltweit erste umfassende KI-Regulierung; er klassifiziert KI-Systeme nach Risiko, verbietet bestimmte Anwendungen vollständig und verpflichtet die übrigen zu abgestuften Dokumentations-, Transparenz- und Aufsichts-Pflichten. Er gilt seit dem 1. August 2024 in Kraft, die meisten operativen Pflichten greifen seit dem 2. August 2026.

Die Verordnung wurde im Amtsblatt der EU am 12. Juli 2024 veröffentlicht und ist als unmittelbar geltendes EU-Recht in allen Mitgliedstaaten anwendbar — keine nationale Umsetzung wie bei einer Richtlinie nötig. Adressaten sind Anbieter (die das KI-System entwickeln und in Verkehr bringen), Betreiber (die es einsetzen), Importeure und Händler. Geographisch reicht der AI Act über die EU hinaus: Nach Art. 2 erfasst er auch Anbieter außerhalb der EU, deren Output in der EU genutzt wird — die sogenannte extraterritoriale Wirkung.

Drei Konzepte tragen das Gesetz: das risikobasierte Modell (vier Klassen mit eskalierenden Pflichten), die horizontale Geltung (alle Branchen, alle KI-Typen) und die Trennung von Allzweck- und Anwendungs-Schicht (GPAI nach Art. 51–55, konkrete Anwendungen nach Art. 6 + Anhang III). Wer Compliance plant, sollte beide Schichten getrennt betrachten: Foundation-Model-Provider (OpenAI, Anthropic, Mistral) erfüllen GPAI-Pflichten; Anwender (mein KMU) erfüllen Betreiber-Pflichten für ihre konkrete Anwendung.

Welche vier Risikoklassen gibt es?

Der AI Act unterscheidet vier Risikoklassen, die in Art. 5–7 sowie Anhang III definiert sind. Die Klasse hängt nicht am Tool selbst, sondern am Verwendungs-Kontext — dasselbe LLM kann je nach Einsatz Minimal, Limited oder High-Risk sein.

1. Unacceptable Risk (Art. 5 — verboten). Hier hat der Gesetzgeber acht Praktiken vollständig untersagt: manipulative Subliminal-Techniken, Ausnutzung von Schutzbedürftigkeit, Social Scoring durch Behörden, predictive Policing nur auf Profiling-Basis, biometrische Kategorisierung nach sensiblen Attributen (Religion, Ethnie, sexuelle Orientierung), ungezieltes Scraping von Gesichtern aus Internet/CCTV, Emotion-Recognition am Arbeitsplatz und in Bildungseinrichtungen, sowie Echtzeit-Fernidentifizierung im öffentlichen Raum (mit engen Strafverfolgungs-Ausnahmen). Diese Verbote gelten bereits seit 2. Februar 2025.

2. High Risk (Art. 6 + Anhang III). Zwei Pfade führen in diese Klasse. Art. 6 Abs. 1: KI-Systeme, die als Sicherheitskomponente in regulierten Produkten (Medizinprodukte, Spielzeug, Aufzüge etc.) verbaut sind. Art. 6 Abs. 2 + Anhang III: spezifische Anwendungsfelder — Biometrie, kritische Infrastruktur, Bildung, Beschäftigung (Recruiting + Performance-Management), wesentliche Dienstleistungen (Kredit, Versicherung, öffentliche Leistungen), Strafverfolgung, Migration, Justiz. Für diese gelten die strengsten Pflichten: Risikomanagement, Trainingsdaten-Governance, Logging, Transparenz, menschliche Aufsicht, Konformitätsbewertung, CE-Kennzeichnung und Eintrag in die EU-Datenbank.

3. Limited Risk (Art. 50 — Transparenzpflicht). KI-Systeme, die mit Menschen interagieren (Chatbots), Emotionen erkennen oder synthetische Inhalte erzeugen. Pflicht: Nutzende müssen wissen, dass es sich um KI handelt. Bei Deepfakes (Personen, Orte, Ereignisse) zusätzlich sichtbare Kennzeichnung. GPAI-Anbieter müssen synthetische Outputs maschinenlesbar markieren — typischerweise via C2PA-Watermarking.

4. Minimal Risk. Alles, was nicht in die ersten drei Klassen fällt. Spam-Filter, KI in Videospielen, Inventory-Optimierung, simple Empfehlungs-Algorithmen. Keine spezifischen Pflichten aus dem AI Act — wohl aber aus DSGVO, AGG und Branchenrecht.

Welche KI-Anwendungen sind ‚High-Risk’?

Anhang III listet acht High-Risk-Kategorien. Für die KMU-Praxis sind vier davon besonders relevant: Beschäftigung (Recruiting + Mitarbeiter-Management), wesentliche Dienstleistungen (Kredit + Versicherung), Bildung und kritische Infrastruktur.

Im Beschäftigungs-Kontext (Anhang III Nr. 4) sind alle KI-Systeme High-Risk, die Personalentscheidungen vorbereiten oder treffen: Bewerber-Sourcing, Lebenslauf-Scoring, automatisierte Interview-Auswertungen, Promotion-Empfehlungen, Performance-Reviews, Kündigungs-Empfehlungen. Auch HR-Tools mit eingebetteter KI (z. B. Workday Talent, SAP SuccessFactors mit AI-Modulen) fallen darunter, sobald sie scoring- oder selektions-relevant arbeiten. Praxis-Konsequenz: Bewerbende haben nach Art. 26 Abs. 11 Anspruch auf Information, dass eine High-Risk-KI eingesetzt wird.

Bei wesentlichen Dienstleistungen (Anhang III Nr. 5) trifft die Klassifizierung vor allem Kreditwirtschaft (Bonitätsprüfung, Scoring) und Versicherung (Risikobewertung, Prämien-Berechnung) sowie Zugang zu öffentlichen Leistungen. Das ist auch der Bereich, in dem die meisten DSGVO-Auseinandersetzungen liegen (Art. 22 — automatisierte Einzelentscheidung). Beide Regelwerke greifen parallel.

Bildung (Anhang III Nr. 3): Zulassungsentscheidungen, Prüfungsbewertung, Lern-Pfad-Steuerung, Verhaltens-Monitoring während Prüfungen. Adaptive Lern-Plattformen ohne note-relevante Wirkung fallen meist nicht hierunter, automatische Korrektur-Tools für Klausuren schon.

Kritische Infrastruktur (Anhang III Nr. 2): Verkehrs- und Verkehrsleitsysteme, Wasser-, Gas-, Strom-, Wärmenetze, digitale Infrastruktur, kritische Industriebetriebe. Für klassische KMU selten direkt relevant — eher für Energieversorger, Logistiker, Telekom-Provider.

Die übrigen Anhang-III-Kategorien (biometrische Identifikation, Strafverfolgung, Migration/Asyl, Justiz/demokratische Prozesse) sind im KMU-Alltag selten ein Thema, in regulierten Branchen umso mehr.

Welche Pflichten gelten für KMU?

Welche Pflichten dich konkret treffen, hängt an deiner Rolle (Betreiber vs. Anbieter) und der höchsten Risikoklasse deiner Anwendungen. Drei Pflicht-Komplexe trifft fast jedes KMU: AI-Literacy (Art. 4), Transparenz bei Limited-Risk-Anwendungen (Art. 50) und Dokumentation.

Für die typische Limited-Risk-Konstellation (Marketing-Chatbot, Kundenservice-Assistent, Content-Generator) sind die Pflichten überschaubar. Erstens: Kennzeichnung — Nutzende müssen wissen, dass sie mit KI sprechen. Ein Satz im Chat-Header reicht: „Ich bin ein KI-Assistent. Bei verbindlichen Fragen übernimmt eine Mitarbeiter:in.” Zweitens: AI-Literacy nach Art. 4 — Schulung aller Mitarbeitenden, die das Tool bedienen. Drittens: interne Doku des Einsatzes (Zweck, Datenfluss, Verantwortliche).

Für High-Risk-Anwendungen wird es deutlich aufwändiger. Als Betreiber (Art. 26) musst du das System gemäß den Anbieter-Anweisungen einsetzen, Inputs überwachen, Logs mindestens sechs Monate aufbewahren (Art. 19), Betroffene informieren (Art. 26 Abs. 11), DSFA nach DSGVO durchführen (Art. 26 Abs. 9), und schwerwiegende Vorfälle melden (Art. 73). Als Anbieter (du baust ein KI-System selbst oder lässt es bauen und vertreibst es) kommen Risikomanagement (Art. 9), Trainingsdaten-Governance (Art. 10), technische Doku (Art. 11), Logging-Funktionen (Art. 12), Transparenz-Informationen (Art. 13), Vorrichtung für menschliche Aufsicht (Art. 14), Konformitätsbewertung (Art. 43) und CE-Kennzeichnung dazu.

Die KMU-Erleichterungen sind real, aber begrenzt: niedrigere Bußgeldspannen (Art. 99 Abs. 6), Zugang zu Regulatory Sandboxes (Art. 57 — kostenfreies Testumfeld unter Aufsicht), vereinfachte Form der technischen Doku (Art. 11 Abs. 1 a. E.) und priorisierte Beratung. Eine Pauschalbefreiung von Doku- und Aufsichts-Pflichten gibt es nicht.

Wie hoch sind die Strafen — und wann greifen sie?

Die Strafspannen sind in Art. 99 in drei Stufen geregelt — und sie sind deutlich höher als bei der DSGVO. Bei verbotenen Praktiken bis 35 Mio. € oder 7 % des weltweiten Jahresumsatzes, bei High-Risk-Verstößen bis 15 Mio. € oder 3 %, bei falschen Angaben gegenüber Behörden bis 7,5 Mio. € oder 1 %.

Maßgeblich ist jeweils der höhere der beiden Werte. Bei KMU gilt der niedrigere — eine echte Erleichterung für kleine Unternehmen, die sonst mit prozentualen Sätzen schnell in existenzbedrohende Bereiche kämen. Für GPAI-Anbieter gibt es eine eigene Strafspanne nach Art. 101: bis 3 % des weltweiten Jahresumsatzes oder 15 Mio. €.

Drei Faktoren beeinflussen die konkrete Höhe innerhalb der Spanne: Schwere und Dauer des Verstoßes, Vorsatz vs. Fahrlässigkeit, Kooperation mit der Aufsicht. Wer einen Verstoß proaktiv meldet und Mitigation einleitet, kommt regelmäßig mit deutlich niedrigeren Bußgeldern davon als bei aktiver Verschleierung.

Wichtig: Strafen sind nicht der einzige Hebel. Eine Aufsichtsbehörde kann nach Art. 79 ein KI-System vom Markt nehmen, Vertriebsverbote aussprechen oder Anbieter zur Nachbesserung verpflichten. Für ein KMU mit einem einzigen kritischen Tool kann diese Reputations- und Betriebs-Folge schwerer wiegen als das eigentliche Bußgeld. Die ersten Bußgeld-Entscheidungen großer EU-Marktaufsichten werden voraussichtlich 2026/27 öffentlich, eine belastbare Statistik gibt es noch nicht.

Was unterscheidet den EU AI Act von der DSGVO?

DSGVO regelt die Verarbeitung personenbezogener Daten. EU AI Act regelt das Inverkehrbringen und den Einsatz von KI-Systemen — unabhängig davon, ob personenbezogene Daten verarbeitet werden. Beide gelten parallel und müssen separat geprüft werden.

Vier Unterschiede sind in der Praxis ausschlaggebend. Erstens der Anknüpfungspunkt: DSGVO greift, sobald personenbezogene Daten im Spiel sind. AI Act greift, sobald ein KI-System eingesetzt wird — auch wenn es ausschließlich mit anonymen Daten arbeitet. Ein KI-System zur Bildklassifikation von Industrie-Maschinen fällt unter den AI Act (wenn High-Risk), nicht unter DSGVO.

Zweitens die Strafhöhen: DSGVO bis 20 Mio. € oder 4 % Jahresumsatz. AI Act bis 35 Mio. € oder 7 % bei verbotenen Praktiken. Wer DSGVO und AI Act gleichzeitig verletzt, riskiert kumulative Sanktionen (Art. 99 Abs. 9 AI Act stellt explizit klar: Sanktionen aus anderen Rechtsakten bleiben unberührt).

Drittens das Schutzgut: DSGVO schützt informationelle Selbstbestimmung. AI Act schützt Grundrechte, Sicherheit und Gesundheit — eine breitere Zielsetzung. Ein KI-System, das vor allem Geschäftsentscheidungen automatisiert (z. B. Kreditvergabe), berührt beide Schutzgüter zugleich.

Viertens die Aufsicht: DSGVO wird durch die Landes-Datenschutzbehörden und das BfDI durchgesetzt. AI Act fällt in Deutschland (Stand Mai 2026) primär in die Zuständigkeit der Bundesnetzagentur als zentraler Marktaufsicht, mit sektoraler Ergänzung durch BfDI (Datenschutz-Schnittstelle), BaFin (Finanz-KI), BAuA (Arbeitsschutz). Die DSGVO-Argumentation reicht für AI-Act-Compliance nicht aus — beide Compliance-Pfade müssen parallel laufen.

Was bedeutet AI-Literacy-Pflicht (Art. 4)?

Art. 4 AI Act verpflichtet alle Anbieter und Betreiber von KI-Systemen, sicherzustellen, dass ihre Beschäftigten und Personen, die in ihrem Auftrag KI bedienen, über ein ausreichendes Niveau an AI-Literacy verfügen — unabhängig von der Risikoklasse. Das ist die mit Abstand häufigste Compliance-Lücke 2026.

Die Pflicht ist bewusst weich formuliert. „Ausreichendes Niveau” wird nicht durch ein Zertifikat definiert, sondern muss kontext-spezifisch interpretiert werden: Wer ChatGPT nur für E-Mail-Entwürfe nutzt, braucht weniger Wissen als wer eine HR-Software mit KI-Komponente bedient. Maßgeblich sind drei Inhalts-Felder: Funktionsweise (was leistet das System und was nicht), Risiken (Halluzinationen, Bias, Datenschutz, Prompt-Injection) und Grenzen (wo darf ich auf den Output vertrauen, wo nicht).

Die Aufsichten erwarten in der Praxis drei Nachweise. Erstens eine Schulungs-Dokumentation: Wer wurde wann zu welchen Inhalten geschult? Eine 60–90-minütige Pflicht-Schulung pro Jahr mit Multiple-Choice-Verifikation ist realistisch und ausreichend für die meisten KMU-Konstellationen. Zweitens eine Tool-Liste mit Verantwortlichen: Welche KI-Systeme sind im Einsatz, wer hat Zugriff, wer ist für korrekte Nutzung verantwortlich? Drittens eine Eskalations-Logik: An wen wendet sich eine Mitarbeiter:in bei unklarem Output oder vermutetem Vorfall?

Wichtig: AI-Literacy ist keine Einmal-Maßnahme. Modelle, Anbieter und Risiken ändern sich monatlich. Quartals-Updates der Schulungsmaterialien sind Mindeststandard; ein jährliches Refresher-Training für alle Beschäftigten mit KI-Kontakt das Pflichtprogramm. Wer Art. 4 als „kleine Schulungs-Pflicht” abtut, unterschätzt das Audit-Risiko erheblich.

General-Purpose AI (GPAI) — die zweite Regulierungs-Schicht

GPAI sind Foundation Models, die nicht für eine spezifische Aufgabe trainiert wurden, sondern für vielfältige Anwendungen einsetzbar sind — GPT-5, Claude 4, Gemini 2.5, Llama, Mistral Large. Der AI Act reguliert sie in Art. 51–55 als eigene Kategorie, parallel zur risikoklassen-basierten Anwendungs-Regulierung.

Drei Pflicht-Stufen lassen sich unterscheiden. Basis-GPAI (alle Foundation Models) müssen technische Doku bereitstellen (Art. 53), eine Zusammenfassung der Trainingsdaten veröffentlichen (Art. 53 Abs. 1 c) und Urheberrechts-Compliance dokumentieren (TDM-Opt-out berücksichtigen). Open-Source-GPAI sind teilweise befreit, müssen aber Trainingsdaten-Zusammenfassung und Urheberrechts-Doku weiterhin liefern. GPAI mit systemischem Risiko (ab 10²⁵ FLOPs Trainings-Compute oder Designation durch das AI Office, Art. 51) bekommen Zusatzpflichten: Modell-Evaluation, adversarial Testing, Risiko-Mitigation, Cybersecurity-Schutz, Vorfall-Meldepflicht.

Für KMU als Betreiber bedeutet das in der Praxis: Du bist nicht GPAI-Anbieter, du nutzt GPAI. Die Anbieter-Pflichten erfüllen OpenAI, Anthropic, Google, Meta selbst. Deine Aufgabe als Betreiber: Sicherstellen, dass dein konkreter Einsatz die Anwendungs-Risikoklasse korrekt einordnet und die Betreiber-Pflichten (Art. 26) erfüllt. Der Praxis-Test: Frage deinen GPAI-Anbieter nach dem aktuellen Konformitäts-Status — seriöse Anbieter haben einen öffentlichen Compliance-Hub mit Stand-Datum.

90-Tage-Compliance-Plan für ein 20-Personen-Unternehmen

Drei Phasen, je vier bis fünf Wochen, mit klaren Outputs. Dieser Plan ist auf ein 20-Personen-KMU zugeschnitten — typische SaaS-Tool-Landschaft, kein eigenes High-Risk-System, ein bis zwei Betreiber-Pflichten als Hauptaufgabe.

Phase 1 — Bestandsaufnahme + Klassifizierung (Woche 1–4). Liste alle KI-Tools auf, die im Unternehmen genutzt werden — inklusive eingebetteter KI in SaaS (z. B. CRM mit AI-Modul, Workday Talent, HubSpot AI-Features). Frage Anbieter aktiv nach KI-Funktionen und Foundation-Model-Provenienz. Pro Tool: Zweck, Nutzergruppe, Datentyp, Risikoklasse. Output: ein KI-Register als Excel oder Notion-Datenbank. Dauer: 2–3 Personen-Tage verteilt über 4 Wochen.

Phase 2 — Pflichten ableiten + Doku erstellen (Woche 5–8). Pro Tool und Risikoklasse: Welche Pflichten aus AI Act + DSGVO? Bei Limited-Risk-Chatbots: Transparenz-Hinweis implementieren, AVV prüfen, Kennzeichnung im UI. Bei eingebetteter High-Risk-KI (z. B. HR-Software mit Scoring): Konformitätserklärung des Anbieters anfordern, eigene Betreiber-Pflichten dokumentieren, betroffene Personen informieren. Output: Compliance-Doku pro Tool, plus zentrale Master-Doku als „AI Compliance Handbook”. Dauer: 5–8 Personen-Tage.

Phase 3 — AI-Literacy + Governance + Review-Rhythmus (Woche 9–13). Schulungs-Konzept erarbeiten — 60–90 Minuten Pflicht-Schulung mit drei Modulen: Funktionsweise generativer KI, Risiken im Alltag (Halluzinationen, Datenschutz, Prompt-Injection), Eskalations-Logik im Unternehmen. Alle Mitarbeitenden mit KI-Kontakt schulen, Teilnahme schriftlich dokumentieren. Quartalsweise Review fest im Kalender — neue Tools, Klassifizierungs-Updates, Modell-Wechsel. Output: dokumentierte AI-Governance mit verantwortlicher Person (oft DSB-Doppelrolle oder Geschäftsführer:in direkt). Dauer: 3–5 Personen-Tage plus laufender Aufwand.

Gesamt-Aufwand: 10–16 Personen-Tage über 90 Tage. Externe Beratung beschleunigt Phase 2 deutlich — typische Beratungs-Pakete für KMU liegen bei 5.000–15.000 €. Eine 20-Personen-Firma kann den Plan komplett intern stemmen, wenn jemand mit Compliance-Affinität (oft DSB, manchmal CFO) die Koordination übernimmt.

EU AI Act vs. US-Regulierung 2026 — was ist anders?

Die EU hat mit dem AI Act ein horizontales, risikoklassen-basiertes Vollregelwerk. Die USA setzen auf sektorale Aufsicht (FDA, EEOC, SEC, FTC) und freiwillige Selbstverpflichtungen — die Biden-Executive-Order 14110 wurde 2025 unter der zweiten Trump-Administration in Teilen zurückgenommen.

Drei strukturelle Unterschiede prägen das Bild. Erstens die Ebene der Regulierung: EU reguliert KI als eigenständige Kategorie, USA reguliert KI-Anwendungen innerhalb bestehender Regelwerke (Medizin-KI über FDA, Recruiting-KI über EEOC + Civil Rights Act, Finanz-KI über SEC + State-AG-Aufsicht). Zweitens die Verbindlichkeit: EU-Regeln sind direkt geltendes Recht mit Bußgeld-Hebel. US-Selbstverpflichtungen (Voluntary AI Commitments von 2023) sind nicht justitiabel — sie schaffen Reputations-, aber keine Compliance-Pflicht. Drittens die Geltung: EU-Recht gilt extraterritorial (Art. 2 AI Act). US-Recht ist überwiegend territorial begrenzt, mit Ausnahme von Export-Kontrollen für AI-Compute.

Für global tätige Unternehmen heißt das praktisch: zwei bis drei parallele Compliance-Regimes statt eines einheitlichen Standards. Wer in EU + USA + UK tätig ist, muss EU AI Act, sektorale US-Regulierung und das UK-Sektor-Modell parallel managen. China hat eigene, deutlich anbieter-pflichtigere Regeln (Algorithmic Recommendation Provisions, Generative-AI-Vorgaben). Ein global harmonisiertes Regelwerk ist 2026 nicht in Sicht — der Council of Europe Framework Convention von 2024 bleibt ein wichtiger, aber begrenzter Schritt.

Strategisch sinnvoll für KMU mit internationaler Ausrichtung: EU AI Act als Mindeststandard betrachten — wer die EU-Regeln erfüllt, hat in den USA in den meisten Sektoren keine Lücken (Ausnahme: Medizin-KI, dort ist FDA strenger). Umgekehrt funktioniert das nicht: US-Compliance reicht für die EU nicht.

Verwandte Themen

Wer den AI Act im breiteren Risiko-Kontext sehen will, findet im Pillar KI-Risiken den vollständigen Überblick über die zehn relevantesten KI-Risikofelder — der AI Act ist dort eines davon. Bias & Fairness vertieft die methodische Seite eines der Hauptgründe für die High-Risk-Klassifizierung: diskriminierende Auswahl-Algorithmen in HR, Kredit und Bildung. KI im Alltag zeigt die konkreten Anwendungs-Beispiele, an denen sich die Risikoklassifizierung in der KMU-Praxis bewährt — vom Marketing-Chatbot bis zur HR-Vorauswahl.

Im Anwendungsbereich Behörden & Recht findet sich der Vertikal-Kontext für AI-Act-Compliance im öffentlichen Sektor. Wer einen vertiefenden Long-Form mit Fokus auf KMU-spezifische Pflichten und Bußgeld-Szenarien sucht, liest den Blog-Post EU-AI-Act für KMU 2026: Was wirklich gilt — und was nicht — er ergänzt diesen Pillar um konkrete Compliance-Szenarien und Aufsichts-Beispiele.

Wer parallel zum AI Act eine DSGVO-Bestandsaufnahme braucht, beginnt typischerweise mit einer Datenschutz-Folgenabschätzung für die kritischsten KI-Use-Cases — DSGVO und AI Act greifen parallel und teilen sich viele Doku-Anforderungen, lassen sich daher gut in einem Projekt-Setup abarbeiten.