EU AI Act & AI Governance
Der EU AI Act ist am 1. August 2024 in Kraft getreten und wird grundsätzlich stufenweise angewendet: Einige Pflichten sind bereits heute verbindlich, andere folgen in den kommenden Jahren. Für Unternehmen aus den Bereichen Pharma und Maschinenbau, die KI-Systeme selbst einsetzen oder in ihre Produkte integrieren, lohnt sich ein früher Überblick.
Artikel 4 verpflichtet Anbieter und Betreiber dazu, Maßnahmen zur Entwicklung der KI-Kompetenz (AI Literacy) ihrer Mitarbeitenden und anderer Personen zu unterstützen, die in ihrem Auftrag mit dem Betrieb oder der Nutzung von KI-Systemen befasst sind.
Wie das KI-Management-System ist auch dieses Thema Teil von "Beraten und Strategie", der zweiten Phase auf dem PentaVision-Weg: regulatorische Anforderungen frühzeitig einordnen, statt später nachzurüsten.
Was Sie wissen sollten
1. Wer ist betroffen?
Unternehmen, die KI-Systeme für ihre eigenen Zwecke einsetzen, können nach dem EU AI Act als Betreiber (Deployer) eingeordnet werden. Welche Pflichten gelten, hängt vom konkreten System, seiner Funktion und der Rolle des Unternehmens ab.
2. Das Risikomodell
Der EU AI Act verwendet einen risikobasierten Ansatz. Für Unternehmen sind verbotene KI-Praktiken, Hochrisiko-KI, Begrenztes Risiko mit bestimmten Transparenzpflichten sowie minimales Risiko (KI-Anwendungen ohne diese speziellen Risikoeinstufungen) von besonderer Relevanz.
Verboten
z.B. Social Scoring, manipulative KI
Hochrisiko
z.B. Bewerber-Auswahl, Kreditwürdigkeit
Begrenztes Risiko
z. B. Chatbots oder KI-generierte Inhalte, Transparenzpflicht
Minimales bzw. kein besonderes Risiko
z. B. Spamfilter oder viele KI-Anwendungen ohne besondere Hochrisiko- oder Transparenzpflichten. Die konkrete Einordnung hängt vom jeweiligen Anwendungsfall und der Funktion des KI-Systems ab.
Bei vielen typischen Büroanwendungen steht nicht die Hochrisiko-Klassifizierung im Vordergrund. Je nach konkreter Anwendung können jedoch Transparenz-, KI-Kompetenz-, Datenschutz-, Urheberrechts- oder weitere Anforderungen relevant sein.
3. Fristen im Überblick
Verbote und KI-Kompetenz-Pflicht (Art. 4)
Die aktuellen Informationen der EU-Kommission bestätigen:
- 1. August 2024 – Inkrafttreten
- 2. Februar 2025 – Verbote + AI Literacy
- 2. August 2025 – Governance/GPAI
- 2. August 2026 – Die wesentlichen Regelungen des EU AI Act werden grundsätzlich anwendbar, darunter auch die Transparenzpflichten nach Artikel 50.
- 2. Dezember 2026 – Weitere Übergangsfristen und einzelne neue Verbote werden wirksam.
- 2. August 2027 – Weitere Umsetzungsschritte, unter anderem im Bereich der KI-Reallabore.
- 2. Dezember 2027 – Bestimmte Hochrisiko-Systeme nach Anhang III.
- 2. August 2028 – Hochrisiko-KI in bestimmten regulierten Produkten nach Anhang I.
Stand: September 2026. Gesetzgebung und Übergangsfristen können sich ändern.
4. Besonders relevant für Pharma und Maschinenbau
KI, die als Sicherheitskomponente in bestimmten Maschinen oder Medizinprodukten eingesetzt wird, kann als Hochrisiko-KI nach Anhang I eingestuft werden. Für die konkrete Einordnung sind das jeweilige KI-System und die einschlägigen Produktrechtsvorschriften maßgeblich. Im regulierten Pharmaumfeld können zusätzlich Anforderungen an Validierung, Computerized System Assurance und risikobasierte Qualitätssicherung relevant werden. GAMP 5 kann hierfür einen wichtigen Referenzrahmen darstellen.
5. Konsequenzen bei Verstößen
Je nach Art des Verstoßes können Geldbußen bis zu 35 Mio. € bzw. 7 % des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres betragen. Für andere Verstöße gelten niedrigere Höchstgrenzen.
Der EU AI Act ist kein einmaliges Projekt, sondern ein laufender Prozess – wir unterstützen Sie dabei, die für Sie relevanten Pflichten zu identifizieren und Schritt für Schritt umzusetzen.
Kontakt
Möchten Sie wissen, welche Pflichten des EU AI Act für Ihr Unternehmen gelten? Kontaktieren Sie uns gerne!
Zur Kontaktseite
EU AI Act & AI Governance
The EU AI Act entered into force on August 1, 2024 and is applied in stages: some obligations are already binding today, others follow over the coming years. For companies in pharma and mechanical engineering that use AI systems themselves or build them into their products, an early overview is worthwhile.
Article 4 obliges providers and deployers to take measures to promote the AI literacy of their employees and other persons who operate or use AI systems on their behalf.
Like the AI Management System, this topic is also part of “Advise and Strategy,” the second phase of the PentaVision Approach: classify regulatory requirements early instead of retrofitting later.
What You Should Know
1. Who is Affected?
Companies that use AI systems for their own purposes can be classified as deployers under the EU AI Act. Which obligations apply depends on the specific system, its function and the company's role.
2. The Risk Model
The EU AI Act takes a risk-based approach. Of particular relevance for companies are prohibited AI practices, high-risk AI, limited risk with specific transparency obligations and minimal risk (AI applications without these specific risk classifications).
Prohibited
e.g., social scoring, manipulative AI
High Risk
e.g., applicant screening, creditworthiness
Limited Risk
e.g., chatbots or AI-generated content – transparency obligation
Minimal Risk or No Special Risk
e.g., spam filters or many AI applications without special high-risk or transparency obligations. The specific classification depends on the respective use case and the function of the AI system.
For many typical office applications, high-risk classification is not the primary concern. However, depending on the specific application, transparency, AI literacy, data protection, copyright or other requirements may be relevant.
3. Timeline Overview
Prohibitions and the requirement for AI competence (Art. 4)
Current information from the European Commission confirms:
- August 1, 2024 – Entry into force
- February 2, 2025 – Prohibitions + AI Literacy
- August 2, 2025 – Governance/GPAI
- August 2, 2026 – The main provisions of the EU AI Act generally become applicable, including the transparency obligations under Article 50.
- December 2, 2026 – Additional transition periods and certain new prohibitions become effective.
- August 2, 2027 – Further implementation steps, including for AI regulatory sandboxes.
- December 2, 2027 – Certain high-risk systems under Annex III.
- August 2, 2028 – High-risk AI in certain regulated products under Annex I.
As of September 2026. Legislation and transition periods are subject to change.
4. Particularly Relevant for Pharma and Mechanical Engineering
AI used as a safety component in certain machinery or medical devices can be classified as high-risk AI under Annex I. The specific classification depends on the AI system concerned and the applicable product legislation. In the regulated pharmaceutical environment, requirements for validation, Computerized System Assurance and risk-based quality assurance may also become relevant. GAMP 5 can serve as an important reference framework.
5. Consequences of Non-Compliance
Depending on the type of infringement, administrative fines can reach up to €35 million or 7% of total worldwide annual turnover of the preceding financial year. Lower maximum fines apply to other infringements.
The EU AI Act is not a one-time project, but an ongoing process — we support you in identifying the obligations relevant to your business and implementing them step by step.
Strategic Framework
Digitalization Check
Where does my company stand?
Learn More
AI Maturity Model
How far are we with AI?
Learn More
AI Management System
How do we organize AI?
Learn More
BAFA Funding
How can consulting be funded?
Learn More
Contact
Would you like to know which EU AI Act obligations apply to your company? Feel free to contact us!
Go to Contact Page
