EU AI Act in der Logistik: Was Unternehmen seit August 2026 praktisch tun müssen

Frachtkompass Redaktion · Veröffentlicht am 8. Oktober 2026 · Aktualisiert: 8. Oktober 2026

KI sortiert Transportanfragen, schlägt Preise vor, plant Touren und formuliert Kundenmails. Seit dem 2. August 2026 gelten große Teile des EU AI Act, doch daraus folgt weder ein pauschales KI-Verbot noch automatisch eine Hochrisiko-Einstufung jeder Logistiksoftware. Entscheidend sind der konkrete Einsatzzweck, die Rolle des Unternehmens und die Auswirkungen auf Menschen. Dieser Praxischeck zeigt, welche Regeln heute bereits gelten, welche Fristen später folgen und wie Speditionen, Verlader und Logistik-KMU ihre Anwendungen strukturiert prüfen können.

1. Was seit August 2026 tatsächlich gilt

Rechtsstand ist der 8. Oktober 2026. Der EU AI Act ist seit dem 1. August 2024 in Kraft und wird stufenweise anwendbar. Seit dem 2. Februar 2025 gelten die allgemeinen Bestimmungen, das Verbot bestimmter KI-Praktiken und die Pflicht, Maßnahmen zur KI-Kompetenz zu unterstützen. Seit dem 2. August 2026 gilt der überwiegende Teil der übrigen Vorschriften; dazu gehören insbesondere Transparenzpflichten für bestimmte KI-Systeme. Die zuständigen Behörden können die bereits anwendbaren Vorschriften nun durchsetzen.

Für Logistikunternehmen ist wichtig, die Fristen nicht zu vermischen. Die besonderen Regeln für Hochrisiko-Anwendungen nach Anhang III gelten nach der 2026 geänderten Zeitschiene erst ab dem 2. Dezember 2027. Regeln für Hochrisiko-KI, die Bestandteil bestimmter regulierter Produkte ist, folgen am 2. August 2028. Diese späteren Termine sind keine allgemeine Schonfrist für jede KI-Nutzung. Bereits heute anwendbare Verbote, Transparenzregeln und die KI-Kompetenzpflicht bleiben relevant.

Der AI Act arbeitet risikobasiert. Er reguliert nicht eine Technologie pauschal, sondern betrachtet Rolle, Zweck und Einsatzumfeld. Ein Unternehmen kann lediglich Betreiber einer Standardlösung sein, eine fremde Lösung wesentlich verändern oder selbst als Anbieter auftreten. Diese Rollen haben unterschiedliche Folgen. Deshalb sollte die Prüfung immer beim realen Geschäftsprozess beginnen und nicht beim Produktnamen des Softwareanbieters.

2. Welche Logistik-Anwendungen meist kein Hochrisiko-System sind

Viele typische Anwendungen dienen der betrieblichen Unterstützung: Ein Modell liest Abhol- und Lieferadressen aus E-Mails, erkennt Palettenmaße, prognostiziert eine Ankunftszeit oder schlägt eine effizientere Tour vor. Solche Funktionen werden nicht automatisch zu Hochrisiko-KI, nur weil ihr Ergebnis für den Betrieb wirtschaftlich wichtig ist. Entscheidend ist der beabsichtigte Zweck. Eine Preisempfehlung für eine Sendung ist anders zu bewerten als ein System, das Bewerberinnen und Bewerber automatisch aussortiert.

Auch bei Anwendungen mit geringerem AI-Act-Risiko bleiben praktische Pflichten. Ein Kundenchatbot muss für Menschen als KI-Interaktion erkennbar sein, sofern dies nicht ohnehin offensichtlich ist. Wer KI-generierte oder manipulierte Inhalte veröffentlicht, muss prüfen, ob Kennzeichnungs- und Maschinenlesbarkeitsregeln des Artikels 50 greifen. Für intern generierte Dispositionsvorschläge ist außerdem eine klare Freigabelogik sinnvoll: Das System empfiehlt, ein verantwortlicher Mensch entscheidet und kann die Empfehlung nachvollziehbar übersteuern.

Geringeres Risiko nach dem AI Act bedeutet nicht rechtsfreier Raum. Fahrername, Standort, Arbeitszeit, Leistungsdaten oder Kommunikationsinhalte können personenbezogene Daten sein. Dann sind Rechtsgrundlage, Zweckbindung, Datenminimierung, Zugriffsrechte und Löschfristen nach der DSGVO zu prüfen. Kundenpreise, Margen und Konditionen können Geschäftsgeheimnisse sein und sollten nicht ungeprüft in öffentlich zugängliche KI-Dienste eingegeben werden.

3. Wo Logistikunternehmen besonders genau hinsehen sollten

Eine rote Prüfmarkierung verdient KI im Personalbereich. Systeme, die Bewerbungen bewerten, Fahrer auswählen, Schichten oder Aufgaben anhand persönlicher Merkmale zuteilen oder Beschäftigte überwachen und beurteilen, können unter die Hochrisiko-Kategorien für Beschäftigung und Personalmanagement fallen. Die genaue Einordnung hängt vom vorgesehenen Zweck und von den Funktionen ab. Für entsprechende Anhang-III-Systeme ist die spätere Anwendbarkeit ab Dezember 2027 relevant; Unternehmen sollten aber nicht bis kurz vor Fristende warten, weil Datenqualität, menschliche Aufsicht, Protokollierung und Lieferantenverträge Vorlauf brauchen.

Auch sicherheitsrelevante Infrastruktur ist abzugrenzen. Die EU-Kommission nennt etwa KI zur Echtzeitsteuerung von Verkehrsampeln oder zur Erkennung schwerer Objekte auf gefährdeten Brücken als mögliche Hochrisiko-Beispiele, weil solche Systeme direkt die Sicherheit kritischer Infrastruktur beeinflussen. Eine interne Tourenplanung, die nur Fahrreihenfolgen vorschlägt, ist davon nicht automatisch erfasst. Wird ein System aber Teil einer sicherheitskritischen Verkehrs- oder Maschinenfunktion, ist eine vertiefte Produkt- und Rechtsprüfung erforderlich.

Unabhängig von der Risikoklasse sind verbotene Praktiken auszuschließen. Dazu gehören bestimmte manipulative oder ausnutzende Anwendungen und bestimmte Formen des Social Scoring. Für den normalen Logistikbetrieb ist meist weniger die spektakuläre Verbotsliste als die saubere Grenze zwischen zulässiger Prozessunterstützung und problematischer Mitarbeiterbewertung relevant. Bei Zweifeln sollte die Funktion vor dem Rollout fachlich, datenschutzrechtlich und arbeitsrechtlich geprüft werden.

4. Praxisbeispiel: Drei KI-Funktionen in einer mittelständischen Spedition

Eine Spedition mit 45 Beschäftigten führt drei Funktionen ein. Erstens extrahiert ein Assistent Sendungsdaten aus Kundenmails und legt einen Entwurf im Transportmanagementsystem an. Zweitens empfiehlt ein Modell auf Basis von Strecke, Fahrzeug, Auslastung und historischen Aufträgen einen Angebotspreis. Drittens soll ein Tool Bewerbungen für Dispositionsstellen automatisch priorisieren. Die drei Funktionen sehen technisch ähnlich aus, benötigen aber unterschiedliche Kontrollen.

Beim E-Mail-Assistenten definiert das Unternehmen Pflichtfelder, eine menschliche Prüfung vor der Auftragserstellung und Regeln für fehlerhafte oder unvollständige Daten. Beim Preismodell dokumentiert es, welche Daten einfließen, wer Preisgrenzen festlegt und wann ein Mensch abweichen muss. Zusätzlich wird verhindert, dass vertrauliche Kundeninformationen für fremde Zwecke weiterverwendet werden. Beide Anwendungen werden in einem internen KI-Register mit Anbieter, Zweck, Datenarten, Verantwortlichem und Freigabestatus erfasst.

Das Recruiting-Tool erhält dagegen keine automatische Freigabe. Zuerst werden vorgesehener Zweck, Entscheidungseinfluss, Trainings- und Eingabedaten, mögliche Benachteiligungen und die Hochrisiko-Einstufung geprüft. Die Personalabteilung darf Kandidaten nicht allein aufgrund eines undurchsichtigen Scores ablehnen. Das Beispiel zeigt den Kern des risikobasierten Ansatzes: Nicht überall dieselbe Bürokratie, sondern Kontrollen passend zur Wirkung der Anwendung.

5. Der 8-Punkte-Plan für Speditionen, Verlader und Logistik-KMU

Erstens: Erstelle ein KI-Register. Erfasse auch Funktionen, die bereits in Office-, CRM-, TMS- oder Telematik-Produkten stecken. Notiere Anbieter, Zweck, Nutzergruppe, Datenarten und betroffenen Prozess. Zweitens: Bestimme je Anwendung die Rolle. Nutzt ihr ein fertiges System nach Vorgabe, verändert ihr es wesentlich oder entwickelt ihr selbst? Drittens: Ordne das Risiko vorläufig ein und dokumentiere die Gründe. Markiere Personal, Sicherheit, biometrische Daten und automatisierte Entscheidungen als vertiefte Prüffälle.

Viertens: Lege menschliche Aufsicht fest. Definiere, welche Ergebnisse nur Vorschläge sind, wer freigibt, wann eskaliert wird und wie Fehlentscheidungen korrigiert werden. Fünftens: Prüfe Daten und Zugriffe. Gehören personenbezogene Daten, Kundentarife oder vertrauliche Dokumente in das System? Wo werden sie gespeichert und wofür darf der Anbieter sie verwenden? Sechstens: Fordere Lieferantenunterlagen an. Dazu gehören Leistungsbeschreibung, vorgesehener Zweck, Sicherheitsinformationen, Änderungsmitteilungen, Protokollfunktionen sowie eine klare Aufteilung der Verantwortlichkeiten.

Siebtens: Organisiere rollenbezogene KI-Kompetenz. Disposition braucht andere Kenntnisse als IT, Personalabteilung oder Geschäftsführung. Die EU-Kommission verlangt kein bestimmtes Zertifikat und keine spezielle Organstruktur; ein internes Protokoll über Schulungen und Leitlinien ist aber sinnvoll. Achtens: Führe einen kontrollierten Pilotbetrieb ein. Miss Fehlerquote, manuelle Korrekturen, Zeitgewinn und Beschwerden. Erst wenn Verantwortlichkeiten und Abbruchkriterien funktionieren, sollte die Anwendung breiter ausgerollt werden.

6. Welche Unterlagen ein KI-Anbieter liefern sollte

Ein bloßer Satz wie „AI-Act-konform“ reicht für die Beschaffung nicht. Ein Anbieter sollte erklären können, wofür das System bestimmt ist, welche Eingaben benötigt werden, welche Grenzen bekannt sind und wie Ergebnisse überwacht werden. Wichtig sind außerdem Informationen zu Modell- und Funktionsänderungen. Ein Update kann den Einsatzzweck, die Datenflüsse oder die Leistung so verändern, dass eine frühere Bewertung nicht mehr passt.

Praktisch hilfreich ist ein einseitiges Prüfformular pro Lösung: Produkt und Version, Anbieter, Einsatzprozess, verantwortliche Person, Rollenverteilung, Risikoeinstufung, Datenkategorien, Drittlandtransfer, menschliche Freigabe, Protokollierung, Sicherheitskontakt und nächster Prüftermin. Für cloudbasierte Dienste sollten Vertrag, Auftragsverarbeitung und Regeln zur Nutzung eingegebener Daten zusammenpassen. Werden Fahrer- oder Beschäftigtendaten verarbeitet, sind Datenschutz und Beteiligungsrechte zusätzlich zu beachten.

Bei Hochrisiko-Verdacht sollte das Unternehmen die Entscheidung nicht allein auf Marketingmaterial stützen. Die endgültige Einordnung kann juristische und technische Expertise erfordern. Für Standardanwendungen mit überschaubarem Risiko genügt häufig eine nachvollziehbare interne Prüfung. Dieser Beitrag bietet dafür eine Arbeitsstruktur, ersetzt aber keine Rechtsberatung im Einzelfall.

7. Was als Nächstes wahrscheinlich wichtig wird

Bestätigt ist: Die EU-Kommission hat 2026 Leitlinien zu Transparenzpflichten veröffentlicht, und die Hochrisiko-Fristen reichen nach der geänderten Zeitschiene bis 2027 beziehungsweise 2028. Prognose ist dagegen, wie schnell Kunden oder große Auftraggeber zusätzliche Nachweise verlangen werden. Wahrscheinlich werden strukturierte KI-Fragebögen ähnlich selbstverständlich wie Datenschutz- und Informationssicherheitsprüfungen, besonders wenn Plattformen Preise, Personal oder sicherheitsrelevante Abläufe beeinflussen.

Für KMU spricht deshalb viel für eine schlanke Vorbereitung. Ein aktuelles Register, klare Nutzungsregeln, geschulte Teams und prüfbare Freigaben schaffen heute operativen Nutzen und reduzieren späteren Nacharbeitsaufwand. Wer erst Dokumentation produziert, wenn ein Kunde oder eine Behörde danach fragt, muss Entscheidungen rückwirkend rekonstruieren. Wer dagegen jeden Pilot mit Zweck, Daten und Verantwortlichem startet, baut Compliance direkt in den Prozess ein.

Die wichtigste Abgrenzung bleibt: bestätigtes Recht ist keine Zukunftsprognose. Termine und anwendbare Pflichten ergeben sich aus den jeweils geltenden EU-Texten. Marktanforderungen, Vertragsstandards und technische Normen entwickeln sich weiter. Unternehmen sollten ihren Prüftermin deshalb nicht nur an einem Kalenderdatum festmachen, sondern auch an wesentlichen Produktupdates, neuen Datenquellen und geänderten Einsatzzwecken.