AI Act EU

Geschätzte Lesedauer: 8 Minuten

Der neue Rechtsrahmen für Künstliche Intelligenz (KI) in Europa

Die „EU KI-Verordnung“ (EU AI Act) schafft einen einheitlichen Rechtsrahmen für den Einsatz und die Entwicklung von KI-Systemen in der EU. Sie soll sicherstellen, dass KI-Systeme in Europa menschenzentriert, vertrauenswürdig, transparent und sicher sind. Mit der EU KI-Verordnung hat die EU den weltweit ersten umfassenden Rechtsrahmen für KI geschaffen.

Ähnlich wie die DSGVO im Bereich Datenschutz globale Standards gesetzt hat, verpflichtet der EU AI Act zunächst vor allem Unternehmen, die in der EU tätig sind oder ihre KI-Systeme auf dem EU-Markt anbieten. Für Unternehmen bedeutet das: neue Pflichten, aber auch Chancen.

Der risikobasierte Ansatz

Die Verordnung teilt KI-Systeme in vier Risikokategorien ein. Je nach Risikokategorie, Einsatzzweck und Rolle ergeben sich verschiedene Pflichten. Entscheidend ist: Nicht die Technologie selbst wird reguliert, sondern der konkrete Anwendungszweck eines KI-Systems bestimmt die Risikoeinstufung.

Unzulässiges Risiko (verboten)

Verbotene KI-Anwendungen mit inakzeptablem Risiko für Grundrechte und Sicherheit.

Dazu zählen beispielsweise soziale Bewertungssysteme, manipulative KI oder emotionale Erkennung am Arbeitsplatz. Auch Systeme, die schutzbedürftige Personen ausnutzen oder biometrische Echtzeit-Identifizierung im öffentlichen Raum einsetzen, sind grundsätzlich untersagt.

Hohes Risiko (strenge Anforderungen)

KI-Systeme mit erheblichen Auswirkungen auf Menschen und Gesellschaft.

Beispiele sind Anwendungen im Personalwesen, der Kreditvergabe, kritischen Infrastrukturen oder Medizinprodukten. Unternehmen müssen umfangreiche Anforderungen erfüllen, etwa zu Risikomanagement, Daten-Governance, technischer Dokumentation und menschlicher Aufsicht.

Begrenztes Risiko (Transparenzpflicht)

KI-Anwendungen mit Fokus auf Transparenz und Nachvollziehbarkeit.

Hierzu zählen Chatbots sowie Systeme zur Erstellung von Text-, Bild- oder Audioinhalten. Nutzer:innen müssen erkennen können, dass sie mit KI interagieren oder KI-generierte Inhalte konsumieren. Für generative KI gelten zusätzliche Kennzeichnungspflichten.

Minimales Risiko

KI-Systeme mit geringem Gefährdungs- und Schadenspotenzial.

Beispiele sind Spam-Filter, Empfehlungssysteme oder KI in Computerspielen. Für diese Anwendungen bestehen grundsätzlich keine besonderen Anforderungen des AI Acts. Die Einhaltung bewährter Verfahren und ethischer Leitlinien wird jedoch empfohlen.

Zeitplan für die Umsetzung

August 2024: Inkrafttreten der Verordnung
Februar 2025: Verbot unzulässiger Praktiken, KI-Kompetenz Pflicht der Mitarbeitenden muss sichergestellt werden
August 2025: Pflichten für KI-Modelle mit allgemeinem Verwendungszweck (General-Purpose AI Models, GPAI). Nationale Behörden werden etabliert.
August 2026: Transparenzpflichten (Art. 50) treten in Kraft – Nutzer:innen müssen erkennen können, dass sie mit KI interagieren, KI-generierte Inhalte müssen gekennzeichnet werden. Ab diesem Datum können die Behörden hierfür auch Bußgelder verhängen. Für Systeme, die bereits vor dem 2. August 2026 am Markt waren, gilt für die Kennzeichnungspflicht eine Übergangsfrist bis 2. Dezember 2026.
Dezember 2027: Pflichten für eigenständige Hochrisiko-Systeme nach Anhang III greifen (u. a. Personalwesen, Bildung, kritische Infrastruktur, Kreditvergabe, Strafverfolgung)
August 2028: Pflichten für Hochrisiko-Systeme, die in bereits regulierte Produkte eingebettet sind (z. B. Medizinprodukte, Maschinen, Spielzeug)

Hinweis:
Mit dem „Digital Omnibus on AI“ (Verordnung (EU) 2026/1744), der im Juli 2026 verabschiedet wurde, hat die EU die ursprünglich für August 2026 geplanten Pflichten für Hochrisiko-KI-Systeme verschoben. Ziel war es, Unternehmen und Behörden mehr Zeit für die Umsetzung einzuräumen, da harmonisierte Standards und Konformitätsbewertungsstellen noch nicht vollständig etabliert waren. Die inhaltlichen Anforderungen selbst wurden dabei nicht verändert, sondern nur der Zeitrahmen angepasst. Unternehmen sollten die gewonnene Zeit aktiv nutzen, um sich gründlich vorzubereiten, statt die Vorbereitung aufzuschieben.

Welche Unterstützung erhalten kleine und mittlere Unternehmen?

Die EU hat zahlreiche Unterstützungsmaßnahmen vorgesehen. Regulatorische Sandboxen ermöglichen es, KI-Systeme unter behördlicher Aufsicht zu testen. Kleine und mittelständische Unternehmen (KMU) erhalten dabei priorisierten, kostenlosen Zugang (Art. 57, 62 Abs. 3 AI Act). Zudem werden vereinfachte Dokumentationsvorlagen, reduzierte Konformitätsbewertungsgebühren und dedizierte Beratungskanäle bereitgestellt. Auch der Digital Omnibus-Vorschlag sieht vor, Erleichterungen, die bisher nur Kleinstunternehmen vorbehalten waren, auf alle KMU auszuweiten. Die praktische Umsetzung liegt bei den Mitgliedstaaten und ist Stand Mitte 2026 noch nicht abgeschlossen:Die Frist zur Einrichtung nationaler Test- und Erprobungsumgebungen für KI-Systeme läuft am 2. August 2026 ab. In Deutschland ist die Bundesnetzagentur als zuständige Marktüberwachungsbehörde benannt (KI-MIG, Februar 2026), die konkrete Ausgestaltung dieser Umgebungen steht jedoch noch aus.

Unser Fazit

Der AI Act als Chance für nachhaltige KI-Governance

Der AI Act EU ist ein Meilenstein für sichere und verantwortungsvolle KI. Die Verordnung wird – ähnlich wie die DSGVO – voraussichtlich globale Standards setzen und die KI-Regulierung weit über die Grenzen der EU hinaus beeinflussen. Wer früh handelt, minimiert Risiken und nutzt Konformität als strategischen Vorteil. Compliance kann sich dabei von einer regulatorischen Pflicht zu einem echten Differenzierungsmerkmal entwickeln, als Zeichen für operationale Reife, ethische Verantwortung und digitales Vertrauen. Gerne unterstützen wir Sie in der Gap-Analyse, bei der Einhaltung der KI-Kompetenz Pflicht und entwickeln mit Ihnen gemeinsam einen Fahrplan für verantwortungsvolle KI Governance in Ihrem Unternehmen. Darüber hinaus begleiten wir Sie mit maßgeschneiderten KI-Schulungen zur Erfüllung der KI-Kompetenz-Pflicht (Art. 4 AI Act) und unterstützen Sie beim Aufbau eines KI-Managementsystems nach ISO/IEC 42001 – von der Erstbewertung über die Implementierung bis zur Zertifizierungsreife.

FAQ - Häufig gestellte Fragen

Für wen gilt der EU AI Act?

Für alle Unternehmen, Behörden und Organisationen, die KI-Systeme in der EU einsetzen oder anbieten, auch nicht-europäische Unternehmen, sobald ihre KI-Ergebnisse Personen in der EU betreffen (extraterritoriale Wirkung).

Welche Strafen drohen bei Verstößen?

Bußgelder von bis zu 35 Mio. € oder 7 % des weltweiten Jahresumsatzes, zusätzlich kann ein Marktausschluss nicht konformer Systeme erfolgen.

Wie werden KI-Systeme eingestuft?

Nach einem risikobasierten Ansatz in vier Kategorien: unzulässiges Risiko (verboten), hohes Risiko (strenge Auflagen), begrenztes Risiko (Transparenzpflicht) und minimales Risiko (kaum reguliert). Entscheidend ist der konkrete Einsatzzweck, nicht die Technologie selbst.

Was müssen Unternehmen als Erstes tun?

Ein KI-Inventar erstellen, jedes System einer Risikokategorie zuordnen, die eigene Rolle (Anbieter oder Betreiber) klären und Risikobewertungen sowie Governance-Strukturen aufbauen.

Welche Fristen sind besonders wichtig?

Seit Februar 2025 gilt das Verbot unzulässiger Praktiken und die KI-Kompetenz-Pflicht für Mitarbeitende. Ab August 2026 gelten Sanktionen auf nationaler Ebene, ab August 2027 greifen alle Pflichten vollständig – auch für Hochrisiko-Systeme in regulierten Produkten.

Was bedeutet der „Digital Omnibus"-Vorschlag der EU-Kommission?

Der „Digital Omnibus“-Vorschlag der EU-Kommission soll Unternehmen die Umsetzung des AI Acts erleichtern. Vorgesehen sind unter anderem flexiblere Umsetzungsfristen für bestimmte Hochrisiko-Anforderungen, die stärker an die Verfügbarkeit harmonisierter Standards und Konformitätsbewertungsstellen gekoppelt werden. Darüber hinaus sollen bestehende Erleichterungen, die bislang nur für Kleinstunternehmen gelten, auf alle kleinen und mittleren Unternehmen (KMU) ausgeweitet werden. Ziel ist es, den administrativen Aufwand zu reduzieren und gleichzeitig die Einhaltung der regulatorischen Anforderungen zu unterstützen. Das Gesetzgebungsvorhaben befindet sich derzeit noch im europäischen Gesetzgebungsverfahren.

Welche Unterstützung gibt es speziell für KMU?

Regulatorische Sandboxen mit priorisiertem, kostenlosem Zugang zum Testen von KI-Systemen unter behördlicher Aufsicht, vereinfachte Dokumentationsvorlagen, reduzierte Konformitätsbewertungsgebühren sowie dedizierte Beratungskanäle. Rechtsgrundlage sind Art. 57 und 62 AI Act; die praktische Umsetzung obliegt den Mitgliedstaaten und ist bis 2. August 2026 abzuschließen, in Deutschland ist dafür die Bundesnetzagentur zuständig, deren Sandbox zum jetzigen Zeitpunkt noch nicht final ausgestaltet ist.

EU AI Act: Was Unternehmen jetzt wissen und umsetzen müssen

Geschätzte Lesedauer: 8 Minuten
Der neue Rechtsrahmen für Künstliche Intelligenz (KI) in Europa

Warum ist der AI Act EU relevant?