Was ist der EU AI Act?
GovernanceKI-Verordnung
Der EU AI Act ist die KI-Verordnung der Europäischen Union, amtlich Verordnung (EU) 2024/1689. Sie ordnet jedes KI-System einer von vier Risikoklassen zu: unannehmbares Risiko bedeutet Verbot, hohes Risiko bedeutet Auflagen, begrenztes Risiko bedeutet Transparenzpflichten, minimales Risiko bleibt frei.
EU AI Act: Definition
Der EU AI Act ist das erste umfassende Gesetz zu künstlicher Intelligenz in der Europäischen Union. Es ist am 1. August 2024 in Kraft getreten und gilt unmittelbar in allen Mitgliedstaaten, ohne dass ein nationales Gesetz nachgeschoben werden muss. Betroffen ist nicht nur, wer KI entwickelt, sondern auch, wer sie einsetzt.
Die Verordnung arbeitet risikobasiert. Unannehmbares Risiko heißt Verbot, etwa Social Scoring durch Behörden oder das ungezielte Auslesen von Gesichtsbildern aus dem Internet. Hochrisiko-Systeme, zum Beispiel in Personalauswahl, Kreditwürdigkeitsprüfung, Bildung oder als Sicherheitsbauteil regulierter Produkte, sind erlaubt, aber an Risikomanagement, Datenqualität, technische Dokumentation, Protokollierung und menschliche Aufsicht gebunden. Bei begrenztem Risiko greifen Transparenzpflichten: Menschen sollen erkennen können, dass sie mit einem KI-System sprechen oder KI-erzeugte Inhalte vor sich haben. Alles Übrige gilt als minimales Risiko.
Abzugrenzen ist der AI Act von der DSGVO. Die DSGVO regelt die Verarbeitung personenbezogener Daten, der AI Act das KI-System selbst - auch dann, wenn gar keine Personendaten im Spiel sind. Beide gelten nebeneinander, und der AI Act kennt eigene Rollen: Anbieter, Betreiber, Einführer und Händler. Welche Pflichten greifen, hängt zuerst von dieser Rolle ab, nicht von der Unternehmensgröße.
- Amtlich
- Verordnung (EU) 2024/1689 (KI-Verordnung)
- In Kraft seit
- 1. August 2024
- Risikoklassen
- unannehmbar (verboten), hoch, begrenzt, minimal
- Rollen
- Anbieter, Betreiber, Einführer, Händler
- Bußgeldrahmen
- bis 35 Mio. Euro oder 7 % des weltweiten Jahresumsatzes bei verbotenen Praktiken, bis 15 Mio. Euro oder 3 % bei den meisten übrigen Pflichten
- Stand
- 08/2026
Welche Fristen gelten?
Die Verordnung wird gestaffelt anwendbar. Einzelne Fristen für Hochrisiko-Systeme wurden durch die Änderungsverordnung (EU) 2026/1744 nach hinten verschoben, die Verordnung selbst gilt unverändert weiter:
| Datum | Was gilt | Betrifft |
|---|---|---|
| 1. August 2024 | Die Verordnung tritt in Kraft | alle Rollen |
| 2. Februar 2025 | Verbotene KI-Praktiken und die Pflicht zur KI-Kompetenz gelten | Anbieter und Betreiber |
| 2. August 2025 | Pflichten für Modelle mit allgemeinem Verwendungszweck, EU-Governance-Struktur | Modellanbieter |
| 2. August 2026 | Allgemeine Anwendbarkeit, Sanktionen auch gegenüber Modellanbietern | alle Rollen |
| 2. Dezember 2027 | Auflagen für eigenständige Hochrisiko-Systeme nach Anhang III | Anbieter und Betreiber |
| 2. August 2028 | Auflagen für Hochrisiko-KI in regulierten Produkten nach Anhang I | Produkthersteller |
Anbieter oder Betreiber - was ist der Unterschied?
Anbieter ist, wer ein KI-System entwickelt oder unter eigenem Namen auf den Markt bringt. Betreiber ist, wer ein KI-System in eigener Verantwortung einsetzt. Die meisten Unternehmen sind Betreiber, und die Pflichten sind dort deutlich schlanker: im Kern bestimmungsgemäße Nutzung, menschliche Aufsicht, Eingabedaten in passender Qualität und Aufbewahrung der Protokolle.
Die Rolle ist aber nicht in Stein gemeißelt. Wer ein zugekauftes System wesentlich verändert, es unter eigenem Namen anbietet oder seinen Zweck in Richtung Hochrisiko verschiebt, kann in die Anbieterrolle rutschen - mit allen Dokumentations- und Konformitätspflichten, die daran hängen.
Was ist als Erstes zu tun?
Der Einstieg ist unspektakulär und beginnt nicht mit einem Gutachten, sondern mit einer Liste:
- KI-Systeme inventarisierenWelche Systeme mit KI-Anteil laufen im Haus, inklusive der Funktionen, die in zugekaufter Standardsoftware stecken? Ohne dieses Verzeichnis ist jede weitere Aussage geraten.
- Rolle je System klärenAnbieter, Betreiber, Einführer oder Händler - je System einzeln. Die Rolle entscheidet, welcher Pflichtenkatalog überhaupt gilt.
- Risikoklasse bestimmenPrüfen, ob ein Anwendungsfall unter die Verbote fällt, in Anhang III genannt ist oder Sicherheitsbauteil eines regulierten Produkts ist. Der Rest fällt meist unter Transparenz- oder minimale Anforderungen.
- KI-Kompetenz nachweisenBeschäftigte, die KI-Systeme einsetzen, müssen ein angemessenes Verständnis dafür haben. Diese Pflicht gilt bereits und lässt sich mit Schulungsnachweisen belegen.
- Nachweise aufbauenTechnische Dokumentation, Protokollierung und die Zuständigkeit für die menschliche Aufsicht schriftlich festhalten. Was nicht dokumentiert ist, gilt im Zweifel als nicht getan.
Die meisten Unternehmen sind Betreiber und unterschätzen genau deshalb ihre Lage: Sie suchen nach einem Zertifikat, obwohl zuerst ein Verzeichnis fehlt. Die erste belastbare Aussage entsteht, wenn je System Rolle, Zweck, Datenquellen und verantwortliche Person auf einer Seite stehen.
„Der AI Act ist verschoben, wir haben Zeit.“ Verschoben wurden einzelne Fristen für Hochrisiko-Systeme, nicht die Verordnung. Die Verbote, die Pflicht zur KI-Kompetenz und die Regeln für Modelle mit allgemeinem Verwendungszweck gelten bereits, und der Bußgeldrahmen dahinter ist unverändert.
Häufige Fragen zu EU AI Act
Für wen gilt der EU AI Act?
Für Anbieter, Betreiber, Einführer und Händler von KI-Systemen, die in der EU auf den Markt gebracht oder eingesetzt werden. Der Sitz des Unternehmens spielt keine Rolle: Auch ein Anbieter außerhalb der EU fällt darunter, sobald sein System oder dessen Ergebnisse in der EU genutzt werden.
Was ist ein Hochrisiko-KI-System?
Ein System aus einem der in Anhang III genannten Bereiche - etwa Personalauswahl, Kreditwürdigkeitsprüfung, Bildung, kritische Infrastruktur oder Strafverfolgung - oder eines, das als Sicherheitsbauteil eines bereits regulierten Produkts dient. Für diese Systeme gelten Risikomanagement, Datenqualität, technische Dokumentation, Protokollierung und menschliche Aufsicht.
Wie hoch sind die Bußgelder?
Bei verbotenen Praktiken bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Für die meisten übrigen Pflichtverstöße liegt der Rahmen bei bis zu 15 Millionen Euro oder 3 Prozent. Für kleine und mittlere Unternehmen gilt jeweils der niedrigere der beiden Beträge.
Die Einordnung Ihrer KI-Systeme ist in wenigen Stunden gemacht - danach wissen Sie, welche Pflichten Sie wirklich treffen.
Reifegrad-Assessment starten