Der EU AI Act reguliert den Einsatz von KI-Systemen in der EU nach Risikoklassen. Je höher das Risiko eines Systems, desto strenger die Anforderungen. Die ersten Pflichten gelten bereits heute.
Der EU AI Act (EU-Verordnung über Künstliche Intelligenz, Verordnung (EU) 2024/1689) ist die weltweit erste umfassende gesetzliche Regulierung von Künstlicher Intelligenz. Er gilt als EU-Verordnung direkt in allen Mitgliedstaaten, ohne nationale Umsetzungsgesetze zu benötigen.
Der Ansatz ist risikobasiert: Nicht jedes KI-System wird gleich behandelt. Je nachdem, welches Schadenspotenzial ein System hat, gelten unterschiedlich strenge Anforderungen. Systeme mit minimalem Risiko, wie einfache Spam-Filter oder KI-gestützte Playlist-Empfehlungen, unterliegen keinen besonderen Pflichten. Systeme mit hohem Risiko, etwa in der Personalauswahl oder kritischen Infrastruktur, müssen strenge Anforderungen erfüllen.
Der EU AI Act gilt für alle Unternehmen, die KI-Systeme in der EU entwickeln, in Verkehr bringen oder einsetzen. Das betrifft nicht nur KI-Anbieter, also Unternehmen, die KI-Systeme entwickeln und verkaufen, sondern auch Betreiber (Unternehmen, die KI-Systeme im eigenen Betrieb einsetzen).
Für KMU relevant: Wer ChatGPT, KI-gestützte Recruiting-Tools oder automatisierte Entscheidungssysteme nutzt, ist als Betreiber potenziell betroffen. Die Pflichten hängen davon ab, in welche Risikoklasse das eingesetzte System fällt.
Die Verordnung ist seit dem 2. August 2026 im Grundsatz vollständig anwendbar. Die übrigen Fristen sind gestaffelt und wurden durch den Digital Omnibus, Verordnung (EU) 2026/1744, angepasst, die am 27. Juli 2026 in Kraft getreten ist:
Verbotene KI-Praktiken gelten seit dem 2. Februar 2025. Dazu zählen soziales Scoring durch Behörden, manipulative KI-Systeme und biometrische Echtzeit-Fernüberwachung im öffentlichen Raum. Seit demselben Datum gilt auch die KI-Kompetenzpflicht nach Art. 4.
Anforderungen für Anbieter neuer GPAI-Modelle (General Purpose AI, also KI-Systeme für allgemeine Zwecke wie große Sprachmodelle) sind seit August 2025 wirksam.
Seit dem 2. August 2026 ist die Verordnung im Grundsatz vollständig anwendbar. Damit greifen unter anderem die Transparenzpflichten für KI-generierte Inhalte, Deepfakes und Chatbots sowie die Anforderungen für KI-Systeme mit begrenztem und geringem Risiko.
Zwei weitere verbotene Praktiken, die der Digital Omnibus in Art. 5 ergänzt hat (Absätze 1a und 1b), gelten ab dem 2. Dezember 2026.
Die Anforderungen für eigenständige Hochrisiko-KI-Systeme nach Anhang III, also in sensiblen Bereichen wie Biometrie, kritische Infrastruktur, Bildung und Personalwesen, gelten ab dem 2. Dezember 2027. Ursprünglich war der 2. August 2026 vorgesehen.
Für Hochrisiko-KI-Systeme, die als Sicherheitsbauteil in Produkte eingebettet sind (Anhang I), gelten die Anforderungen ab dem 2. August 2028.
Die konkreten Anforderungen hängen von der Risikoklasse des KI-Systems ab.
Einige KI-Anwendungen sind grundsätzlich untersagt: soziales Scoring, manipulative Systeme, die Schwächen von Personen ausnutzen, und biometrische Kategorisierungssysteme auf Basis sensibler Merkmale.
KI-Systeme mit hohem Risiko müssen unter anderem registriert werden, Risikomanagement- und Qualitätsmanagementsysteme vorweisen, technische Dokumentation bereitstellen und eine Konformitätsbewertung (Nachweis, dass das System die gesetzlichen Anforderungen erfüllt) durchlaufen. Der Digital Omnibus hat hier für kleine und mittlere Unternehmen und für kleine Midcap-Unternehmen Erleichterungen geschaffen, etwa vereinfachte Qualitätsmanagementsysteme und eine vereinfachte technische Dokumentation.
Anbieter und Betreiber von KI-Systemen müssen Maßnahmen ergreifen, um die Entwicklung der KI-Kompetenz ihres Personals und anderer Personen zu unterstützen, die in ihrem Auftrag mit KI-Systemen arbeiten. Maßstab sind deren technische Kenntnisse, Erfahrung und Ausbildung sowie der Kontext, in dem die Systeme eingesetzt werden.
Der Digital Omnibus hat diese Pflicht entschärft: Sie verpflichtet Anbieter und Betreiber ausdrücklich nicht, für irgendeine Person ein bestimmtes Niveau an KI-Kompetenz zu garantieren. Aus einer Ergebnispflicht ist eine Bemühenspflicht geworden. Ein bestimmtes Zertifikat ist nicht vorgeschrieben, Schulungen und interne Richtlinien zum KI-Einsatz sind der praktische Weg.
Bei bestimmten KI-Systemen, etwa KI-generierten Texten, Deepfakes oder Chatbots, müssen Nutzer darüber informiert werden, dass sie mit einem KI-System interagieren.
Anbieter von KI-Modellen für allgemeine Zwecke müssen technische Dokumentation bereitstellen, Urheberrechtsvorgaben einhalten und bei Modellen mit systemischem Risiko zusätzliche Sicherheitsbewertungen durchführen.
Bei Verstößen gegen den EU AI Act können Bußgelder von bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes verhängt werden. Das gilt für die schwersten Verstöße, etwa den Einsatz verbotener KI-Praktiken. Für weniger schwere Verstöße sind Bußgelder bis zu 15 Millionen Euro oder 3 Prozent des Umsatzes vorgesehen. Für KMU sieht der EU AI Act verhältnismäßige Bußgelder vor.
Die KI-Kompetenzpflicht gilt seit Februar 2025 und ist für die meisten Unternehmen der erste konkrete Handlungsbedarf. Digimojo unterstützt dich bei der Bestandsaufnahme der eingesetzten KI-Systeme, der Einordnung in Risikoklassen, dem Aufbau interner KI-Richtlinien und der Vorbereitung auf die Compliance-Anforderungen des EU AI Act.
DigimojoCOMPLY hilft dabei, die erforderliche Dokumentation und Risikoanalyse strukturiert aufzubauen und aktuell zu halten.
Schreib uns kurz, worum es geht. Wir melden uns innerhalb von 24 Stunden mit konkreten nächsten Schritten.
