Der EU AI Act reguliert den Einsatz von KI-Systemen in der EU nach Risikoklassen. Je höher das Risiko eines Systems, desto strenger die Anforderungen. Die ersten Pflichten gelten bereits heute.
Der EU AI Act (EU-Verordnung über Künstliche Intelligenz, Verordnung (EU) 2024/1689) ist die weltweit erste umfassende gesetzliche Regulierung von Künstlicher Intelligenz. Er gilt als EU-Verordnung direkt in allen Mitgliedstaaten, ohne nationale Umsetzungsgesetze zu benötigen.
Der Ansatz ist risikobasiert: Nicht jedes KI-System wird gleich behandelt. Je nachdem, welches Schadenspotenzial ein System hat, gelten unterschiedlich strenge Anforderungen. Systeme mit minimalem Risiko, wie einfache Spam-Filter oder KI-gestützte Playlist-Empfehlungen, unterliegen keinen besonderen Pflichten. Systeme mit hohem Risiko, etwa in der Personalauswahl oder kritischen Infrastruktur, müssen strenge Anforderungen erfüllen.
Der EU AI Act gilt für alle Unternehmen, die KI-Systeme in der EU entwickeln, in Verkehr bringen oder einsetzen. Das betrifft nicht nur KI-Anbieter, also Unternehmen, die KI-Systeme entwickeln und verkaufen, sondern auch Betreiber (Unternehmen, die KI-Systeme im eigenen Betrieb einsetzen).
Für KMU relevant: Wer ChatGPT, KI-gestützte Recruiting-Tools oder automatisierte Entscheidungssysteme nutzt, ist als Betreiber potenziell betroffen. Die Pflichten hängen davon ab, in welche Risikoklasse das eingesetzte System fällt.
Die Fristen sind gestaffelt und wurden zuletzt durch den KI-Omnibus (ein Vereinfachungspaket der EU-Kommission, zu dem am 7. Mai 2026 eine politische Einigung erzielt wurde) angepasst:
Verbotene KI-Praktiken gelten seit Februar 2025. Dazu zählen soziales Scoring durch Behörden, manipulative KI-Systeme und biometrische Echtzeit-Fernüberwachung im öffentlichen Raum.
Anforderungen für Anbieter neuer GPAI-Modelle (General Purpose AI – KI-Systeme für allgemeine Zwecke, wie große Sprachmodelle) sind seit August 2025 wirksam.
Transparenzpflichten und KI-Kompetenzpflichten (Art. 4: Unternehmen müssen sicherstellen, dass ihr Personal über ausreichende KI-Kompetenz verfügt) gelten ab dem 2. August 2026. Außerdem treten die Anforderungen für KI-Systeme mit begrenztem und geringem Risiko in Kraft.
Die vollständigen Anforderungen für Hochrisiko-KI-Systeme in sensiblen Bereichen wie Biometrie, kritische Infrastruktur, Bildung und Personalwesen gelten ab dem 2. Dezember 2027.
Die konkreten Anforderungen hängen von der Risikoklasse des KI-Systems ab.
Einige KI-Anwendungen sind grundsätzlich untersagt: soziales Scoring, manipulative Systeme, die Schwächen von Personen ausnutzen, und biometrische Kategorisierungssysteme auf Basis sensibler Merkmale.
KI-Systeme mit hohem Risiko müssen unter anderem registriert werden, Risikomanagement- und Qualitätsmanagementsysteme vorweisen, technische Dokumentation bereitstellen und eine Konformitätsbewertung (Nachweis, dass das System die gesetzlichen Anforderungen erfüllt) durchlaufen.
Ab August 2026 müssen alle Unternehmen, die KI-Systeme einsetzen oder entwickeln, sicherstellen, dass ihre Mitarbeitenden über ausreichende KI-Kompetenz verfügen. Schulungen und interne Richtlinien zum KI-Einsatz sind der praktische Weg zur Erfüllung dieser Pflicht.
Bei bestimmten KI-Systemen, etwa KI-generierten Texten, Deepfakes oder Chatbots, müssen Nutzer darüber informiert werden, dass sie mit einem KI-System interagieren.
Anbieter von KI-Modellen für allgemeine Zwecke müssen technische Dokumentation bereitstellen, Urheberrechtsvorgaben einhalten und bei Modellen mit systemischem Risiko zusätzliche Sicherheitsbewertungen durchführen.
Bei Verstößen gegen den EU AI Act können Bußgelder von bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes verhängt werden. Das gilt für die schwersten Verstöße, etwa den Einsatz verbotener KI-Praktiken. Für weniger schwere Verstöße sind Bußgelder bis zu 15 Millionen Euro oder 3 Prozent des Umsatzes vorgesehen. Für KMU sieht der EU AI Act verhältnismäßige Bußgelder vor.
Die KI-Kompetenzpflicht ab August 2026 ist der erste konkrete Handlungsbedarf für die meisten Unternehmen. Digimojo unterstützt dich bei der Bestandsaufnahme der eingesetzten KI-Systeme, der Einordnung in Risikoklassen, dem Aufbau interner KI-Richtlinien und der Vorbereitung auf die Compliance-Anforderungen des EU AI Act.
DigimojoCOMPLY hilft dabei, die erforderliche Dokumentation und Risikoanalyse strukturiert aufzubauen und aktuell zu halten.
Schreib uns kurz, worum es geht. Wir melden uns innerhalb von 24 Stunden mit konkreten nächsten Schritten.
