Risikoklassen, Rollen und Fristen der EU-KI-Verordnung im Überblick.
Die KI-Verordnung (EU) 2024/1689 regelt Entwicklung, Vertrieb und Einsatz von Künstlicher Intelligenz in der EU. Sie gilt seit dem 2. August 2026 im Grundsatz vollständig, nachdem der Digital Omnibus im Juli 2026 zentrale Fristen verschoben hat. Dieser Artikel gibt den Überblick über Risikoklassen, Rollen, Pflichten und den aktuellen Zeitplan.
Die KI-Verordnung betrifft nicht nur Tech-Konzerne. Auch ein Handwerksbetrieb mit einem Chatbot auf der Website fällt darunter. Die KI-Verordnung, offiziell Verordnung (EU) 2024/1689 und oft AI Act genannt, ist definiert als risikobasierter Rechtsrahmen: Je höher das Risiko einer KI-Anwendung für Menschen, desto strenger die Anforderungen. Seit dem 2. August 2026 gilt sie im Grundsatz vollständig, allerdings in einer geänderten Fassung. Dieser Artikel ordnet Risikoklassen, Rollen, Pflichten und Fristen.
Die Verordnung teilt KI-Systeme nach ihrem Risiko ein. Die Klasse bestimmt, welche Pflichten gelten.
Zusätzlich regelt die Verordnung KI-Modelle mit allgemeinem Verwendungszweck (GPAI), also große Sprachmodelle wie GPT oder Claude. Diese Pflichten treffen die Modellanbieter, nicht deren Nutzer.
Die KI-Verordnung knüpft fast alle Pflichten an Rollen. Wer seine Rolle nicht kennt, kann seine Pflichten nicht bestimmen.
Anbieter ist, wer ein KI-System entwickelt und unter eigenem Namen auf den Markt bringt. Betreiber ist, wer ein KI-System beruflich einsetzt. Die meisten kleinen und mittleren Unternehmen sind Betreiber. Ihre Pflichten sind deutlich schlanker als die der Anbieter.
Die Rollen sind nicht endgültig. Nach Artikel 25 kannst du zum Anbieter werden, wenn du ein fremdes KI-System unter deinem eigenen Namen bereitstellst oder seine Zweckbestimmung wesentlich veränderst.
Für ein Unternehmen, das KI im Alltag einsetzt, sind drei Pflichtenbereiche relevant.
KI-Kompetenz nach Artikel 4. Gilt seit dem 2. Februar 2025. Anbieter und Betreiber müssen geeignete Maßnahmen treffen, um die KI-Kompetenz ihres Personals zu unterstützen. Der Digital Omnibus hat diese Pflicht von einer Ergebnispflicht zu einer Bemühenspflicht abgeschwächt. Was das praktisch bedeutet, steht im Magazinbeitrag „Die KI-Kompetenzpflicht ist entschärft“.
Transparenz nach Artikel 50. Gilt seit dem 2. August 2026. Vier Pflichten mit zwei Adressaten: Anbieter müssen den KI-Interaktionshinweis vorsehen und Ausgaben maschinenlesbar markieren, Betreiber müssen Emotionserkennung offenlegen und Deepfakes kennzeichnen. Die Details stehen im Artikel zur Kennzeichnungspflicht für KI-Inhalte.
Hochrisiko-Pflichten. Risikomanagement, Datenqualität, technische Dokumentation, Protokollierung, menschliche Aufsicht und Konformitätsbewertung. Diese Pflichten greifen erst ab Dezember 2027 beziehungsweise August 2028. Wer KI im Recruiting oder in der Bonitätsbewertung einsetzt, sollte die Vorbereitung trotzdem nicht bis dahin schieben.
{{checklist-kivo="/system/components"}}
Der Digital Omnibus, Verordnung (EU) 2026/1744, ist am 27. Juli 2026 in Kraft getreten und hat über 40 Artikel der KI-Verordnung geändert. Seitdem gilt dieser Zeitplan.
Die Verschiebung der Hochrisiko-Fristen ist die größte Änderung. Sie betrifft aber nur Hochrisiko-Systeme. Wer daraus ableitet, dass 2026 nichts zu tun ist, irrt: Art. 4 und Art. 50 gelten unverändert.
Seit dem 29. Juli 2026 ist das KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG) in Kraft. Es benennt die Bundesnetzagentur als zentrale Marktüberwachungsbehörde, Anlaufstelle und Beschwerdestelle in Deutschland. In bereits regulierten Produktbereichen bleiben die Fachaufsichtsbehörden zuständig, etwa die BaFin im Finanzsektor.
Bei den Bußgeldern unterscheidet die Verordnung nach Schwere. Die höchste Stufe von bis zu 35 Mio. Euro oder 7 Prozent des weltweiten Jahresumsatzes betrifft verbotene Praktiken nach Art. 5. Für bestimmte ausdrücklich genannte Pflichten, darunter die Transparenzpflichten, liegt die Stufe bei bis zu 15 Mio. Euro oder 3 Prozent. Für Art. 4 ist keine eigene Bußgeldstufe vorgesehen.
Der Einstieg ist in jedem Fall derselbe: herausfinden, welche KI überhaupt im Haus läuft. Ohne dieses Inventar lässt sich keine Risikoklasse bestimmen und keine Pflicht erfüllen.
Diese Bestandsaufnahme ist kein Großprojekt. Sie ist die Grundlage für alles Weitere und in den meisten Betrieben an ein bis zwei Tagen erledigt.
Die KI-Verordnung verlangt von den meisten Unternehmen weniger, als die Diskussion nahelegt. Entscheidend sind zwei Fragen: In welche Risikoklasse fällt euer System, und seid ihr Anbieter oder Betreiber? Aus diesen beiden Antworten ergeben sich die Pflichten.
Wer jetzt ein KI-Inventar aufbaut, eine Richtlinie schreibt und die Transparenzpflichten prüft, hat die aktuell geltenden Anforderungen abgedeckt und die Grundlage für die Hochrisiko-Fristen ab 2027 gelegt.
Den Rahmen und die Struktur der Verordnung findest du im Überblick zum EU AI Act. Wenn du das für dein Unternehmen einordnen lassen willst, schauen wir in einem Strategiegespräch gemeinsam, wo ihr steht. Den größeren Rahmen dazu findest du auf unserer Seite zur KI-Compliance-Beratung.
