EU AI Act kompakt
Die KI-Verordnung auf einen Blick: Risikoklassen, Pflichten für Anbieter und Betreiber, Transparenzregeln und Fristen – plus PDF-Whitepaper.
Mit der KI-Verordnung (Verordnung (EU) 2024/1689, „EU AI Act”) gilt in der EU erstmals ein umfassender Rechtsrahmen für Künstliche Intelligenz. Dieses Whitepaper gibt Entscheidern den kompakten Überblick: Wer betroffen ist, wie die Risikoklassen funktionieren, welche Pflichten und Fristen gelten – und was jetzt zu tun ist.
Ein risikobasierter Rechtsrahmen
Der EU AI Act reguliert KI nicht pauschal, sondern nach Risiko. Je höher das Risiko einer Anwendung für Sicherheit, Grundrechte oder Gesellschaft, desto strenger die Anforderungen. In Kraft seit dem 1. August 2024, gelten die Pflichten gestaffelt über mehrere Jahre.
Die vier Risikoklassen
- Unannehmbares Risiko – verbotene Praktiken (z. B. bestimmtes Social Scoring). Seit 2. Februar 2025 untersagt.
- Hohes Risiko – streng reguliert, etwa KI in Personalauswahl, Kreditvergabe, kritischer Infrastruktur oder bestimmten biometrischen Anwendungen.
- Begrenztes Risiko – es gelten Transparenzpflichten: Nutzer müssen etwa erkennen, wenn sie mit einem Chatbot sprechen oder KI-erzeugte Inhalte vor sich haben.
- Minimales Risiko – hierunter fällt die überwiegende Mehrzahl heutiger Anwendungen; sie sind ohne besondere Auflagen nutzbar.
Anbieter und Betreiber
Die Verordnung unterscheidet Rollen mit unterschiedlichen Pflichten. Anbieter entwickeln ein KI-System oder bringen es unter eigenem Namen in Verkehr und tragen die umfangreichsten Pflichten. Betreiber setzen KI in eigener Verantwortung ein – das trifft auf die meisten Unternehmen zu, sobald sie KI-Werkzeuge im Arbeitsalltag nutzen.
Pflichten bei Hochrisiko-KI
Für Hochrisiko-Systeme gelten weitreichende Anforderungen: ein Risikomanagementsystem, technische Dokumentation und Protokollierung, Anforderungen an Datenqualität, menschliche Aufsicht, Transparenz gegenüber Betreibern sowie eine Konformitätsbewertung vor dem Inverkehrbringen. Betreiber solcher Systeme haben eigene Pflichten, etwa zur bestimmungsgemäßen Nutzung und Überwachung.
Transparenzpflichten
Unabhängig von der Hochrisiko-Einstufung gelten für bestimmte Systeme Transparenzpflichten (Art. 50): Nutzer müssen erkennen können, dass sie mit einer KI interagieren, und KI-generierte oder -manipulierte Inhalte sind entsprechend zu kennzeichnen.
Die KI-Kompetenz-Pflicht
Bereits seit dem 2. Februar 2025 gilt die KI-Kompetenz-Pflicht (Art. 4): Anbieter und Betreiber müssen Maßnahmen ergreifen, die die KI-Kompetenz ihres Personals fördern. Der Digital Omnibus hat den Wortlaut im Juli 2026 entschärft – aus „sicherstellen” wurde „unterstützen”, und ein bestimmtes Kompetenzniveau muss ausdrücklich niemand garantieren. Die Pflicht, überhaupt Maßnahmen zu ergreifen, bleibt bestehen. Für viele Unternehmen ist das der erste konkrete Handlungsbedarf – umsetzbar durch gezielte Schulung.
Die Fristen im Überblick
- 2. Februar 2025 – Verbotene Praktiken und KI-Kompetenz-Pflicht.
- 2. August 2025 – KI-Modelle mit allgemeinem Verwendungszweck, Governance und Sanktionsrahmen.
- 2. August 2026 – Transparenzpflichten nach Art. 50.
- 2. Dezember 2026 – Ende der Übergangsfrist für die maschinenlesbare Markierung synthetischer Inhalte (Art. 50 Abs. 2).
- 2. Dezember 2027 – eigenständige Hochrisiko-Systeme nach Anhang III.
- 2. August 2028 – Hochrisiko-KI in regulierten Produkten nach Anhang I.
Die beiden letzten Termine standen ursprünglich auf dem 2. August 2026 und dem 2. August 2027. Der Digital Omnibus hat sie verschoben. Die Transparenzpflichten sind davon nicht betroffen – sie gelten seit dem 2. August 2026.
Was Sie jetzt tun sollten
- KI-Einsatz erfassen: Welche Systeme werden im Unternehmen genutzt?
- Rollen und Risiko klären: Betreiber oder Anbieter, welche Risikoklasse?
- KI-Kompetenz aufbauen: Beschäftigte schulen (bereits Pflicht).
- Regeln verankern: interne Nutzungsrichtlinien festlegen und menschliche Aufsicht sicherstellen.
- Hochrisiko prüfen: bei sensiblen Anwendungen die Pflichten für Anhang III (ab 12/2027) vorbereiten. Die Verschiebung verschafft Zeit, sie hebt die Anforderungen nicht auf.
Wo steht Ihr Unternehmen bei der KI-Verordnung?
Prüfen Sie in wenigen Fragen Ihren Status – oder lassen Sie das Thema komplett von TÜV-zertifizierten Fachkräften übernehmen.
Häufige Fragen
Seit wann gilt der EU AI Act?
Die Verordnung (EU) 2024/1689 ist am 1. August 2024 in Kraft getreten und gilt gestaffelt: verbotene Praktiken und die KI-Kompetenz-Pflicht seit 2. Februar 2025, Regeln für KI-Modelle mit allgemeinem Verwendungszweck und Governance seit 2. August 2025, die Transparenzpflichten nach Art. 50 seit 2. August 2026. Die Pflichten für Hochrisiko-Systeme wurden durch den Digital Omnibus verschoben: eigenständige Systeme nach Anhang III auf den 2. Dezember 2027, in regulierte Produkte eingebettete Systeme nach Anhang I auf den 2. August 2028.
Welche Risikoklassen gibt es?
Vier: unannehmbares Risiko (verbotene Praktiken), hohes Risiko (streng reguliert), begrenztes Risiko (Transparenzpflichten) und minimales Risiko (weitgehend frei nutzbar). Die Einordnung richtet sich nach dem konkreten Einsatzzweck des Systems.
Ist mein Unternehmen betroffen?
In der Regel ja, sobald KI eingesetzt wird. Die Verordnung adressiert vor allem Anbieter (die KI entwickeln oder bereitstellen) und Betreiber (die KI in eigener Verantwortung nutzen). Die meisten Unternehmen sind Betreiber.
Was sind Hochrisiko-KI-Systeme?
KI-Systeme, die in besonders sensiblen Bereichen eingesetzt werden – etwa in der Personalauswahl, bei Kreditwürdigkeit, in kritischer Infrastruktur oder bei bestimmten biometrischen Anwendungen. Für sie gelten umfangreiche Pflichten wie Risikomanagement, Dokumentation, menschliche Aufsicht und Konformitätsbewertung.
Wie hoch sind die Bußgelder?
Der Sanktionsrahmen ist abgestuft. Bei verbotenen Praktiken drohen bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes, für andere Verstöße geringere, aber ebenfalls empfindliche Obergrenzen – je nachdem, welcher Wert höher ist.