EU AI Act kompakt
Die KI-Verordnung der EU auf einen Blick für Entscheider: Risikoklassen, Pflichten für Anbieter und Betreiber, Transparenzregeln, die gestaffelten Fristen und Bußgelder – plus kostenloses PDF-Whitepaper.
Mit der KI-Verordnung (Verordnung (EU) 2024/1689, „EU AI Act”) gilt in der EU erstmals ein umfassender Rechtsrahmen für Künstliche Intelligenz. Dieses Whitepaper gibt Entscheidern den kompakten Überblick: Wer betroffen ist, wie die Risikoklassen funktionieren, welche Pflichten und Fristen gelten – und was jetzt zu tun ist.
Ein risikobasierter Rechtsrahmen
Der EU AI Act reguliert KI nicht pauschal, sondern nach Risiko. Je höher das Risiko einer Anwendung für Sicherheit, Grundrechte oder Gesellschaft, desto strenger die Anforderungen. In Kraft seit dem 1. August 2024, gelten die Pflichten gestaffelt über mehrere Jahre.
Die vier Risikoklassen
- Unannehmbares Risiko – verbotene Praktiken (z. B. bestimmtes Social Scoring). Seit 2. Februar 2025 untersagt.
- Hohes Risiko – streng reguliert, etwa KI in Personalauswahl, Kreditvergabe, kritischer Infrastruktur oder bestimmten biometrischen Anwendungen.
- Begrenztes Risiko – es gelten Transparenzpflichten: Nutzer müssen etwa erkennen, wenn sie mit einem Chatbot sprechen oder KI-erzeugte Inhalte vor sich haben.
- Minimales Risiko – hierunter fällt die überwiegende Mehrzahl heutiger Anwendungen; sie sind ohne besondere Auflagen nutzbar.
Anbieter und Betreiber
Die Verordnung unterscheidet Rollen mit unterschiedlichen Pflichten. Anbieter entwickeln ein KI-System oder bringen es unter eigenem Namen in Verkehr und tragen die umfangreichsten Pflichten. Betreiber setzen KI in eigener Verantwortung ein – das trifft auf die meisten Unternehmen zu, sobald sie KI-Werkzeuge im Arbeitsalltag nutzen.
Pflichten bei Hochrisiko-KI
Für Hochrisiko-Systeme gelten weitreichende Anforderungen: ein Risikomanagementsystem, technische Dokumentation und Protokollierung, Anforderungen an Datenqualität, menschliche Aufsicht, Transparenz gegenüber Betreibern sowie eine Konformitätsbewertung vor dem Inverkehrbringen. Betreiber solcher Systeme haben eigene Pflichten, etwa zur bestimmungsgemäßen Nutzung und Überwachung.
Transparenzpflichten
Unabhängig von der Hochrisiko-Einstufung gelten für bestimmte Systeme Transparenzpflichten (Art. 50): Nutzer müssen erkennen können, dass sie mit einer KI interagieren, und KI-generierte oder -manipulierte Inhalte sind entsprechend zu kennzeichnen.
Die KI-Kompetenz-Pflicht
Bereits seit dem 2. Februar 2025 gilt die KI-Kompetenz-Pflicht (Art. 4): Anbieter und Betreiber müssen sicherstellen, dass ihr Personal über ein ausreichendes Maß an KI-Kompetenz verfügt. Für viele Unternehmen ist das der erste konkrete Handlungsbedarf – umsetzbar durch gezielte Schulung.
Die Fristen im Überblick
- 2. Februar 2025 – Verbotene Praktiken und KI-Kompetenz-Pflicht.
- 2. August 2025 – KI-Modelle mit allgemeinem Verwendungszweck, Governance und Sanktionsrahmen.
- 2. August 2026 – Großteil der Hochrisiko-Pflichten und Transparenzpflichten.
- 2. August 2027 – Hochrisiko-Systeme nach Anhang I (Produktsicherheit).
Was Sie jetzt tun sollten
- KI-Einsatz erfassen: Welche Systeme werden im Unternehmen genutzt?
- Rollen und Risiko klären: Betreiber oder Anbieter, welche Risikoklasse?
- KI-Kompetenz aufbauen: Beschäftigte schulen (bereits Pflicht).
- Regeln verankern: interne Nutzungsrichtlinien festlegen und menschliche Aufsicht sicherstellen.
- Hochrisiko prüfen: bei sensiblen Anwendungen frühzeitig die Pflichten für 2026 vorbereiten.
Wo steht Ihr Unternehmen bei der KI-Verordnung?
Prüfen Sie in wenigen Fragen Ihren Status – oder lassen Sie das Thema komplett von TÜV-zertifizierten Fachkräften übernehmen.
Häufige Fragen
Seit wann gilt der EU AI Act?
Die Verordnung (EU) 2024/1689 ist am 1. August 2024 in Kraft getreten und gilt gestaffelt: verbotene Praktiken und die KI-Kompetenz-Pflicht seit 2. Februar 2025, Regeln für KI-Modelle mit allgemeinem Verwendungszweck und Governance ab 2. August 2025, der Großteil der Hochrisiko-Pflichten ab 2. August 2026 und bestimmte Systeme nach Anhang I ab 2. August 2027.
Welche Risikoklassen gibt es?
Vier: unannehmbares Risiko (verbotene Praktiken), hohes Risiko (streng reguliert), begrenztes Risiko (Transparenzpflichten) und minimales Risiko (weitgehend frei nutzbar). Die Einordnung richtet sich nach dem konkreten Einsatzzweck des Systems.
Ist mein Unternehmen betroffen?
In der Regel ja, sobald KI eingesetzt wird. Die Verordnung adressiert vor allem Anbieter (die KI entwickeln oder bereitstellen) und Betreiber (die KI in eigener Verantwortung nutzen). Die meisten Unternehmen sind Betreiber.
Was sind Hochrisiko-KI-Systeme?
KI-Systeme, die in besonders sensiblen Bereichen eingesetzt werden – etwa in der Personalauswahl, bei Kreditwürdigkeit, in kritischer Infrastruktur oder bei bestimmten biometrischen Anwendungen. Für sie gelten umfangreiche Pflichten wie Risikomanagement, Dokumentation, menschliche Aufsicht und Konformitätsbewertung.
Wie hoch sind die Bußgelder?
Der Sanktionsrahmen ist abgestuft. Bei verbotenen Praktiken drohen bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes, für andere Verstöße geringere, aber ebenfalls empfindliche Obergrenzen – je nachdem, welcher Wert höher ist.