EU AI Act: Was er ist und was Unternehmen tun müssen
von Salvatore Croce · Veröffentlicht am 30. Oktober 2026 · 3 Min. Lesezeit
Der EU AI Act (Verordnung (EU) 2024/1689) ist das erste umfassende europäische Gesetz zur künstlichen Intelligenz. Er verfolgt einen risikobasierten Ansatz: Er verbietet bestimmte Anwendungen, stellt strenge Anforderungen an Hochrisiko-Systeme, verlangt bei anderen Transparenz und lässt Systeme mit minimalem Risiko frei. Er gilt für alle, die KI-Systeme in der Union entwickeln, einführen, vertreiben oder nutzen.
Was er ist und für wen er gilt
Die Verordnung ist am 1. August 2024 in Kraft getreten und gilt schrittweise. Sie betrifft Anbieter, also diejenigen, die ein KI-System entwickeln oder in Verkehr bringen, aber auch Betreiber, also Organisationen, die es in ihrer Tätigkeit einsetzen, sowie Einführer und Händler. Sie hat extraterritoriale Wirkung: Sie gilt auch für Unternehmen außerhalb der EU, wenn sie Systeme auf dem europäischen Markt bereitstellen oder die Ergebnisse des Systems in der EU verwendet werden.
Die wichtigsten Termine
- 1. August 2024: Inkrafttreten.
- 2. Februar 2025: Es gelten die Verbote unannehmbarer Praktiken und die Pflicht zur KI-Kompetenz (Artikel 4).
- 2. August 2025: Es gelten die Pflichten für KI-Modelle mit allgemeinem Verwendungszweck und die Governance-Regeln.
- 2. August 2026: allgemeiner Geltungsbeginn. Es gelten unter anderem die Transparenzpflichten aus Artikel 50 (Chatbots, generierte Inhalte, Deepfakes); generative Systeme, die schon vorher auf dem Markt waren, haben bis zum 2. Dezember 2026 Zeit, ihre Ausgaben zu kennzeichnen.
- 2. Dezember 2026: Es gelten zwei neue Verbote aus dem Digital Omnibus (Verordnung (EU) 2026/1744, in Kraft seit dem 27. Juli 2026): Systeme, die ohne Einwilligung realistische intime Bilder einer Person erzeugen, und Systeme, die Darstellungen sexuellen Kindesmissbrauchs erzeugen.
- Hohes Risiko: Der Digital Omnibus hat die Pflichten verschoben, auf den 2. Dezember 2027 für die Anwendungsfälle aus Anhang III (etwa Beschäftigung, Bildung, Kredit) und auf den 2. August 2028 für Systeme in regulierten Produkten (Anhang I).
Die Vorschriften wurden kürzlich geändert und können sich erneut ändern: Prüfen Sie vor Entscheidungen immer den konsolidierten Text auf EUR-Lex.
Was Unternehmen konkret tun müssen
- Erfassen: Erstellen Sie ein Inventar der KI-Systeme, die Sie entwickeln oder nutzen, einschließlich generativer Werkzeuge, die Mitarbeitende verwenden.
- Einstufen: Legen Sie für jedes System die Risikostufe und Ihre Rolle (Anbieter oder Betreiber) fest.
- Verbote ausschließen: Prüfen Sie, dass keine Anwendung unter die verbotenen Praktiken fällt.
- Schulen: Bauen Sie die KI-Kompetenz Ihrer Beschäftigten auf, wie Artikel 4 es verlangt.
- Steuern: Legen Sie Verantwortlichkeiten fest und sorgen Sie für menschliche Aufsicht, Dokumentation und Regeln für die Lieferantenauswahl.
Welche Sanktionen drohen
Die Höchstgeldbußen betragen 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes bei verbotenen Praktiken, 15 Millionen oder 3 % bei Verstößen gegen andere Pflichten und 7,5 Millionen oder 1 % bei falschen Angaben gegenüber Behörden. Für KMU und seit dem Digital Omnibus auch für kleine Midcap-Unternehmen gilt der jeweils niedrigere Betrag.
Wo Sie anfangen
Der erste Schritt ist immer das Inventar: Was man nicht kennt, kann man weder einstufen noch steuern. Ein einfaches Register mit System, Zweck, Lieferant, verwendeten Daten, beteiligten Personen und internem Verantwortlichen ist bereits eine ausgezeichnete Grundlage – unabhängig vom endgültigen Termin.
Häufige Fragen
Betrifft der AI Act auch Unternehmen, die ChatGPT nutzen?
Ja, als Betreiber. Die Pflichten hängen vom Einsatz ab: Für viele alltägliche Anwendungen sind sie begrenzt, bestehen bleiben aber zum Beispiel die Kompetenz der Beschäftigten und die Einhaltung der Verbote.
Gilt der AI Act auch für Unternehmen außerhalb der EU?
Ja, wenn sie KI-Systeme auf dem europäischen Markt bereitstellen oder die Ergebnisse ihrer Systeme in der Union verwendet werden.
Wann gilt der AI Act?
Schrittweise: Verbote und KI-Kompetenz seit dem 2. Februar 2025, KI-Modelle mit allgemeinem Verwendungszweck seit dem 2. August 2025, allgemeiner Geltungsbeginn und Transparenzpflichten seit dem 2. August 2026, neue Verbote ab dem 2. Dezember 2026. Für Hochrisiko hat der Digital Omnibus die Fristen auf 2027 und 2028 verschoben.
Brauche ich Zertifizierungen, um konform zu sein?
Nicht für jedes System. Hochrisiko-Systeme benötigen vor dem Inverkehrbringen eine Konformitätsbewertung, bei vielen Anwendungen genügen Transparenz, Kompetenz und gute Praxis.
Mehr erfahren?
Weiterlesen
Verpassen Sie keine Ausgabe
Eine gelegentliche E-Mail mit einer Auswahl der wichtigsten Entwicklungen zu KI und Regulierung, aus meiner Perspektive.