EU AI Act (KI-Verordnung): Zusammenfassung auf Deutsch

Der EU AI Act, auf Deutsch KI-Verordnung, ist die Verordnung (EU) 2024/1689 – das erste umfassende Gesetz für künstliche Intelligenz. Er stuft KI-Systeme nach Risiko ein: Manches ist verboten, Hochrisiko-KI unterliegt strengen Pflichten, Chatbots und Deepfakes müssen transparent sein. Er gilt seit August 2024 schrittweise, unmittelbar in allen EU-Staaten und auch für Anbieter außerhalb der EU.

Das Wichtigste in Kürze

• Die KI-Verordnung gilt für Unternehmen, die KI entwickeln und anbieten (Anbieter), und für alle, die KI beruflich einsetzen (Betreiber) – also für fast jedes Unternehmen.
• Vier Risikoklassen: unannehmbares Risiko (verboten), hohes Risiko, begrenztes Risiko mit Transparenzpflichten, minimales Risiko.
• Seit Februar 2025 gelten Verbote und KI-Kompetenz, seit August 2025 die Regeln für GPAI-Modelle, seit August 2026 die Transparenzpflichten nach Artikel 50.
• Der Digital Omnibus (Verordnung (EU) 2026/1744) ist seit dem 27. Juli 2026 in Kraft und hat die Hochrisiko-Pflichten auf den 2. Dezember 2027 bzw. 2. August 2028 verschoben.
• In Deutschland überwacht seit dem 29. Juli 2026 vor allem die Bundesnetzagentur, auf Grundlage des KI-MIG.

Was ist der EU AI Act?

Die KI-Verordnung ist ein Produktsicherheitsgesetz mit Grundrechtsschutz. Sie reguliert nicht die Technik an sich, sondern knüpft an den Verwendungszweck eines KI-Systems an: Je größer das Risiko für Gesundheit, Sicherheit oder Grundrechte, desto strenger die Pflichten. Ziel ist ein Binnenmarkt für vertrauenswürdige KI mit einheitlichen Regeln in allen Mitgliedstaaten. Den amtlichen Text finden Sie in der deutschen Fassung auf EUR-Lex; eine Übersicht der Kommission bietet die Seite zum EU-Rechtsrahmen für KI.

Umgangssprachlich heißt das Gesetz auch „KI-Gesetz“, „AI Act“ oder „KI-VO“. Gemeint ist immer dieselbe Verordnung. Als Verordnung gilt sie unmittelbar; Deutschland hat mit dem KI-MIG nur ergänzt, welche Behörden zuständig sind.

Wer schnell wissen möchte, was davon für das eigene Unternehmen zählt, kann den kostenlosen KI-Governance & Readiness-Check von Opsio nutzen. Sie beantworten Fragen zur eigenen KI-Nutzung und erhalten daraus eine KI-Richtlinie, ein Governance-Rahmenwerk und zwei weitere Dokumente.

Für wen gilt die KI-Verordnung?

Die Verordnung unterscheidet Rollen. Anbieter entwickeln ein KI-System oder lassen es entwickeln und bringen es unter eigenem Namen in Verkehr. Betreiber setzen ein KI-System in eigener Verantwortung beruflich ein. Dazu kommen Einführer, Händler, Produkthersteller und Bevollmächtigte. Ein Unternehmen, das Microsoft 365 Copilot nutzt, ist Betreiber; eines, das einen eigenen Chatbot baut und auf seiner Website anbietet, ist für diesen Chatbot Anbieter.

Räumlich gilt der AI Act für Anbieter, die KI-Systeme in der EU in Verkehr bringen oder in Betrieb nehmen, egal wo sie sitzen, für Betreiber in der EU und für Anbieter und Betreiber außerhalb der EU, wenn die Ausgabe ihres Systems in der EU genutzt wird. Ausgenommen sind unter anderem rein private Nutzung, militärische Zwecke und Forschung vor dem Inverkehrbringen.

Die vier Risikoklassen

Ausführlich erklärt der Beitrag Risikoklassen des EU AI Act die Einordnung. Daneben gibt es eigene Regeln für KI-Modelle mit allgemeinem Verwendungszweck wie große Sprachmodelle.

Was gilt wann? Die Fristen nach dem Digital Omnibus

Der Digital Omnibus ist beschlossenes Recht, kein Vorschlag mehr: Er wurde am 24. Juli 2026 im Amtsblatt veröffentlicht und trat am 27. Juli 2026 in Kraft. Er hat nur die Hochrisiko-Fristen verschoben, zwei Verbote ergänzt, Artikel 4 neu gefasst und Erleichterungen für kleine Midcaps eingeführt. Verbote, KI-Kompetenz, GPAI-Regeln und Artikel 50 behielten ihre Termine.

Die wichtigsten Pflichten im Überblick

• Für alle: keine verbotenen Praktiken; Maßnahmen zur Förderung der KI-Kompetenz des Personals.
• Bei Chatbots und generativer KI: Hinweis auf KI-Interaktion, maschinenlesbare Markierung durch Anbieter, Offenlegung von Deepfakes durch Betreiber.
• Anbieter von Hochrisiko-KI: Risikomanagement, Daten-Governance, technische Dokumentation, Protokollierung, menschliche Aufsicht, Qualitätsmanagement, Konformitätsbewertung, CE-Kennzeichnung, Registrierung.
• Betreiber von Hochrisiko-KI: Nutzung nach Anleitung, menschliche Aufsicht, Protokolle mindestens sechs Monate aufbewahren, Beschäftigte und Betroffene informieren, in bestimmten Fällen eine Grundrechte-Folgenabschätzung.
• GPAI-Anbieter: Dokumentation, Informationen für nachgelagerte Anbieter, Urheberrechtsstrategie, Zusammenfassung der Trainingsdaten.

Bußgelder

Artikel 99 sieht drei Stufen vor: bis 35 Mio. Euro oder 7 Prozent des weltweiten Jahresumsatzes für verbotene Praktiken, bis 15 Mio. Euro oder 3 Prozent für die meisten übrigen Pflichten einschließlich Hochrisiko und Artikel 50, bis 7,5 Mio. Euro oder 1 Prozent für falsche oder irreführende Angaben gegenüber Behörden. Maßgeblich ist jeweils der höhere Betrag – für KMU und Start-ups der niedrigere. Gegen GPAI-Anbieter verhängt die Kommission Bußgelder bis 15 Mio. Euro oder 3 Prozent.

Wer in Deutschland kontrolliert

Seit dem 29. Juli 2026 ist das KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG) in Kraft. Die Bundesnetzagentur ist grundsätzlich Marktüberwachungsbehörde, zentrale Anlaufstelle und Beschwerdestelle; ihr KI-Service-Desk berät vor allem KMU. Die BaFin überwacht KI bei beaufsichtigten Finanzunternehmen, Fachbehörden KI in regulierten Produkten, die Landesmedienanstalten Mediendienste. Für Datenschutz bleiben die Datenschutzbehörden zuständig. Alle Einzelheiten stehen im Beitrag KI-Verordnung in Deutschland: KI-MIG und Bundesnetzagentur. Auf EU-Ebene beaufsichtigt das Büro für Künstliche Intelligenz die GPAI-Modelle.

Der AI Act und andere Gesetze

Die KI-Verordnung steht nicht allein. Die DSGVO gilt weiter, sobald personenbezogene Daten verarbeitet werden – vom Training bis zur einzelnen Eingabe in einen Chatbot. Für Produkte wie Maschinen oder Medizinprodukte greifen die bestehenden Produktgesetze zusätzlich. Banken und Versicherer müssen außerdem DORA und die Erwartungen der BaFin erfüllen, Betreiber kritischer Einrichtungen die NIS2-Vorgaben. Und in Deutschland gibt das Betriebsverfassungsgesetz dem Betriebsrat Mitbestimmungsrechte bei KI-Werkzeugen, die Verhalten oder Leistung der Beschäftigten auswerten können. Wer KI einführt, sollte diese Regelwerke in einem gemeinsamen Prozess prüfen, statt nacheinander.

Was Unternehmen jetzt tun sollten

1. Überblick schaffen: Alle KI-Systeme und Einsatzzwecke erfassen, auch Schatten-KI und KI-Funktionen in bestehender Software.
2. Rolle und Risikoklasse bestimmen: Je System festhalten, ob Sie Anbieter oder Betreiber sind und in welche Klasse es fällt.
3. Geltende Pflichten schließen: verbotene Praktiken ausschließen, Maßnahmen zur KI-Kompetenz, Hinweise bei Chatbots und Deepfakes.
4. Regeln festlegen: eine KI-Richtlinie für Beschäftigte und einen Freigabeprozess für neue Tools.
5. Hochrisiko-Vorhaben planen: Anbieter, Verträge, Betriebsrat und Dokumentation bis Ende 2027 vorbereiten.

Alle Leitfäden zur KI-Verordnung

Unsere Beiträge vertiefen jedes Thema:

• AI Act Zeitplan – alle Fristen von 2024 bis 2030 und für wen sie gelten.
• Digital Omnibus – was die Verordnung (EU) 2026/1744 geändert hat und was nicht.
• KI-Aufsicht in Deutschland – KI-MIG, Bundesnetzagentur, BaFin, Reallabor.
• KI-Kennzeichnungspflicht – wer nach Artikel 50 was kennzeichnen muss und was nicht.
• KI-Schulung und KI-Kompetenz – was Artikel 4 nach der Änderung verlangt.
• Hochrisiko-KI-Systeme – Einstufung nach Artikel 6 und Anhang III, Pflichten ab 2027.
• Anbieter und Betreiber – Rollen, Pflichten und Rollenwechsel.
• GPAI-Modelle – Pflichten für Basismodelle und der Verhaltenskodex.
• KI und Datenschutz – wie KI-Verordnung und DSGVO zusammenwirken.
• ISO 42001 – die Norm für KI-Managementsysteme und ihre Zertifizierung.
• Gap-Analyse zur KI-Verordnung – KI-Compliance in sieben Schritten.
• KI-Richtlinie im Unternehmen – Inhalte und Beispielformulierungen.
• KI-Risikobewertung – Vorlage mit Bewertungsmatrix.
• Schatten-KI und KI-Inventar – KI-Nutzung sichtbar machen.
• Checkliste zum AI Act – die wichtigsten Schritte zum Abhaken.

Häufig gestellte Fragen

Was ist der EU AI Act einfach erklärt?

Ein EU-Gesetz, das KI nach ihrem Risiko regelt. Gefährliche Anwendungen wie Social Scoring sind verboten, KI in sensiblen Bereichen wie Personalauswahl oder Kreditvergabe muss strenge Anforderungen erfüllen, Chatbots und Deepfakes müssen erkennbar sein. Für die meisten alltäglichen KI-Anwendungen gelten nur wenige Pflichten, vor allem die Förderung der KI-Kompetenz.

Gilt der AI Act schon?

Ja, teilweise. Er ist seit dem 1. August 2024 in Kraft. Verbote und KI-Kompetenz gelten seit dem 2. Februar 2025, GPAI-Pflichten seit dem 2. August 2025, Transparenzpflichten seit dem 2. August 2026. Die Hochrisiko-Pflichten folgen am 2. Dezember 2027 und 2. August 2028. In Deutschland können die Behörden die Pflichten seit Ende Juli 2026 durchsetzen.

Was bedeutet der EU AI Act für deutsche Unternehmen?

Fast jedes Unternehmen ist als Betreiber betroffen, weil es KI wie Copilot oder ChatGPT beruflich nutzt. Konkret heißt das heute: verbotene Praktiken ausschließen, Beschäftigte befähigen, Chatbots und Deepfakes kennzeichnen. Wer Hochrisiko-KI einsetzt oder anbietet, muss sich bis Ende 2027 vorbereiten. Ansprechpartner ist meist die Bundesnetzagentur.

Wurde die KI-Verordnung verschoben?

Nur die Hochrisiko-Pflichten. Der Digital Omnibus – Verordnung (EU) 2026/1744, in Kraft seit 27. Juli 2026 – hat sie für Anhang III auf den 2. Dezember 2027 und für Anhang I auf den 2. August 2028 verschoben. Alle anderen Pflichten gelten zu den ursprünglichen Terminen, und zwei neue Verbote kamen hinzu.

Gilt der AI Act auch für kleine Unternehmen?

Ja, es gibt keine Untergrenze nach Unternehmensgröße. KMU und kleine Midcaps profitieren aber von Erleichterungen: vereinfachte Dokumentation für Hochrisiko-Systeme, bevorzugter Zugang zu KI-Reallaboren und bei Bußgeldern jeweils der niedrigere Betrag. Der KI-Service-Desk der Bundesnetzagentur berät kleine Unternehmen kostenlos.

Finden Sie heraus, wo Sie stehen

Der beste Einstieg in die KI-Verordnung ist ein Blick auf die eigene KI-Nutzung. Mit dem KI-Governance & Readiness-Check beantworten Sie in vierzehn Schritten, rund 40 Minuten, Fragen zu Tools, Daten, Mitarbeitenden und Anbietern. Sobald Sie absenden, erhalten Sie ein KI-Governance-Rahmenwerk, eine KI-Richtlinie für Mitarbeitende, eine Checkliste zur Prüfung von KI-Anbietern und eine Vorlage zur KI-Risikobewertung sowie Ihren Reifegrad in zehn Bereichen. Die Fragen sind auf Deutsch, die Dokumente auf Englisch als bearbeitbare Word-Dateien. Kostenlos und unverbindlich – eine Zertifizierung oder Rechtsberatung ersetzt das nicht.

Dieser Beitrag ist eine allgemeine Information und keine Rechtsberatung. Maßgeblich ist die konsolidierte Fassung der Verordnung (EU) 2024/1689 in der durch die Verordnung (EU) 2026/1744 geänderten Fassung. Stand: Oktober 2026.

Mehr aus unserer Wissensdatenbank: KI-Risikobewertung: Vorlage für die Risikoanalyse nach AI Act