Der EU AI Act ist das erste umfassende KI-Gesetz der Welt. Für viele Unternehmen klingt das zunächst nach Aufwand und Unsicherheit. Tatsächlich ist die Verordnung berechenbarer, als ihr Ruf vermuten lässt: Sie ordnet KI nach Risiko und führt ihre Pflichten in klaren Stufen über mehrere Jahre ein. Wer diese Logik versteht, kann gelassen planen statt hektisch zu reagieren.
- Der AI Act reguliert KI nach Risiko, nicht nach Technologie
- Vier Risikostufen plus ein Sonderregime für General-Purpose-AI
- Die Pflichten greifen gestaffelt von 2024 bis 2030
- Der Zeitplan hat sich verschoben: Hochrisiko-Pflichten erst ab Dezember 2027, Transparenzpflichten weiterhin ab August 2026
- Entwickler, Anbieter und Nutzer haben unterschiedliche, klar zugeschnittene Pflichten
Der AI Act fragt nicht zuerst: Ist das KI? Er fragt: Wie viel Schaden kann dieses System anrichten? Aus dieser einen Frage folgt fast alles andere.
Was ist der EU AI Act?
Der AI Act (offiziell Verordnung (EU) 2024/1689) ist ein einheitliches Regelwerk für künstliche Intelligenz in der gesamten Europäischen Union. Sein Grundgedanke ist einfach: Je größer das Risiko eines KI-Systems für Menschen, Grundrechte und Sicherheit, desto strenger die Anforderungen. Ein Spamfilter wird anders behandelt als ein System, das über Kreditwürdigkeit oder Bewerbungen entscheidet.
Damit geht Europa einen anderen Weg als reine Selbstverpflichtungen. Der AI Act schafft verbindliche, abgestufte Regeln, die für alle gelten, die KI in der EU anbieten oder einsetzen, unabhängig davon, wo das Unternehmen seinen Sitz hat.
Die vier Risikostufen
Das Herzstück der Verordnung ist eine Einteilung in Risikoklassen. Jedes KI-System lässt sich einer dieser Stufen zuordnen, und die Stufe entscheidet darüber, welche Pflichten gelten.
Unannehmbares Risiko
verbotenSysteme, die als klare Bedrohung für Sicherheit und Grundrechte gelten, etwa Social Scoring durch Behörden, manipulatives Systemdesign oder das ungezielte Auslesen von Gesichtsbildern. Diese Anwendungen sind in der EU untersagt.
Hohes Risiko
streng reguliertKI in sensiblen Bereichen wie Personalauswahl, Kreditvergabe, kritischer Infrastruktur, Bildung oder Justiz. Erlaubt, aber nur mit Risikomanagement, Dokumentation, menschlicher Aufsicht und Konformitätsbewertung.
Begrenztes Risiko
TransparenzpflichtSysteme, die mit Menschen interagieren oder Inhalte erzeugen, etwa Chatbots oder KI-generierte Texte und Bilder. Sie müssen für Menschen klar als KI erkennbar sein.
Minimales Risiko
keine besonderen PflichtenDie große Mehrheit der KI-Anwendungen, etwa Spamfilter, Suchfunktionen oder Empfehlungen. Hier gelten keine besonderen Pflichten, freiwillige Standards sind möglich.
General Purpose AI
SonderregimeVielseitig einsetzbare Basismodelle wie große Sprachmodelle folgen eigenen Regeln: Dokumentation, Transparenz über Trainingsdaten und Urheberrecht. Besonders leistungsfähige Modelle mit systemischem Risiko unterliegen zusätzlichen Pflichten.
Die meisten KI-Anwendungen in typischen Unternehmen fallen in die unteren Stufen. Das ist eine wichtige Entwarnung: Nicht jede KI-Nutzung löst umfangreiche Pflichten aus. Entscheidend ist die ehrliche Einordnung, in welche Stufe ein System tatsächlich gehört.
Die Roadmap: gestaffelte Einführung bis 2030
Der AI Act gilt nicht auf einen Schlag. Seine Pflichten treten in Etappen in Kraft, damit Unternehmen Zeit zur Vorbereitung haben. Die folgende interaktive Übersicht zeigt die wichtigsten Stichtage. Wählen Sie einen Meilenstein und dann eine Perspektive, um zu sehen, was er für Entwickler, Anbieter und Nutzer bedeutet.
Der AI Act im Zeitverlauf
Die Pflichten der KI-Verordnung greifen nicht auf einen Schlag, sondern gestaffelt über mehrere Jahre. Wählen Sie einen Meilenstein und dann eine Perspektive, um zu sehen, was konkret auf Sie zukommt.
Transparenzpflichten (Artikel 50)
Ab jetzt gelten die Transparenzpflichten nach Artikel 50: Chatbots, Deepfakes und KI-generierte Inhalte müssen als solche erkennbar sein. Die ursprünglich für dieses Datum geplanten Hochrisiko-Pflichten wurden durch den Digital Omnibus auf Dezember 2027 verschoben.
Transparenz technisch umsetzen: Chatbots als KI kennzeichnen und generierte Audio-, Bild-, Video- und Textinhalte maschinenlesbar markieren (Wasserzeichen).
Meilenstein anklicken, dann zwischen Entwickler, Anbieter und Nutzer wechseln. Diese Darstellung dient der Orientierung und ersetzt keine Rechtsberatung.
Update Juli 2026: Der Digital Omnibus verschiebt die Hochrisiko-Fristen
Seit der ursprünglichen Fassung dieses Artikels hat sich die Zeitachse verändert. Mit dem sogenannten Digital Omnibus on AI, dem ersten Änderungspaket zum AI Act seit 2024, verschiebt die EU ihre strengsten Pflichten deutlich nach hinten. Der Grund ist nüchtern: Die harmonisierten Normen und Prüfwerkzeuge, die Unternehmen für die Konformitätsbewertung brauchen, waren nicht rechtzeitig fertig.
Konkret gilt jetzt: Die Pflichten für eigenständige Hochrisiko-Systeme nach Anhang III, also etwa KI in Personalauswahl, Kreditvergabe oder Bildung, greifen nicht mehr am 2. August 2026, sondern erst am 2. Dezember 2027. Das sind sechzehn zusätzliche Monate. Für Hochrisiko-KI, die als Sicherheitsbauteil in regulierte Produkte eingebaut ist (Anhang I), verschiebt sich der Termin von August 2027 auf August 2028.
Verschoben sind die Hochrisiko-Pflichten, nicht der ganze AI Act. Die Transparenzpflichten nach Artikel 50, also die Kennzeichnung von Chatbots und KI-generierten Inhalten, gelten weiterhin ab dem 2. August 2026. Auch die Verbote und die Regeln für große KI-Modelle bleiben unverändert.
Neu hinzugekommen sind zwei Verbote ab dem 2. Dezember 2026. Sie richten sich gegen besonders schädliche Missbrauchsformen von KI, die die Persönlichkeitsrechte realer Menschen und den Schutz von Kindern betreffen. Die Pflicht zur KI-Kompetenz bleibt bei den Unternehmen.
Für die Praxis ändert der Aufschub weniger, als die Schlagzeile vermuten lässt. Er verschafft Zeit, er schafft die Aufgabe nicht ab. Wer jetzt aufatmet und die eigene KI-Bestandsaufnahme verschiebt, verliert genau die sechzehn Monate, die zur Vorbereitung gedacht sind. Fachleute raten übereinstimmend, nicht auf einen zweiten Aufschub zu wetten. Mein Rat bleibt derselbe: nicht in Panik verfallen, nicht ignorieren, sondern in Ruhe klären, welche KI im eigenen Haus läuft und in welche Risikoklasse sie gehört.
Was der AI Act für Entwickler, Anbieter und Nutzer bedeutet
Die Verordnung unterscheidet sorgfältig zwischen Rollen. Dieselbe KI kann für den einen ein zu bauendes Produkt sein und für den anderen ein einzusetzendes Werkzeug. Drei Perspektiven helfen bei der Einordnung.
Für Entwickler
Wer KI baut, trägt die meiste Gestaltungsverantwortung. Der AI Act belohnt einen Ansatz, der als Compliance by Design bekannt ist: Anforderungen werden von Anfang an mitgedacht, nicht nachträglich aufgesetzt. Konkret bedeutet das, Entscheidungen nachvollziehbar zu protokollieren, Daten sauber zu verwalten, Modelle und Prompts zu versionieren und menschliche Eingriffsmöglichkeiten einzubauen. Für Hochrisiko-Anwendungen kommen Risikomanagement, Tests und Cybersicherheit hinzu. Vieles davon ist ohnehin gute Ingenieurspraxis.
Für Anbieter
Anbieter sind diejenigen, die ein KI-System unter eigenem Namen auf den Markt bringen. Sie tragen die formale Verantwortung für die Konformität. Bei Hochrisiko-Systemen bedeutet das eine Konformitätsbewertung, vollständige technische Dokumentation, CE-Kennzeichnung und eine Registrierung in der EU-Datenbank. Hinzu kommt die Pflicht, das System nach dem Marktstart zu beobachten und auf Probleme zu reagieren. Wer fremde Komponenten integriert, sollte deren Compliance vertraglich absichern.
Für Nutzer
Nutzer, im Gesetz Betreiber genannt, setzen KI in ihren eigenen Prozessen ein. Auch sie haben Pflichten, vor allem bei Hochrisiko-Systemen: Sie müssen die Systeme bestimmungsgemäß einsetzen, menschliche Aufsicht sicherstellen, Protokolle aufbewahren und betroffene Personen informieren. Quer über alle Stufen gilt seit Februar 2025 die Pflicht zur KI-Kompetenz: Wer KI nutzt, muss verstehen, was sie tut. Das ist weniger Bürokratie als gesunder Menschenverstand in verbindlicher Form.
Große, vielseitig nutzbare Modelle wie Sprachmodelle folgen einem eigenen Regime. Alle Anbieter solcher Modelle schulden Dokumentation, Angaben zu den Trainingsdaten und eine Urheberrechts-Policy. Modelle mit systemischem Risiko, also besonders leistungsfähige Systeme, unterliegen zusätzlichen Test- und Meldepflichten.
Was Unternehmen jetzt konkret tun sollten
- Eine Bestandsaufnahme aller eingesetzten KI-Systeme erstellen, auch der unbemerkten in vorhandener Software
- Jedes System einer Risikoklasse zuordnen und die zuständige Rolle, Anbieter oder Nutzer, klären
- KI-Kompetenz im Team aufbauen, das ist seit Februar 2025 Pflicht
- Für Hochrisiko-Systeme früh mit Dokumentation und menschlicher Aufsicht beginnen
- Transparenz umsetzen und Chatbots sowie KI-Inhalte klar kennzeichnen
- Verträge mit KI-Anbietern auf Compliance und Haftung prüfen
„Der AI Act ist kein Innovationshindernis, sondern ein Rahmen. Unternehmen, die ihre KI früh einordnen, gewinnen etwas Wertvolleres als Rechtssicherheit: Sie gewinnen Klarheit darüber, was sie eigentlich tun."Stefan Junge
Was bedeutet das konkret für Unternehmen?
Der AI Act zwingt Organisationen zu einer Frage, die ohnehin sinnvoll ist: Welche KI setzen wir wofür ein, und mit welcher Verantwortung? Wer diese Frage beantworten kann, hat den größten Teil der Compliance bereits geleistet. Der pragmatische Weg führt nicht über Panik, sondern über eine strukturierte Bestandsaufnahme und eine ehrliche Risikoeinordnung. Vieles, was der AI Act verlangt, deckt sich mit dem, was gute KI-Praxis ohnehin auszeichnet: Dokumentation, Nachvollziehbarkeit und menschliche Aufsicht.
In Gesprächen erlebe ich zwei Reaktionen auf den AI Act: Lähmung oder Ignorieren. Beide sind teuer. Mein Eindruck aus vielen Transformationsprojekten ist, dass Regulierung selten das eigentliche Problem ist. Das Problem ist fehlende Klarheit darüber, was im eigenen Haus überhaupt an KI läuft. Wer diese Klarheit schafft, stellt fest, dass der AI Act eher eine Landkarte ist als eine Hürde.
Häufige Fragen
Was ist der EU AI Act und ab wann gilt er?
Der EU AI Act (Verordnung (EU) 2024/1689) ist das erste umfassende KI-Gesetz der Welt. Er ist am 1. August 2024 in Kraft getreten und gilt gestaffelt: Verbote und KI-Kompetenz seit Februar 2025, Pflichten für General-Purpose-AI seit August 2025, die Transparenzpflichten ab August 2026. Die Hauptpflichten für Hochrisiko-Systeme wurden durch den Digital Omnibus von August 2026 auf Dezember 2027 verschoben (Anhang I entsprechend auf August 2028).
Welche Risikostufen unterscheidet der AI Act?
Vier Stufen: unannehmbares Risiko (verboten), hohes Risiko (streng reguliert), begrenztes Risiko (Transparenzpflichten, etwa bei Chatbots) und minimales Risiko (keine besonderen Pflichten). Hinzu kommt ein eigenes Regime für General-Purpose-AI-Modelle wie große Sprachmodelle.
Was müssen Anbieter und Nutzer von KI jetzt konkret tun?
Zuerst eine Bestandsaufnahme aller eingesetzten KI-Systeme und deren Einstufung nach Risikoklasse. Anbieter von Hochrisiko-Systemen brauchen Dokumentation, Konformitätsbewertung und CE-Kennzeichnung. Nutzer müssen menschliche Aufsicht sicherstellen, Protokolle aufbewahren und ihr Personal in KI-Kompetenz schulen.
Gilt der EU AI Act auch für kleine und mittlere Unternehmen?
Ja. Der AI Act gilt unabhängig von der Unternehmensgröße. Allerdings gibt es Erleichterungen für KMU, etwa vereinfachte Dokumentation und anteilig gedeckelte Bußgelder. Entscheidend ist nicht die Größe, sondern die Risikoklasse der eingesetzten KI.