Die weltweit erste umfassende KI-Verordnung teilt KI-Systeme in vier Risikostufen ein und verpflichtet Unternehmen, die KI einsetzen oder anbieten, zu gestaffelten Pflichten.
Kurz gesagt: Der EU AI Act (Verordnung (EU) 2024/1689) ist seit 1. August 2024 in Kraft und gilt EU-weit für Anbieter und Betreiber von KI-Systemen. Er stuft KI nach Risiko ein – von verboten bis minimal. Die Verbote (Art. 5) und die Pflicht zur KI-Kompetenz (Art. 4) gelten bereits seit dem 2. Februar 2025; die Pflichten für Hochrisiko-Systeme wurden hingegen voraussichtlich auf den 2. Dezember 2027 verschoben. Neu und schon ab 2. Dezember 2026 relevant: die Kennzeichnungspflicht für KI-generierte Inhalte.
Dies ist keine Rechtsberatung. Ob und in welchem Umfang der EU AI Act für Ihr Unternehmen gilt und welche Pflichten im Einzelnen greifen, ist im Einzelfall – idealerweise mit fachkundiger rechtlicher Begleitung – zu prüfen.
Drei Bausteine, um den EU AI Act für das eigene Unternehmen einzuordnen – von den vier Risikostufen über die aktuelle Zeitleiste bis zur Frage, ob Sie Anbieter oder Betreiber sind.
Der AI Act stuft KI-Systeme nach dem Risiko ein, das von ihnen für Menschen ausgeht – von verboten bis minimal. Jede Stufe bringt andere Pflichten mit sich.
Art. 5 · verboten seit 2. Februar 2025
Praktiken, die als so gefährlich gelten, dass sie EU-weit untersagt sind – unabhängig von Branche oder Unternehmensgröße.
Art. 6, Anhang III · Pflichten voraussichtlich ab 2. Dezember 2027
KI-Systeme, die über Zugang, Chancen oder Rechte von Menschen mitentscheiden – mit umfangreichen Pflichten für Anbieter und Betreiber.
Art. 50 · gilt bereits, neue Kennzeichnungspflicht ab 2. Dezember 2026
Keine Verbote, aber klare Offenlegungspflichten – direkt relevant für Chatbots, Voice-Agents und KI-generierte Inhalte.
keine verpflichtenden Vorgaben aus dem AI Act
Der Großteil der heute genutzten KI-Anwendungen fällt in diese Stufe – ohne zusätzliche gesetzliche Pflichten.
Ein Teil der Pflichten ist längst geltendes Recht, ein Teil wurde 2026 verschoben. Der Dezember 2026 ist dabei der nächste konkrete Termin.
1. August 2024
Der EU AI Act (Verordnung (EU) 2024/1689) tritt EU-weit in Kraft – die erste umfassende horizontale KI-Regulierung weltweit.
2. Februar 2025
Verbotene Praktiken (Art. 5) sind untersagt, und die Pflicht zur KI-Kompetenz (Art. 4) gilt ab hier bereits – unabhängig von der späteren Verschiebung der Hochrisiko-Pflichten.
2. August 2025
Anbieter von KI-Modellen mit allgemeinem Verwendungszweck (GPAI) müssen ihre Pflichten erfüllen; nationale Aufsichtsbehörden und Sanktionsvorschriften stehen.
2. Dezember 2026Nächster Meilenstein
Voraussichtlich ab hier gilt eine Kennzeichnungs- bzw. Wasserzeichenpflicht für KI-generierte Inhalte (Art. 50 Abs. 2) sowie ein erweitertes Verbot für nicht-einvernehmliche intime KI-Bilder.
2. Dezember 2027
Ursprünglich für August 2026 vorgesehen: Im Rahmen des „Digital Omnibus“ haben sich Rat und Parlament auf eine Verschiebung geeinigt. Die formale Veröffentlichung im Amtsblatt steht noch aus.
Der AI Act unterscheidet zwischen Anbietern, die KI entwickeln, und Betreibern, die KI im eigenen beruflichen Kontext nutzen. Die meisten kleinen und mittleren Unternehmen sind Betreiber.
Entwickelt oder vermarktet KI-Systeme unter eigenem Namen. Trägt die höchste Pflichtenlast: Risikomanagement, technische Dokumentation, Konformitätsbewertung, CE-Kennzeichnung.
Nutzt KI-Systeme im eigenen beruflichen Kontext – z. B. ein KI-Recruiting-Tool oder einen Chatbot. Leichtere, aber reale Pflichten: bestimmungsgemäße Nutzung, geschulte menschliche Aufsicht, Protokollierung, Meldung schwerer Vorfälle.
Für die meisten Unternehmen heißt das: Wer ChatGPT-basierte Marketing-Tools oder eingekaufte KI-Recruiting-Software nutzt, statt selbst KI zu entwickeln, ist in aller Regel Betreiber – nicht Anbieter. Das bedeutet reale, aber überschaubarere Pflichten. Ob das im Einzelfall zutrifft, ist zu prüfen.
Diese Schritte helfen, die eigene Betroffenheit einzuordnen. Sie ersetzen keine rechtliche Prüfung, geben aber einen praxisnahen Rahmen.
Entwickeln oder vermarkten Sie KI-Systeme selbst, oder setzen Sie eingekaufte KI-Tools in Ihrem Unternehmen ein? Meist ist Letzteres der Fall – dann sind Sie Betreiber.
Prüfen Sie, wofür KI in Ihrem Unternehmen eingesetzt wird – etwa im Marketing, im Kundenservice oder im Personalwesen – und welcher der vier Risikostufen das entspricht.
Die KI-Kompetenz-Pflicht aus Art. 4 gilt bereits seit 2025. Wer jetzt Mitarbeitende schult, erfüllt diese Pflicht – und kann die Förderfähigkeit der Schulung direkt mitprüfen.
Egal ob Unternehmen oder Einzelperson: Wer jetzt in KI-Kompetenz investiert, sollte auch die Förderung prüfen.
Jetzt Förderrechner nutzenEgal ob Unternehmen oder Einzelperson: Wer jetzt in KI-Kompetenz investiert, sollte auch die Förderung prüfen. Wir ordnen unverbindlich ein, was für Sie infrage kommt.
Dies ist keine Rechtsberatung. Ob und in welchem Umfang der EU AI Act für Ihr Unternehmen gilt und welche Pflichten im Einzelnen greifen, ist im Einzelfall – idealerweise mit fachkundiger rechtlicher Begleitung – zu prüfen.
Der EU AI Act ist die Verordnung (EU) 2024/1689 und die weltweit erste umfassende, horizontale Regulierung von Künstlicher Intelligenz. Sie ist seit dem 1. August 2024 in Kraft, gilt EU-weit und teilt KI-Systeme in vier Risikostufen ein – von verboten bis minimal – mit jeweils unterschiedlichen Pflichten für Anbieter und Betreiber.
In Kraft ist die Verordnung bereits seit 1. August 2024. Verbotene Praktiken (Art. 5) und die Pflicht zur KI-Kompetenz (Art. 4) gelten seit 2. Februar 2025. Pflichten für Foundation-Modelle (GPAI) griffen ab 2. August 2025. Die Pflichten für eigenständige Hochrisiko-KI-Systeme wurden im Rahmen des „Digital Omnibus“ voraussichtlich auf den 2. Dezember 2027 verschoben.
Verboten sind seit 2. Februar 2025 unter anderem manipulative oder unterschwellige Beeinflussung, das Ausnutzen von Schutzbedürftigkeit, Social Scoring durch Behörden, biometrische Kategorisierung nach sensiblen Merkmalen sowie – für Bildungsanbieter besonders relevant – Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen.
Rat und Parlament der EU haben sich am 7. Mai 2026 politisch auf eine Verschiebung der Hochrisiko-Pflichten (Anhang III) von August 2026 auf den 2. Dezember 2027 geeinigt; das Parlament bestätigte dies am 16. Juni 2026, der Rat billigte es final am 29. Juni 2026. Die formale Veröffentlichung im Amtsblatt der EU steht noch aus. Gleichzeitig gilt ab 2. Dezember 2026 eine neue Kennzeichnungspflicht für KI-generierte Inhalte. Die bereits geltenden Pflichten aus Art. 4 (KI-Kompetenz) und Art. 5 (Verbote) sind von der Verschiebung nicht betroffen.
Ja – der EU AI Act sieht keine generelle Ausnahme für KMU vor, aber Erleichterungen: vereinfachte technische Dokumentation und eine Bußgeld-Deckelung auf den jeweils niedrigeren der beiden möglichen Beträge statt den höheren wie bei großen Unternehmen. Die Pflicht zur KI-Kompetenz (Art. 4) gilt unabhängig von der Unternehmensgröße, aber verhältnismäßig – „nach besten Kräften“.
Die Bußgelder sind gestaffelt: Verstöße gegen verbotene Praktiken (Art. 5) können bis zu 35 Mio. € oder 7 % des weltweiten Jahresumsatzes kosten, Verstöße gegen Hochrisiko-, GPAI- oder Transparenzpflichten bis zu 15 Mio. € oder 3 %, und falsche Angaben gegenüber Behörden bis zu 7,5 Mio. € oder 1 %. Für Art. 4 (KI-Kompetenz) gibt es bislang keine direkt zugeordnete Bußgeldvorschrift, doch fehlende Kompetenz erhöht das zivilrechtliche Haftungsrisiko, etwa bei diskriminierenden KI-Entscheidungen durch ungeschultes Personal.