Der EU AI Act (offiziell: Verordnung (EU) 2024/1689, auch EU-KI-Verordnung genannt) ist das weltweit erste umfassende Gesetz zur Regulierung von Künstlicher Intelligenz. Er betrifft nicht nur Anbieter von KI-Systemen, sondern auch Unternehmen, die KI lediglich einsetzen — vom Bewerber-Screening über das Kreditscoring bis zum Chatbot im Kundenservice. Dieser Beitrag erklärt ohne Juristendeutsch, was der EU AI Act regelt, für wen er gilt, welche Risikoklassen und Pflichten es gibt, wie der aktuelle Zeitplan aussieht — und was Sie als Geschäftsführung, IT- oder Compliance-Verantwortliche jetzt konkret tun sollten.
Rechtsstand dieses Beitrags: 3. September 2026, einschließlich der Änderungen durch den „Digital Omnibus on AI” — Verordnung (EU) 2026/1744 vom 8. Juli 2026, veröffentlicht im Amtsblatt am 24. Juli 2026, in Kraft seit dem 27. Juli 2026.
Was ist der EU AI Act?
Die Verordnung (EU) 2024/1689 trägt das Datum vom 13. Juni 2024, wurde am 12. Juli 2024 im Amtsblatt der EU veröffentlicht und ist am 1. August 2024 in Kraft getreten. Als EU-Verordnung gilt sie unmittelbar in allen Mitgliedstaaten — anders als eine Richtlinie muss sie nicht erst in nationales Recht umgesetzt werden.
In Deutschland regelt seit dem 29. Juli 2026 das KI-Marktüberwachungs- und Innovationsförderungs-Gesetz (KI-MIG vom 22. Juli 2026, BGBl. 2026 I Nr. 223) die nationale Aufsichtsstruktur:
- Die Bundesnetzagentur ist die zuständige Marktüberwachungsbehörde, soweit das Gesetz nichts anderes bestimmt (§ 2 Abs. 1 KI-MIG). Sie ist zugleich zentrale Anlaufstelle (§ 6), betreibt ein Koordinierungs- und Kompetenzzentrum (§ 5) und die zentrale Beschwerdestelle (§ 8).
- Für besonders sensible Anwendungen — Hochrisiko-KI in Strafverfolgung, Grenzmanagement sowie Justiz und Demokratie (Anhang III Nr. 6, 7 und 8 sowie Nr. 1 in diesen Kontexten) — entscheidet eine unabhängige KI-Marktüberwachungskammer bei der Bundesnetzagentur (§ 2 Abs. 5, § 4).
- Die BaFin überwacht KI-Systeme, die in direktem Zusammenhang mit einer regulierten Finanztätigkeit beaufsichtigter Unternehmen stehen (§ 2 Abs. 3).
- Für KI in Produkten, die bereits unter Harmonisierungsrechtsvorschriften nach Anhang I Abschnitt A fallen, bleiben die dafür zuständigen Produktbehörden zuständig (§ 2 Abs. 2); für öffentliche Stellen der Länder und für Mediendienstanbieter die nach Landesrecht zuständigen Behörden (§ 2 Abs. 6 und 8).
Der AI Act verfolgt einen risikobasierten Ansatz: Je höher das Risiko eines KI-Systems für Gesundheit, Sicherheit oder Grundrechte, desto strenger die Pflichten. KI-Anwendungen mit minimalem Risiko bleiben weitgehend unreguliert, bestimmte Praktiken sind vollständig verboten — dazwischen liegen abgestufte Pflichten für Hochrisiko-Systeme und für Systeme mit Transparenzpflichten.
Für wen gilt der EU AI Act?
Ein verbreitetes Missverständnis: Der AI Act betrifft nicht nur KI-Hersteller. Art. 2 Abs. 1 benennt die Adressaten entlang der gesamten Wertschöpfungskette:
- Anbieter (Provider): Wer ein KI-System entwickelt oder entwickeln lässt und unter eigenem Namen oder eigener Marke in Verkehr bringt oder in Betrieb nimmt — auch, wenn ein bestehendes KI-Modell nur angepasst oder in ein eigenes Produkt integriert wird.
- Betreiber (Deployer): Wer ein KI-System in beruflichem Kontext einsetzt. Das betrifft die meisten mittelständischen Unternehmen — etwa beim Einsatz eines KI-gestützten Bewerber-Screenings, einer Kreditscoring-Software oder eines Analyse-Tools für Mitarbeiterleistung.
- Einführer und Händler: Wer KI-Systeme aus Drittstaaten in die EU einführt oder in der EU vertreibt. Hinzu kommen Produkthersteller und Bevollmächtigte von Anbietern ohne Niederlassung in der Union.
- Betroffene Personen in der Union: Sie sind keine „Akteure” im Sinne von Art. 3 Nr. 8, werden von der Verordnung aber ausdrücklich erfasst (Art. 2 Abs. 1 Buchst. g) und erhalten Informations- und teils Auskunftsrechte.
Entscheidend ist der Marktortbezug: Nach Art. 2 Abs. 1 Buchst. c gilt die Verordnung auch für Anbieter und Betreiber mit Sitz in einem Drittland, wenn die vom KI-System hervorgebrachte Ausgabe in der Union verwendet wird. Ein US-amerikanischer SaaS-Anbieter, dessen HR-Analytics-Tool von einem deutschen Unternehmen zur Personalauswahl eingesetzt wird, unterliegt damit ebenfalls der Verordnung — unabhängig vom Sitz des Anbieters.
Die vier Risikoklassen des AI Act
1. Unannehmbares Risiko — verboten (Art. 5)
Bestimmte KI-Praktiken sind seit dem 2. Februar 2025 in der gesamten EU verboten, unabhängig vom Einsatzkontext. Dazu zählen unter anderem:
- Social Scoring von Personen durch Behörden oder in deren Auftrag
- Unterschwellige Beeinflussung, die Personen erheblich schädigt
- Ausnutzung von Schutzbedürftigkeit (Alter, Behinderung, soziale/wirtschaftliche Situation)
- Biometrische Kategorisierung nach sensiblen Merkmalen (z. B. politische Überzeugung, sexuelle Orientierung)
- Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen (mit engen medizinischen und sicherheitsbezogenen Ausnahmen)
- Ungezieltes Auslesen von Gesichtsbildern aus dem Internet oder aus Videoüberwachung zum Aufbau von Gesichtserkennungsdatenbanken
- Biometrische Echtzeit-Fernidentifizierung im öffentlichen Raum zu Strafverfolgungszwecken (nur eng begrenzte Ausnahmen)
Der Digital Omnibus on AI hat den Verbotskatalog erweitert: Neu verboten sind KI-Systeme, die ohne ausdrückliche Zustimmung der dargestellten Person realistische intime oder eindeutig sexuelle Darstellungen einer bestimmbaren Person erzeugen oder manipulieren, sowie Systeme, die Material im Sinne der Richtlinie 2011/93/EU erzeugen oder manipulieren (Art. 5 Abs. 1 Buchst. ba und bb, Abs. 1a und 1b). Diese neuen Verbote gelten ab dem 2. Dezember 2026.
2. Hohes Risiko (Art. 6 ff.)
Hochrisiko ist ein KI-System auf zwei Wegen: als Sicherheitsbauteil in bereits regulierten Produkten (Anhang I, z. B. Medizinprodukte, Aufzüge, Spielzeug) oder beim Einsatz in einem der acht in Anhang III gelisteten sensiblen Bereiche (u. a. Beschäftigung, Bildung, kritische Infrastruktur, Kreditwürdigkeitsprüfung). Diese Systeme unterliegen dem umfangreichsten Pflichtenkatalog der Verordnung.
Für KI in Maschinen gilt seit dem Omnibus ein sektorspezifischer Weg: Der Verweis auf das Maschinenrecht wurde aus Anhang I Abschnitt A in Abschnitt B verschoben und auf die Maschinenverordnung (EU) 2023/1230 aktualisiert; für solche Systeme gelten nach Art. 2 Abs. 2 nur einzelne Vorschriften des AI Act, die materiellen Anforderungen wandern in das Maschinenrecht.
Details zu Anhang III und den acht Bereichen mit unternehmenstypischen Beispielen finden Sie im vertiefenden Beitrag zu Anhang III; die vier praxisrelevantesten Einsatzfelder haben eigene Seiten: Recruiting, Bonität und Kredit-Scoring, Biometrie und kritische Infrastruktur.
3. Begrenztes Risiko — Transparenzpflichten (Art. 50)
Betroffen sind KI-Systeme, die direkt mit Menschen interagieren oder Inhalte erzeugen, ohne dass ein hohes Risiko vorliegt. Beispiele: Chatbots (Nutzer müssen erkennen können, dass sie mit einer KI interagieren), Systeme zur Emotionserkennung außerhalb der Verbotstatbestände sowie KI-generierte oder manipulierte Bild-, Audio- und Videoinhalte („Deepfakes”), die als solche gekennzeichnet werden müssen.
4. Minimales Risiko
Der Großteil der aktuell eingesetzten KI-Anwendungen — etwa Spam-Filter, KI-gestützte Produktempfehlungen oder Textbausteine — fällt in diese Kategorie. Es bestehen keine verpflichtenden Vorgaben; die EU-Kommission fördert freiwillige Verhaltenskodizes (Art. 95).
Pflichten je Risikoklasse im Überblick
| Risikoklasse | Kernpflicht | Wen betrifft es | Rechtsgrundlage |
|---|---|---|---|
| Unannehmbar | Nutzungsverbot | Alle Akteure | Art. 5 |
| Hoch | Risikomanagement, Daten-Governance, technische Dokumentation, Protokollierung, menschliche Aufsicht, Genauigkeit/Robustheit/Cybersicherheit, Konformitätsbewertung, CE-Kennzeichnung, Registrierung, Beobachtung nach dem Inverkehrbringen; Betreiber: menschliche Aufsicht sicherstellen, Nutzung überwachen, Betroffene informieren | Anbieter (umfassend), Betreiber (eingeschränkt) | Art. 8–27 |
| Begrenzt | Kennzeichnungs- und Informationspflichten (KI-Interaktion, Deepfakes, KI-generierte Inhalte) | Anbieter und Betreiber | Art. 50 |
| Minimal | Keine gesetzliche Pflicht, freiwillige Selbstverpflichtung möglich | Alle Akteure | Art. 95 |
Zusätzlich gilt seit dem 2. Februar 2025 die KI-Kompetenz nach Art. 4. Der Digital Omnibus hat die Vorschrift neu gefasst: Anbieter und Betreiber müssen Maßnahmen ergreifen, um die KI-Kompetenz ihres Personals und anderer in ihrem Auftrag mit KI befasster Personen zu unterstützen — unter Berücksichtigung von Vorkenntnissen, Erfahrung, Ausbildung und Einsatzkontext. Ausdrücklich klargestellt ist, dass daraus keine Pflicht folgt, für eine einzelne Person ein bestimmtes Kompetenzniveau zu garantieren. Schulungen bleiben damit sinnvoll und dokumentationswürdig, sind aber keine Erfolgsgarantie im Rechtssinne. Zum Zuschnitt, zum Nachweis und zur tatsächlichen Bußgeldlage: KI-Kompetenz nach Art. 4 EU AI Act.
Zeitplan: Wann welche Pflicht gilt
Der ursprüngliche Zeitplan der Verordnung wurde durch den Digital Omnibus on AI an mehreren Stellen geändert. Als Grund nennt der Gesetzgeber ausdrücklich die verzögerte Verfügbarkeit von Normen, gemeinsamen Spezifikationen und Leitlinien sowie die verzögerte Einrichtung der zuständigen nationalen Behörden — der ursprüngliche Geltungsbeginn 2. August 2026 für die Hochrisiko-Pflichten sei deshalb nicht zu halten.
| Datum | Was gilt | Status |
|---|---|---|
| 1. August 2024 | AI Act tritt in Kraft | erfolgt |
| 2. Februar 2025 | Verbotene Praktiken (Art. 5) und KI-Kompetenz (Art. 4) anwendbar | erfolgt |
| 2. August 2025 | Pflichten für KI-Modelle mit allgemeinem Verwendungszweck (GPAI), Governance-Struktur und Sanktionsvorschriften (Kapitel XII, ausgenommen Art. 101) anwendbar | erfolgt |
| 27. Juli 2026 | Digital Omnibus on AI in Kraft; Art. 102 bis 110 anwendbar | erfolgt |
| 2. August 2026 | Allgemeiner Geltungsbeginn: u. a. Transparenzpflichten (Art. 50), Marktüberwachung, Art. 101 | erfolgt |
| 2. Dezember 2026 | Nachfrist für die Kennzeichnung nach Art. 50 Abs. 2 bei generativen Systemen, die vor dem 2. August 2026 in Verkehr gebracht wurden (Art. 111 Abs. 4); zugleich Geltungsbeginn der neuen Verbote in Art. 5 Abs. 1 Buchst. ba und bb | durch Digital Omnibus neu |
| 2. August 2027 | Nationale KI-Reallabore müssen einsatzbereit sein (Art. 57 Abs. 1) | durch Digital Omnibus verschoben von ursprünglich 2. August 2026 |
| 2. Dezember 2027 | Hochrisiko-Pflichten (Kapitel III Abschnitte 1–3) für Systeme nach Anhang III (Art. 6 Abs. 2) | durch Digital Omnibus verschoben von ursprünglich 2. August 2026 |
| 2. August 2028 | Hochrisiko-Pflichten für Systeme in Produkten nach Anhang I (Art. 6 Abs. 1) | durch Digital Omnibus verschoben von ursprünglich 2. August 2027 |
Wichtig für die Praxis: Die Verschiebung der Anhang-III-Frist auf Dezember 2027 ist keine Entwarnung, sondern zusätzliche Vorbereitungszeit. Die Pflichten selbst — Risikomanagement, Dokumentation, Konformitätsbewertung — sind unverändert komplex und lassen sich erfahrungsgemäß nicht in wenigen Wochen umsetzen. Details zum Zeitplan und zur Omnibus-Historie finden Sie im Beitrag EU AI Act Fristen 2026/2027.
Sanktionen: Was Verstöße kosten
Der AI Act sieht ein dreistufiges Bußgeldregime vor (Art. 99):
| Verstoß | Bußgeldrahmen |
|---|---|
| Verstoß gegen verbotene Praktiken (Art. 5) | bis 35 Mio. € oder 7 % des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres, je nachdem, welcher Betrag höher ist |
| Verstoß gegen sonstige Pflichten (u. a. Hochrisiko-Anforderungen) | bis 15 Mio. € oder 3 % des weltweiten Jahresumsatzes |
| Falsche, unvollständige oder irreführende Auskünfte an notifizierte Stellen oder Behörden | bis 7,5 Mio. € oder 1 % des weltweiten Jahresumsatzes |
Für KMU einschließlich Start-ups gilt jeweils der niedrigere der beiden Beträge (Art. 99 Abs. 6); der Digital Omnibus hat diese Deckelung für kleine Midcap-Unternehmen auf die Bußgelder nach Art. 99 Abs. 4 und 5 ausgeweitet (Art. 99 Abs. 6a). Die Sanktionsvorschriften sind seit dem 2. August 2025 anwendbar — ausgenommen war Art. 101 (Geldbußen, die die Kommission gegen Anbieter von KI-Modellen mit allgemeinem Verwendungszweck verhängt); diese Vorschrift gilt erst seit dem allgemeinen Geltungsbeginn am 2. August 2026.
Wichtig für die Einordnung: Art. 99 Abs. 4 zählt die bußgeldbewehrten Vorschriften abschließend auf — Pflichten der Anbieter (Art. 16), Bevollmächtigten (Art. 22), Einführer (Art. 23), Händler (Art. 24), Art. 25 Abs. 2 und 4, Pflichten der Betreiber (Art. 26), Anforderungen an notifizierte Stellen sowie die Transparenzpflichten (Art. 50). Nicht jede Vorschrift der Verordnung hat also einen eigenen Bußgeldtatbestand; die KI-Kompetenz nach Art. 4 etwa hat keinen.
In Deutschland kommt § 15 KI-MIG hinzu. Die Vorschrift benennt die Ordnungswidrigkeiten einzeln — unter anderem Verstöße gegen Art. 21 (Informationen und Dokumentation gegenüber Behörden), Art. 27 (Grundrechte-Folgenabschätzung) und Art. 45 (Informationspflichten notifizierter Stellen) sowie, für Betreiber von Hochrisiko-Systemen nach Anhang III Nr. 1, 3, 4 oder 5, das Vorenthalten der Erläuterung nach Art. 86 — und deckelt sie bei 50.000 €. Unabhängig davon verpflichtet Art. 99 Abs. 1 in der Fassung des Digital Omnibus die Mitgliedstaaten, Sanktionen und andere Durchsetzungsmaßnahmen für jeglichen Verstoß gegen die Verordnung vorzusehen; die nationale Lage kann sich also noch ändern.
Neben Geldbußen steht das operative Risiko: Die Marktüberwachungsbehörden — in Deutschland regelmäßig die Bundesnetzagentur — können Maßnahmen bis zur Untersagung der Nutzung oder zur Rücknahme vom Markt anordnen.
Was Unternehmen jetzt tun sollten
- Inventarisieren: Verschaffen Sie sich einen vollständigen Überblick über alle im Unternehmen eingesetzten oder geplanten KI-Systeme — inklusive KI-Funktionen in eingekaufter Software (HR-Tools, CRM, Kreditprüfung, Videoüberwachung).
- Klassifizieren: Prüfen Sie für jedes System, ob es unter ein Verbot fällt, in Anhang I oder III einzuordnen ist, Transparenzpflichten auslöst oder risikofrei ist. Den Einstieg liefert unser kostenloser Betroffenheits-Check.
- Rolle klären: Bestimmen Sie, ob Sie im jeweiligen Fall als Anbieter, Betreiber, Einführer oder Händler auftreten — die Pflichten unterscheiden sich erheblich.
- KI-Kompetenz aufbauen: Unterstützen Sie Mitarbeitende, die mit KI-Systemen arbeiten, mit Schulung und Anleitung nach Art. 4 und dokumentieren Sie diese Maßnahmen — wie das praktisch aussieht, steht im Beitrag zur KI-Kompetenz nach Art. 4 (AI Literacy).
- Dokumentation vorbereiten: Für Hochrisiko-Kandidaten: Beginnen Sie frühzeitig mit Risikomanagement, Datenqualitätsprüfung und technischer Dokumentation — Konformitätsbewertungsverfahren und externe Prüfstellen sind erfahrungsgemäß Engpässe kurz vor Fristablauf. Als organisatorischen Unterbau nutzen viele Unternehmen ein KI-Managementsystem nach ISO/IEC 42001; eine Konformitätsvermutung nach Art. 40 entsteht daraus allerdings nicht.
- Verantwortlichkeiten festlegen: Benennen Sie intern eine Zuständigkeit für AI-Act-Compliance, ähnlich wie beim Datenschutz. Wie Inventar, Rollen und eine KI-Richtlinie zusammenspielen, beschreibt der Beitrag zur KI-Governance im Unternehmen.
- Extern prüfen lassen, wo nötig: Bei Unsicherheit zur Einstufung oder zu den Pflichten empfiehlt sich eine strukturierte Ersteinschätzung, bevor größere Investitionen in ein KI-System erfolgen.
Ist Ihr Unternehmen betroffen?
Die abstrakte Rechtslage ist das eine — die konkrete Einstufung Ihres Systems das andere. Mit unserem kostenlosen Betroffenheits-Check erhalten Sie in wenigen Minuten eine erste Einschätzung, ob Ihr KI-System als Hochrisiko-System gilt, welche Pflichten greifen könnten und wo Sie ansetzen sollten. Ihre Angaben werden ausschließlich im Browser ausgewertet und nicht übertragen oder gespeichert.
Für eine vertiefte Prüfung oder Begleitung bei der Umsetzung: Compliance-Service anfragen.
Häufige Fragen
Ist der EU AI Act für alle Unternehmen verpflichtend? Der AI Act gilt für jedes Unternehmen, das KI-Systeme in der EU anbietet oder betreibt oder deren Ausgabe in der EU verwendet wird — unabhängig von Unternehmensgröße oder Sitz. Die konkreten Pflichten hängen von der Risikoklasse des jeweiligen Systems und der eigenen Rolle (Anbieter oder Betreiber) ab. Nicht jedes Unternehmen trifft der volle Pflichtenkatalog.
Was ist der Unterschied zwischen EU AI Act und EU-KI-Verordnung? Es handelt sich um denselben Rechtsakt. „EU AI Act” ist die international übliche Kurzbezeichnung, „EU-KI-Verordnung” die deutsche Entsprechung. Offiziell heißt der Rechtsakt Verordnung (EU) 2024/1689.
Gilt der AI Act auch für Unternehmen außerhalb der EU? Ja. Nach Art. 2 Abs. 1 Buchst. c gilt die Verordnung auch für Anbieter und Betreiber mit Sitz in einem Drittland, wenn die vom KI-System hervorgebrachte Ausgabe in der Union verwendet wird.
Wurde die Frist für Hochrisiko-Systeme wirklich verschoben? Ja. Durch den Digital Omnibus on AI (Verordnung (EU) 2026/1744, in Kraft seit 27. Juli 2026) wurde der Geltungsbeginn der Hochrisiko-Pflichten für Anhang-III-Systeme von ursprünglich 2. August 2026 auf den 2. Dezember 2027 verschoben, für Anhang-I-Systeme von 2. August 2027 auf den 2. August 2028 (Art. 113 Abs. 3 Buchst. c).
Was passiert, wenn mein Unternehmen die Fristen verpasst? Bei Verstößen drohen Bußgelder nach Art. 99 — je nach Schwere bis zu 35 Mio. € oder 7 % des weltweiten Jahresumsatzes. Zusätzlich können die Marktüberwachungsbehörden, in Deutschland regelmäßig die Bundesnetzagentur, Maßnahmen bis zur Untersagung der Nutzung oder zur Rücknahme vom Markt anordnen.
Quellen
- Verordnung (EU) 2024/1689 (AI Act), konsolidierte Fassung, EUR-Lex
- Verordnung (EU) 2026/1744 („Digital Omnibus on AI”), EUR-Lex
- KI-Marktüberwachungs- und Innovationsförderungs-Gesetz (KI-MIG) vom 22. Juli 2026, BGBl. 2026 I Nr. 223, gesetze-im-internet.de
- Europäische Kommission, Regulatory framework on AI
- Bundesnetzagentur, Ziele, Zielgruppen und Zeitplan der KI-Verordnung