Die KI-Verordnung (AI Act, VO (EU) 2024/1689) ist das erste horizontale Produktsicherheitsrecht für künstliche Intelligenz. Sie gilt für Unternehmen, die KI-Systeme entwickeln, vertreiben oder selbst einsetzen. Wir beraten Anbieter und Betreiber bei der Einstufung ihrer Systeme, beim Aufbau der Compliance und in Verfahren vor den Aufsichtsbehörden.
Anwendungsbereich der KI-Verordnung
Erfasst sind KI-Systeme, also maschinengestützte Systeme, die mit einem gewissen Grad an Autonomie aus Eingaben Ausgaben wie Vorhersagen, Inhalte, Empfehlungen oder Entscheidungen ableiten (Art. 3 Nr. 1). Rein regelbasierte Software fällt in der Regel nicht darunter. Gesondert geregelt sind KI-Modelle mit allgemeinem Verwendungszweck (GPAI).
Der AI Act gilt auch für Anbieter außerhalb der EU, wenn ihr System hier in Verkehr gebracht wird oder seine Ausgaben in der EU verwendet werden (Art. 2). Ausgenommen sind unter anderem rein private Nutzung und militärische Zwecke.
Rollen: Anbieter, Betreiber, Einführer, Händler
Die Pflichten hängen von der Rolle ab. Anbieter ist, wer ein KI-System entwickelt oder entwickeln lässt und unter eigenem Namen in Verkehr bringt (Art. 3 Nr. 3). Betreiber ist, wer ein KI-System in eigener Verantwortung beruflich verwendet (Art. 3 Nr. 4). Wer ein fremdes Hochrisiko-System unter eigener Marke vertreibt, wesentlich verändert oder seine Zweckbestimmung so ändert, dass es hochriskant wird, wird selbst zum Anbieter (Art. 25).
Risikoklassen im AI Act
- Verbotene Praktiken (Art. 5): unter anderem manipulative Techniken, Social Scoring, Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen, ungezieltes Auslesen von Gesichtsbildern aus dem Internet. Ab 2. Dezember 2026 kommen KI-Systeme hinzu, die ohne Einwilligung realistische intime Darstellungen identifizierbarer Personen erzeugen, sowie Systeme zur Erzeugung von Darstellungen sexuellen Kindesmissbrauchs.
- Hochrisiko-KI (Art. 6 mit Anhang I und III): KI als Sicherheitsbauteil regulierter Produkte, etwa Maschinen oder Medizinprodukte, sowie Einsatzbereiche wie Beschäftigung und Personalauswahl, Bildung, Kreditwürdigkeitsprüfung, kritische Infrastruktur und Zugang zu staatlichen Leistungen.
- Transparenzpflichten (Art. 50): Chatbots, synthetische Inhalte, Deepfakes, Emotionserkennung.
- Alle übrigen Systeme: keine besonderen Pflichten außer der KI-Kompetenz nach Art. 4.
Pflichten für Hochrisiko-KI
Anbieter von Hochrisiko-Systemen brauchen ein Risikomanagementsystem, Daten-Governance für Trainings- und Testdaten, technische Dokumentation, automatische Protokollierung, Gebrauchsanweisungen, menschliche Aufsicht sowie Genauigkeit, Robustheit und Cybersicherheit (Art. 9 bis 15). Hinzu kommen Qualitätsmanagement, Konformitätsbewertung, CE-Kennzeichnung, Registrierung in der EU-Datenbank und Beobachtung nach dem Inverkehrbringen.
Betreiber müssen das System gemäß Gebrauchsanweisung verwenden, menschliche Aufsicht durch geschultes Personal sicherstellen, Eingabedaten im eigenen Einflussbereich prüfen, Protokolle aufbewahren und Beschäftigte vor dem Einsatz am Arbeitsplatz informieren (Art. 26). Öffentliche Stellen und bestimmte private Betreiber, etwa bei Kreditprüfung, müssen zusätzlich eine Grundrechte-Folgenabschätzung durchführen (Art. 27).
Transparenzpflichten nach Art. 50
Seit dem 2. August 2026 müssen Anbieter Systeme, die mit Menschen interagieren, so gestalten, dass Nutzer erkennen, dass sie mit einer KI sprechen. Betreiber müssen Deepfakes als künstlich erzeugt offenlegen, ebenso KI-generierte Texte, die zur Information der Öffentlichkeit über Angelegenheiten von öffentlichem Interesse veröffentlicht werden, sofern sie nicht redaktionell geprüft wurden. Generative Systeme müssen ihre Ausgaben maschinenlesbar markieren (Art. 50 Abs. 2); für Systeme, die vor dem 2. August 2026 auf dem Markt waren, läuft dafür eine Übergangsfrist bis 2. Dezember 2026. Dazu gibt es seit Juni 2026 einen freiwilligen Verhaltenskodex der Kommission.
KI-Modelle mit allgemeinem Verwendungszweck (GPAI)
Seit dem 2. August 2025 gelten Pflichten für Anbieter von GPAI-Modellen (Art. 53): technische Dokumentation, Informationen für nachgelagerte Anbieter, eine Strategie zur Einhaltung des Urheberrechts einschließlich maschinenlesbarer Nutzungsvorbehalte und eine Zusammenfassung der Trainingsinhalte nach Vorlage des KI-Büros. Modelle mit systemischem Risiko unterliegen zusätzlichen Pflichten zu Evaluierung, Risikominderung, Vorfallmeldung und Cybersicherheit (Art. 55). Der GPAI-Verhaltenskodex vom 10. Juli 2025 mit den Kapiteln Transparenz, Urheberrecht sowie Sicherheit dient als Nachweisweg. Seit dem 2. August 2026 kann das KI-Büro diese Pflichten mit Bußgeldern durchsetzen.
Fristen der KI-Verordnung nach dem Digital-Omnibus
Mit der Verordnung (EU) 2026/1744 (Digital-Omnibus zur KI, in Kraft seit 27. Juli 2026) wurden vor allem die Hochrisiko-Pflichten verschoben. Inhaltlich entfallen sie nicht.
| Datum | Was gilt |
|---|---|
| 02.02.2025 | Verbote nach Art. 5, KI-Kompetenz nach Art. 4 |
| 02.08.2025 | GPAI-Pflichten, Governance, Sanktionsregeln |
| 02.08.2026 | Allgemeine Geltung, insbesondere Transparenzpflichten nach Art. 50; Befugnisse des KI-Büros gegenüber GPAI-Anbietern |
| 02.12.2026 | Neue Verbote (intime Deepfakes, Missbrauchsdarstellungen); Ende der Übergangsfrist für die Markierung nach Art. 50 Abs. 2 bei Altsystemen |
| 02.08.2027 | GPAI-Modelle, die vor dem 02.08.2025 in Verkehr gebracht wurden |
| 02.12.2027 | Hochrisiko-Pflichten für Systeme nach Anhang III (zuvor 02.08.2026) |
| 02.08.2028 | Hochrisiko-Pflichten für KI in Produkten nach Anhang I (zuvor 02.08.2027) |
Bußgelder nach Art. 99 AI Act
Verstöße gegen die Verbote können mit bis zu 35 Mio. Euro oder 7 % des weltweiten Jahresumsatzes geahndet werden, Verstöße gegen die meisten übrigen Pflichten mit bis zu 15 Mio. Euro oder 3 %, falsche Angaben gegenüber Behörden mit bis zu 7,5 Mio. Euro oder 1 %. Für KMU gilt jeweils der niedrigere Betrag. Für GPAI-Anbieter setzt die Kommission Bußgelder bis 15 Mio. Euro oder 3 % fest (Art. 101).
Aufsicht in Deutschland und der EU
Das KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG) ist am 29. Juli 2026 in Kraft getreten. Zentrale Marktüberwachungsbehörde und Beschwerdestelle ist die Bundesnetzagentur. Für KI im Finanzsektor bleibt die BaFin zuständig, für regulierte Produkte die jeweilige Fachaufsicht. Für KI-Systeme auf Basis eines GPAI-Modells desselben Anbieters sowie für sehr große Online-Plattformen ist das KI-Büro der Kommission zuständig. Datenschutzrechtliche Fragen bleiben bei den Datenschutzbehörden.
Compliance-Fahrplan für Unternehmen
- KI-Inventar: alle eingesetzten und entwickelten Systeme erfassen, einschließlich KI-Funktionen in Standardsoftware.
- Rolle und Risikoklasse je System bestimmen und dokumentieren.
- Verbotene Anwendungen ausschließen, Kennzeichnungen nach Art. 50 umsetzen.
- Kompetenzmaßnahmen nach Art. 4 aufsetzen und belegen.
- Für Hochrisiko-Systeme: Lücken gegenüber Art. 9 bis 15 und 26 analysieren und einen Zeitplan bis Dezember 2027 bzw. August 2028 festlegen.
- Lieferantenverträge anpassen: Informationen, Dokumentation, Mitwirkung, Haftung.
- Zuständigkeiten, Freigabeprozess und Vorfallmeldung intern regeln.
So gehen wir vor
Wir beginnen mit einer Bestandsaufnahme und einer schriftlichen Einstufung jedes Systems. Daraus entsteht ein priorisierter Maßnahmenplan mit Richtlinien, Betreiberanweisungen und Vertragsklauseln. Technische Dokumentation lesen wir selbst: Rechtsanwalt Dipl.-Ing. Michael Horak hat Elektrotechnik studiert, ein Kollege ist Physiker.
Häufige Fragen zum AI Act
Gilt der AI Act auch, wenn wir nur ChatGPT oder Copilot nutzen?
Ja, als Betreiber. In der Regel betrifft Sie dann vor allem Art. 4 (KI-Kompetenz) und, je nach Einsatz, Art. 50. Hochrisiko-Pflichten entstehen erst, wenn Sie das System in einem Bereich nach Anhang III einsetzen, etwa zur Bewerberauswahl.
Wurden die Hochrisiko-Pflichten aufgehoben?
Nein. Der Digital-Omnibus hat sie für Anhang III auf den 2. Dezember 2027 und für Anhang I auf den 2. August 2028 verschoben. KMU und kleine Midcaps erhalten Erleichterungen bei Dokumentation und Qualitätsmanagement.
Gilt der AI Act für Systeme, die schon auf dem Markt sind?
Für Hochrisiko-Systeme, die vor dem Stichtag in Verkehr gebracht wurden, gilt er grundsätzlich erst bei einer erheblichen Änderung der Konzeption (Art. 111). Verbote und Transparenzpflichten gelten dagegen unabhängig vom Zeitpunkt des Inverkehrbringens.
Rechtsstand November 2026. Leitlinien der Kommission und harmonisierte Normen zu den Hochrisiko-Anforderungen sind teilweise noch in Arbeit; wir passen diese Seite an, sobald sie vorliegen.
Verwandte Themen
- KI-Recht
- KI-Produkte entwickeln
- KI rechtssicher einsetzen
- KI-Kompetenz nach Art. 4
- Verfahren im KI-Recht
- IT-Compliance
Ihr Ansprechpartner
Sie möchten wissen, wie Ihre KI-Systeme nach dem AI Act einzustufen sind und welche Fristen für Sie gelten? Rufen Sie uns an unter 0511 35 73 56-0 oder schreiben Sie an info@itrechtler.de.