EU AI Act – Was Unternehmen jetzt wissen müssen

Diverse Vorgaben des EU AI Acts gelten für Unternehmen bereits seit Februar 2025. Nun wird die Bundesregierung mit dem beschlossenen Durchführungsgesetz die Umsetzung und Aufsicht hierzulande regeln. Was bei künstlicher Intelligenz gilt und wie Unternehmen richtig handeln.

Umsetzung der KI-Verordnung in Deutschland: Aktueller Stand

Der Bundestag hat das deutsche Durchführungsgesetz zur EU-KI-Verordnung am 11. Juni 2026 beschlossen. Damit werden die Zuständigkeiten für die Aufsicht über KI-Systeme in Deutschland konkret geregelt. Eine zentrale Rolle soll künftig die Bundesnetzagentur übernehmen: Sie soll KI-Expertise bündeln, Behörden unterstützen und Unternehmen Orientierung bieten. Außerdem ist mindestens ein KI-Reallabor vorgesehen, in dem innovative KI-Systeme praxisnah getestet werden können. Der Bundesrat muss dem Gesetz noch zustimmen.

Darum gibt es den AI Act

KI entwickelt sich rasant, bringt Unternehmen und Industrien viele Verbesserungen und eröffnet ihnen neue Chancen – von smarter Datenanalyse bis hin zur Prozessautomatisierung. Dennoch birgt der Einsatz von KI viele Risiken, die es zu minimieren gilt. Mit der zunehmenden Verbreitung wächst die Verantwortung, KI sicher, transparent und ethisch vertretbar einzusetzen. Die Europäische Union hat mit dem EU AI Act, der am 2. August 2024 in Kraft getreten ist, nun erstmals einen umfassenden Rechtsrahmen geschaffen, um Innovation und Verbraucherschutz in Einklang zu bringen.

Das sind die Kerninhalte des AI Acts

Der EU AI Act ist weltweit die erste umfassende Gesetzgebung zur Regulierung von künstlicher Intelligenz (KI) und legt klare Regeln für Unternehmen und Behörden fest. Die KI-Verordnung soll dazu beitragen, mehr Vertrauen in KI-Technologien zu schaffen, gleichzeitig sollen Innovationen gefördert werden.

Risikobasierte Klassifizierung: Vier Risikostufen für KI-Systeme

Die KI-Verordnung verfolgt einen risikobasierten Ansatz zur Regulierung von KI-Systemen und teilt dazu KI-Anwendungen in vier verschiedene Kategorien ein:

1. Unannehmbares Risiko (KI-Anwendungen verboten)
   Hierzu zählen besonders schädliche KI-Anwendungen mit hohem Missbrauchspotenzial, z. B.:
   • Social Scoring (wie in China praktiziert),
   • manipulative KI, die menschliches Verhalten unbewusst steuert,
   • bis auf wenige Ausnahmen Echtzeit-Gesichtserkennung im öffentlichen Raum, z. B., um Rückschlüsse auf die Emotionen von Menschen am Arbeitsplatz zu ziehen.
2. Hohes Risiko (KI-Anwendungen erhalten strenge Auflagen)
   Hierzu zählen KI-Systeme, die sich gemäß KI-Verordnung potenziell nachteilig auf die Sicherheit der Menschen oder ihre Grundrechte auswirken. Wer diese herstellt oder verwendet, muss unter anderem eine adäquate Risikobewertung der Systeme gewährleisten, eine transparente Dokumentation und Nachverfolgung sicherstellen, menschliche Aufsicht gewährleisten und Sicherheitsmaßnahmen sowie den Datenschutz einhalten. Zu diesen KI-Anwendungen zählen z. B.:
   • KI in Kreditvergabe- oder Scoring-Systemen,
   • KI im Personalwesen (Bewerberauswahl, automatisierte Bewertungen),
   • medizinische Diagnosesysteme, die mithilfe von KI bewerten, ob jemand eine bestimmte medizinische Behandlung erhalten kann.
3. Begrenztes Risiko (KI-Anwendungen erhalten Transparenzanforderungen)
   Diese Kategorie umfasst weniger risikoreiche KI-Anwendungen für die im Gegensatz zur Hochrisikokategorie weniger strenge Verpflichtungen gelten, z. B.:
   • Chatbots (müssen als KI erkennbar sein und dürfen menschliches Verhalten nicht manipulieren)
   • KI-generierte Inhalte wie Bilder, Audio, Texte (z. B. ChatGPT, Midjourney) oder Videos (müssen als solche gekennzeichnet werden)
4. Minimales Risiko (KI-Anwendungen benötigen keine oder nur wenige Vorschriften)
   Hierzu zählen KI-Systeme, die keinerlei gesonderter gesetzlicher Verpflichtungen unterliegen, wie z. B.:
   • KI-gestützte Übersetzungsprogramme
   • KI-gestützte Spam-Filter

KI Service Desk unterstützt KMU sowie Start-ups bei der praktischen Umsetzung

Unternehmen, Behörden und Organisationen, die beim Einsatz künstlicher Intelligenz die Vorgaben der europäischen KI-Verordnung beachten müssen, können dafür künftig einen Beratungsservice der Bundesnetzagentur in Anspruch nehmen. Das Angebot möchte betroffene Institutionen praxisnah dabei unterstützen, die neuen europäischen Vorgaben rund um den Einsatz und die Entwicklung von KI besser zu verstehen. Der KI-Service Desk hilft dabei, rechtliche Unsicherheiten zu reduzieren und so die Anforderungen der KI-Verordnung sicher umzusetzen.

Hohe Strafen bei Verstößen

Wer den AI Act nicht einhält, muss mit hohen Geldbußen rechnen – ähnlich wie bei der DSGVO:

• bei schweren Verstößen, z.B. verbotenen KI-Systemen: bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes,
• bei Verstößen gegen andere Pflichten: bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes,
• bei falschen Angaben: Geldstrafe von bis zu 7,5 Millionen Euro oder 1,5 Prozent des Jahresumsatzes.

Förderung von Innovation und vertrauenswürdiger KI

Neben den Regulierungen sieht der AI Act auch die Notwendigkeit von Fördermaßnahmen für innovative und ethische KI-Lösungen an. Besonders kleine und mittlere Unternehmen (KMUs) sowie Start-ups sollen unterstützt werden.

Für wen die KI-Verordnung gilt

Der EU AI Act gilt für alle, die künstliche Intelligenz innerhalb der Europäischen Union entwickeln, anbieten oder nutzen – unabhängig davon, ob sie in der EU ansässig sind oder nicht. Dazu gehören vor allem Unternehmen, Start-ups, öffentliche Institutionen und Organisationen. Besonders betroffen sind Branchen mit Hochrisiko-KI, wie:

• Personalwesen (z. B. automatisierte Bewerbungsbewertung)
• Finanzdienstleister (z. B. Kreditvergabe, Betrugserkennung)
• Gesundheitswesen (z. B. KI-gestützte Diagnosen)
• Öffentliche Verwaltung (z. B. KI im Justiz- oder Polizeiwesen)

Zeitplan der Einführung des AI Acts

Die Einführung des AI Acts erfolgt schrittweise. Die EU-Länder müssen den AI Act jeweils in nationales Recht umsetzen:

• Seit Februar 2025: Es gelten die Anforderungen an die KI-Kompetenz (Kapitel 1+2). Verbot bestimmter KI-Anwendungen mit unannehmbarem Risiko.
• Seit 2. August 2025: Die Kommission hat die Verhaltenskodizes fertiggestellt (Kapitel V, Artikel 56).
• Seit 2. August 2025: Inkrafttreten von Governance-Regeln und Verpflichtungen für GPAI¹-Anbieter sowie Regelungen zu Benachrichtigungen an Behörden und Sanktionen. Geldstrafen beginnen zu gelten (Kapitel 3, 5, 7, 12 & Artikel 78, 99 & 100).
• 2. August 2026: Die meisten verbleibenden Bestimmungen des AI Act werden wirksam – mit Ausnahme von Artikel 6 Absatz 1.
• 2. August 2027: die verlängerte Übergangsfrist von 36 Monaten für Hochrisikosysteme, etwa im Personalbereich, läuft aus. Auch für diese Systeme treten die Verpflichtungen nun in Kraft.
  (Stand Juni 2026)

Unternehmen sollten sich vorbereiten

Der gestaffelte Zeitplan gibt Unternehmen und Behörden die Möglichkeit, sich schrittweise auf die neuen Anforderungen einzustellen und rechtzeitig die notwendigen Maßnahmen zur Einhaltung des AI Act zu ergreifen.

---

Fußnoten

1. Ein GPAI-Modell (General-Purpose AI, oder KI mit allgemeinem Verwendungszweck) ist ein leistungsfähiges KI-Modell, das nicht für eine bestimmte Aufgabe entwickelt wurde, sondern vielseitig einsetzbar ist und ein breites Spektrum unterschiedlicher Aufgaben kompetent erfüllen kann.  ↩︎