Der EU AI Act im Überblick

Worum geht es beim EU AI Act?

Der EU AI Act ist am 1. August 2024 in Kraft getreten und gilt als EU-Verordnung unmittelbar in allen Mitgliedstaaten, ohne dass ein nationales Umsetzungsgesetz nötig wäre. Ziel ist ein vertrauenswürdiger, sicherer und grundrechtskonformer Einsatz von KI im europäischen Binnenmarkt. Die Verordnung folgt einem risikobasierten Ansatz: Je höher das Risiko einer KI-Anwendung für Menschen und Gesellschaft, desto strenger die Anforderungen.

Wichtig: Der EU AI Act wirkt extraterritorial. Auch Anbieter außerhalb der EU fallen darunter, sobald ihre KI-Systeme in der EU auf den Markt kommen oder ihre Ergebnisse in der EU genutzt werden. Die Pflichten greifen zudem nicht auf einen Schlag, sondern schrittweise. Einen vollständigen Zeitplan finden Sie auf unserer Fristen-Seite.

Der risikobasierte Ansatz: die vier Risikoklassen

Das Herzstück des EU AI Act ist die Einteilung von KI-Systemen in vier Risikoklassen. Aus der Klasse ergeben sich die konkreten Pflichten:

Die meisten Unternehmen setzen KI im Bereich des minimalen oder begrenzten Risikos ein. Doch selbst dann gilt eine grundlegende Pflicht, die unabhängig von der Risikoklasse greift, die KI-Kompetenz der Mitarbeitenden.

GPAI: Modelle mit allgemeinem Verwendungszweck

Eine Sonderrolle spielen GPAI-Modelle (General Purpose AI), große, vielseitig einsetzbare KI-Modelle wie sie hinter modernen Chatbots und Text- oder Bildgeneratoren stecken. Für sie gelten seit dem 2. August 2025 eigene Pflichten, etwa zur technischen Dokumentation, zur Transparenz gegenüber nachgelagerten Anbietern und zur Einhaltung des Urheberrechts. Für besonders leistungsfähige Modelle mit möglichen systemischen Risiken kommen zusätzliche Anforderungen hinzu.

Wer ist betroffen? Anbieter, Betreiber & Co.

Der EU AI Act unterscheidet mehrere Rollen, mit unterschiedlich weitreichenden Pflichten:

• Anbieter (Provider): entwickeln KI-Systeme oder bringen sie unter eigenem Namen in Verkehr. Sie tragen die umfangreichsten Pflichten.
• Betreiber (Deployer): setzen KI im Rahmen ihrer beruflichen Tätigkeit ein. Das trifft auf die meisten Unternehmen zu.
• Einführer & Händler: importieren oder vertreiben KI-Systeme im EU-Markt und müssen deren Konformität prüfen.

Entscheidend: Auch wer KI „nur“ nutzt, also als Betreiber auftritt, ist in der Pflicht, insbesondere bei der KI-Kompetenz der Mitarbeitenden. Der Irrglaube „Wir entwickeln ja keine KI, uns betrifft das nicht“ ist einer der häufigsten Fehler.

Welche Pflichten gelten und ab wann?

Der EU AI Act wird in Stufen wirksam. Die wichtigsten Termine im Überblick:

• 1. August 2024: Die Verordnung tritt in Kraft.
• 2. Februar 2025: Verbotene Praktiken (Art. 5) und die KI-Kompetenzpflicht (Art. 4) gelten.
• 2. August 2025: Pflichten für GPAI-Modelle, die Governance-Struktur und die Sanktionsvorschriften greifen.
• 2. August 2026: Der Großteil der Vorschriften für Hochrisiko-KI-Systeme wird wirksam.
• 2. August 2027: Letzte Übergangsfristen für bestimmte Hochrisiko-Systeme laufen aus.

Alle Details und Ausnahmen erläutern wir auf der Fristen-Seite.

EU AI Act und DSGVO: kein Entweder-oder

Der EU AI Act ersetzt die Datenschutz-Grundverordnung nicht. Beide gelten parallel. Während die DSGVO den Umgang mit personenbezogenen Daten regelt, adressiert der EU AI Act das KI-System als solches und dessen Risiken. Verarbeitet eine KI-Anwendung personenbezogene Daten, müssen Unternehmen beide Regelwerke zugleich einhalten. Eine solide KI-Kompetenz hilft Mitarbeitenden, genau diese Schnittstellen im Alltag zu erkennen.

Sanktionen bei Verstößen

Verstöße gegen den EU AI Act können empfindliche Bußgelder auslösen. Die Verordnung staffelt sie nach Schwere:

• Bis zu 35 Mio. € oder 7 % des weltweiten Jahresumsatzes, nur bei verbotenen Praktiken nach Artikel 5.
• Bis zu 15 Mio. € oder 3 %, bei Verstößen gegen sonstige Pflichten, etwa der Betreiber (einschließlich der KI-Kompetenzpflicht nach Art. 4).
• Bis zu 7,5 Mio. € oder 1,5 %, bei falschen oder irreführenden Angaben gegenüber Behörden.

Für kleine und mittlere Unternehmen sowie Start-ups gilt jeweils der niedrigere der beiden Beträge als Obergrenze. Mehr dazu auf der Seite Bußgelder.

Was bedeutet das praktisch für Ihr Unternehmen?

• Verschaffen Sie sich einen Überblick, wo in Ihrem Unternehmen KI eingesetzt wird.
• Stellen Sie sicher, dass Mitarbeitende über ausreichende KI-Kompetenz nach Artikel 4 verfügen.
• Absolvieren Sie eine EU-AI-Act-Schulung und dokumentieren Sie Schulungen prüffähig, als Nachweis gegenüber Behörden.
• Beachten Sie die Fristen des EU AI Act, insbesondere den 2. August 2026, ab dem die Vorschriften für viele Hochrisiko-KI-Systeme greifen.

Häufige Fragen zum EU AI Act

Gilt der EU AI Act auch für kleine Unternehmen?

Ja. Die KI-Kompetenzpflicht nach Artikel 4 gilt unabhängig von der Unternehmensgröße für alle, die KI beruflich einsetzen. Bei Bußgeldern werden KMU jedoch geringer belastet.

Muss ich meine KI-Systeme irgendwo anmelden?

Eine Registrierungspflicht besteht vor allem für bestimmte Hochrisiko-Systeme. Nutzen Sie KI nur im Bereich minimalen oder begrenzten Risikos, steht die KI-Kompetenz Ihrer Mitarbeitenden im Vordergrund. Weitere Antworten sammelt unsere FAQ-Seite.

Team jetzt schulen Bußgelder ansehen

Hinweis: Dieser Überblick dient der Information und ersetzt keine Rechtsberatung.