EU AI Act: Was die KI-Verordnung von deinem Unternehmen will

Was ist der EU AI Act?

Der EU AI Act ist das erste umfassende Gesetz für künstliche Intelligenz in der Europäischen Union. Als Verordnung gilt er unmittelbar in allen Mitgliedstaaten, ohne dass ein nationales Gesetz ihn umsetzen muss. Er ist am 1. August 2024 in Kraft getreten und wird seitdem in Stufen anwendbar.

Die Grundidee: Nicht die Technik wird reguliert, sondern ihr Einsatz. Ein Sprachmodell, das Marketingtexte entwirft, ist anders zu bewerten als dasselbe Modell, das über Bewerbungen entscheidet. Je größer das Risiko für Gesundheit, Sicherheit und Grundrechte, desto strenger die Pflichten.

Die Verordnung unterscheidet außerdem nach Rollen. Anbieter entwickeln ein KI-System oder lassen es entwickeln und bringen es unter eigenem Namen auf den Markt (Art. 3 Nr. 3). Betreiber setzen ein KI-System in eigener Verantwortung beruflich ein (Art. 3 Nr. 4). Die allermeisten Unternehmen sind Betreiber: Sie nutzen Chat-Assistenten, Übersetzungs- oder Bildwerkzeuge, die andere gebaut haben. Wer ein System stark verändert oder unter eigener Marke anbietet, kann allerdings selbst zum Anbieter werden.

Was muss ein normales Unternehmen tun?

Für ein Unternehmen, das KI-Werkzeuge nutzt, aber keine Hochrisiko-Systeme betreibt, sind es im Kern drei Dinge.

1. KI-Kompetenz unterstützen (Art. 4)

Seit dem 27. Juli 2026 verlangt Art. 4 in der Fassung der Verordnung (EU) 2026/1744 von Anbietern und Betreibern Maßnahmen, um die Entwicklung der KI-Kompetenz ihres Personals zu unterstützen. Ein bestimmtes Niveau muss nicht garantiert werden, ein Zertifikat ist nicht vorgeschrieben. Sinnvoll sind Schulungen nach Rolle und eine kurze Dokumentation, wer was gelernt hat. Details und eine Nachweis-Vorlage stehen auf unserer Seite zur KI-Kompetenz nach Art. 4.

2. Transparenz herstellen (Art. 50)

Wer einen Chatbot auf der Website betreibt, muss dafür sorgen, dass Menschen wissen, dass sie mit einer KI sprechen, sofern das nicht offensichtlich ist. Wer Deepfakes veröffentlicht, also realistisch wirkende KI-Bilder, -Videos oder -Stimmen echter Personen oder Orte, muss sie als künstlich erzeugt offenlegen. KI-generierte Texte, die die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informieren sollen, sind ebenfalls offenzulegen, es sei denn, ein Mensch hat sie redaktionell geprüft und jemand trägt die redaktionelle Verantwortung.

3. Verbote ausschließen (Art. 5)

Einmal prüfen und dokumentieren, dass keiner deiner KI-Einsätze unter die verbotenen Praktiken fällt. Für die allermeisten Unternehmen ist das eine Viertelstunde Arbeit. Kritisch wird es etwa bei Emotionserkennung von Beschäftigten oder bei Systemen, die Menschen nach ihrem Sozialverhalten bewerten.

Wer KI für Personalentscheidungen, Kreditprüfungen oder in sicherheitsrelevanten Produkten einsetzt, hat deutlich mehr zu tun: Als Betreiber eines Hochrisiko-Systems verlangt Art. 26 unter anderem die Nutzung nach Gebrauchsanweisung, menschliche Aufsicht durch geschulte Personen, Aufbewahrung der Protokolle und die Information der Beschäftigten. Hier lohnt sich spezialisierte Rechtsberatung.

Und wenn du selbst KI anbietest?

Wer einen eigenen Chatbot, Telefonassistenten oder ein KI-Werkzeug für Kundschaft bauen lässt und unter eigenem Namen betreibt, rutscht schnell in die Anbieterrolle. Art. 25 nennt Fälle, in denen ein Betreiber zum Anbieter wird, etwa wenn er ein Hochrisiko-System unter eigener Marke anbietet oder es wesentlich verändert. Für Systeme mit minimalem Risiko bleibt es auch dann überschaubar: Hinweis auf die KI-Interaktion, Kennzeichnung erzeugter Inhalte, KI-Kompetenz im Team. Wichtig ist, die Rolle vorher im Vertrag mit dem Dienstleister festzuhalten, damit später niemand rätselt, wer wofür verantwortlich ist.

Welche Strafen drohen bei Verstößen?

Die Bußgelder sind gestaffelt (Art. 99): bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes für verbotene Praktiken, bis zu 15 Millionen Euro oder 3 % für Verstöße gegen die meisten anderen Pflichten, darunter die Transparenzpflichten, und bis zu 7,5 Millionen Euro oder 1 % für falsche oder irreführende Angaben gegenüber Behörden. Bei Unternehmen gilt jeweils der höhere Betrag, bei kleinen und mittleren Unternehmen einschließlich Start-ups der niedrigere.

Für Art. 4 nennen weder Art. 99 der Verordnung noch die deutschen Bußgeldvorschriften in § 15 KI-MIG einen eigenen Bußgeldtatbestand (Stand 14.11.2026). Fehlende Schulung kann aber zum Problem werden, wenn etwas schiefgeht, etwa bei Haftungsfragen oder wenn Aufsichtsbehörden nach den getroffenen Maßnahmen fragen. Eine Dokumentation kostet wenig und hilft im Ernstfall viel. Ein Ordner mit Teilnahmelisten, Inhalten und Datum reicht für den Anfang völlig aus.

Wer kontrolliert die KI-Verordnung in Deutschland?

Seit dem 29. Juli 2026 gilt das KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG). Danach ist die Bundesnetzagentur grundsätzlich die zuständige Marktüberwachungsbehörde. Für KI in Produkten wie Maschinen oder Medizingeräten bleiben die jeweiligen Produktaufsichten zuständig, für KI im direkten Zusammenhang mit regulierten Finanztätigkeiten die BaFin. Auf EU-Ebene koordiniert das KI-Büro der Kommission, das auch die großen Modelle beaufsichtigt.