EU AI Act
EU AI Act im Überblick: Zeitplan und Pflichten für den Mittelstand
Die EU-KI-Verordnung verständlich erklärt: Zeitplan, Risikoklassen, Rollen als Anbieter oder Betreiber und was kleine und mittlere Unternehmen jetzt konkret tun sollten.
Die Verordnung (EU) 2024/1689, kurz EU AI Act oder KI-Verordnung, ist der erste umfassende Rechtsrahmen für Künstliche Intelligenz weltweit. Sie gilt unmittelbar in allen Mitgliedstaaten und trifft auch Unternehmen, die KI nur einsetzen, nicht selbst entwickeln. Dieser Überblick zeigt, was wann gilt und was der Mittelstand realistisch tun muss.
Der Zeitplan
- 1. August 2024: Die Verordnung tritt in Kraft.
- 2. Februar 2025: Verbote bestimmter KI-Praktiken (Art. 5) und die Pflicht zur KI-Kompetenz (Art. 4) gelten.
- 2. August 2025: Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck (GPAI), die Governance-Strukturen und die Regeln zu Sanktionen gelten. Für Modelle, die vor diesem Datum in Verkehr gebracht wurden, gilt eine Übergangsfrist bis 2. August 2027.
- 2. August 2026: Der Großteil der übrigen Vorschriften gilt, darunter die Transparenzpflichten nach Art. 50, die Governance-Strukturen und die Durchsetzung durch die Aufsichtsbehörden. Die Hochrisiko-Pflichten wurden dagegen verschoben (siehe unten).
- 2. Dezember 2026: Neues Verbot (Art. 5) für KI-Systeme, die ohne Einwilligung realistische intime oder sexualisierte Darstellungen identifizierbarer Personen oder Missbrauchsdarstellungen erzeugen. Zugleich endet die Übergangsfrist für die maschinenlesbare Kennzeichnung synthetischer Inhalte nach Art. 50 Abs. 2 bei Generativ-Systemen, die vor dem 2. August 2026 in Verkehr gebracht wurden.
- 2. Dezember 2027: Pflichten für Hochrisiko-Systeme nach Anhang III (z. B. Personalwesen, Kreditwürdigkeitsprüfung, Bildung) – ursprünglich 2. August 2026.
- 2. August 2028: Pflichten für Hochrisiko-KI, die als Sicherheitsbauteil in bereits regulierten Produkten steckt (Anhang I, etwa Medizinprodukte oder Aufzüge) – ursprünglich 2. August 2027.
Vier Risikoklassen
Die Verordnung folgt einem risikobasierten Ansatz: Je größer das Risiko für Grundrechte, Gesundheit und Sicherheit, desto strenger die Anforderungen.
- Verbotene Praktiken (Art. 5): zum Beispiel Social Scoring, manipulative Techniken, das ungezielte Auslesen von Gesichtsbildern aus dem Internet oder Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen (mit eng begrenzten Ausnahmen).
- Hochrisiko-Systeme (Art. 6, Anhänge I und III): etwa KI zur Bewerberauswahl und Leistungsbewertung von Beschäftigten, zur Bewertung der Kreditwürdigkeit, im Bildungszugang oder in kritischer Infrastruktur.
- Begrenztes Risiko mit Transparenzpflichten (Art. 50): Chatbots müssen sich als KI zu erkennen geben; synthetisch erzeugte Inhalte und Deepfakes müssen gekennzeichnet werden.
- Minimales Risiko: Alles andere, etwa Spamfilter oder Texthilfen für interne Entwürfe. Hier gibt es keine spezifischen Pflichten über Art. 4 hinaus.
Ihre Rolle: Anbieter oder Betreiber?
Die meisten mittelständischen Unternehmen sind Betreiber („Deployer“): Sie nutzen ein KI-System unter eigener Verantwortung im beruflichen Kontext. Anbieter („Provider“) ist, wer ein KI-System entwickelt oder entwickeln lässt und unter eigenem Namen in Verkehr bringt oder in Betrieb nimmt. Aufpassen müssen Unternehmen, die ein fremdes Hochrisiko-System unter eigener Marke vertreiben, wesentlich verändern oder für einen Hochrisiko-Zweck umwidmen: Sie können nach Art. 25 selbst zum Anbieter werden und tragen dann deutlich mehr Pflichten.
Pflichten in der Praxis
Für alle: KI-Kompetenz (Art. 4)
Anbieter und Betreiber müssen Maßnahmen ergreifen, um die KI-Kompetenz ihres Personals und anderer Personen, die in ihrem Auftrag mit KI-Systemen arbeiten, zu fördern. Mit der Änderung durch die Verordnung (EU) 2026/1744 (in Kraft seit 27. Juli 2026) ist klargestellt, dass kein bestimmtes Kompetenzniveau einzelner Personen garantiert werden muss; zuvor war von „bestmöglich sicherstellen“ die Rede. Die Pflicht selbst bleibt bestehen. Es gibt keinen vorgeschriebenen Zertifikatsnachweis, aber Sie sollten Schulungen, Zuständigkeiten und eine interne KI-Richtlinie dokumentieren.
Für Betreiber von Hochrisiko-Systemen (Art. 26, ab 2. Dezember 2027 bzw. 2. August 2028)
- System entsprechend der Gebrauchsanweisung des Anbieters verwenden
- Menschliche Aufsicht durch kompetente, befugte Personen sicherstellen
- Eingabedaten, soweit Sie darüber verfügen, auf Relevanz und Repräsentativität prüfen
- Betrieb überwachen und automatisch erzeugte Protokolle mindestens sechs Monate aufbewahren
- Beschäftigte und ihre Vertretung vor dem Einsatz am Arbeitsplatz informieren
- Betroffene Personen informieren, wenn Entscheidungen über sie mit Hochrisiko-KI unterstützt werden
Für Betreiber mit Transparenzpflicht (Art. 50)
Diese Pflichten gelten seit dem 2. August 2026 und wurden nicht verschoben. Setzen Sie einen Chatbot ein, der mit Personen interagiert, müssen diese erkennen können, dass sie mit einer KI sprechen. Veröffentlichen Sie Deepfakes oder KI-generierte Texte zu Themen von öffentlichem Interesse, gelten Kennzeichnungspflichten mit Ausnahmen etwa bei menschlicher redaktioneller Kontrolle. Für Anbieter generativer Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden, gilt für die maschinenlesbare Markierung (Art. 50 Abs. 2) eine Übergangsfrist bis 2. Dezember 2026.
Für Anbieter
Anbieter von Hochrisiko-Systemen müssen unter anderem ein Risikomanagementsystem, Daten-Governance, technische Dokumentation, Protokollierung, Konformitätsbewertung und CE-Kennzeichnung nachweisen sowie sich in einer EU-Datenbank registrieren. Für Kleinst- und Kleinunternehmen sieht die Verordnung Erleichterungen vor, etwa vereinfachte Formen der technischen Dokumentation; die Omnibus-Änderung weitet solche Erleichterungen auf kleine Midcap-Unternehmen aus und sieht eine Kommissionsvorlage für die vereinfachte technische Dokumentation vor.
Sanktionen
Bei Verstößen gegen die Verbote drohen Bußgelder bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes, bei Verstößen gegen andere Pflichten bis zu 15 Millionen Euro oder 3 Prozent. Für KMU gilt jeweils der niedrigere der beiden Beträge (nach der Omnibus-Änderung auch für kleine Midcaps). Zuständig sind nationale Marktüberwachungsbehörden. In Deutschland ist das seit Inkrafttreten des KI-Marktüberwachungs- und Innovationsförderungsgesetzes (KI-MIG) am 29. Juli 2026 grundsätzlich die Bundesnetzagentur; in regulierten Bereichen bleiben Fachaufsichten wie die BaFin zuständig. Die Bundesnetzagentur betreibt außerdem einen KI-Service-Desk mit Orientierungshilfen, besonders für KMU.
Was Sie jetzt tun sollten
- Inventar anlegen: Welche KI-Systeme setzen Sie ein oder planen Sie? Auch Funktionen in bestehender Software zählen.
- Einordnen: Verbot, Hochrisiko, Transparenzpflicht oder minimal? Der AI-Act-Selbstcheck gibt eine erste Orientierung.
- Kompetenz aufbauen: Kurzschulung und Richtlinie, Verantwortliche benennen.
- Lieferanten befragen: Fordern Sie von Anbietern Angaben zur Einstufung und – bei Hochrisiko – die Gebrauchsanweisung.
- Datenschutz mitdenken: Die KI-Verordnung ersetzt die DSGVO nicht, beide gelten parallel (siehe DSGVO-Leitfaden).
- Rechtsentwicklung beobachten: Planen Sie einen Prüftermin ein; Leitlinien und Normen der Kommission werden noch ergänzt.
Weitere Ratgeber: KI DSGVO-konform einsetzen: 5 Schritte für den Mittelstand · Vorlage: Interne KI-Richtlinie für Ihr Unternehmen · Dokumente DSGVO-konform digitalisieren: OCR mit KI im Mittelstand