Häufige Fragen zur KI-Verordnung (EU AI Act)

Die KI-Verordnung (Verordnung (EU) 2024/1689) ist die europäische Verordnung zur Regulierung von künstlicher Intelligenz. Die Verordnung legt fest, welche KI-Systeme erlaubt sind, welche Auflagen sie erfüllen müssen und welche Pflichten Unternehmen als Nutzer oder Anbieter haben. Sie gilt unmittelbar in allen EU-Mitgliedstaaten, also auch in Deutschland.

Die KI-Verordnung trat im August 2024 in Kraft. Die Pflichten werden stufenweise wirksam: Seit Februar 2025 gelten die Verbote bestimmter KI-Praktiken und die KI-Kompetenzpflicht. Seit August 2025 gelten Pflichten für allgemeine KI-Modelle (GPAI). Die Pflichten für hochriskante KI-Systeme gelten nach der Digital-Omnibus-Verordnung (VO (EU) 2026/1744) erst später: für Systeme nach Anhang III ab 02.12.2027, für Systeme nach Anhang I ab 02.08.2028. Seit August 2026 gelten bereits die Transparenzpflichten nach Art. 50, mit einer Übergangsfrist bis 02.12.2026 für Anbieter von Bestandssystemen, die synthetische Inhalte erzeugen. Ab dem 02.12.2026 kommen neue Verbote hinzu: KI-Systeme, die ohne ausdrückliche Einwilligung realistische intime oder sexuell explizite Darstellungen erkennbarer Personen erzeugen oder verändern, und KI-Systeme, die Darstellungen sexuellen Kindesmissbrauchs erzeugen.

Hochrisiko-KI-Systeme, zum Beispiel ein Bewerbermanagement-Tool, das Bewerbungen vorsortiert, die vor dem jeweiligen Stichtag (02.12.2027 bzw. 02.08.2028) auf den Markt gekommen oder in Betrieb genommen worden sind, fallen erst dann unter die Hochrisiko-Pflichten, wenn sie danach in ihrer Konzeption erheblich verändert werden (Art. 111 Abs. 2 KI-Verordnung). Was „erheblich" ist, hängt vom Einzelfall ab. Für Systeme von Behörden gelten Sonderregeln. Wichtig: Die KI-Kompetenz (Art. 4) und die Transparenzpflichten (Art. 50) gelten unabhängig davon.

Ja, höchstwahrscheinlich. Die KI-Verordnung unterscheidet nicht nach Unternehmensgröße, sondern nach der Art des KI-Systems und seinem Einsatzzweck. Wenn Sie KI nutzen, etwa einen Chatbot im Kundenservice, ChatGPT für Textgenerierung oder KI in der Bewerberauswahl, gelten Pflichten für Sie. Es gibt zwar Erleichterungen für KMU bei bestimmten Dokumentationspflichten, aber grundsätzlich gilt: Wer KI nutzt, hat Pflichten.

Die KI-Verordnung ordnet KI-Systeme in vier Stufen ein: Verboten sind KI-Praktiken wie Social Scoring oder unterschwellige Manipulation. Hochriskante Systeme (z.B. KI in der Bewerberauswahl oder Kreditvergabe) unterliegen strengen Auflagen. Begrenzt riskante Systeme (z.B. Chatbots) müssen vor allem Transparenzpflichten erfüllen. Gering riskante Systeme (z.B. Spam-Filter) haben minimale Pflichten. Für die meisten mittelständischen Anwendungen gelten vor allem Transparenzpflichten und die KI-Kompetenzpflicht.

ChatGPT selbst ist ein allgemeines KI-Modell (General Purpose AI). Die Risikoklasse hängt davon ab, wofür Sie es einsetzen. Nutzen Sie es für Textideen oder interne Recherche, ist das geringes Risiko. Nutzen Sie es, um automatisiert über Bewerbungen zu entscheiden, wird es hochriskant. Entscheidend ist nicht das Tool, sondern der Einsatzzweck in Ihrem Betrieb.

Art. 4 der KI-Verordnung verpflichtet Anbieter und Betreiber von KI-Systemen, Maßnahmen zu ergreifen, um die Entwicklung der KI-Kompetenz ihres Personals zu unterstützen. Ein bestimmtes Kompetenzniveau müssen sie nicht garantieren. Die Pflicht gilt seit Februar 2025 und bleibt auch nach der Digital-Omnibus-Verordnung bestehen. In der Praxis bedeutet das: Ihre Mitarbeitenden sollten die grundlegenden Funktionsweisen und Grenzen der KI-Systeme verstehen, die sie nutzen. Eine strukturierte Schulung ist der einfachste Weg, diese Pflicht zu erfüllen.

Ein formales KI-Inventar ist nicht ausdrücklich vorgeschrieben, aber in der Praxis unerlässlich. Ohne einen vollständigen Überblick über alle eingesetzten KI-Systeme können Sie weder die Risikoklassen bestimmen noch die Pflichten ableiten. Behörden erwarten, dass Sie Ihre KI-Systeme kennen. Ein KI-Inventar ist daher der erste und wichtigste Schritt.

Ja. Bei Systemen, die direkt mit Menschen interagieren (z.B. Chatbots), schreibt die KI-Verordnung eine Kennzeichnungspflicht vor. Menschen müssen wissen, dass sie mit einem KI-System und nicht mit einer realen Person kommunizieren. Bei KI-generierten Inhalten kommt es auf den Inhalt an. Deepfakes, also täuschend echte Bilder, Videos oder Tonaufnahmen, müssen Sie offenlegen. KI-Texte, mit denen Sie die Öffentlichkeit über Themen von öffentlichem Interesse informieren, ebenfalls, außer ein Mensch hat sie geprüft und trägt die redaktionelle Verantwortung. Für alle anderen Inhalte empfehle ich eine freiwillige Kennzeichnung. Das schafft Vertrauen.

Die KI-Verordnung sieht erhebliche Bußgelder vor. Für Verstöße gegen die Verbote: bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes. Für Verstöße gegen andere Pflichten: bis zu 15 Millionen Euro oder 3 Prozent des Umsatzes. Für KMU und Startups können die Bußgelder verhältnismäßig geringer ausfallen, aber sie können trotzdem existenzbedrohend sein. Hinzu kommen Reputationsschäden und mögliche zivilrechtliche Haftungsrisiken.

Jeder EU-Mitgliedstaat muss eine nationale Marktüberwachungsbehörde benennen. In Deutschland ist die Bundesnetzagentur als zuständige Marktüberwachungsbehörde bestätigt (KI-Marktüberwachungs- und Innovationsförderungsgesetz, kurz KI-MIG, vom 22. Juli 2026). Diese Behörde kann Unternehmen überprüfen, Nachweise verlangen und bei Verstößen Bußgelder verhängen. Die Erfahrung mit der DSGVO zeigt: Behörden setzen Recht durch, sobald die Strukturen stehen.

Die KI-Verordnung schreibt keinen KI-Beauftragten im juristischen Sinne vor, anders als den Datenschutzbeauftragten. Trotzdem braucht jedes Unternehmen jemanden, der sich um die KI-Compliance kümmert. Das kann eine interne Person sein oder ein externer Dienstleister. In der Praxis bewährt sich das Modell eines externen AI-Officers, analog zum externen Datenschutzbeauftragten: Eine erfahrene Person, die sich fortlaufend um alle KI-bezogenen Pflichten kümmert.

Das hängt stark von der Ausgangslage und der Anzahl der KI-Systeme ab. Ein erster KI-Sicherheitscheck liegt bei 1.200 bis 1.800 Euro. Eine umfassende KI-Bestandsaufnahme bei 1.500 bis 2.500 Euro. Die laufende Begleitung als externer AI-Officer beginnt bei 990 Euro im Monat.

Der einfachste erste Schritt: Machen Sie den kostenlosen Quickcheck auf dieser Website. In 2 Minuten wissen Sie, wie gut Ihr Betrieb aufgestellt ist. Für eine fundierte Analyse empfehle ich das KI-Bestandsaufnahme. Und wenn Sie einfach nur reden möchten: Buchen Sie ein kostenloses Erstgespräch. 30 Minuten, kein Verkaufsgespräch, nur ehrliche Einschätzung.

Grundsätzlich ja. Die KI-Verordnung unterscheidet nicht zwischen internem und externem Einsatz. Wenn Sie intern ein KI-System nutzen, das in die Kategorie hochriskant fällt (z.B. KI-gestützte Personalentscheidungen), gelten die gleichen Pflichten. Bei rein internen Anwendungen mit geringem Risiko (z.B. KI für Terminplanung oder interne Textvorschläge) sind die Pflichten allerdings minimal. Entscheidend bleibt der Einsatzzweck, nicht ob das System interne oder externe Nutzer hat.