ki-schulungen.eu
Menü

Stand · geprüft Stand

Der AI Act in zehn Minuten

Rechtsstand · geprüft · Änderungen

Was regelt die KI-Verordnung?

Die KI-Verordnung (EU) 2024/1689, auch AI Act genannt, ordnet KI-Systeme nach ihrem Risiko in vier Stufen (verboten, hoch, begrenzt, minimal) und knüpft Pflichten an die Stufe und an die Rolle eines Unternehmens, etwa Anbieter oder Betreiber. Die meisten Unternehmen nutzen KI als Betreiber und haben vor allem Art. 4 (KI-Kompetenz) und in bestimmten Fällen Art. 50 (Transparenz) zu beachten; Hochrisiko-Pflichten sind die Ausnahme und gelten erst ab dem 02.12.2027 beziehungsweise 02.08.2028.1, 2

Der AI Act ist die KI-Verordnung der Europäischen Union, amtlich Verordnung (EU) 2024/1689 vom 13.06.2024. Sie ist am 01.08.2024 in Kraft getreten, gilt als Verordnung unmittelbar in allen Mitgliedstaaten und wurde zuletzt durch den Digital Omnibus, die Verordnung (EU) 2026/1744, geändert.1, 2

Sie ordnet KI-Systeme nach ihrem Risiko und knüpft daran Pflichten. Wie viel ein Unternehmen tun muss, hängt von zwei Fragen ab: Welche Rolle hat es (Anbieter, Betreiber, Einführer, Händler), und welche Art von System setzt es ein?

Warum gibt es die Verordnung?

Die Verordnung soll das Funktionieren des Binnenmarkts verbessern und eine auf den Menschen ausgerichtete, vertrauenswürdige KI fördern. Zugleich soll sie Gesundheit, Sicherheit und die Grundrechte, einschließlich Demokratie, Rechtsstaatlichkeit und Umweltschutz, vor schädlichen Auswirkungen von KI-Systemen schützen und Innovation unterstützen (Art. 1 Abs. 1).1

Statt jede Technik einzeln zu regeln, setzt sie beim Risiko an: Je mehr ein Einsatz Menschen schaden kann, desto strenger die Regeln. Diesen Aufbau nennt man risikobasierten Ansatz (Erwägungsgrund 26).

Was ist ein KI-System im Sinne des Gesetzes?

Die Verordnung definiert das KI-System in Art. 3 Nr. 1:1

„KI-System“ ein maschinengestütztes System, das für einen in unterschiedlichem Grade autonomen Betrieb ausgelegt ist und das nach seiner Betriebsaufnahme anpassungsfähig sein kann und das aus den erhaltenen Eingaben für explizite oder implizite Ziele ableitet, wie Ausgaben wie etwa Vorhersagen, Inhalte, Empfehlungen oder Entscheidungen erstellt werden, die physische oder virtuelle Umgebungen beeinflussen können;

Art. 3 Nr. 1 VO (EU) 2024/1689

Einfacher gesagt: Die Software leitet aus Eingaben selbst ab, was sie ausgibt. Ein Sprachmodell wie ChatGPT, Copilot oder Gemini fällt darunter. Eine Tabellenkalkulation, die nur feste Formeln rechnet, fällt nicht darunter. Wo die Grenze im Einzelfall verläuft, erklärt die Kommission in Leitlinien zur Definition des KI-Systems, die sie am 06.02.2025 veröffentlicht hat.3

Welche vier Risikostufen gibt es?

  1. Verboten

    Bestimmte Praktiken sind ganz untersagt. Die ersten Verbote gelten seit dem 02.02.2025, weitere kommen durch den Digital Omnibus am 02.12.2026 hinzu (Art. 5 Abs. 1 UAbs. 1 Buchst. ba und bb sowie Abs. 1a und 1b). Verstöße sind mit den höchsten Geldbußen belegt: bis zu 35 Mio. € oder 7 % des weltweiten Jahresumsatzes (Art. 99 Abs. 3).1, 2

  2. Hohes Risiko

    Ein KI-System ist hochriskant, wenn es Sicherheitsbauteil eines Produkts nach Anhang I ist oder selbst ein solches Produkt und dieses Produkt von einer Drittstelle geprüft werden muss, etwa Medizinprodukte, Spielzeug oder Aufzüge. Hochriskant ist es auch, wenn es in einem der Bereiche eingesetzt wird, die Anhang III aufzählt, etwa Personalauswahl, Bildung, Kreditwürdigkeit oder Strafverfolgung. Für diese Systeme gelten die strengsten Pflichten: Risikomanagement, Dokumentation, menschliche Aufsicht, Konformitätsbewertung. Nach dem Digital Omnibus gelten sie ab dem 02.12.2027 (Anhang III) und ab dem 02.08.2028 (Anhang I).1, 2

  3. Begrenztes Risiko

    Für manche Systeme gelten Transparenzpflichten: Menschen sollen erkennen können, dass sie mit einer KI sprechen oder dass ein Inhalt künstlich erzeugt ist, etwa bei einem Deepfake. Art. 50 gilt seit dem 02.08.2026. Für Systeme, die vor diesem Tag in Verkehr gebracht wurden, muss Art. 50 Abs. 2 bis zum 02.12.2026 erfüllt sein (Art. 111 Abs. 4).1, 2

  4. Minimales Risiko

    Art. 4 gilt trotzdem

    Alles Übrige, zum Beispiel ein Spamfilter oder eine Rechtschreibhilfe, hat keine besonderen Pflichten aus der Verordnung. Art. 4 gilt trotzdem für jeden Anbieter und Betreiber, unabhängig von der Stufe.2

Verordnung (EU) 2024/1689, konsolidierte Fassung · Verordnung (EU) 2026/1744, ABl. L 2026/1744

Welche Rollen gibt es?

Die Verordnung verteilt Pflichten nach Rollen. Ein Unternehmen kann mehrere Rollen zugleich haben.1

Anbieter entwickeln ein KI-System oder ein KI-Modell mit allgemeinem Verwendungszweck oder lassen es entwickeln und bringen es unter eigenem Namen in Verkehr oder nehmen es in Betrieb, entgeltlich oder unentgeltlich (Art. 3 Nr. 3). Auf sie entfallen die meisten Pflichten.

Betreiber verwenden ein KI-System in eigener Verantwortung, außer zu rein persönlichen, nicht beruflichen Zwecken (Art. 3 Nr. 4). Das ist die Rolle der meisten Unternehmen.

Einführer sind in der EU ansässig und bringen ein KI-System eines Unternehmens aus einem Drittland unter dessen Namen oder Marke in Verkehr (Art. 3 Nr. 6).

Händler stellen ein KI-System in der Lieferkette auf dem EU-Markt bereit, ohne Anbieter oder Einführer zu sein (Art. 3 Nr. 7).

RolleImmerBei Hochrisiko-SystemenBei Systemen nach Art. 50
AnbieterArt. 4Art. 16 und Kapitel IIIArt. 50
BetreiberArt. 4Art. 26Art. 50
EinführerArt. 23
HändlerArt. 24

Quelle der Artikelzuordnung: Art. 4 und Art. 99 Abs. 4 VO (EU) 2024/1689 in der Fassung der VO (EU) 2026/1744.2

Was gilt für Allzweck-KI wie ChatGPT?

Hinter Chatbots wie ChatGPT steht ein KI-Modell mit allgemeinem Verwendungszweck, im Englischen General-Purpose AI oder GPAI. Für die Anbieter solcher Modelle gelten eigene Pflichten in Kapitel V, seit dem 02.08.2025. Für Modelle, die vor diesem Tag in Verkehr gebracht wurden, gilt eine Übergangsfrist bis zum 02.08.2027. Geldbußen gegen Modellanbieter verhängt die Kommission selbst, bis zu 15 Mio. € oder 3 % des Umsatzes (Art. 101, seit 02.08.2026).1, 2

Die Kommission hat dazu am 10.07.2025 einen freiwilligen Verhaltenskodex veröffentlicht und Leitlinien zum Umfang der Pflichten herausgegeben.4, 5

Für ein Unternehmen, das ChatGPT nur nutzt, gelten diese Modellpflichten nicht. Es ist Betreiber des Chatbots und hat Art. 4 zu beachten.3

Was bleibt für ein normales Unternehmen übrig?

Für ein Unternehmen, das KI-Werkzeuge kauft und im Arbeitsalltag nutzt, bleibt meist wenig. Art. 4 verlangt seit dem 02.02.2025 Maßnahmen für die KI-Kompetenz der Beschäftigten. Wer KI-Texte zu Fragen von öffentlichem Interesse veröffentlicht oder Deepfakes erzeugt, muss das nach Art. 50 Abs. 4 offenlegen. Für KI-Texte entfällt die Offenlegung, wenn sie menschlich geprüft oder redaktionell kontrolliert wurden und jemand die redaktionelle Verantwortung für die Veröffentlichung hat.1

Hochrisiko-Pflichten kommen erst ins Spiel, wenn ein System in einem der Bereiche aus Anhang III eingesetzt wird, etwa bei der Auswahl von Bewerbern. Sie gelten dann ab dem 02.12.2027.2

Verbotene Praktiken betreffen kaum ein gewöhnliches Unternehmen, sollten aber bekannt sein, weil sie die höchsten Bußgelder auslösen.

Wo stehe ich?

Der Betroffenheits-Check ordnet Rolle, Systeme, Größe und Branche allgemein ein und nennt die Artikel und Fristen dazu. Betroffenheits-Check

Häufige Fragen

Seit wann gilt der AI Act?
Die KI-Verordnung ist am 01.08.2024 in Kraft getreten und gilt seitdem stufenweise: Verbote und Art. 4 seit dem 02.02.2025, die meisten übrigen Regeln seit dem 02.08.2026. Die Pflichten für Hochrisiko-Systeme gelten nach dem Digital Omnibus ab dem 02.12.2027 (Anhang III) und ab dem 02.08.2028 (Anhang I).
Ist ChatGPT ein Hochrisiko-System?
Nein. Hochriskant wird ein KI-System durch seine Zweckbestimmung oder seinen Produktbezug (Art. 6, Anhang I und III), und Allzweck-Chatbots stehen nicht in Anhang III. Wer einen Chatbot für einen Zweck aus Anhang III einsetzt oder umwidmet, kann aber selbst Anbieter eines Hochrisiko-Systems werden (Art. 25 Abs. 1 Buchst. c).
Bin ich Anbieter, wenn ich ein KI-Tool kaufe und im Betrieb einsetze?
In der Regel nicht. Anbieter ist, wer ein KI-System entwickelt oder entwickeln lässt und es unter eigenem Namen in Verkehr bringt oder in Betrieb nimmt (Art. 3 Nr. 3); wer ein gekauftes System in eigener Verantwortung verwendet, ist Betreiber (Art. 3 Nr. 4).
Gilt der AI Act auch für kleine Unternehmen?
Ja, die Pflichten hängen von Rolle und System ab, nicht von der Größe. Für KMU sieht die Verordnung Erleichterungen vor, etwa bei Bußgeldern den jeweils niedrigeren Betrag (Art. 99 Abs. 6) und Unterstützung bei Art. 4 (Art. 4 Abs. 2).

Quellen

  1. 1Verordnung (EU) 2024/1689 (KI-Verordnung, AI Act) in der konsolidierten Fassung vom 27.07.2026, deutsch, Amt für Veröffentlichungen der Europäischen Union (EUR-Lex) · CELEX 02024R1689-20260727 · abgerufen 01.11.2026 · Quellenseite
  2. 2Verordnung (EU) 2026/1744 (Digital-Omnibus-Verordnung zur KI), ABl. L 2026/1744 vom 24.7.2026, deutsch, Amt für Veröffentlichungen der Europäischen Union (EUR-Lex) · CELEX 32026R1744 · abgerufen 01.11.2026 · Quellenseite
  3. 3AI Literacy: Questions & Answers (Fragen und Antworten zur KI-Kompetenz), Stand 20.10.2026, Europäische Kommission (EN) · abgerufen 01.11.2026 · Quellenseite
  4. 4General-Purpose AI Code of Practice (freiwilliger Verhaltenskodex, veröffentlicht 10.07.2025), Europäische Kommission (EN) · abgerufen 01.11.2026 · Quellenseite
  5. 5Guidelines on the scope of obligations for providers of general-purpose AI models under the AI Act, Europäische Kommission (EN) · abgerufen 01.11.2026 · Quellenseite
  6. 6AI Omnibus enters into force (Meldung zum Inkrafttreten des Digital Omnibus), Europäische Kommission (EN) · abgerufen 01.11.2026 · Quellenseite