Glossar zur KI-Verordnung

„Büro für Künstliche Intelligenz“ die Aufgabe der Kommission, zur Umsetzung, Beobachtung und Überwachung von KI-Systemen und KI-Modellen mit allgemeinem Verwendungszweck und zu der im Beschluss der Kommission vom 24. Januar 2024 vorgesehenen KI-Governance beizutragen; Bezugnahmen in dieser Verordnung auf das Büro für Künstliche Intelligenz gelten als Bezugnahmen auf die Kommission;

Eine Einheit der EU-Kommission, die vor allem die Anbieter großer Allzweck-KI-Modelle beaufsichtigt. Für Art. 4 ist das AI Office nicht zuständig. Die Aufsicht darüber liegt bei den nationalen Marktüberwachungsbehörden, in Deutschland bei der Bundesnetzagentur.

Beispiel Geldbußen gegen Anbieter von Allzweck-KI-Modellen verhängt die Kommission selbst (Art. 101).

Siehe KI-Modell mit allgemeinem Verwendungszweck · Marktüberwachungsbehörde · Bundesnetzagentur · KI-Gremium

„Anbieter“ eine natürliche oder juristische Person, Behörde, Einrichtung oder sonstige Stelle, die ein KI-System oder ein KI-Modell mit allgemeinem Verwendungszweck entwickelt oder entwickeln lässt und es unter ihrem eigenen Namen oder ihrer Handelsmarke in Verkehr bringt oder das KI-System unter ihrem eigenen Namen oder ihrer Handelsmarke in Betrieb nimmt, sei es entgeltlich oder unentgeltlich;

Wer ein KI-System oder ein Allzweck-KI-Modell entwickelt oder entwickeln lässt und es unter eigenem Namen auf den Markt bringt oder selbst in Betrieb nimmt, ob gegen Geld oder kostenlos. Auf Anbieter entfallen die meisten Pflichten der KI-Verordnung.

Beispiel Ein Softwarehaus, das ein KI-gestütztes Bewerber-Tool unter eigenem Namen verkauft, ist dessen Anbieter.

Siehe Betreiber · Inverkehrbringen · Inbetriebnahme · KI-Modell mit allgemeinem Verwendungszweck · Konformitätsbewertung
Ausführlich: Anbieter

Sinngemäß: Liste der Harmonisierungsrechtsvorschriften der Union, in Abschnitt A etwa zu Spielzeug, Aufzügen, Funkanlagen, Druckgeräten und Medizinprodukten, in Abschnitt B unter anderem zu Fahrzeugen, Luftfahrt und seit 27.07.2026 Maschinen (Verordnung (EU) 2023/1230). Ein KI-System, das Sicherheitsbauteil eines solchen Produkts oder selbst ein solches Produkt ist und einer Konformitätsbewertung durch Dritte unterliegt, ist nach Art. 6 Abs. 1 hochriskant.

Eine Liste von EU-Produktvorschriften. Steckt KI als Sicherheitsbauteil in einem dieser Produkte und muss das Produkt von einer Drittstelle geprüft werden, ist sie ein Hochrisiko-System. Die Pflichten dafür gelten nach dem Digital Omnibus ab dem 02.08.2028.

Beispiel Eine KI, die in einem Medizinprodukt Befunde auswertet, kann über Anhang I hochriskant sein.

Siehe Hochrisiko-KI-System · Anhang III · Konformitätsbewertung · CE-Kennzeichnung · Medizinprodukt

Sinngemäß: Liste der Bereiche, in denen KI-Systeme nach Art. 6 Abs. 2 als hochriskant gelten: Biometrie, kritische Infrastruktur, allgemeine und berufliche Bildung, Beschäftigung und Personalmanagement, Zugänglichkeit und Inanspruchnahme grundlegender privater und grundlegender öffentlicher Dienste und Leistungen (etwa Kreditwürdigkeit), Strafverfolgung, Migration, Asyl und Grenzkontrolle sowie Rechtspflege und demokratische Prozesse.

Eine Liste von Einsatzbereichen, in denen KI über Menschen mitentscheidet, etwa bei Einstellungen, Prüfungen oder Krediten. Ein KI-System in einem dieser Bereiche ist in der Regel hochriskant. Die Pflichten dafür gelten nach dem Digital Omnibus ab dem 02.12.2027.

Beispiel Ein Tool, das Bewerbungen vorsortiert, fällt unter Anhang III Nr. 4, Beschäftigung.

Siehe Hochrisiko-KI-System · Anhang I · Grundrechte-Folgenabschätzung · Menschliche Aufsicht · Biometrische Identifizierung · Öffentliche Stelle

„Betreiber“ eine natürliche oder juristische Person, Behörde, Einrichtung oder sonstige Stelle, die ein KI-System in eigener Verantwortung verwendet, es sei denn, das KI-System wird im Rahmen einer persönlichen und nicht beruflichen Tätigkeit verwendet;

Wer ein KI-System beruflich in eigener Verantwortung nutzt. Das ist die Rolle der meisten Unternehmen, Behörden und Selbstständigen, die KI einsetzen, auch wenn sie das System nur gekauft oder abonniert haben.

Beispiel Ein Handwerksbetrieb, der Angebotstexte mit ChatGPT entwirft, ist Betreiber dieses KI-Systems.

Siehe Anbieter · KI-Kompetenz · KI-System · Hochrisiko-KI-System
Ausführlich: Betreiber

Sinngemäß: die automatisierte Erkennung körperlicher, physiologischer oder verhaltensbezogener Merkmale eines Menschen, um seine Identität festzustellen, indem seine biometrischen Daten mit gespeicherten Daten anderer Personen verglichen werden (Art. 3 Nr. 35). Bei der Fernidentifizierung geschieht das ohne aktive Beteiligung der Person, in der Regel aus der Entfernung (Art. 3 Nr. 41 ff.).

KI, die Menschen an Gesicht, Stimme oder anderen Körpermerkmalen erkennt und einer Identität zuordnet. Mehrere Formen sind seit dem 02.02.2025 verboten, darunter das ungezielte Auslesen von Gesichtsbildern und mit Ausnahmen die Echtzeit-Fernidentifizierung im öffentlichen Raum zur Strafverfolgung (Art. 5 Abs. 1 Buchst. e und h). Erlaubte Fernidentifizierung, biometrische Kategorisierung nach sensiblen Merkmalen und Emotionserkennung sind Hochrisiko-Systeme nach Anhang III Nr. 1. Systeme, die nur bestätigen, dass eine Person die ist, die sie zu sein angibt, fallen nicht darunter.

Beispiel Ein Kamerasystem, das Passanten mit einer Datenbank gesuchter Personen abgleicht, ist biometrische Fernidentifizierung. Ein Türschloss, das nur den Fingerabdruck der berechtigten Person prüft, ist eine Verifizierung.

Siehe Verbotene Praktiken · Anhang III · Hochrisiko-KI-System · Transparenzpflichten

„Die Bundesnetzagentur ist die für die Einhaltung der Verordnung (EU) 2024/1689 zuständige Marktüberwachungsbehörde, soweit in diesem Gesetz nichts anderes bestimmt ist.“ (§ 2 Abs. 1 KI-MIG)

Die Bundesbehörde, die in Deutschland seit dem 29.07.2026 die Einhaltung der KI-Verordnung überwacht, auch die Pflicht zur KI-Kompetenz nach Art. 4. Sie ist zugleich zentrale Anlaufstelle und Beschwerdestelle und betreibt einen KI-Service Desk für Fragen.

Beispiel Die Bundesnetzagentur empfiehlt Unternehmen, ihre Maßnahmen nach Art. 4 gut zu dokumentieren.

Siehe KI-MIG · Marktüberwachungsbehörde · AI Office

„CE-Kennzeichnung“ eine Kennzeichnung, durch die ein Anbieter erklärt, dass ein KI-System die Anforderungen erfüllt, die in Kapitel III Abschnitt 2 und in anderen anwendbaren Harmonisierungsrechtsvorschriften, die die Anbringung dieser Kennzeichnung vorsehen, festgelegt sind;

Das bekannte CE-Zeichen, hier für Hochrisiko-KI-Systeme: Der Anbieter bestätigt damit nach der Konformitätsbewertung, dass das System die Anforderungen erfüllt. Für Schulungen oder Beschäftigte gibt es kein CE-Zeichen.

Beispiel Ein Hochrisiko-System nach Anhang III, das ab dem 02.12.2027 neu in Verkehr gebracht wird, bekommt vorher ein CE-Zeichen (Art. 16 Buchst. h, Art. 48).

Siehe Konformitätsbewertung · Hochrisiko-KI-System · Anhang I

„Deepfake“ einen durch KI erzeugten oder manipulierten Bild-, Ton- oder Videoinhalt, der wirklichen Personen, Gegenständen, Orten, Einrichtungen oder Ereignissen ähnelt und einer Person fälschlicherweise als echt oder wahrheitsgemäß erscheinen würde;

Ein mit KI erzeugtes oder verändertes Bild, Video oder Tondokument, das echt wirkt, aber nicht echt ist. Betreiber, die solche Inhalte erzeugen, müssen offenlegen, dass sie künstlich sind (Art. 50 Abs. 4, seit 02.08.2026).

Beispiel Ein Werbevideo, in dem eine echte Person mit KI-Stimme Dinge sagt, die sie nie gesagt hat, ist ein Deepfake. Der Betreiber muss das offenlegen.

Siehe Transparenzpflichten · Betreiber

„VERORDNUNG (EU) 2026/1744 DES EUROPÄISCHEN PARLAMENTS UND DES RATES vom 8. Juli 2026 … (Digital-Omnibus-Verordnung zur KI)“; „Diese Verordnung tritt am dritten Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.“ (Titel und Art. 4)

Ein Änderungspaket der EU zur KI-Verordnung, seit dem 27.07.2026 in Kraft. Es hat Art. 4 neu gefasst, die Hochrisiko-Fristen verschoben und neue Verbote sowie Erleichterungen für kleine Midcap-Unternehmen eingeführt.

Beispiel Seit dem Digital Omnibus verlangt Art. 4 Maßnahmen, die die Entwicklung der KI-Kompetenz unterstützen, und kein garantiertes Niveau mehr.

Siehe KI-Verordnung · KI-Kompetenz · Hochrisiko-KI-System · Kleines Midcap-Unternehmen · Verbotene Praktiken
Ausführlich: Digital Omnibus

„Einführer“ eine in der Union ansässige oder niedergelassene natürliche oder juristische Person, die ein KI-System, das den Namen oder die Handelsmarke einer in einem Drittland niedergelassenen natürlichen oder juristischen Person trägt, in Verkehr bringt;

Ein Unternehmen mit Sitz in der EU, das ein KI-System eines Herstellers aus einem Land außerhalb der EU erstmals auf den EU-Markt bringt. Für Hochrisiko-Systeme hat es eigene Prüfpflichten nach Art. 23.

Beispiel Eine deutsche GmbH, die eine KI-Software eines US-Anbieters unter dessen Namen in der EU vertreibt, ist Einführer.

Siehe Anbieter · Händler · Inverkehrbringen

„Entsprechend den Vorgaben dieser Verordnung erlassen die Mitgliedstaaten Vorschriften für Sanktionen und andere Durchsetzungsmaßnahmen, zu denen auch Geldbußen, Verwarnungen und nichtmonetäre Maßnahmen gehören können, die bei jeglichem Verstoß gegen diese Verordnung durch Akteure Anwendung finden …“ (Art. 99 Abs. 1 in der Fassung der VO (EU) 2026/1744)

Geldbußen nach der KI-Verordnung gibt es in drei Stufen: bis 35 Mio. € oder 7 % für Verbote, bis 15 Mio. € oder 3 % für bestimmte Pflichten wie Art. 16, 26 und 50, bis 7,5 Mio. € oder 1 % für falsche Auskünfte. Art. 4 steht in keiner Stufe. In Deutschland gibt es auch nach dem KI-MIG kein Bußgeld dafür.

Beispiel Ein Betreiber, der gegen die Transparenzpflicht aus Art. 50 verstößt, fällt unter Art. 99 Abs. 4.

Siehe KMU · Kleines Midcap-Unternehmen · KI-MIG · Verbotene Praktiken

Sinngemäß: Vor der Inbetriebnahme eines Hochrisiko-KI-Systems nach Anhang III (außer Nr. 2, kritische Infrastruktur) schätzen Einrichtungen des öffentlichen Rechts, private Einrichtungen, die öffentliche Dienste erbringen, und Betreiber von Systemen nach Anhang III Nr. 5 Buchst. b und c ab, wie sich das System auf die Grundrechte auswirken kann.

Eine Prüfung vor dem Einsatz eines Hochrisiko-Systems: Welche Menschen sind betroffen, welche Schäden für ihre Grundrechte sind möglich, und was wird dagegen getan? Die Pflicht gilt mit den Hochrisiko-Pflichten nach Anhang III ab dem 02.12.2027. In Deutschland ist ein Verstoß nach § 15 KI-MIG mit Geldbuße bis zu 50.000 € bedroht.

Beispiel Eine Kommune, die ein KI-System zur Prüfung von Sozialleistungsanträgen einführen will (Anhang III Nr. 5 Buchst. a), muss vorher eine Grundrechte-Folgenabschätzung durchführen.

Siehe Hochrisiko-KI-System · Anhang III · Betreiber · KI-MIG · Öffentliche Stelle

„Händler“ eine natürliche oder juristische Person in der Lieferkette, die ein KI-System auf dem Unionsmarkt bereitstellt, mit Ausnahme des Anbieters oder des Einführers;

Wer ein KI-System in der Lieferkette weitergibt, ohne es entwickelt oder in die EU eingeführt zu haben. Für Hochrisiko-Systeme gelten für Händler eigene Pflichten nach Art. 24.

Beispiel Ein Systemhaus, das Lizenzen für ein KI-Analysewerkzeug an Kunden weiterverkauft, ist Händler.

Siehe Anbieter · Einführer · Inverkehrbringen

Sinngemäß: Ein KI-System gilt als hochriskant, wenn es als Sicherheitsbauteil eines Produkts verwendet werden soll oder selbst ein Produkt ist, das unter die in Anhang I genannten Rechtsvorschriften fällt und einer Konformitätsbewertung durch Dritte unterliegt (Art. 6 Abs. 1), oder wenn es in einem der in Anhang III genannten Bereiche eingesetzt wird (Art. 6 Abs. 2), vorbehaltlich der Ausnahmen in Art. 6 Abs. 3.

Ein KI-System, das wegen seines Einsatzzwecks ein erhöhtes Risiko für Gesundheit, Sicherheit oder Grundrechte hat, etwa bei der Personalauswahl oder als Teil eines Medizinprodukts. Für diese Systeme gelten die strengsten Pflichten, nach dem Digital Omnibus ab dem 02.12.2027 (Anhang III) und ab dem 02.08.2028 (Anhang I).

Beispiel Eine Software, die Bewerbungen vorsortiert und Kandidaten bewertet, ist ein Hochrisiko-System nach Anhang III Nr. 4.

Siehe Anhang I · Anhang III · Konformitätsbewertung · Menschliche Aufsicht · Grundrechte-Folgenabschätzung
Ausführlich: Hochrisiko-KI-System

„Inbetriebnahme“ die Bereitstellung eines KI-Systems in der Union zum Erstgebrauch direkt an den Betreiber oder zum Eigengebrauch entsprechend seiner Zweckbestimmung;

Der erste Einsatz eines KI-Systems für seinen Zweck, auch wenn es nie verkauft wird. Wer ein selbst entwickeltes System im eigenen Haus in Betrieb nimmt, ist dafür Anbieter.

Beispiel Eine Bank, die ein selbst entwickeltes Scoring-Modell erstmals für echte Kreditanträge nutzt, nimmt es in Betrieb.

Siehe Inverkehrbringen · Anbieter · Betreiber

„Inverkehrbringen“ die erstmalige Bereitstellung eines KI-Systems oder eines KI-Modells mit allgemeinem Verwendungszweck auf dem Unionsmarkt;

Der Moment, in dem ein KI-System zum ersten Mal auf dem EU-Markt angeboten wird, ob verkauft oder kostenlos. Daran knüpfen viele Pflichten und Übergangsfristen an, etwa Art. 111 Abs. 4 für Systeme, die vor dem 02.08.2026 in Verkehr gebracht wurden.

Beispiel Ein Softwarehaus bringt sein KI-Tool in Verkehr, wenn es die erste Version an Kunden in der EU ausliefert.

Siehe Inbetriebnahme · Anbieter · Einführer

„Ein Europäisches Gremium für Künstliche Intelligenz (im Folgenden ‚KI-Gremium‘) wird hiermit eingerichtet.“ (Art. 65 Abs. 1) „Das KI-Gremium nimmt unter Berücksichtigung der europäischen Kompetenzrahmen Empfehlungen an, um die Kommission und die Mitgliedstaaten unter anderem durch die Festlegung gemeinsamer Ziele bei der Förderung der KI-Kompetenz gemäß Absatz 1 zu unterstützen.“ (Art. 4 Abs. 3 in der Fassung der VO (EU) 2026/1744)

Ein Gremium aus Vertretern der Mitgliedstaaten, das die Kommission bei der Anwendung der KI-Verordnung berät. Seit dem Digital Omnibus soll es Empfehlungen zur Förderung der KI-Kompetenz beschließen. Für Unternehmen sind diese Empfehlungen keine Pflicht.

Beispiel Gemeinsame Ziele für die Förderung von KI-Kompetenz in der EU legt nach Art. 4 Abs. 3 das KI-Gremium fest.

Siehe KI-Kompetenz · AI Office · Digital Omnibus

„KI-Kompetenz“ die Fähigkeiten, die Kenntnisse und das Verständnis, die es Anbietern, Betreibern und Betroffenen unter Berücksichtigung ihrer jeweiligen Rechte und Pflichten im Rahmen dieser Verordnung ermöglichen, KI-Systeme sachkundig einzusetzen sowie sich der Chancen und Risiken von KI und möglicher Schäden, die sie verursachen kann, bewusst zu werden.

Das Wissen und Verständnis, um KI bei der Arbeit sachkundig zu nutzen und ihre Chancen, Risiken und möglichen Schäden zu kennen. Art. 4 verpflichtet Anbieter und Betreiber, die Entwicklung dieser Kompetenz bei ihrem Personal mit Maßnahmen zu unterstützen.

Beispiel Eine Sachbearbeiterin weiß, dass ein Chatbot Quellen erfinden kann, prüft Zahlen nach und gibt keine Kundendaten ein.

Siehe Betreiber · Anbieter · Personal und beauftragte Personen · Digital Omnibus
Ausführlich: KI-Kompetenz

„KI-Marktüberwachungs-und-Innovationsförderungs-Gesetz vom 22. Juli 2026 (BGBl. 2026 I Nr. 223)“; „Die Bundesnetzagentur ist die für die Einhaltung der Verordnung (EU) 2024/1689 zuständige Marktüberwachungsbehörde, soweit in diesem Gesetz nichts anderes bestimmt ist.“ (§ 2 Abs. 1)

Das deutsche Gesetz, das die KI-Verordnung in Deutschland durchführt. Es macht die Bundesnetzagentur zur zuständigen Aufsicht, regelt Ausnahmen für andere Behörden und enthält eigene Bußgelder bis 50.000 € für bestimmte Pflichten. Für Art. 4 sieht es kein Bußgeld vor.

Beispiel Wer der Bundesnetzagentur die nach Art. 21 verlangten Informationen nicht übermittelt, riskiert ein Bußgeld nach § 15 KI-MIG.

Siehe Bundesnetzagentur · Marktüberwachungsbehörde · Geldbuße · Grundrechte-Folgenabschätzung
Ausführlich: KI-MIG

„KI-Modell mit allgemeinem Verwendungszweck“ ein KI-Modell, einschließlich der Fälle, in denen ein solches KI-Modell mit einer großen Datenmenge unter umfassender Selbstüberwachung trainiert wird, das eine erhebliche allgemeine Verwendbarkeit aufweist und in der Lage ist, unabhängig von der Art und Weise seines Inverkehrbringens ein breites Spektrum unterschiedlicher Aufgaben kompetent zu erfüllen, und das in eine Vielzahl nachgelagerter Systeme oder Anwendungen integriert werden kann, ausgenommen KI-Modelle, die vor ihrem Inverkehrbringen für Forschungs- und Entwicklungstätigkeiten oder die Konzipierung von Prototypen eingesetzt werden; (Gedankenstriche des Amtstexts durch Kommas ersetzt)

Ein großes Modell, das viele verschiedene Aufgaben kann und in andere Anwendungen eingebaut wird, etwa das Sprachmodell hinter einem Chatbot. Für die Anbieter solcher Modelle gelten eigene Pflichten in Kapitel V, seit dem 02.08.2025. Wer den Chatbot nur nutzt, hat diese Pflichten nicht.

Beispiel Das Sprachmodell hinter ChatGPT ist ein Allzweck-KI-Modell. Ein Unternehmen, das ChatGPT nutzt, ist Betreiber des Chatbots.

Siehe KI-System · Anbieter · AI Office

„KI-System“ ein maschinengestütztes System, das für einen in unterschiedlichem Grade autonomen Betrieb ausgelegt ist und das nach seiner Betriebsaufnahme anpassungsfähig sein kann und das aus den erhaltenen Eingaben für explizite oder implizite Ziele ableitet, wie Ausgaben wie etwa Vorhersagen, Inhalte, Empfehlungen oder Entscheidungen erstellt werden, die physische oder virtuelle Umgebungen beeinflussen können;

Software, die aus Eingaben selbst ableitet, was sie ausgibt, etwa einen Text, eine Empfehlung oder eine Entscheidung. Ein Programm, das nur feste Regeln abarbeitet, ist kein KI-System. Sprachmodelle wie ChatGPT fallen darunter.

Beispiel Ein Programm, das Bewerbungen nach Eignung sortiert, ist ein KI-System. Eine Tabelle, die Urlaubstage nach fester Formel addiert, ist keins.

Siehe Anbieter · Betreiber · KI-Modell mit allgemeinem Verwendungszweck · Hochrisiko-KI-System · Leitlinien der Kommission
Ausführlich: KI-System

Keine Legaldefinition. Amtlicher Titel: „Verordnung (EU) 2024/1689 des Europäischen Parlaments und des Rates vom 13. Juni 2024 zur Festlegung harmonisierter Vorschriften für künstliche Intelligenz und zur Änderung der Verordnungen (EG) Nr. 300/2008, (EU) Nr. 167/2013, (EU) Nr. 168/2013, (EU) 2018/858, (EU) 2018/1139 und (EU) 2019/2144 sowie der Richtlinien 2014/90/EU, (EU) 2016/797 und (EU) 2020/1828 (Verordnung über künstliche Intelligenz)“; ABl. L 2024/1689 vom 12.7.2024, in Kraft seit 01.08.2024, geändert durch Verordnung (EU) 2026/1744.

Das KI-Gesetz der EU, im Englischen AI Act. Es gilt als Verordnung unmittelbar in allen Mitgliedstaaten, ordnet KI-Systeme nach Risiko und knüpft Pflichten an Rolle und Risikostufe. Seit dem 27.07.2026 gilt es in der Fassung des Digital Omnibus.

Beispiel Art. 4 der KI-Verordnung verlangt Maßnahmen für die KI-Kompetenz des Personals.

Siehe Digital Omnibus · Risikobasierter Ansatz · KI-Kompetenz · KI-MIG

„kleines Midcap-Unternehmen“ ein kleines Unternehmen mit mittlerer Kapitalisierung im Sinne von Nummer 2 des Anhangs der Empfehlung (EU) 2025/1099 (Art. 3 Nr. 14b in der Fassung der VO (EU) 2026/1744). Art. 99 Abs. 6a: „Im Falle von kleinen Midcap-Unternehmen gilt für jede in den Absätzen 4 und 5 genannte Geldbuße der jeweils niedrigere Betrag aus den darin genannten Prozentsätzen oder Summen.“

Eine Größenklasse zwischen KMU und Großunternehmen: kein KMU, weniger als 750 Beschäftigte und höchstens 150 Mio. € Jahresumsatz oder höchstens 129 Mio. € Jahresbilanzsumme. Bei Geldbußen nach Art. 99 Abs. 4 und 5 gilt für sie der niedrigere Betrag, bei Verstößen gegen Verbote (Abs. 3) nicht.

Beispiel Ein kleines Midcap, das gegen Art. 50 verstößt, profitiert von Abs. 6a. Verstößt es gegen ein Verbot nach Art. 5, gilt der volle Rahmen.

Siehe KMU · Geldbuße · Digital Omnibus

„Kleinst-, kleines oder mittleres Unternehmen“ oder „KMU“ ein Kleinstunternehmen, kleines oder mittleres Unternehmen im Sinne von Artikel 2 des Anhangs der Empfehlung 2003/361/EG (Art. 3 Nr. 14a in der Fassung der VO (EU) 2026/1744). Art. 99 Abs. 6: „Im Falle von KMU, einschließlich Start-up-Unternehmen, gilt für jede in diesem Artikel genannte Geldbuße der jeweils niedrigere Betrag aus den in den Absätzen 3, 4 und 5 genannten Prozentsätzen oder Summen.“

Kleine und mittlere Unternehmen: weniger als 250 Beschäftigte und höchstens 50 Mio. € Jahresumsatz oder höchstens 43 Mio. € Jahresbilanzsumme. Für sie gilt bei jeder Geldbuße nach Art. 99 der niedrigere der beiden Beträge, und Kommission und Mitgliedstaaten müssen sie bei der KI-Kompetenz besonders unterstützen (Art. 4 Abs. 2). Die Pflicht aus Art. 4 selbst gilt für KMU genauso.

Beispiel Ein Betrieb mit 8 Beschäftigten, der ChatGPT nutzt, ist als KMU Betreiber und hat Art. 4 zu beachten.

Siehe Kleines Midcap-Unternehmen · Geldbuße · KI-Kompetenz

Sinngemäß: das Verfahren, mit dem nachgewiesen wird, ob die Anforderungen an ein Hochrisiko-KI-System aus Kapitel III Abschnitt 2 erfüllt sind.

Die Prüfung, ob ein Hochrisiko-System alle Anforderungen erfüllt, bevor es auf den Markt kommt. Sie ist Sache des Anbieters, je nach System in eigener Verantwortung oder durch eine notifizierte Stelle. Für Schulungen nach Art. 4 gibt es keine Konformitätsbewertung.

Beispiel Der Anbieter eines KI-Bewerber-Tools muss ab dem 02.12.2027 vor dem Inverkehrbringen eine Konformitätsbewertung durchführen (Art. 16 Buchst. f, Art. 43).

Siehe Hochrisiko-KI-System · CE-Kennzeichnung · Anbieter · Inverkehrbringen

Sinngemäß: Die Kommission erarbeitet Leitlinien für die praktische Umsetzung der Verordnung (Art. 96 Abs. 1). Art. 99 Abs. 1 verweist darauf: Die Mitgliedstaaten erlassen Sanktionsvorschriften, „wobei die von der Kommission gemäß Artikel 96 erteilten Leitlinien zu berücksichtigen sind.“

Erläuterungen der EU-Kommission dazu, wie sie die Verordnung versteht, etwa zur Definition des KI-Systems (veröffentlicht 06.02.2025) oder in den Fragen und Antworten zur KI-Kompetenz (englisch, Stand 20.10.2026). Sie sind kein Gesetz, zeigen aber, wie die Kommission auslegt.

Beispiel Dass für Art. 4 kein Zertifikat nötig ist, steht in den Fragen und Antworten der Kommission zur KI-Kompetenz.

Siehe KI-System · KI-Kompetenz · AI Office

„Marktüberwachungsbehörde“ die nationale Behörde, die die Tätigkeiten durchführt und die Maßnahmen ergreift, die in der Verordnung (EU) 2019/1020 vorgesehen sind; (Art. 3 Nr. 26) In Deutschland: „Die Bundesnetzagentur ist die für die Einhaltung der Verordnung (EU) 2024/1689 zuständige Marktüberwachungsbehörde, soweit in diesem Gesetz nichts anderes bestimmt ist.“ (§ 2 Abs. 1 KI-MIG)

Die nationale Behörde, die prüft, ob Unternehmen die KI-Verordnung einhalten. Seit dem 02.08.2026 überwachen diese Behörden auch Art. 4. In Deutschland ist das die Bundesnetzagentur, mit Ausnahmen, etwa für die BaFin bei KI-Systemen der regulierten Finanztätigkeit.

Beispiel Ein Unternehmen mit Sitz in Deutschland hat es bei Fragen zu Art. 4 mit der Bundesnetzagentur zu tun.

Siehe Bundesnetzagentur · KI-MIG · AI Office

Kein Begriff aus Art. 3. Sinngemäß: Produkte nach der Verordnung (EU) 2017/745 über Medizinprodukte (Anhang I Abschnitt A Nr. 11) und der Verordnung (EU) 2017/746 über In-vitro-Diagnostika (Anhang I Abschnitt A Nr. 12). Ein KI-System, das selbst ein solches Produkt oder dessen Sicherheitsbauteil ist und von einer Drittstelle geprüft werden muss, ist nach Art. 6 Abs. 1 hochriskant.

Medizinische Software kann über Anhang I ein Hochrisiko-System sein, wenn sie unter das Medizinprodukterecht fällt und von einer benannten Stelle geprüft werden muss. Für solche Systeme gelten die Hochrisiko-Pflichten nach dem Digital Omnibus ab dem 02.08.2028, für Betreiber darunter Art. 26.

Beispiel Eine KI, die Röntgenbilder auswertet und als Medizinprodukt zertifiziert ist, kann ein Hochrisiko-System nach Anhang I sein. Ein allgemeiner Chatbot, den eine Praxis für Briefe nutzt, ist kein Medizinprodukt.

Siehe Anhang I · Hochrisiko-KI-System · Konformitätsbewertung

„Die Betreiber übertragen natürlichen Personen, die über die erforderliche Kompetenz, Ausbildung und Befugnis verfügen, die menschliche Aufsicht und lassen ihnen die erforderliche Unterstützung zukommen.“ (Art. 26 Abs. 2)

Bei Hochrisiko-Systemen muss ein Mensch die KI beaufsichtigen und eingreifen können. Betreiber übertragen diese Aufgabe Personen mit der nötigen Kompetenz, Ausbildung und Befugnis. Die Pflicht gilt ab dem 02.12.2027 (Anhang III) beziehungsweise 02.08.2028 (Anhang I).

Beispiel In der Personalabteilung prüft eine geschulte Mitarbeiterin die Vorschläge eines Bewerber-Tools und darf sie verwerfen.

Siehe Hochrisiko-KI-System · Betreiber · KI-Kompetenz

Kein eigener Begriff aus Art. 3. Die Verordnung spricht von „Einrichtungen des öffentlichen Rechts“ und von privaten Einrichtungen, die öffentliche Dienste erbringen (Art. 27 Abs. 1), sowie von Betreibern, „bei denen es sich um Behörden oder Organe, Einrichtungen oder sonstige Stellen der Union oder in ihrem Namen handelnde Personen handelt“ (Art. 49 Abs. 3).

Behörden, Kommunen und andere Einrichtungen des öffentlichen Rechts haben als Betreiber von Hochrisiko-Systemen nach Anhang III (außer Nr. 2) zusätzliche Pflichten: vor der Inbetriebnahme eine Grundrechte-Folgenabschätzung (Art. 27) und, für Behörden, eine Registrierung in der EU-Datenbank (Art. 49 Abs. 3). Viele Bereiche aus Anhang III betreffen vor allem sie, etwa Sozialleistungen, Strafverfolgung, Migration und Rechtspflege. Für Systeme, die Behörden schon vorher nutzen, gilt eine Übergangsfrist bis zum 02.08.2030.

Beispiel Eine Kommune, die Anträge auf Sozialleistungen mit KI vorprüfen lässt (Anhang III Nr. 5 Buchst. a), muss vor dem Einsatz die Folgen für die Grundrechte abschätzen.

Siehe Grundrechte-Folgenabschätzung · Anhang III · Hochrisiko-KI-System · Betreiber

„… ihres Personals und anderer Personen …, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind …“ (Art. 4 Abs. 1 in der Fassung der VO (EU) 2026/1744; keine eigene Definition in Art. 3)

Der Personenkreis, für den ein Unternehmen nach Art. 4 Maßnahmen zur KI-Kompetenz ergreift: die eigenen Beschäftigten und alle, die im Auftrag mit KI-Systemen arbeiten. Die Kommission nennt als Beispiele Auftragnehmer, Dienstleister und Kunden.

Beispiel Eine freie Texterin, die im Auftrag einer Agentur mit deren KI-Werkzeug arbeitet, gehört zum Personenkreis nach Art. 4.

Siehe KI-Kompetenz · Betreiber · Anbieter

Kein Begriff aus Art. 3. Erwägungsgrund 26: Es „sollte ein klar definierter risikobasierter Ansatz verfolgt werden“. Daraus folgt der Aufbau der Verordnung: verbotene Praktiken (Art. 5), Anforderungen an Hochrisiko-Systeme (Art. 6 und Kapitel III) und Transparenzpflichten (Art. 50).

Das Bauprinzip der KI-Verordnung: Je mehr ein KI-Einsatz Menschen schaden kann, desto strenger die Regeln. Daraus ergeben sich vier Stufen, von verboten über hoch und begrenzt bis minimal. Art. 4 gilt auf jeder Stufe.

Beispiel Ein Spamfilter hat minimales Risiko, ein Bewerber-Tool hohes, Social Scoring ist verboten.

Siehe Verbotene Praktiken · Hochrisiko-KI-System · Transparenzpflichten · KI-Verordnung

Sinngemäß: Anbieter sorgen dafür, dass Menschen erfahren, wenn sie mit einem KI-System interagieren, sofern das nicht offensichtlich ist (Abs. 1), und dass KI-erzeugte Audio-, Bild-, Video- und Textinhalte maschinenlesbar gekennzeichnet sind (Abs. 2). Betreiber von Emotionserkennung oder biometrischer Kategorisierung informieren die Betroffenen (Abs. 3). Betreiber legen offen, wenn Bild-, Ton- oder Videoinhalte Deepfakes sind, und wenn sie KI-Texte zur Information der Öffentlichkeit über Angelegenheiten von öffentlichem Interesse veröffentlichen, außer der Text wurde redaktionell kontrolliert und jemand hat die redaktionelle Verantwortung (Abs. 4).

Pflichten, KI erkennbar zu machen: Menschen sollen wissen, wann sie mit einer KI sprechen und wann ein Inhalt künstlich erzeugt ist. Art. 50 gilt seit dem 02.08.2026. Systeme, die vorher in Verkehr kamen, müssen die Kennzeichnung nach Abs. 2 bis zum 02.12.2026 erfüllen (Art. 111 Abs. 4).

Beispiel Ein Kundenservice-Chatbot auf einer Website muss erkennen lassen, dass dort eine KI antwortet. Die Pflicht trifft den Anbieter des Chatbots (Art. 50 Abs. 1).

Siehe Deepfake · Anbieter · Betreiber · Geldbuße

Sinngemäß: KI-Praktiken, deren Inverkehrbringen, Inbetriebnahme oder Verwendung Art. 5 Abs. 1 untersagt, darunter manipulative Techniken, die Ausnutzung von Schwächen, Social Scoring, das ungezielte Auslesen von Gesichtsbildern, Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen, biometrische Kategorisierung nach sensiblen Merkmalen sowie mit Ausnahmen die biometrische Echtzeit-Fernidentifizierung zur Strafverfolgung; ab dem 02.12.2026 außerdem nicht einvernehmliche sexuelle Bildinhalte bestimmbarer Personen und Darstellungen sexuellen Kindesmissbrauchs (Buchst. ba und bb).

KI-Anwendungen, die in der EU ganz verboten sind, weil sie Menschen manipulieren, bewerten oder überwachen. Die ersten Verbote gelten seit dem 02.02.2025, weitere ab dem 02.12.2026. Verstöße kosten bis zu 35 Mio. € oder 7 % des weltweiten Jahresumsatzes (Art. 99 Abs. 3).

Beispiel Eine Software, die über die Kamera die Stimmung von Beschäftigten auswertet, ist als Emotionserkennung am Arbeitsplatz verboten (Art. 5 Abs. 1 Buchst. f).

Siehe Geldbuße · Digital Omnibus · Risikobasierter Ansatz · Biometrische Identifizierung