EU AI Act & regulatorische Anforderungen an KI

Bestimmte Anwendungen sind grundsätzlich untersagt – etwa Social Scoring, manipulative oder ausnutzende KI, das ungezielte Auslesen von Gesichtsbildern sowie Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen. Unternehmen müssen prüfen, ob eingesetzte oder geplante Tools unter diese Verbote fallen, und sie andernfalls einstellen. Verstöße sind mit den höchsten Bußgeldern des EU AI Act bewehrt.

Rechtsgrundlage: Art. 5 EU AI Act (VO (EU) 2024/1689); Sanktionen: Art. 99

Anbieter und Betreiber von KI-Systemen müssen Maßnahmen ergreifen, um die KI-Kompetenz aller Personen zu entwickeln, die in ihrem Auftrag mit KI arbeiten. Seit der Änderung vom Juli 2026 stellt die Verordnung klar, dass dabei kein bestimmtes Kompetenzniveau garantiert werden muss. Die Pflicht gilt unabhängig von der Risikoklasse und betrifft Management wie Fachbereiche. Rollenbasierte Schulungen mit festgehaltenen Inhalten und Teilnahmen bleiben der beste Nachweis.

Rechtsgrundlage: Art. 4 EU AI Act, neu gefasst durch VO (EU) 2026/1744

Jedes KI-System ist einer Risikoklasse zuzuordnen – unannehmbares, hohes, begrenztes oder minimales Risiko. Aus dieser Einordnung leiten sich alle weiteren Pflichten ab, von der Dokumentation bis zur Konformitätsbewertung. Eine belastbare Klassifizierung setzt ein vollständiges KI-Inventar voraus – also zuerst Transparenz darüber, welche Systeme überhaupt im Einsatz sind.

Rechtsgrundlage: Art. 5, 6 u. 50 i. V. m. Anhang III EU AI Act

Anbieter universeller KI-Modelle (z. B. große Sprachmodelle) müssen technische Dokumentation, eine Urheberrechts-Richtlinie und eine Zusammenfassung der Trainingsdaten bereitstellen; für besonders leistungsfähige Modelle mit systemischem Risiko gelten zusätzliche Pflichten wie Modellbewertungen und Vorfallmeldungen. Auch Unternehmen, die solche Modelle nur einsetzen, sollten die Zusicherungen der Anbieter prüfen und vertraglich absichern.

Rechtsgrundlage: Art. 53–55 EU AI Act

Für Hochrisiko-Anwendungen (z. B. in Personalauswahl, Kreditwesen oder kritischer Infrastruktur) gelten umfangreiche Pflichten: Risikomanagement, Daten-Governance, technische Dokumentation, Protokollierung, menschliche Aufsicht, Robustheit und Cybersicherheit sowie eine Konformitätsbewertung mit Registrierung in der EU-Datenbank. Die EU hat die Fristen im Juli 2026 verschoben: Für Anwendungen nach Anhang III gelten die Pflichten ab dem 2. Dezember 2027, für KI in regulierten Produkten nach Anhang I ab dem 2. August 2028. Diese Anforderungen betreffen den gesamten Lebenszyklus und sollten früh vorbereitet werden, da sie organisatorische Prozesse und durchgängige Nachweise verlangen. Auch wer Hochrisiko-Systeme nur betreibt, trägt Pflichten – etwa zur menschlichen Aufsicht und bestimmungsgemäßen Nutzung.

Rechtsgrundlage: Art. 6, 8–17, 26 u. 43 i. V. m. Anhang III EU AI Act; Betreiberpflichten: Art. 26; Fristen: Art. 113 i. d. F. der VO (EU) 2026/1744

KI-generierte Inhalte, Deepfakes und Chatbots müssen klar gekennzeichnet bzw. offengelegt werden, damit Nutzer erkennen, dass sie mit oder über KI interagieren. In der Praxis braucht es dafür ein Kennzeichnungskonzept, technische Markierungen synthetischer Inhalte und klare Nutzerhinweise. Für Systeme, die schon vor dem 2. August 2026 auf dem Markt waren, gilt für die technische Kennzeichnung eine Frist bis zum 2. Dezember 2026. Die Pflicht trifft auch viele Unternehmen außerhalb des Hochrisiko-Bereichs, etwa beim Einsatz von Chatbots im Kundenservice.

Rechtsgrundlage: Art. 50 EU AI Act; Übergangsfrist: Art. 111 Abs. 4 i. d. F. der VO (EU) 2026/1744

Die Regeln der KI-Verordnung zur Marktaufsicht gelten seit August 2025. In Deutschland ist seit dem 29. Juli 2026 grundsätzlich die Bundesnetzagentur zuständig, für einzelne Bereiche andere Behörden. Meldepflichten für schwerwiegende Vorfälle und die Registrierung in der EU-Datenbank betreffen Hochrisiko-Systeme und greifen deshalb praktisch erst mit deren Pflichten ab Dezember 2027 (Anhang III) bzw. August 2028 (Anhang I). Unternehmen sollten Melde- und Eskalationswege definieren und die nötigen Nachweise jederzeit vorhalten.

Rechtsgrundlage: Art. 6, 49, 70, 73 u. 113 EU AI Act i. d. F. der VO (EU) 2026/1744; § 2 KI-MIG