KI-Gesetz der EU 2026: Was Sich Ändert und Was Sie Wissen Müssen

Mit dem Inkrafttreten des EU-KI-Gesetzes (AI Act) beginnt eine neue Ära der Regulierung künstlicher Intelligenz in Europa. Als weltweit erste umfassende KI-Verordnung setzt die Europäische Union globale Maßstäbe für den verantwortungsvollen Einsatz von KI-Systemen. Doch was bedeutet das konkret für Unternehmen, Entwickler und Bürger in Deutschland? In diesem Leitfaden erklären wir Ihnen alle wesentlichen Änderungen, die neuen Pflichten und die praktischen Auswirkungen des KI-Gesetzes der EU.

Was ist das KI-Gesetz der EU?

Das KI-Gesetz der EU (offiziell: Verordnung (EU) 2024/1689) ist die erste umfassende Rechtsvorschrift weltweit, die den Einsatz künstlicher Intelligenz nach einem risikobasierten Ansatz reguliert. Es wurde am 13. Juni 2024 verabschiedet und trat am 1. August 2024 in Kraft, wobei die verschiedenen Bestimmungen gestaffelt bis 2027 anwendbar werden.

Das Ziel: Ein einheitlicher Rechtsrahmen, der Innovation fördert und gleichzeitig Grundrechte, Sicherheit und demokratische Werte schützt. Die Verordnung gilt direkt in allen EU-Mitgliedstaaten – ohne dass eine Umsetzung in nationales Recht erforderlich ist.

Wer ist vom KI-Gesetz betroffen?

Das KI-Gesetz betrifft eine breite Gruppe von Akteuren:

Anbieter von KI-Systemen, die in der EU auf den Markt gebracht oder in Betrieb genommen werden
Betreiber (Nutzer) von KI-Systemen mit Sitz in der EU
Importeure und Händler von KI-Systemen
Hersteller von Produkten, die KI-Systeme integrieren
Drittstaatliche Anbieter, deren KI-Ausgaben in der EU verwendet werden

Der risikobasierte Ansatz: Die vier Risikoklassen

Das Herzstück des KI-Gesetzes ist die Klassifizierung von KI-Systemen nach ihrem Risikopotenzial. Je höher das Risiko, desto strenger die Anforderungen.

Risikoklasse	Beispiele	Regulierung
Unannehmbares Risiko	Social Scoring, manipulative Systeme, biometrische Massenüberwachung	Verboten
Hohes Risiko	KI in Personalauswahl, Kreditvergabe, Medizin, kritischer Infrastruktur	Strenge Auflagen
Begrenztes Risiko	Chatbots, Deepfakes, Emotionserkennung	Transparenzpflichten
Minimales Risiko	Spamfilter, KI in Videospielen	Keine besonderen Pflichten

Verbotene KI-Praktiken

Seit dem 2. Februar 2025 sind bestimmte KI-Anwendungen in der EU vollständig verboten. Dazu gehören:

Social Scoring durch staatliche Stellen – Bewertung von Personen anhand ihres Sozialverhaltens
Manipulative Systeme, die unterschwellig das Verhalten von Personen beeinflussen
Ausnutzung von Schwachstellen aufgrund von Alter, Behinderung oder sozialer Lage
Biometrische Kategorisierung nach sensiblen Merkmalen wie Ethnie oder politischer Einstellung
Ungezieltes Scraping von Gesichtsbildern aus dem Internet zur Erstellung von Datenbanken
Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen
Predictive Policing allein auf Basis von Profiling
Biometrische Echtzeit-Fernidentifikation im öffentlichen Raum (mit engen Ausnahmen)

Hochrisiko-KI-Systeme: Die strengsten Regeln

Hochrisiko-Systeme unterliegen umfangreichen Anforderungen. Sie betreffen Bereiche, in denen KI-Entscheidungen erhebliche Auswirkungen auf Menschen haben können.

Welche Systeme gelten als hochriskant?

Anhang III des KI-Gesetzes listet acht Bereiche mit Hochrisiko-Anwendungen auf:

Biometrische Systeme (soweit nicht verboten)
Kritische Infrastruktur (Verkehr, Wasser, Strom)
Allgemeine und berufliche Bildung
Beschäftigung, Personalmanagement, Zugang zu Selbstständigkeit
Zugang zu wesentlichen privaten und öffentlichen Diensten (z. B. Kreditwürdigkeit)
Strafverfolgung
Migrations-, Asyl- und Grenzkontrollmanagement
Rechtspflege und demokratische Prozesse

Pflichten für Anbieter von Hochrisiko-Systemen

Anbieter müssen umfangreiche Anforderungen erfüllen, bevor ein Hochrisiko-KI-System in Verkehr gebracht werden darf:

Risikomanagementsystem über den gesamten Lebenszyklus
Daten-Governance mit qualitätsgeprüften Trainings-, Validierungs- und Testdaten
Technische Dokumentation gemäß Anhang IV
Protokollierung zur Nachvollziehbarkeit von Ereignissen
Transparenz und Bereitstellung von Informationen für Betreiber
Menschliche Aufsicht muss möglich sein
Genauigkeit, Robustheit und Cybersicherheit gewährleisten
Konformitätsbewertung vor der Markteinführung
CE-Kennzeichnung und Registrierung in der EU-Datenbank

Transparenzpflichten für begrenzte Risiken

Für KI-Systeme mit begrenztem Risiko gelten Transparenzpflichten. Nutzer sollen erkennen können, wann sie mit KI interagieren.

Konkrete Kennzeichnungspflichten

Chatbots: Nutzer müssen darüber informiert werden, dass sie mit einer KI kommunizieren
Deepfakes: KI-generierte oder manipulierte Inhalte müssen als solche gekennzeichnet werden
KI-generierte Texte zu Angelegenheiten von öffentlichem Interesse: Kennzeichnungspflicht
Emotionserkennungssysteme: Betroffene müssen über die Verarbeitung informiert werden
Biometrische Kategorisierung: Transparenz gegenüber den betroffenen Personen

Regeln für General-Purpose AI (GPAI)

Ein besonderer Fokus liegt auf universellen KI-Modellen wie GPT-4, Gemini oder Claude. Das KI-Gesetz führt eine eigene Kategorie für sogenannte General-Purpose AI (GPAI) ein.

Standard-GPAI-Modelle

Anbieter von GPAI-Modellen müssen unter anderem:

Eine detaillierte technische Dokumentation erstellen
Informationen für nachgelagerte Anbieter bereitstellen
Eine Strategie zur Einhaltung des EU-Urheberrechts implementieren
Eine Zusammenfassung der Trainingsdaten veröffentlichen

GPAI mit systemischem Risiko

Modelle, die mit einer Rechenleistung von mehr als 10^25 FLOPs trainiert wurden (aktuell nur die größten Foundation-Modelle), unterliegen zusätzlichen Pflichten:

Modellevaluierungen einschließlich Adversarial Testing
Bewertung und Minderung systemischer Risiken
Meldung schwerwiegender Vorfälle an das AI Office
Angemessene Cybersicherheitsmaßnahmen

Zeitplan: Wann gilt was?

Das KI-Gesetz tritt in mehreren Stufen in Kraft. Diese Staffelung soll Unternehmen und Behörden Zeit zur Anpassung geben.

Datum	Was tritt in Kraft
1. August 2024	Verordnung tritt in Kraft
2. Februar 2025	Verbotene KI-Praktiken, KI-Kompetenzpflicht
2. August 2025	Regeln für GPAI, Governance-Struktur, Sanktionen
2. August 2026	Vollständige Anwendung (Hochrisiko-Systeme nach Anhang III)
2. August 2027	Hochrisiko-Systeme in regulierten Produkten (Anhang I)

Bußgelder und Sanktionen

Die Strafen bei Verstößen gegen das KI-Gesetz sind erheblich und übertreffen in bestimmten Fällen sogar die der DSGVO.

Verbotene KI-Praktiken: bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes
Verstoß gegen Pflichten für Hochrisiko-Systeme: bis zu 15 Millionen Euro oder 3 % des Umsatzes
Falsche Angaben gegenüber Behörden: bis zu 7,5 Millionen Euro oder 1 % des Umsatzes

Für KMU und Start-ups gelten reduzierte Höchstbeträge. Die konkrete Bußgeldbemessung berücksichtigt Schwere, Dauer und Vorsätzlichkeit des Verstoßes.

Bedeutung für Unternehmen in Deutschland

Deutsche Unternehmen stehen vor umfangreichen Anpassungen. Der BfDI und die Datenschutzbehörden der Länder werden voraussichtlich zentrale Rollen bei der Aufsicht übernehmen. Zusätzlich wird eine nationale KI-Aufsichtsbehörde etabliert.

Praktische Schritte zur Vorbereitung

KI-Inventar erstellen: Welche KI-Systeme werden im Unternehmen eingesetzt oder entwickelt?
Risikoklassifizierung: In welche Risikoklasse fällt jedes System?
Gap-Analyse: Welche Anforderungen werden bereits erfüllt, wo besteht Handlungsbedarf?
KI-Kompetenz aufbauen: Seit Februar 2025 verpflichtend – Mitarbeiter müssen ausreichende KI-Kenntnisse haben
Dokumentation etablieren: Prozesse zur laufenden Dokumentation einführen
Governance-Strukturen: Verantwortlichkeiten klar zuweisen
Verträge anpassen: Mit KI-Anbietern und Kunden

Zusammenspiel mit der DSGVO

Das KI-Gesetz ergänzt die DSGVO, ersetzt sie aber nicht. Wenn KI-Systeme personenbezogene Daten verarbeiten, müssen beide Regelwerke gleichzeitig eingehalten werden. Vertiefende Informationen finden Sie in unserem Artikel KI und Datenschutz 2026: Was Sich Ändert und Wie Sie Sich Schützen.

Auswirkungen auf Bürgerinnen und Bürger

Für Privatpersonen bringt das KI-Gesetz erhebliche neue Rechte:

Recht auf Erklärung: Bei Entscheidungen durch Hochrisiko-KI besteht ein Anspruch auf klare Erläuterung
Beschwerderecht: Bei den nationalen Marktüberwachungsbehörden
Transparenz: Klare Kennzeichnung von KI-Interaktionen und -Inhalten
Schutz vor manipulativen Systemen: Verbot bestimmter Praktiken
Menschliche Aufsicht: Kritische Entscheidungen dürfen nicht allein von KI getroffen werden

Auch beim täglichen Umgang mit Online-Diensten sollten Sie Ihre digitale Privatsphäre aktiv schützen. Datenschutzfreundliche Tools wie der URL-Kürzer von Lunyb helfen dabei, Links zu teilen, ohne unnötige Tracking-Daten preiszugeben – eine sinnvolle Ergänzung zu den regulatorischen Schutzmaßnahmen des KI-Gesetzes.

Die neue Governance-Struktur

Zur Durchsetzung des KI-Gesetzes wird eine mehrstufige Aufsichtsstruktur etabliert:

Europäische Ebene

AI Office (Europäisches Amt für Künstliche Intelligenz): Zuständig für GPAI-Modelle
Europäischer Ausschuss für KI: Koordinierung der nationalen Behörden
Wissenschaftliches Gremium: Unabhängige Experten beraten das AI Office
Beratungsforum: Vertreter aus Industrie, Zivilgesellschaft und Wissenschaft

Nationale Ebene in Deutschland

Deutschland muss bis August 2025 nationale Aufsichtsbehörden benennen. Diskutiert werden verschiedene Modelle, unter anderem eine zentrale Rolle für die Bundesnetzagentur, die Zusammenarbeit mit dem BfDI sowie sektorspezifische Behörden für Bereiche wie Medizin oder Finanzen.

Kritik und offene Fragen

Das KI-Gesetz ist nicht ohne Kritik. Verschiedene Stakeholder äußern Bedenken:

Innovationshemmnis: Insbesondere Start-ups befürchten unverhältnismäßige Compliance-Kosten
Rechtsunsicherheit: Viele Detailfragen sollen erst durch delegierte Rechtsakte und Leitlinien geklärt werden
Extraterritorialität: Auch Nicht-EU-Anbieter sind betroffen, was internationale Spannungen erzeugen kann
Grundrechtsschutz: NGOs bemängeln Ausnahmen für Strafverfolgung und Migration
Umsetzungsaufwand: Sowohl für Behörden als auch Unternehmen enorm

Ausblick: Was Sie jetzt tun sollten

Das KI-Gesetz der EU ist keine ferne Zukunftsvision, sondern bereits Realität. Wer jetzt handelt, verschafft sich einen Wettbewerbsvorteil. Die wichtigsten Schritte im Überblick:

Verschaffen Sie sich einen Überblick über eingesetzte KI-Systeme
Bewerten Sie die Risikoklassen Ihrer Anwendungen
Investieren Sie in KI-Kompetenz Ihrer Mitarbeiter
Etablieren Sie Compliance-Prozesse
Beobachten Sie fortlaufend die Entwicklung von Leitlinien und harmonisierten Normen
Beteiligen Sie sich an Branchenverbänden und Standardisierungsprozessen

Häufig gestellte Fragen (FAQ)

Gilt das KI-Gesetz auch für Unternehmen außerhalb der EU?

Ja. Das KI-Gesetz hat einen extraterritorialen Anwendungsbereich. Es gilt für alle Anbieter, die KI-Systeme in der EU auf den Markt bringen oder deren Ausgaben in der EU verwendet werden – unabhängig vom Sitz des Unternehmens. Auch US-amerikanische oder asiatische Anbieter müssen sich an die Vorgaben halten, wenn ihre Systeme in der EU eingesetzt werden.

Was ist der Unterschied zwischen KI-Gesetz und DSGVO?

Die DSGVO regelt die Verarbeitung personenbezogener Daten, während das KI-Gesetz den Einsatz von KI-Systemen unabhängig davon reguliert, ob personenbezogene Daten involviert sind. Beide Regelwerke ergänzen sich: Verarbeitet ein KI-System personenbezogene Daten, gelten beide Gesetze parallel. Zuständig für die DSGVO sind die Datenschutzbehörden, für das KI-Gesetz werden separate Marktüberwachungsbehörden etabliert.

Muss ich als kleines Unternehmen das KI-Gesetz beachten?

Grundsätzlich ja, allerdings sieht das KI-Gesetz Erleichterungen für KMU und Start-ups vor. Dazu gehören reduzierte Bußgelder, vereinfachte Dokumentationsanforderungen und der Zugang zu regulatorischen Sandboxes, in denen KI-Systeme unter behördlicher Aufsicht getestet werden können. Die konkreten Pflichten hängen davon ab, welche KI-Systeme Sie einsetzen und in welche Risikoklasse diese fallen.

Was bedeutet die KI-Kompetenzpflicht seit Februar 2025?

Seit dem 2. Februar 2025 müssen Anbieter und Betreiber von KI-Systemen sicherstellen, dass ihre Mitarbeiter über ausreichende KI-Kenntnisse verfügen. Der Umfang richtet sich nach dem technischen Kontext, den betroffenen Personengruppen und dem eingesetzten System. Empfohlen werden dokumentierte Schulungsprogramme, die sowohl technische Grundlagen als auch rechtliche und ethische Aspekte abdecken.

Wie kann ich mich als Bürger über den Einsatz von KI beschweren?

Sobald die nationale Aufsichtsbehörde benannt ist, können Sie sich dort über vermeintliche Verstöße gegen das KI-Gesetz beschweren. Zusätzlich haben Sie bei Hochrisiko-Systemen ein Recht auf Erklärung individueller Entscheidungen. Bei Datenschutzverletzungen im KI-Kontext bleibt der BfDI beziehungsweise die zuständige Landesdatenschutzbehörde Ihre Ansprechpartner. Weitere Informationen zum praktischen Datenschutz im Alltag finden Sie in unserem Leitfaden Öffentliches WLAN: Ist es Sicher?.