KI-Gesetz der EU: Was Sich 2026 Ändert (Kompletter Leitfaden)

Das KI-Gesetz der EU (Artificial Intelligence Act, kurz AI Act) ist das weltweit erste umfassende Regelwerk für Künstliche Intelligenz. Am 1. August 2024 in Kraft getreten, entfaltet es seine wichtigsten Wirkungen schrittweise bis 2027. Für Unternehmen, Entwickler und Bürger in Deutschland bedeutet das: gravierende Änderungen bei Entwicklung, Einsatz und Nutzung von KI-Systemen. Dieser Leitfaden erklärt, was sich konkret ändert, welche Fristen gelten und wie Sie sich vorbereiten.

Was ist das KI-Gesetz der EU?

Das KI-Gesetz der EU (Verordnung 2024/1689) ist ein horizontaler Rechtsrahmen, der KI-Systeme nach ihrem Risiko für Gesundheit, Sicherheit und Grundrechte klassifiziert und entsprechende Pflichten festlegt. Es gilt unmittelbar in allen EU-Mitgliedstaaten und ergänzt bestehende Regelwerke wie die DSGVO.

Ziel des Gesetzes ist ein Gleichgewicht zwischen Innovationsförderung und dem Schutz europäischer Werte. Anders als sektorale Regelungen erfasst es KI-Systeme unabhängig von der Branche – von medizinischer Diagnostik über HR-Software bis zu Chatbots im Kundenservice.

Für wen gilt das KI-Gesetz?

Anbieter von KI-Systemen, die in der EU auf den Markt gebracht werden
Betreiber (Nutzer) von KI-Systemen mit Sitz in der EU
Importeure und Händler von KI-Systemen
Anbieter außerhalb der EU, deren KI-Output in der EU verwendet wird

Das Marktortprinzip greift analog zur DSGVO: Auch ein US-Unternehmen unterliegt dem Gesetz, wenn sein KI-System EU-Bürger betrifft.

Die vier Risikoklassen des KI-Gesetzes

Das Herzstück des KI-Gesetzes ist ein risikobasierter Ansatz mit vier Kategorien. Je höher das Risiko, desto strenger die Pflichten.

Risikoklasse	Beispiele	Regulierung
Unannehmbares Risiko	Social Scoring, manipulative KI, biometrische Massenüberwachung	Verboten
Hohes Risiko	KI in Medizin, Personalwesen, Bildung, Strafverfolgung	Strenge Auflagen
Begrenztes Risiko	Chatbots, Deepfakes, emotionserkennende Systeme	Transparenzpflichten
Minimales Risiko	Spamfilter, KI in Videospielen	Keine Pflichten

Verbotene KI-Praktiken

Seit dem 2. Februar 2025 sind bestimmte KI-Anwendungen in der EU vollständig untersagt. Dazu gehören:

Social Scoring durch Behörden, das Bürger nach Verhalten oder Persönlichkeitsmerkmalen bewertet
Manipulative Techniken, die Menschen unterbewusst zu schädlichem Verhalten bewegen
Ausnutzung von Schutzbedürftigkeit aufgrund von Alter, Behinderung oder sozialer Lage
Biometrische Kategorisierung nach sensiblen Merkmalen wie Religion oder sexueller Orientierung
Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen (mit engen Ausnahmen)
Ungezielte Gesichtsbildersammlung aus dem Internet oder Überwachungskameras
Predictive Policing allein auf Basis von Profiling

Hochrisiko-KI: Die strengsten Auflagen

Hochrisiko-Systeme sind das Herzstück der Regulierung. Sie erfordern umfangreiche Compliance-Maßnahmen vor dem Marktzugang. Typische Anwendungsbereiche:

Kritische Infrastruktur (Verkehr, Energie, Wasser)
Bildung und Berufsausbildung (Prüfungsbewertung, Zulassung)
Beschäftigung (Bewerberauswahl, Leistungsbewertung)
Wesentliche Dienste (Kreditwürdigkeitsprüfung, Sozialleistungen)
Strafverfolgung und Migrationskontrolle
Justiz und demokratische Prozesse
Medizinprodukte und Sicherheitskomponenten

Pflichten für Anbieter von Hochrisiko-KI

Wer Hochrisiko-KI entwickelt oder in Verkehr bringt, muss umfangreiche Anforderungen erfüllen. Diese ähneln in ihrer Struktur der Medizinprodukteverordnung.

Die zehn Kernpflichten im Überblick

Risikomanagementsystem über den gesamten Lebenszyklus
Data Governance: Qualitätskriterien für Trainings-, Validierungs- und Testdaten
Technische Dokumentation gemäß Anhang IV der Verordnung
Automatische Protokollierung (Logging) von Ereignissen
Transparenz gegenüber Betreibern durch verständliche Gebrauchsanweisungen
Menschliche Aufsicht muss technisch ermöglicht werden
Genauigkeit, Robustheit und Cybersicherheit auf angemessenem Niveau
Qualitätsmanagementsystem analog ISO-Standards
Konformitätsbewertung vor Marktzugang (CE-Kennzeichnung)
Registrierung in der EU-Datenbank für Hochrisiko-KI

Pflichten für Betreiber

Auch Unternehmen, die Hochrisiko-KI nur einsetzen (nicht selbst entwickeln), tragen Verantwortung. Sie müssen die Gebrauchsanweisung befolgen, menschliche Aufsicht sicherstellen, Input-Daten kontrollieren und den Betrieb überwachen. Bei Arbeitgeber-Einsätzen sind zudem Beschäftigte und Betriebsrat vorab zu informieren.

Regeln für General Purpose AI (GPAI)

Systeme wie GPT, Claude oder Gemini fallen unter die Kategorie "KI-Modelle mit allgemeinem Verwendungszweck". Für sie gelten seit dem 2. August 2025 spezielle Regeln.

Basispflichten für alle GPAI-Modelle

Technische Dokumentation für Behörden
Informationsbereitstellung für nachgelagerte Anbieter
Einhaltung des EU-Urheberrechts inklusive Text- und Data-Mining-Vorbehalten
Öffentlich zugängliche Zusammenfassung der Trainingsdaten

Zusätzliche Pflichten bei systemischem Risiko

Modelle mit besonders hoher Leistungsfähigkeit (Rechenaufwand über 10²⁵ FLOPs) gelten als systemisch riskant. Sie müssen zusätzlich Modellevaluierungen durchführen, systemische Risiken bewerten und mindern, schwerwiegende Vorfälle melden und ein hohes Cybersicherheitsniveau sicherstellen.

Transparenzpflichten für begrenztes Risiko

Für KI-Systeme mit begrenztem Risiko gelten Informationspflichten, die Nutzer schützen sollen. Diese greifen ab dem 2. August 2026.

Chatbots: Nutzer müssen erkennen können, dass sie mit einer KI interagieren
Deepfakes: KI-generierte oder manipulierte Bilder, Videos und Tonaufnahmen sind als solche zu kennzeichnen
Emotionserkennung und biometrische Kategorisierung: Betroffene sind zu informieren
Synthetische Inhalte: Anbieter müssen technische Kennzeichnung (Wasserzeichen) ermöglichen

Diese Transparenzpflichten sind besonders relevant für den Kampf gegen Desinformation. In Kombination mit anderen Betrugsmaschen wie Quishing und QR-Code-Betrug zeigt sich, dass digitale Aufmerksamkeit wichtiger denn je wird.

Zeitplan: Wann gilt was?

Das KI-Gesetz tritt in Etappen in Kraft. Hier die wichtigsten Fristen im Überblick:

Datum	Was tritt in Kraft
1. August 2024	Verordnung tritt formell in Kraft
2. Februar 2025	Verbotene Praktiken, KI-Kompetenzpflicht
2. August 2025	GPAI-Regeln, Governance-Struktur, Sanktionen
2. August 2026	Hauptteil der Verordnung (Hochrisiko-KI, Transparenz)
2. August 2027	Hochrisiko-KI in regulierten Produkten (z.B. Medizin)

Bußgelder und Sanktionen

Das KI-Gesetz sieht empfindliche Strafen vor, die die DSGVO-Bußgelder teilweise übertreffen. Die Höhe richtet sich nach Schwere und Umsatz des Unternehmens.

Bis zu 35 Mio. Euro oder 7% des weltweiten Jahresumsatzes: bei Verstößen gegen verbotene Praktiken
Bis zu 15 Mio. Euro oder 3%: bei Verstößen gegen sonstige Pflichten
Bis zu 7,5 Mio. Euro oder 1%: bei falschen oder irreführenden Angaben gegenüber Behörden

KMU und Start-ups profitieren von reduzierten Beträgen. In Deutschland wird die Bundesnetzagentur voraussichtlich die zentrale Aufsichtsbehörde. Die Aufgabenverteilung ist im nationalen Durchführungsgesetz noch teilweise offen; auch der BfDI hat Zuständigkeiten für datenschutzrelevante KI-Anwendungen.

KI-Kompetenzpflicht: Der oft übersehene Punkt

Seit dem 2. Februar 2025 gilt Artikel 4 der Verordnung: Anbieter und Betreiber müssen sicherstellen, dass ihre Mitarbeiter, die mit KI-Systemen arbeiten, über ausreichende KI-Kompetenz verfügen. Diese Pflicht gilt für alle Risikoklassen – nicht nur für Hochrisiko-Anwendungen.

Konkret bedeutet das: Unternehmen müssen Schulungsprogramme etablieren, die Fähigkeiten, Wissen und Verständnis vermitteln. Der Umfang orientiert sich am Kontext und den betroffenen Personengruppen. Eine Marketing-Agentur, die ChatGPT nutzt, hat andere Anforderungen als ein Krankenhaus mit KI-basierter Diagnostik.

Verhältnis zu DSGVO und anderen Gesetzen

Das KI-Gesetz ersetzt die DSGVO nicht, sondern ergänzt sie. Wer personenbezogene Daten in KI-Systemen verarbeitet, muss beide Regelwerke einhalten. Für Schweizer Unternehmen mit EU-Bezug kommt zusätzlich das revidierte Schweizer Datenschutzgesetz (DSG) ins Spiel.

Wichtige Schnittstellen

DSGVO: Rechtsgrundlage, Betroffenenrechte, Datenschutz-Folgenabschätzung
Datenschutzgesetz (BDSG): Beschäftigtendatenschutz, nationale Öffnungsklauseln
Digital Services Act: Plattformregulierung bei KI-basierter Moderation
Produkthaftungsrichtlinie: Haftung für Schäden durch KI
KI-Haftungsrichtlinie: Erleichterte Beweislast bei KI-Schäden

Praktische Vorbereitung: Ein 7-Schritte-Plan

Unternehmen sollten jetzt handeln, um bis August 2026 vollständig konform zu sein. Der folgende Fahrplan hilft bei der systematischen Umsetzung:

KI-Inventar erstellen: Alle eingesetzten und geplanten KI-Systeme erfassen
Risikoklassifizierung: Jedes System nach den vier Klassen einordnen
Gap-Analyse: Aktuelle Compliance mit den Anforderungen abgleichen
KI-Governance etablieren: Verantwortlichkeiten, Prozesse, Dokumentation
Schulungsprogramm: KI-Kompetenz gemäß Artikel 4 aufbauen
Lieferantenmanagement: Verträge mit KI-Anbietern anpassen
Monitoring und Audit: Kontinuierliche Überwachung sicherstellen

Was das KI-Gesetz für Bürger bedeutet

Für Endverbraucher bringt das KI-Gesetz mehr Kontrolle und Transparenz. Sie haben das Recht, zu erfahren, wenn KI-Entscheidungen sie betreffen – etwa bei einer Kreditablehnung oder Bewerbung. Bei Hochrisiko-Anwendungen können Betroffene Erklärungen der Entscheidungslogik verlangen.

Gleichzeitig sollten Bürger ihre digitale Souveränität aktiv gestalten. Der bewusste Umgang mit persönlichen Daten bleibt zentral – etwa durch verschlüsselte Speicherung sensibler Fotos, sichere Nutzung öffentlicher WLAN-Netze und den Einsatz vertrauenswürdiger Tools. Wer Links teilt oder empfängt, profitiert von transparenten Diensten wie Lunyb, die datenschutzfreundliche URL-Kürzung ohne Tracking anbieten – ein wichtiger Baustein digitaler Selbstbestimmung im KI-Zeitalter.

Kritik und offene Fragen

Das KI-Gesetz ist nicht unumstritten. Kritiker aus der Wirtschaft warnen vor Innovationshemmnissen, während Bürgerrechtsorganisationen wie Netzpolitik.org die zu weit gefassten Ausnahmen für Strafverfolgungsbehörden bemängeln. Weitere Streitpunkte:

Rechtsunsicherheit: Viele Begriffe (z.B. "systemisches Risiko") sind unbestimmt
Bürokratielast für KMU und Start-ups
Extraterritoriale Wirkung kann Konflikte mit US-Recht auslösen
Enforcement: Behörden müssen technische Expertise erst aufbauen
Verhältnis zu Open-Source-Modellen bleibt teilweise unklar

Die EU-Kommission hat angekündigt, Durchführungsrechtsakte und Leitlinien schrittweise nachzuliefern. Der Code of Practice für GPAI, an dem auch Google und OpenAI mitwirken, soll Rechtssicherheit schaffen.

Fazit: Handeln statt Abwarten

Das KI-Gesetz der EU markiert einen Paradigmenwechsel: Von einer weitgehend unregulierten Technologie hin zu einem strukturierten Rahmen mit klaren Regeln. Die Übergangsfristen mögen großzügig erscheinen, aber die Komplexität der Umsetzung – insbesondere bei Hochrisiko-Systemen – erfordert frühzeitige Vorbereitung.

Unternehmen sollten das KI-Gesetz nicht als reine Compliance-Aufgabe verstehen, sondern als Chance, vertrauenswürdige KI-Systeme zu entwickeln. Wer bereits jetzt Governance-Strukturen aufbaut und Mitarbeiter schult, verschafft sich einen Wettbewerbsvorteil. Für Bürger bringt das Gesetz mehr Transparenz und Rechte – aber auch die Verantwortung, sich informiert und selbstbestimmt in der digitalen Welt zu bewegen.

Häufig gestellte Fragen (FAQ)

Gilt das KI-Gesetz auch für Unternehmen außerhalb der EU?

Ja. Ähnlich wie die DSGVO folgt das KI-Gesetz dem Marktortprinzip. Sobald ein KI-System in der EU auf den Markt gebracht wird oder sein Output EU-Bürger betrifft, gilt die Verordnung – unabhängig vom Firmensitz des Anbieters.

Muss ich als kleines Unternehmen alle Pflichten erfüllen?

Grundsätzlich ja, aber das Gesetz enthält Erleichterungen für KMU und Start-ups. Bußgelder sind gedeckelt, es gibt vereinfachte Dokumentationspflichten und regulatorische Sandboxes zum risikoarmen Testen. Die KI-Kompetenzpflicht nach Artikel 4 gilt jedoch für alle.

Was ist der Unterschied zwischen Anbieter und Betreiber?

Ein Anbieter entwickelt ein KI-System oder bringt es unter eigenem Namen auf den Markt. Ein Betreiber (früher: Nutzer) setzt ein KI-System in beruflicher Tätigkeit ein. Beide haben unterschiedliche, aber sich ergänzende Pflichten. Ein Unternehmen kann für ein System Anbieter und für ein anderes Betreiber sein.

Wie erkenne ich, ob mein KI-System als "Hochrisiko" gilt?

Hochrisiko-Systeme sind in Anhang III der Verordnung aufgelistet. Sie umfassen acht Bereiche wie Beschäftigung, Bildung, kritische Infrastruktur oder Strafverfolgung. Zusätzlich gelten KI-Systeme, die als Sicherheitskomponente bereits regulierter Produkte (z.B. Medizinprodukte) dienen, als hochrisikoreich.

Wer überwacht die Einhaltung des KI-Gesetzes in Deutschland?

Auf EU-Ebene koordiniert das neu geschaffene AI Office. In Deutschland wird voraussichtlich die Bundesnetzagentur als zentrale Marktüberwachungsbehörde fungieren, ergänzt durch sektorale Aufsichtsbehörden. Der BfDI bleibt zuständig, soweit datenschutzrechtliche Aspekte betroffen sind. Das nationale Durchführungsgesetz konkretisiert die Zuständigkeiten.

Weiterführende Ressourcen zum Thema Datenschutz und sichere digitale Tools finden Sie in unserem Vergleich datenschutzfreundlicher URL-Kürzer.