KI-Gesetz der EU: Was Sich Ändert (Leitfaden 2026)

Mit dem KI-Gesetz der EU (offiziell: Verordnung (EU) 2024/1689, englisch AI Act) tritt weltweit die erste umfassende Regulierung künstlicher Intelligenz in Kraft. Für Unternehmen, Behörden und Verbraucher in Deutschland bedeutet das erhebliche Änderungen – von neuen Transparenzpflichten bis zu Bußgeldern von bis zu 35 Millionen Euro. Dieser Leitfaden erklärt strukturiert, was das Gesetz konkret regelt, welche Fristen gelten und wie Sie sich vorbereiten.

Was ist das KI-Gesetz der EU?

Das KI-Gesetz der EU ist eine Verordnung, die den Einsatz von Systemen der künstlichen Intelligenz im europäischen Binnenmarkt reguliert. Sie verfolgt einen risikobasierten Ansatz: Je höher das Risiko eines KI-Systems für Grundrechte, Sicherheit oder Gesundheit, desto strenger die Anforderungen.

Die Verordnung wurde am 13. März 2024 vom Europäischen Parlament verabschiedet und am 1. August 2024 in Kraft gesetzt. Sie gilt unmittelbar in allen EU-Mitgliedstaaten – ein nationales Umsetzungsgesetz ist nicht erforderlich, wohl aber begleitende Regelungen in Deutschland, etwa zur Marktaufsicht durch die Bundesnetzagentur und den BfDI.

Ziele des KI-Gesetzes

• Schutz von Grundrechten und Sicherheit europäischer Bürger
• Rechtssicherheit für Anbieter und Nutzer von KI
• Förderung vertrauenswürdiger KI "Made in Europe"
• Harmonisierung des Binnenmarktes für KI-Produkte
• Verhinderung diskriminierender oder manipulativer Systeme

Die vier Risikoklassen im Überblick

Das KI-Gesetz teilt KI-Systeme in vier Kategorien ein. Die Einordnung entscheidet über Pflichten, Verbote und Kontrollen.

Risikoklasse	Beispiele	Rechtsfolge
Unannehmbares Risiko	Social Scoring, manipulative Systeme, biometrische Massenüberwachung	Verboten
Hohes Risiko	KI in Personalauswahl, Kreditvergabe, Medizinprodukten, kritischer Infrastruktur	Strenge Auflagen, Konformitätsbewertung
Begrenztes Risiko	Chatbots, Deepfakes, generative KI-Inhalte	Transparenz- und Kennzeichnungspflicht
Minimales Risiko	Spam-Filter, KI in Videospielen, Empfehlungssysteme	Keine spezifischen Pflichten

Verbotene Praktiken ab Februar 2025

Seit dem 2. Februar 2025 sind bestimmte KI-Anwendungen in der EU vollständig untersagt. Dazu zählen:

1. Social-Scoring-Systeme durch Behörden oder Unternehmen
2. KI zur emotionalen Manipulation vulnerabler Gruppen (Kinder, Menschen mit Behinderung)
3. Biometrische Echtzeit-Fernidentifizierung im öffentlichen Raum (mit engen Ausnahmen für Strafverfolgung)
4. Ungezielte Auswertung von Gesichtsbildern aus dem Internet zum Aufbau von Datenbanken
5. Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen
6. Predictive Policing rein auf Basis von Profiling

Zeitplan: Wann gilt was?

Das KI-Gesetz tritt gestaffelt in Kraft. Unternehmen sollten diese Fristen kennen, um rechtzeitig Compliance-Maßnahmen umzusetzen.

Datum	Was gilt?
1. August 2024	Inkrafttreten der Verordnung
2. Februar 2025	Verbotene Praktiken und KI-Kompetenzpflichten für Personal
2. August 2025	Pflichten für General-Purpose-AI-Modelle (z.B. GPT, Claude, Gemini), Governance-Strukturen, Sanktionen
2. August 2026	Hauptteil der Verordnung: Pflichten für Hochrisiko-Systeme (Anhang III)
2. August 2027	Hochrisiko-Systeme in regulierten Produkten (Anhang I), z.B. Medizinprodukte, Spielzeug

Pflichten für Unternehmen bei Hochrisiko-KI

Wer Hochrisiko-KI entwickelt, importiert oder einsetzt, unterliegt umfassenden Pflichten. Die zentralen Anforderungen im Überblick:

1. Risikomanagementsystem

Anbieter müssen ein kontinuierliches Risikomanagementsystem einrichten, das über den gesamten Lebenszyklus des KI-Systems läuft. Risiken müssen identifiziert, bewertet und minimiert werden.

2. Datenqualität und Data Governance

Trainings-, Validierungs- und Testdatensätze müssen relevant, repräsentativ, fehlerfrei und vollständig sein. Verzerrungen (Bias) müssen aktiv erkannt und behoben werden.

3. Technische Dokumentation

Vor Inverkehrbringen ist eine ausführliche technische Dokumentation zu erstellen, die den Aufbau, die Funktionsweise und die Konformität des Systems belegt.

4. Protokollierung

Hochrisiko-KI muss Ereignisse automatisch protokollieren, um Nachvollziehbarkeit und nachträgliche Prüfung zu ermöglichen.

5. Transparenz gegenüber Nutzern

Betreiber müssen klare Anweisungen erhalten, die die Fähigkeiten, Grenzen und den bestimmungsgemäßen Gebrauch des Systems erläutern.

6. Menschliche Aufsicht

Systeme müssen so gestaltet sein, dass sie effektiv von Menschen überwacht werden können – inklusive Möglichkeit zur Intervention und Notabschaltung.

7. Genauigkeit, Robustheit und Cybersicherheit

Anbieter müssen ein angemessenes Niveau an Genauigkeit und Widerstandsfähigkeit gegen Fehler, Störungen und Angriffe sicherstellen.

Regeln für generative KI und Large Language Models

Große Basismodelle wie GPT-4, Claude oder Gemini werden als "General-Purpose AI" (GPAI) reguliert. Seit August 2025 gelten spezifische Pflichten:

• Technische Dokumentation zu Training, Architektur und Evaluierungsergebnissen
• Transparenz über Trainingsdaten, insbesondere zu urheberrechtlich geschützten Inhalten
• Einhaltung des EU-Urheberrechts, inklusive Respekt gegenüber Text- und Data-Mining-Vorbehalten
• Kennzeichnung KI-generierter Inhalte (Deepfakes, synthetische Bilder, Audio, Video)
• Zusätzliche Pflichten für "systemische" GPAI-Modelle mit besonders hoher Rechenleistung: Modellbewertungen, adversarielle Tests, Meldung schwerwiegender Vorfälle

Was bedeutet das für Verbraucher?

Sie haben ab August 2026 das Recht zu erfahren, wenn Sie mit einem Chatbot statt einem Menschen kommunizieren. Deepfakes müssen als solche gekennzeichnet sein. Wenn eine KI-Entscheidung Sie erheblich betrifft (z.B. abgelehnter Kredit), können Sie eine Erklärung verlangen. Wer Bedenken hat, dass persönliche Daten missbräuchlich verarbeitet werden, kann parallel zur DSGVO-Beschwerde beim BfDI vorgehen – Details dazu finden Sie in unserem Leitfaden zum Einreichen einer Datenschutzbeschwerde.

Bußgelder und Sanktionen

Das KI-Gesetz sieht abgestufte Bußgelder vor, die sich am Umsatz orientieren – ähnlich wie bei der DSGVO, aber teils höher.

Verstoß	Maximales Bußgeld
Verbotene KI-Praktiken	35 Mio. € oder 7 % des weltweiten Jahresumsatzes
Verstoß gegen Pflichten (z.B. Hochrisiko-Anforderungen)	15 Mio. € oder 3 % des Jahresumsatzes
Falsche Angaben gegenüber Behörden	7,5 Mio. € oder 1 % des Jahresumsatzes
KMU und Start-ups	Anteilig reduzierte Sätze

Wer setzt das KI-Gesetz in Deutschland durch?

Deutschland baut derzeit die Aufsichtsstrukturen auf. Zentrale Akteure:

• Bundesnetzagentur: koordinierende Marktüberwachungsbehörde für KI
• BfDI: zuständig bei KI-Systemen mit Bezug zu personenbezogenen Daten und bei Bundesbehörden
• Sektorale Behörden: z.B. BaFin für Finanz-KI, BASt für Fahrzeug-KI, BfArM für Medizin-KI
• AI Office der EU-Kommission: zuständig für GPAI-Modelle und modellübergreifende Fragen

Praxis-Checkliste: So bereiten sich Unternehmen vor

1. KI-Inventar erstellen: Welche KI-Systeme setzen Sie ein oder entwickeln Sie? Auch eingekaufte SaaS-Lösungen zählen.
2. Risikoklassifizierung durchführen: Ordnen Sie jedes System einer Risikoklasse zu.
3. Governance-Struktur aufbauen: Benennen Sie Verantwortliche, etablieren Sie einen KI-Ausschuss.
4. KI-Kompetenz sicherstellen (Art. 4): Schulen Sie Mitarbeiter, die KI entwickeln oder betreiben – Pflicht seit Februar 2025.
5. Verträge prüfen: Passen Sie Verträge mit KI-Anbietern an (Haftung, Dokumentation, Auditrechte).
6. Datenschutz integrieren: Führen Sie Datenschutz-Folgenabschätzungen durch, wo nötig.
7. Transparenzmaßnahmen umsetzen: Kennzeichnung von Chatbots und KI-Inhalten technisch vorbereiten.
8. Meldeprozesse einrichten: Vorfälle mit schwerwiegenden Folgen sind meldepflichtig.

Auswirkungen auf Verbraucher und Datenschutz

Das KI-Gesetz ergänzt die DSGVO, ersetzt sie aber nicht. Beide gelten parallel. Für Sie als Nutzer bedeutet das mehr Kontrolle:

• Recht auf Information, wenn KI Sie betrifft
• Recht auf Erklärung bei automatisierten Entscheidungen
• Schutz vor manipulativen Systemen
• Verbot der Emotionserkennung im Job
• Beschwerdemöglichkeit bei nationalen Aufsichtsbehörden

Gleichzeitig sollten Sie Ihre digitale Selbstverteidigung ausbauen. Wer bewusst mit persönlichen Daten umgeht, reduziert das Risiko, unfreiwillig in KI-Trainingsdatensätzen zu landen. In unserer Anleitung Digitalen Fußabdruck kontrollieren erfahren Sie, wie Sie systematisch Daten reduzieren. Auch alltägliche Werkzeuge helfen: Wenn Sie beispielsweise Links teilen, schützt ein datenschutzfreundlicher URL-Kürzer wie Lunyb Ihre Empfänger vor Tracking-Parametern, die andernfalls in Analyse- oder Trainingssysteme fließen könnten.

Kritik am KI-Gesetz

Die Verordnung ist nicht unumstritten. Kritiker führen unter anderem an:

• Bürokratischer Aufwand insbesondere für kleine und mittelständische Unternehmen
• Regulatorische Unschärfe bei der Einordnung von General-Purpose-AI
• Wettbewerbsnachteil gegenüber weniger regulierten Märkten in den USA und Asien
• Ausnahmen für Strafverfolgung bei biometrischer Überwachung werden von Bürgerrechtsorganisationen kritisiert
• Unklarheit bei Urheberrecht und Trainingsdaten

Befürworter betonen dagegen, dass klare Regeln Vertrauen schaffen und langfristig Innovation ermöglichen, statt sie zu bremsen.

Was Sie jetzt tun sollten

Ob Sie Unternehmer, Beschäftigter oder Verbraucher sind: Beginnen Sie mit einer Bestandsaufnahme. Welche KI nutzen Sie oder Ihr Umfeld bereits? Welche Daten geben Sie ab? Wo bestehen Risiken?

Weitere praktische Leitfäden, die dabei helfen, digitale Souveränität zu stärken:

• Spam-Anrufe blockieren – auch KI-generierte Anrufe (Voice-Cloning) nehmen zu
• Standort sicher mit der Familie teilen – Datenminimierung im Alltag
• Datenschutzfreundliche URL-Kürzer im Vergleich

FAQ zum KI-Gesetz der EU

Ab wann gilt das KI-Gesetz vollständig?

Der Hauptteil, insbesondere die Pflichten für Hochrisiko-Systeme nach Anhang III, gilt ab dem 2. August 2026. Verbote gelten bereits seit Februar 2025, GPAI-Regeln seit August 2025. Vollständig ausgerollt ist die Verordnung ab August 2027.

Gilt das KI-Gesetz auch für Unternehmen außerhalb der EU?

Ja. Das Marktortprinzip ist entscheidend: Sobald ein KI-System in der EU auf den Markt gebracht wird oder seine Ergebnisse in der EU verwendet werden, gilt die Verordnung – unabhängig vom Sitz des Anbieters. US-Unternehmen wie OpenAI oder Anthropic sind also ebenso betroffen wie europäische.

Muss ich als Nutzer von ChatGPT etwas beachten?

Als Privatperson haben Sie keine direkten Pflichten. Wenn Sie KI beruflich einsetzen, müssen Sie jedoch Kompetenz nachweisen (Art. 4) und bei Nutzung im Rahmen eines Unternehmens ggf. interne Richtlinien beachten. Wichtig: KI-generierte Inhalte, die Sie öffentlich verbreiten (z.B. Deepfakes), müssen als solche gekennzeichnet sein.

Wie unterscheidet sich das KI-Gesetz von der DSGVO?

Die DSGVO regelt den Umgang mit personenbezogenen Daten. Das KI-Gesetz regelt KI-Systeme unabhängig davon, ob sie personenbezogene Daten verarbeiten. Beide gelten parallel: Eine Hochrisiko-KI in der Personalauswahl muss also sowohl die DSGVO als auch das KI-Gesetz erfüllen.

Wo kann ich Verstöße melden?

In Deutschland ist perspektivisch die Bundesnetzagentur zentrale Anlaufstelle. Bei Datenschutzbezug ist der BfDI oder die zuständige Landesdatenschutzbehörde zuständig. Für GPAI-Modelle können Sie sich auch direkt an das AI Office der EU-Kommission wenden.