KI-Gesetz der EU: Was Sich 2026 für Sie Ändert

Das KI-Gesetz der EU (englisch: AI Act) ist das weltweit erste umfassende Regelwerk für Künstliche Intelligenz. Nach seiner offiziellen Verabschiedung 2024 treten 2025 und 2026 die entscheidenden Bestimmungen in Kraft – mit weitreichenden Folgen für Verbraucher, Unternehmen und Behörden in Deutschland und der gesamten Europäischen Union. In diesem Leitfaden erklären wir Ihnen verständlich, was das KI-Gesetz regelt, welche Rechte Sie erhalten und welche Pflichten für Anbieter gelten.

Was ist das KI-Gesetz der EU?

Das KI-Gesetz (Verordnung (EU) 2024/1689) ist eine europäische Verordnung, die den Einsatz von Künstlicher Intelligenz nach Risikoklassen reguliert. Es wurde am 13. Juni 2024 verabschiedet und trat am 1. August 2024 in Kraft. Die einzelnen Bestimmungen gelten schrittweise – vollständig anwendbar ist das Gesetz ab dem 2. August 2026.

Ziel des KI-Gesetzes ist es, Innovation zu fördern und gleichzeitig Grundrechte, Sicherheit und Demokratie zu schützen. Es ergänzt bestehende Regelungen wie die Datenschutz-Grundverordnung (DSGVO) und wird in Deutschland durch die Bundesnetzagentur sowie den Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI) begleitet.

Warum war ein KI-Gesetz notwendig?

Generative KI-Systeme wie ChatGPT, Bildgeneratoren und automatisierte Entscheidungssysteme haben in den letzten Jahren enorme Fortschritte gemacht. Ohne klare Regeln drohten Risiken wie Diskriminierung, Massenüberwachung, Manipulation und mangelnde Transparenz. Die EU wollte daher – ähnlich wie mit der DSGVO – einen globalen Standard setzen.

Die vier Risikoklassen im Überblick

Das Herzstück des KI-Gesetzes ist ein risikobasierter Ansatz. Je höher das potenzielle Risiko einer KI-Anwendung für Menschen und Grundrechte, desto strenger die Auflagen.

Risikoklasse	Beispiele	Regulierung
Unannehmbares Risiko	Social Scoring, manipulative KI, biometrische Massenüberwachung	Verboten
Hohes Risiko	KI in Personalauswahl, Kreditvergabe, Justiz, kritischer Infrastruktur	Strenge Auflagen, Zertifizierung
Begrenztes Risiko	Chatbots, Deepfakes, generative KI	Transparenzpflichten
Minimales Risiko	Spamfilter, KI in Videospielen	Keine speziellen Auflagen

Was ist ab Februar 2025 verboten?

Seit dem 2. Februar 2025 sind Praktiken mit unannehmbarem Risiko in der gesamten EU verboten. Dazu gehören:

Social Scoring: Systematische Bewertung von Bürgern durch Behörden nach ihrem Sozialverhalten.
Manipulative KI: Systeme, die Menschen durch unterschwellige Techniken zu schädlichen Entscheidungen verleiten.
Ausnutzung von Schutzbedürftigkeit: KI, die die Verletzlichkeit von Kindern, älteren Menschen oder Menschen mit Behinderung ausnutzt.
Biometrische Echtzeit-Fernidentifizierung: Massenüberwachung im öffentlichen Raum (mit engen Ausnahmen für Strafverfolgung).
Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen: Weitgehend untersagt.
Ungezieltes Sammeln von Gesichtsbildern: Aus dem Internet oder von Überwachungskameras zur Erstellung von Datenbanken.

Hochrisiko-KI: Die strengsten Auflagen

KI-Systeme mit hohem Risiko sind erlaubt, unterliegen aber umfangreichen Pflichten. Sie kommen in sensiblen Bereichen zum Einsatz, in denen falsche oder diskriminierende Entscheidungen erhebliche Folgen für Menschen haben können.

Typische Anwendungsfelder

Bewerbungsverfahren und Personalauswahl
Kreditwürdigkeitsprüfungen und Versicherungen
Zugang zu Bildung (z. B. automatisierte Prüfungsauswertung)
Medizinische Diagnosesysteme
KI in der Strafverfolgung und Justiz
Kritische Infrastruktur (Energie, Wasser, Verkehr)
Grenz- und Migrationskontrolle

Welche Pflichten gelten für Anbieter?

Unternehmen, die Hochrisiko-KI entwickeln oder einsetzen, müssen unter anderem:

Ein Risikomanagementsystem einrichten und dokumentieren.
Qualitativ hochwertige, repräsentative Trainingsdaten verwenden.
Technische Dokumentation und Protokollierung sicherstellen.
Transparenz gegenüber Nutzern schaffen.
Menschliche Aufsicht ermöglichen.
Genauigkeit, Robustheit und Cybersicherheit garantieren.
Eine Konformitätsbewertung durchführen und CE-Kennzeichnung anbringen.

Transparenzpflichten für generative KI

Generative KI-Systeme wie ChatGPT, Gemini oder Claude fallen meist in die Kategorie "begrenztes Risiko". Für sie gelten besondere Transparenzpflichten, die ab August 2026 vollständig durchgesetzt werden.

Was Nutzer erwarten dürfen

Kennzeichnungspflicht: Nutzer müssen erkennen, wenn sie mit einer KI kommunizieren.
Deepfake-Kennzeichnung: KI-generierte Bilder, Videos und Audioinhalte müssen als solche markiert werden.
Trainingsdaten-Transparenz: Anbieter müssen offenlegen, welche urheberrechtlich geschützten Daten für das Training verwendet wurden.
Kennzeichnung synthetischer Inhalte: Maschinell erzeugte Texte müssen in bestimmten Kontexten (z. B. Nachrichten) gekennzeichnet werden.

Wie sich diese Änderungen konkret auf Ihre persönlichen Daten auswirken, haben wir im Beitrag KI und Datenschutz 2026: Was sich für Sie ändert ausführlich beschrieben.

Regeln für allgemeine KI-Modelle (GPAI)

Seit dem 2. August 2025 gelten spezielle Vorschriften für sogenannte General Purpose AI Models (GPAI) – also Basismodelle wie GPT-4, Claude, Gemini oder LLaMA. Anbieter dieser Modelle müssen:

Technische Dokumentation bereitstellen.
Informationen für nachgelagerte Anbieter offenlegen.
Urheberrechtsvorschriften einhalten (insbesondere Text- und Data-Mining-Ausnahmen).
Eine Zusammenfassung der Trainingsdaten veröffentlichen.

Modelle mit "systemischem Risiko" (extrem leistungsstarke Modelle mit über 10²⁵ FLOPS Rechenaufwand) unterliegen zusätzlichen Pflichten: Sicherheitsbewertungen, Meldung schwerer Vorfälle, Cybersicherheitsschutz und Berichte an das neu geschaffene EU-KI-Büro.

Zeitplan: Wann gilt was?

Datum	Was tritt in Kraft?
1. August 2024	Inkrafttreten des KI-Gesetzes
2. Februar 2025	Verbot unannehmbarer KI-Praktiken; Pflicht zur KI-Kompetenz
2. August 2025	Regeln für GPAI, Sanktionen, Governance-Strukturen
2. August 2026	Vollständige Anwendung, inklusive Hochrisiko-Vorschriften
2. August 2027	Regeln für Hochrisiko-KI in regulierten Produkten (z. B. Medizinprodukte)

Ihre Rechte als Verbraucher

Das KI-Gesetz stärkt Ihre Rechte im Umgang mit automatisierten Systemen erheblich. Als Bürgerin oder Bürger der EU haben Sie ab 2026 folgende Ansprüche:

Recht auf Erklärung

Wenn eine Hochrisiko-KI eine Entscheidung trifft, die Sie erheblich betrifft – etwa bei einer abgelehnten Kreditvergabe oder einer nicht bestandenen Prüfung – haben Sie das Recht, eine verständliche Erklärung zu erhalten. Diese muss die Rolle der KI im Entscheidungsprozess und die wesentlichen Faktoren offenlegen.

Recht auf Beschwerde

Sie können sich bei der zuständigen nationalen Marktüberwachungsbehörde beschweren, wenn Sie den Verdacht haben, dass ein KI-System gegen das Gesetz verstößt. In Deutschland ist die Bundesnetzagentur die zentrale Anlaufstelle, ergänzt durch Aufsichtsbehörden der Länder und den BfDI.

Recht auf menschliche Überprüfung

Automatisierte Entscheidungen mit erheblichen Auswirkungen dürfen nicht ausschließlich von einer KI getroffen werden. Sie haben stets Anspruch auf eine menschliche Überprüfung – dieses Recht ergibt sich sowohl aus dem KI-Gesetz als auch aus Artikel 22 DSGVO.

Recht auf Kennzeichnung

Sie müssen erkennen können, wenn Sie mit einem Chatbot statt einem Menschen kommunizieren oder wenn Inhalte KI-generiert sind. Deepfakes müssen deutlich als solche markiert werden.

Sanktionen: Was drohen Verstöße?

Die Bußgelder des KI-Gesetzes orientieren sich an der DSGVO und sind gestaffelt:

Verbotene KI-Praktiken: bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes.
Verstöße gegen Hochrisiko-Pflichten: bis zu 15 Millionen Euro oder 3 % des Jahresumsatzes.
Falsche Angaben gegenüber Behörden: bis zu 7,5 Millionen Euro oder 1 % des Jahresumsatzes.

Für kleine und mittlere Unternehmen gelten reduzierte Sätze, um Innovation nicht zu behindern.

Was bedeutet das KI-Gesetz für Unternehmen?

Deutsche Unternehmen – insbesondere im Mittelstand – müssen jetzt handeln. Die wichtigsten Schritte im Überblick:

KI-Inventur: Erfassen Sie alle KI-Systeme, die in Ihrem Unternehmen eingesetzt oder entwickelt werden.
Risikoklassifizierung: Ordnen Sie jedes System einer Risikoklasse zu.
KI-Kompetenz aufbauen: Seit Februar 2025 sind Unternehmen verpflichtet, für ausreichende KI-Kompetenz ihrer Mitarbeitenden zu sorgen.
Dokumentation: Erstellen Sie technische Dokumentationen und Risikobewertungen.
Governance-Strukturen: Benennen Sie Verantwortliche und implementieren Sie interne Kontrollprozesse.
Lieferkette prüfen: Klären Sie, ob eingesetzte KI-Dienste externer Anbieter konform sind.

Vorteile und Herausforderungen

Vorteile:

Rechtssicherheit für Investitionen in KI
Wettbewerbsvorteil durch "Trustworthy AI made in Europe"
Klare Verantwortlichkeiten und weniger Reputationsrisiken
Harmonisierter EU-Binnenmarkt

Herausforderungen:

Hoher Aufwand für Dokumentation und Konformitätsbewertung
Unsicherheit über Auslegung einzelner Vorschriften
Zusätzliche Kosten – besonders für KMU
Komplexes Zusammenspiel mit DSGVO, Produktsicherheitsrecht und branchenspezifischen Regeln

KI-Gesetz und Datenschutz: Das Zusammenspiel mit der DSGVO

Das KI-Gesetz ersetzt die DSGVO nicht – beide Regelwerke ergänzen sich. Während die DSGVO die Verarbeitung personenbezogener Daten regelt, betrifft das KI-Gesetz die Funktionsweise und den Einsatz der KI-Systeme selbst. In der Praxis müssen Unternehmen beide Regelwerke gemeinsam einhalten.

Der BfDI hat mehrfach betont, dass viele KI-Anwendungen bereits unter der DSGVO regulierungsbedürftig sind. Praktische Auswirkungen zeigen sich zum Beispiel bei der Frage, wie viel Google und andere Konzerne über Sie wissen – ein Thema, das wir im Artikel Was Google über Sie weiß vertieft haben.

Praktische Tipps für Verbraucher

Das KI-Gesetz gibt Ihnen neue Werkzeuge an die Hand – aber Sie sollten auch selbst aktiv werden, um Ihre digitale Privatsphäre zu schützen:

Kritisch prüfen: Hinterfragen Sie automatisierte Entscheidungen und fordern Sie Erklärungen ein.
Datenminimierung: Geben Sie KI-Diensten nur die Informationen, die wirklich nötig sind.
Kennzeichnungen ernst nehmen: Achten Sie auf Hinweise zu KI-generierten Inhalten – besonders in sozialen Medien.
Privatsphäre-Tools nutzen: Setzen Sie auf datenschutzfreundliche Browser, verschlüsseltes DNS und Dienste, die Ihre Daten schützen. Für den Umgang mit Links im Netz bietet Lunyb beispielsweise datenschutzfreundliche Kurz-URLs mit transparentem Tracking-Schutz.
Rechte kennen: Informieren Sie sich regelmäßig über Ihre Rechte gegenüber KI-Anbietern und Behörden.

Kritik am KI-Gesetz

Trotz vieler positiver Stimmen gibt es auch Kritik am KI-Gesetz:

Innovationsbremse: Kritiker warnen, dass strenge Auflagen europäische Start-ups gegenüber US- und chinesischen Wettbewerbern benachteiligen.
Bürokratische Last: Insbesondere KMU befürchten hohen Aufwand ohne proportionalen Nutzen.
Ausnahmen für Strafverfolgung: Datenschützer kritisieren, dass biometrische Überwachung unter bestimmten Bedingungen weiterhin erlaubt bleibt.
Rechtsunsicherheit: Viele Begriffe müssen erst durch Leitlinien der EU-Kommission und Rechtsprechung konkretisiert werden.

Befürworter halten dagegen, dass das Gesetz weltweit Maßstäbe setzt – ähnlich wie die DSGVO – und langfristig Vertrauen in KI-Technologien schafft.

Fazit: Ein historischer Schritt für digitale Grundrechte

Das KI-Gesetz der EU ist ein Meilenstein. Es schafft weltweit erstmals einen verbindlichen Rechtsrahmen für Künstliche Intelligenz und stellt Grundrechte, Sicherheit und Transparenz in den Mittelpunkt. Für Verbraucher bringt es mehr Rechte, mehr Klarheit und besseren Schutz vor Diskriminierung und Manipulation. Für Unternehmen bedeutet es zusätzlichen Aufwand, aber auch neue Chancen im internationalen Wettbewerb.

Bis August 2026 sollten alle Beteiligten die notwendigen Vorbereitungen abgeschlossen haben. Wer sich frühzeitig informiert und Prozesse anpasst, ist im Vorteil – und trägt dazu bei, dass KI in Europa vertrauenswürdig und im Einklang mit unseren Werten eingesetzt wird.

Häufig gestellte Fragen (FAQ)

Wann gilt das KI-Gesetz der EU vollständig?

Das KI-Gesetz trat am 1. August 2024 in Kraft und wird schrittweise angewendet. Die Verbote gelten seit Februar 2025, Regeln für allgemeine KI-Modelle seit August 2025. Vollständig anwendbar ist das Gesetz ab dem 2. August 2026, mit einer letzten Frist für bestimmte Hochrisiko-Systeme bis August 2027.

Betrifft das KI-Gesetz auch Privatpersonen?

Ja, allerdings indirekt. Die Pflichten richten sich an Anbieter und Betreiber von KI-Systemen. Privatpersonen profitieren als Verbraucher durch neue Rechte (Erklärung, Beschwerde, Kennzeichnung) und stärkeren Grundrechtsschutz. Die rein private Nutzung von KI-Tools ist nicht reguliert.

Was passiert, wenn ein Unternehmen gegen das KI-Gesetz verstößt?

Es drohen empfindliche Bußgelder – bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes bei verbotenen Praktiken. Zusätzlich können Systeme vom Markt genommen und Reputationsschäden entstehen. In Deutschland überwacht die Bundesnetzagentur gemeinsam mit anderen Behörden die Einhaltung.

Gilt das KI-Gesetz auch für ChatGPT und andere US-Anbieter?

Ja. Das KI-Gesetz gilt für alle Anbieter, deren KI-Systeme in der EU angeboten oder deren Ausgaben in der EU genutzt werden – unabhängig vom Sitz des Unternehmens. OpenAI, Google, Anthropic und andere müssen die Vorschriften also ebenso einhalten wie europäische Anbieter.

Wie verhält sich das KI-Gesetz zur DSGVO?

Beide Regelwerke ergänzen sich. Die DSGVO schützt personenbezogene Daten und regelt deren Verarbeitung. Das KI-Gesetz regelt die Konzeption, den Einsatz und die Transparenz von KI-Systemen. Unternehmen müssen beide Vorschriften parallel einhalten. Bei automatisierten Entscheidungen greifen zusätzlich die Rechte aus Artikel 22 DSGVO.