KI-Gesetz der EU: Was Sich Ändert (Leitfaden 2026)

Das KI-Gesetz der EU (AI Act) ist die weltweit erste umfassende Regulierung für Künstliche Intelligenz. Es trat am 1. August 2024 in Kraft und wird schrittweise bis 2027 vollständig anwendbar. Für Unternehmen in Deutschland bedeutet das: neue Pflichten, neue Risikoklassen und empfindliche Bußgelder bei Verstößen. In diesem Leitfaden erfahren Sie, was sich konkret ändert, welche Fristen gelten und wie Sie Ihr Unternehmen rechtzeitig vorbereiten.

Was ist das KI-Gesetz der EU?

Das KI-Gesetz der EU (Verordnung 2024/1689), auch bekannt als AI Act, ist ein horizontaler Rechtsrahmen, der die Entwicklung, das Inverkehrbringen und die Nutzung von KI-Systemen in der Europäischen Union regelt. Es verfolgt einen risikobasierten Ansatz: Je höher das Risiko eines KI-Systems für Grundrechte, Gesundheit oder Sicherheit, desto strenger die Anforderungen.

Die Verordnung gilt direkt in allen EU-Mitgliedstaaten – ohne nationale Umsetzung – und erfasst sowohl Anbieter als auch Betreiber von KI-Systemen. Ähnlich wie bei der DSGVO reicht der Anwendungsbereich über die EU-Grenzen hinaus: Auch Unternehmen aus Drittstaaten sind betroffen, wenn ihre KI-Systeme in der EU eingesetzt werden oder deren Ergebnisse in der EU verwendet werden.

Warum war das KI-Gesetz nötig?

Mit dem rasanten Aufstieg von Technologien wie ChatGPT, Gesichtserkennung und automatisierten Entscheidungssystemen entstanden erhebliche Risiken für Diskriminierung, Manipulation und Grundrechtsverletzungen. Das KI-Gesetz schafft Rechtssicherheit, stärkt das Vertrauen in KI und soll gleichzeitig Innovation in Europa fördern.

Die vier Risikoklassen im Überblick

Das Herzstück des KI-Gesetzes ist die Einteilung in vier Risikokategorien. Jede Klasse unterliegt eigenen Vorschriften und Pflichten.

Risikoklasse	Beispiele	Rechtsfolge
Unannehmbares Risiko	Social Scoring, manipulative Systeme, Emotionserkennung am Arbeitsplatz	Verboten
Hohes Risiko	KI in kritischer Infrastruktur, Personalauswahl, Kreditvergabe, Strafverfolgung	Strenge Pflichten
Begrenztes Risiko	Chatbots, Deepfakes, generative KI	Transparenzpflichten
Minimales Risiko	Spam-Filter, KI in Videospielen	Keine besonderen Pflichten

Verbotene Praktiken (Artikel 5)

Seit dem 2. Februar 2025 sind bestimmte KI-Anwendungen in der EU vollständig verboten. Dazu zählen:

Social-Scoring-Systeme durch Behörden
Unterschwellige Beeinflussung des Verhaltens
Ausnutzung von Schwächen vulnerabler Personengruppen
Biometrische Echtzeit-Identifizierung im öffentlichen Raum (mit engen Ausnahmen)
Vorhersage von Straftaten allein auf Basis von Profiling
Erstellung von Gesichtserkennungs-Datenbanken durch ungezieltes Scraping
Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen

Hochrisiko-KI: Die größte Herausforderung

Hochrisiko-Systeme machen den größten Teil der regulierten KI aus. Für diese gelten umfassende Anforderungen:

Einrichtung eines Risikomanagementsystems
Hochwertige Trainings-, Validierungs- und Testdaten
Technische Dokumentation und Protokollierung
Transparenz gegenüber Nutzern
Menschliche Aufsicht (Human Oversight)
Robustheit, Genauigkeit und Cybersicherheit
Konformitätsbewertung vor Markteinführung
Registrierung in der EU-Datenbank

Zeitplan: Welche Fristen gelten wann?

Das KI-Gesetz wird stufenweise anwendbar. Unternehmen sollten diese Daten unbedingt im Kalender markieren:

Datum	Was gilt?
1. August 2024	Inkrafttreten der Verordnung
2. Februar 2025	Verbote und KI-Kompetenzpflicht (Art. 4) gelten
2. August 2025	Regeln für General-Purpose-AI-Modelle (GPAI) und Governance
2. August 2026	Großteil der Pflichten für Hochrisiko-KI
2. August 2027	Vollständige Anwendbarkeit auch für eingebettete KI in regulierten Produkten

Was ändert sich für Unternehmen in Deutschland?

Deutsche Unternehmen sind besonders betroffen – nicht nur Tech-Konzerne, sondern auch Mittelstand, Industrie und Dienstleister, die KI einsetzen oder entwickeln. Die wichtigsten Änderungen im Überblick:

1. KI-Kompetenzpflicht (Art. 4)

Seit Februar 2025 müssen Unternehmen sicherstellen, dass ihre Mitarbeitenden, die mit KI-Systemen arbeiten, über ausreichende KI-Kompetenz verfügen. Das umfasst technisches Verständnis, Risikobewusstsein und rechtliche Grundkenntnisse. Schulungen sind faktisch Pflicht.

2. Pflichten für Betreiber von Hochrisiko-KI

Wer Hochrisiko-KI einsetzt – etwa in HR-Prozessen bei der Bewerberauswahl – muss:

die Gebrauchsanweisung des Anbieters befolgen
menschliche Aufsicht durch qualifiziertes Personal gewährleisten
Eingabedaten auf Relevanz prüfen
Protokolle mindestens sechs Monate aufbewahren
betroffene Personen informieren
bei Arbeitgebern: Betriebsrat einbinden

3. Transparenzpflichten für generative KI

Anbieter von Chatbots und generativer KI müssen klarstellen, dass Nutzer mit einer Maschine interagieren. KI-generierte Inhalte – insbesondere Deepfakes – müssen als solche gekennzeichnet werden. Für Unternehmen, die ChatGPT, Gemini oder Claude in Kundenprozesse integrieren, bedeutet das konkrete Umsetzungsarbeit.

4. Regeln für General-Purpose AI (GPAI)

Für Foundation-Modelle wie GPT-4, Llama oder Mistral gelten gesonderte Pflichten: technische Dokumentation, Zusammenfassung der Trainingsdaten, Einhaltung des Urheberrechts. Bei systemischen Risiken (ab 10^25 FLOPs Trainingsleistung) kommen Modell-Evaluationen, Adversarial Testing und Meldepflichten hinzu.

Bußgelder: Was Verstöße kosten können

Die Sanktionen übersteigen teilweise sogar die der DSGVO. Das KI-Gesetz kennt drei Stufen:

Verstoß	Maximale Strafe
Verbotene KI-Praktiken	35 Mio. € oder 7 % des weltweiten Jahresumsatzes
Verstoß gegen sonstige Pflichten	15 Mio. € oder 3 % des Jahresumsatzes
Falsche Angaben gegenüber Behörden	7,5 Mio. € oder 1 % des Jahresumsatzes

Es gilt jeweils der höhere Betrag. Für KMU und Start-ups werden Bußgelder nach dem niedrigeren Wert berechnet – ein kleiner Trost.

KI-Gesetz vs. DSGVO: Wo gibt es Überschneidungen?

Das KI-Gesetz ersetzt die DSGVO nicht – beide gelten parallel. Wenn ein KI-System personenbezogene Daten verarbeitet, müssen Unternehmen beide Regelwerke einhalten. Besonders relevant sind:

Rechtsgrundlage für die Datenverarbeitung (Art. 6 DSGVO)
Automatisierte Entscheidungen im Einzelfall (Art. 22 DSGVO)
Datenschutz-Folgenabschätzung bei Hochrisiko-KI
Betroffenenrechte wie Auskunft und Erklärung

Der BfDI wird gemeinsam mit der neuen KI-Aufsichtsbehörde (voraussichtlich bei der Bundesnetzagentur angesiedelt) für die Durchsetzung zuständig sein. Wer Datenschutzverletzungen vermutet, kann weiterhin Beschwerde einreichen.

Praktische Umsetzung: Checkliste für Unternehmen

So bereiten Sie Ihr Unternehmen systematisch auf das KI-Gesetz vor:

KI-Inventar erstellen: Erfassen Sie alle eingesetzten KI-Systeme – auch die in Standard-Software wie Microsoft 365 Copilot oder Salesforce Einstein.
Risikoklassifizierung: Ordnen Sie jedes System einer Risikoklasse zu.
Rollen definieren: Sind Sie Anbieter, Betreiber, Importeur oder Händler? Die Pflichten unterscheiden sich erheblich.
Governance aufsetzen: Benennen Sie einen KI-Beauftragten und etablieren Sie ein internes KI-Register.
Schulungen durchführen: Erfüllen Sie die KI-Kompetenzpflicht nach Art. 4.
Dokumentation: Technische Dokumentation, Risikobewertungen, Trainingsdaten-Nachweise.
Verträge anpassen: Prüfen Sie Lieferantenverträge auf KI-Klauseln und Haftungsregelungen.
Monitoring etablieren: Post-Market-Monitoring für Anbieter, laufende Aufsicht für Betreiber.

Was bedeutet das KI-Gesetz für Datenschutz und Sicherheit?

Das KI-Gesetz stärkt die Rechte der Betroffenen erheblich. Nutzer haben künftig unter anderem das Recht auf Erklärung bei Hochrisiko-Entscheidungen und auf Beschwerde bei der zuständigen Behörde. Unternehmen müssen Transparenz, Nachvollziehbarkeit und Sicherheit über den gesamten Lebenszyklus eines KI-Systems gewährleisten.

Gerade im Bereich Cybersicherheit entstehen neue Anforderungen: Hochrisiko-KI muss widerstandsfähig gegen Manipulation, Data Poisoning und Model Evasion sein. Unternehmen sollten ihre gesamte digitale Infrastruktur überprüfen – von sicheren Zugangsdaten über professionelle Passwort-Manager bis hin zu verschlüsselter Kommunikation.

Wer kurze, sichere und datenschutzkonforme Links für KI-generierte Inhalte oder Dashboards benötigt, kann auf Dienste wie Lunyb zurückgreifen – ein datenschutzorientierter URL-Shortener, der ohne invasives Tracking auskommt und DSGVO-konform arbeitet.

Internationale Perspektive

Das KI-Gesetz wirkt – ähnlich wie die DSGVO – als globaler Standard. Unternehmen in der Schweiz, den USA oder Asien müssen sich anpassen, sobald ihre Systeme auf dem EU-Markt eingesetzt werden. Interessant ist dabei der Vergleich mit dem Schweizer Datenschutzgesetz: Die Schweiz plant derzeit keine eigene umfassende KI-Regulierung, orientiert sich aber faktisch am EU-Ansatz. Mehr zu den Unterschieden zwischen den Regelwerken finden Sie in unserem Beitrag DSG vs. DSGVO.

Chancen statt nur Pflichten

Das KI-Gesetz ist nicht nur Last, sondern auch Chance. Unternehmen, die früh in Compliance investieren, verschaffen sich Wettbewerbsvorteile: Vertrauen bei Kunden, Rechtssicherheit bei Investoren und einen Standortvorteil im europäischen Markt. „Trustworthy AI made in Europe" könnte zum Qualitätssiegel werden – vergleichbar mit „Made in Germany".

Häufig gestellte Fragen (FAQ)

Gilt das KI-Gesetz auch für kleine Unternehmen?

Ja. Das KI-Gesetz gilt grundsätzlich für alle Unternehmen, unabhängig von der Größe. Für KMU und Start-ups gibt es jedoch Erleichterungen: Sie zahlen niedrigere Bußgelder, erhalten bevorzugten Zugang zu KI-Reallaboren (Regulatory Sandboxes) und profitieren von vereinfachter Dokumentation.

Muss ich ChatGPT im Unternehmen abschaffen?

Nein. Der Einsatz generativer KI wie ChatGPT ist weiterhin erlaubt, solange Transparenzpflichten erfüllt werden. Sie müssen Nutzer informieren, wenn Inhalte KI-generiert sind, und sicherstellen, dass keine verbotenen Praktiken (z.B. Emotionserkennung im HR-Bereich) umgesetzt werden. Zusätzlich greift die KI-Kompetenzpflicht: Mitarbeitende müssen geschult werden.

Wer ist in Deutschland für die Durchsetzung zuständig?

Die Zuständigkeit wird aktuell gesetzlich geregelt. Voraussichtlich übernimmt die Bundesnetzagentur die zentrale Rolle als nationale KI-Aufsichtsbehörde. Für datenschutzrelevante Aspekte bleiben BfDI und die Landesdatenschutzbehörden zuständig. In sektoralen Bereichen (z.B. Finanzaufsicht, Medizinprodukte) kommen Fachaufsichten hinzu.

Was ist der Unterschied zwischen Anbieter und Betreiber?

Ein Anbieter entwickelt ein KI-System und bringt es in den Verkehr – etwa OpenAI mit GPT-4. Ein Betreiber (Deployer) nutzt das KI-System in eigener Verantwortung für berufliche Zwecke – etwa eine Bank, die GPT-4 für Kundenservice einsetzt. Beide haben Pflichten, aber unterschiedliche: Anbieter tragen die Hauptlast bei Entwicklung und Dokumentation, Betreiber bei korrektem Einsatz und menschlicher Aufsicht.

Welche Rolle spielen KI-Reallabore?

Jeder Mitgliedstaat muss bis August 2026 mindestens ein KI-Reallabor (Regulatory Sandbox) einrichten. Dort können Unternehmen, insbesondere Start-ups, innovative KI-Systeme unter Aufsicht testen, bevor sie in den Markt gehen. Ziel ist, Innovation zu fördern und gleichzeitig Compliance von Anfang an sicherzustellen.

Fazit

Das KI-Gesetz der EU markiert einen Wendepunkt. Es verlangt von Unternehmen in Deutschland ein neues Maß an Verantwortung, Dokumentation und Transparenz beim KI-Einsatz. Wer jetzt handelt – mit Inventarisierung, Risikoanalyse, Schulungen und klarer Governance – vermeidet nicht nur empfindliche Bußgelder, sondern positioniert sich als vertrauenswürdiger Akteur im europäischen KI-Markt. Die wichtigsten Fristen in 2025 und 2026 sollten Sie keinesfalls verpassen.