KI-Gesetz der EU: Was Sich 2026 Ändert

Mit dem KI-Gesetz der EU (AI Act) tritt die weltweit erste umfassende Regulierung künstlicher Intelligenz in Kraft. Für Unternehmen, Entwickler und Nutzer in Deutschland bedeutet dies tiefgreifende Veränderungen – von der Produktentwicklung bis zur alltäglichen Nutzung von KI-Systemen. Dieser Leitfaden erklärt, was sich konkret ändert, welche Fristen gelten und wie Sie sich vorbereiten.

Was ist das KI-Gesetz der EU?

Das KI-Gesetz der EU (Verordnung (EU) 2024/1689), auch bekannt als AI Act, ist die erste horizontale Regulierung künstlicher Intelligenz weltweit. Es wurde im Juni 2024 verabschiedet und tritt gestaffelt ab Februar 2025 bis August 2027 in Kraft.

Ziel des Gesetzes ist es, Vertrauen in KI-Systeme zu schaffen, Grundrechte zu schützen und gleichzeitig Innovation zu fördern. Dabei verfolgt die EU einen risikobasierten Ansatz: Je höher das Risiko eines KI-Systems, desto strenger die Anforderungen.

Warum braucht Europa ein KI-Gesetz?

Künstliche Intelligenz durchdringt immer mehr Lebensbereiche – von der Kreditvergabe über medizinische Diagnosen bis zur Personalauswahl. Ohne klare Regeln drohen Diskriminierung, Intransparenz und Grundrechtsverletzungen. Das KI-Gesetz soll diese Risiken minimieren und gleichzeitig einen harmonisierten europäischen Markt schaffen.

Die vier Risikoklassen im Überblick

Das KI-Gesetz unterteilt KI-Systeme in vier Risikokategorien mit jeweils unterschiedlichen Anforderungen und Pflichten.

Risikoklasse	Beispiele	Konsequenzen
Unannehmbares Risiko	Social Scoring, manipulative KI, biometrische Massenüberwachung	Vollständiges Verbot
Hohes Risiko	KI in Medizinprodukten, Bewerbungssystemen, Kreditvergabe	Strenge Auflagen, Konformitätsbewertung
Begrenztes Risiko	Chatbots, Deepfakes, Emotionserkennung	Transparenzpflichten
Minimales Risiko	Spamfilter, KI in Videospielen	Keine besonderen Pflichten

Verbotene KI-Praktiken

Seit Februar 2025 sind bestimmte KI-Anwendungen in der EU vollständig verboten. Dazu zählen:

Social-Scoring-Systeme durch staatliche oder private Akteure
KI, die Schwachstellen bestimmter Personengruppen (Kinder, Menschen mit Behinderungen) ausnutzt
Ungezielte Gesichtserkennung durch Scraping aus dem Internet
Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen
Biometrische Kategorisierung nach sensiblen Merkmalen (Religion, politische Überzeugung)
Echtzeitbiometrische Fernidentifikation im öffentlichen Raum (mit engen Ausnahmen)

Pflichten für Hochrisiko-KI-Systeme

Hochrisiko-KI-Systeme machen den Hauptteil der neuen Regulierung aus. Anbieter müssen umfangreiche Anforderungen erfüllen, bevor sie ihre Systeme auf den Markt bringen dürfen.

Welche Systeme gelten als Hochrisiko?

Anhang III des KI-Gesetzes listet acht Bereiche auf, in denen KI-Systeme als Hochrisiko eingestuft werden:

Biometrische Identifizierung und Kategorisierung
Kritische Infrastrukturen (Energie, Verkehr)
Bildung und Berufsausbildung
Beschäftigung und Personalmanagement
Zugang zu wesentlichen privaten und öffentlichen Diensten
Strafverfolgung
Migration, Asyl und Grenzkontrolle
Rechtspflege und demokratische Prozesse

Konkrete Anforderungen

Anbieter von Hochrisiko-KI-Systemen müssen folgende Pflichten erfüllen:

Risikomanagementsystem: Kontinuierliche Identifikation und Minderung von Risiken
Daten-Governance: Qualitätssicherung der Trainings-, Validierungs- und Testdaten
Technische Dokumentation: Umfassende Unterlagen vor Markteinführung
Protokollierung: Automatische Aufzeichnung relevanter Ereignisse
Transparenz: Klare Informationen für Nutzer
Menschliche Aufsicht: Möglichkeit zur Intervention durch Menschen
Genauigkeit und Cybersicherheit: Robuste technische Schutzmaßnahmen
Konformitätsbewertung: CE-Kennzeichnung vor Inverkehrbringen

Neue Regeln für generative KI

Generative KI-Modelle wie ChatGPT, Claude oder Gemini werden im KI-Gesetz als "KI-Modelle mit allgemeinem Verwendungszweck" (General Purpose AI, GPAI) bezeichnet und unterliegen eigenen Regelungen.

Transparenzpflichten für alle GPAI-Modelle

Alle Anbieter von GPAI-Modellen müssen:

Technische Dokumentation bereitstellen
Informationen für nachgelagerte Anbieter zur Verfügung stellen
Urheberrechtsrichtlinien einhalten
Eine Zusammenfassung der Trainingsdaten veröffentlichen

Zusätzliche Pflichten für systemische Risiken

GPAI-Modelle mit "systemischem Risiko" (Modelle mit einer Trainingsrechenleistung über 10^25 FLOPs) unterliegen strengeren Anforderungen:

Modellbewertungen nach Stand der Technik
Bewertung und Minderung systemischer Risiken
Meldung schwerwiegender Vorfälle an die EU-Kommission
Angemessenes Niveau an Cybersicherheit

Kennzeichnungspflicht für KI-generierte Inhalte

Deepfakes und KI-generierte Inhalte müssen als solche gekennzeichnet werden. Nutzer müssen erkennen können, wenn sie mit einem Chatbot interagieren oder einen von KI erstellten Text, ein Bild oder Video sehen.

Zeitplan: Wann gilt was?

Das KI-Gesetz tritt gestaffelt in Kraft. Unternehmen sollten die Fristen genau im Blick behalten, um rechtzeitig compliant zu sein.

Datum	Was tritt in Kraft?
1. August 2024	Inkrafttreten der Verordnung
2. Februar 2025	Verbote unannehmbarer KI-Praktiken, KI-Kompetenzpflichten
2. August 2025	Regeln für GPAI-Modelle, Governance-Strukturen, Sanktionen
2. August 2026	Hauptpflichten für Hochrisiko-KI (Anhang III)
2. August 2027	Pflichten für Hochrisiko-KI in regulierten Produkten (Anhang I)

Bußgelder und Sanktionen

Das KI-Gesetz sieht empfindliche Strafen bei Verstößen vor, die sogar die Bußgelder der DSGVO übertreffen können.

Bußgeldhöhen im Überblick

Verbotene KI-Praktiken: Bis zu 35 Millionen Euro oder 7% des weltweiten Jahresumsatzes
Verstöße gegen Hochrisiko-Pflichten: Bis zu 15 Millionen Euro oder 3% des weltweiten Jahresumsatzes
Falsche Informationen an Behörden: Bis zu 7,5 Millionen Euro oder 1% des weltweiten Jahresumsatzes

Für kleine und mittlere Unternehmen sowie Start-ups gelten reduzierte Bußgelder. Die Durchsetzung erfolgt in Deutschland voraussichtlich durch die Bundesnetzagentur in Zusammenarbeit mit dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI).

Was bedeutet das KI-Gesetz für Unternehmen?

Unternehmen in Deutschland müssen zunächst prüfen, welche KI-Systeme sie entwickeln, vertreiben oder einsetzen – und in welche Risikoklasse diese fallen.

Praktische Schritte zur Compliance

KI-Inventar erstellen: Alle eingesetzten KI-Systeme erfassen und klassifizieren
Risikoanalyse durchführen: Jedes System einer Risikoklasse zuordnen
Verantwortlichkeiten definieren: Rollen als Anbieter, Betreiber, Importeur oder Händler klären
Dokumentation aufbauen: Technische Unterlagen und Nachweise systematisch erstellen
KI-Kompetenzen schulen: Mitarbeitende im Umgang mit KI weiterbilden (Pflicht seit Februar 2025)
Governance-Struktur etablieren: Verantwortliche Personen und Prozesse benennen
Verträge anpassen: Vereinbarungen mit KI-Anbietern und -Kunden überprüfen

Besonderheiten für Marketing und Datenverarbeitung

Viele Unternehmen setzen KI im Marketing ein – etwa für personalisierte Werbung, Lead-Scoring oder Content-Erstellung. Hier greifen neben dem KI-Gesetz auch die DSGVO und das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG). Wer beispielsweise KI für Linktracking und Analytics nutzt, sollte transparente Werkzeuge wählen. Dienste wie Lunyb bieten datenschutzfreundliche URL-Kürzung mit transparenten Analysen, ohne Nutzer durch KI-gestütztes Profiling zu belasten. Für gebrandete Kurzlinks ist dies besonders relevant.

Was ändert sich für Verbraucher?

Auch für Endnutzer bringt das KI-Gesetz spürbare Verbesserungen. Verbraucher erhalten neue Rechte und mehr Transparenz beim Umgang mit KI-Systemen.

Neue Rechte für Nutzer

Informationsrecht: Sie müssen erfahren, wenn Sie mit einem KI-System interagieren
Erklärungsrecht: Bei Entscheidungen durch Hochrisiko-KI können Sie eine Erklärung verlangen
Beschwerderecht: Beschwerden bei den zuständigen Aufsichtsbehörden sind möglich
Kennzeichnung: Deepfakes und KI-generierte Inhalte müssen erkennbar sein
Schutz vor Manipulation: Manipulative KI-Praktiken sind verboten

Diese Rechte ergänzen bestehende Datenschutzrechte aus der DSGVO, wie etwa das Recht auf Vergessenwerden.

Innovation und KI-Reallabore

Die EU möchte Innovation nicht ausbremsen. Das KI-Gesetz sieht daher sogenannte KI-Reallabore (AI Regulatory Sandboxes) vor, in denen Unternehmen – insbesondere Start-ups und KMU – neue KI-Systeme unter behördlicher Aufsicht testen können.

Vorteile von KI-Reallaboren

Rechtssichere Entwicklung innovativer KI-Systeme
Direkter Austausch mit Aufsichtsbehörden
Erleichterter Marktzugang nach erfolgreichem Test
Priorisierter Zugang für KMU und Start-ups

Jeder EU-Mitgliedstaat muss bis August 2026 mindestens ein nationales KI-Reallabor einrichten. In Deutschland wird dies voraussichtlich beim Bundesministerium für Wirtschaft und Klimaschutz angesiedelt.

Verhältnis zur DSGVO und anderen Gesetzen

Das KI-Gesetz ersetzt nicht die DSGVO oder andere bestehende Regelungen, sondern ergänzt diese. Bei KI-Systemen, die personenbezogene Daten verarbeiten, müssen beide Regelwerke parallel beachtet werden.

Wichtige Schnittstellen

DSGVO: Grundlage für die Verarbeitung personenbezogener Daten in KI-Systemen
Produkthaftungsrichtlinie: Haftung für fehlerhafte KI-Produkte
Digital Services Act: Regeln für Plattformen, die KI einsetzen
Cyber Resilience Act: Cybersicherheit von KI-Systemen

Bei Datenschutzverstößen durch KI-Systeme können Betroffene sowohl bei nationalen Datenschutzbehörden als auch bei den neuen KI-Aufsichtsbehörden Beschwerde einlegen. In Österreich etwa ist dies die österreichische Datenschutzbehörde.

Herausforderungen und Kritik

Das KI-Gesetz ist nicht unumstritten. Kritiker bemängeln verschiedene Aspekte der neuen Regulierung.

Hauptkritikpunkte

Bürokratischer Aufwand: Besonders für KMU und Start-ups könnten die Compliance-Kosten hoch sein
Rechtsunsicherheit: Viele Begriffe und Anforderungen sind noch auslegungsbedürftig
Internationale Wettbewerbsfähigkeit: Sorge vor Nachteilen gegenüber US- und China-Unternehmen
Ausnahmen für Strafverfolgung: Bürgerrechtsorganisationen kritisieren zu weitreichende Ausnahmen bei biometrischer Überwachung
Durchsetzung: Fehlende Ressourcen bei nationalen Aufsichtsbehörden

Praktische Vorbereitung: Checkliste für Unternehmen

Die folgende Checkliste hilft Unternehmen, die wichtigsten Schritte zur Vorbereitung auf das KI-Gesetz systematisch anzugehen.

KI-Strategie und -Richtlinien definieren
Alle eingesetzten KI-Systeme inventarisieren
Risikoklassifizierung für jedes System durchführen
Lücken zur Compliance identifizieren
Verantwortliche Person für KI-Governance benennen
Mitarbeitende zu KI-Kompetenzen schulen
Technische Dokumentation aufbauen
Verträge mit KI-Anbietern und Dienstleistern prüfen
Transparenz- und Informationspflichten umsetzen
Prozesse zur menschlichen Aufsicht etablieren
Meldewege für KI-Vorfälle einrichten
Regelmäßige Compliance-Reviews planen

Häufig gestellte Fragen (FAQ)

Ab wann gilt das KI-Gesetz der EU vollständig?

Das KI-Gesetz trat am 1. August 2024 in Kraft und wird gestaffelt umgesetzt. Die Verbote unannehmbarer Praktiken gelten seit Februar 2025, die Regeln für generative KI seit August 2025. Die meisten Pflichten für Hochrisiko-KI werden ab August 2026 wirksam, die vollständige Umsetzung erfolgt bis August 2027.

Gilt das KI-Gesetz auch für Unternehmen außerhalb der EU?

Ja. Das KI-Gesetz hat eine extraterritoriale Wirkung ähnlich wie die DSGVO. Es gilt für alle Anbieter, die KI-Systeme in der EU in Verkehr bringen oder deren Ergebnisse in der EU genutzt werden – unabhängig vom Sitz des Unternehmens. US-Unternehmen wie OpenAI, Google oder Meta müssen die Vorgaben also ebenfalls einhalten.

Welche Strafen drohen bei Verstößen gegen das KI-Gesetz?

Bei Einsatz verbotener KI-Praktiken drohen Bußgelder von bis zu 35 Millionen Euro oder 7% des weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ist. Verstöße gegen Hochrisiko-Pflichten können mit bis zu 15 Millionen Euro oder 3% des Umsatzes geahndet werden. Für KMU und Start-ups gelten reduzierte Sätze.

Muss ich meine Mitarbeitenden in KI-Kompetenzen schulen?

Ja, seit dem 2. Februar 2025 besteht eine Pflicht zur Sicherstellung ausreichender KI-Kompetenzen bei allen Mitarbeitenden, die mit KI-Systemen arbeiten. Dies gilt für alle Unternehmen, die KI einsetzen – unabhängig von Größe oder Branche. Die Schulungstiefe sollte sich am konkreten Einsatzgebiet und Risikoprofil orientieren.

Wie unterscheidet sich das KI-Gesetz von der DSGVO?

Die DSGVO regelt den Schutz personenbezogener Daten, das KI-Gesetz hingegen die Sicherheit und Grundrechtskonformität von KI-Systemen – unabhängig davon, ob personenbezogene Daten verarbeitet werden. Beide Regelwerke gelten parallel: Verarbeitet eine KI personenbezogene Daten, müssen Unternehmen sowohl DSGVO- als auch KI-Gesetz-Anforderungen erfüllen.

Fazit

Das KI-Gesetz der EU markiert einen Wendepunkt in der Regulierung künstlicher Intelligenz. Für Unternehmen bedeutet es zusätzlichen Aufwand, aber auch Rechtssicherheit und einen klaren Rahmen für innovative KI-Anwendungen. Verbraucher profitieren von mehr Transparenz, Schutz vor Diskriminierung und neuen Rechten. Wer jetzt proaktiv handelt, seine KI-Systeme klassifiziert und Compliance-Strukturen aufbaut, kann die Übergangsphase bis 2027 gut nutzen. Die wichtigste Erkenntnis: KI-Governance ist kein einmaliges Projekt, sondern ein kontinuierlicher Prozess – vergleichbar mit dem Datenschutz-Management nach DSGVO.