KI-Gesetz der EU: Was Sich 2026 Ändert (Vollständiger Leitfaden)

Das KI-Gesetz der EU (offiziell: AI Act) ist die weltweit erste umfassende Regulierung für Künstliche Intelligenz. Nach der Verabschiedung im Jahr 2024 treten die zentralen Bestimmungen schrittweise bis 2026 und darüber hinaus in Kraft. Für Unternehmen, Entwickler und Nutzer in Deutschland und der gesamten EU bedeutet das grundlegende Veränderungen im Umgang mit KI-Systemen.

In diesem Leitfaden erfahren Sie, welche konkreten Änderungen das KI-Gesetz mit sich bringt, welche Risikoklassen unterschieden werden, welche Fristen gelten und wie Sie Ihr Unternehmen rechtzeitig anpassen können.

Was ist das KI-Gesetz der EU?

Das KI-Gesetz der EU (Verordnung 2024/1689) ist eine europaweite Regulierung, die den Einsatz von Künstlicher Intelligenz nach einem risikobasierten Ansatz regelt. Ziel ist es, Grundrechte, Sicherheit und Vertrauen in KI-Technologien zu schützen, ohne Innovation zu bremsen.

Die Verordnung wurde am 13. Juni 2024 verabschiedet und trat am 1. August 2024 in Kraft. Die einzelnen Bestimmungen greifen jedoch gestaffelt, sodass Unternehmen Zeit haben, sich anzupassen.

Geltungsbereich des KI-Gesetzes

Das Gesetz gilt für:

Anbieter von KI-Systemen, die in der EU auf den Markt gebracht werden
Betreiber von KI-Systemen mit Sitz in der EU
Anbieter aus Drittstaaten, deren Systeme in der EU genutzt werden
Importeure und Händler von KI-Systemen

Das bedeutet: Auch US-amerikanische oder asiatische Unternehmen, die KI-Dienste in der EU anbieten, müssen sich an die Regeln halten.

Die vier Risikoklassen des KI-Gesetzes

Das Herzstück des KI-Gesetzes ist die Einteilung von KI-Systemen in vier Risikoklassen. Je höher das Risiko, desto strenger die Anforderungen.

Risikoklasse	Beispiele	Regulierung
Unannehmbares Risiko	Social Scoring, manipulative KI, Emotionserkennung am Arbeitsplatz	Verboten
Hohes Risiko	KI in kritischer Infrastruktur, Bildung, Personalwesen, Justiz	Strenge Auflagen, Konformitätsbewertung
Begrenztes Risiko	Chatbots, Deepfakes, generative KI	Transparenzpflichten
Minimales Risiko	Spam-Filter, KI in Videospielen	Keine besonderen Pflichten

Verbotene KI-Praktiken

Ab dem 2. Februar 2025 sind bestimmte KI-Anwendungen komplett verboten:

Social Scoring durch Behörden nach chinesischem Vorbild
Manipulative KI-Systeme, die das Verhalten von Menschen unterschwellig beeinflussen
Biometrische Kategorisierung nach sensiblen Merkmalen wie Religion oder sexueller Orientierung
Ungezielte Gesichtserkennung durch Scraping aus dem Internet
Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen
Predictive Policing allein auf Basis von Profiling

Zeitplan: Wann tritt was in Kraft?

Das KI-Gesetz wird gestaffelt umgesetzt. Hier die wichtigsten Fristen im Überblick:

Datum	Was tritt in Kraft?
1. August 2024	Verordnung tritt formell in Kraft
2. Februar 2025	Verbot bestimmter KI-Praktiken, KI-Kompetenzpflicht
2. August 2025	Regeln für General-Purpose-AI-Modelle (GPAI), Sanktionen
2. August 2026	Hauptanwendung: Pflichten für Hochrisiko-KI-Systeme
2. August 2027	Verlängerte Übergangsfrist für bestimmte Hochrisiko-Systeme

Pflichten für Unternehmen

Unternehmen, die KI einsetzen oder entwickeln, müssen je nach Risikoklasse unterschiedliche Anforderungen erfüllen. Besonders bei Hochrisiko-Systemen sind die Pflichten umfangreich.

Anforderungen an Hochrisiko-KI-Systeme

Anbieter von Hochrisiko-KI müssen folgende Pflichten erfüllen:

Risikomanagementsystem etablieren und dokumentieren
Datenqualität sicherstellen: Trainingsdaten müssen relevant, repräsentativ und fehlerfrei sein
Technische Dokumentation erstellen und aktuell halten
Automatische Protokollierung von Ereignissen und Entscheidungen
Transparenz gegenüber Nutzern gewährleisten
Menschliche Aufsicht ermöglichen
Genauigkeit, Robustheit und Cybersicherheit sicherstellen
Konformitätsbewertung vor Markteinführung durchführen
CE-Kennzeichnung anbringen
Registrierung in EU-Datenbank

Transparenzpflichten für generative KI

Für Systeme mit begrenztem Risiko – etwa ChatGPT, Bildgeneratoren oder Chatbots – gelten spezielle Transparenzregeln:

Nutzer müssen darüber informiert werden, dass sie mit einer KI interagieren
KI-generierte Inhalte müssen als solche gekennzeichnet werden
Deepfakes müssen klar als künstlich erzeugt markiert sein
Trainingsdaten von GPAI-Modellen müssen offengelegt werden (Zusammenfassung)

KI-Kompetenzpflicht: Was Unternehmen jetzt tun müssen

Bereits seit dem 2. Februar 2025 gilt die sogenannte KI-Kompetenzpflicht (Art. 4 KI-VO). Unternehmen müssen sicherstellen, dass ihre Mitarbeiter, die mit KI-Systemen arbeiten, über ausreichende Kompetenz verfügen.

Was bedeutet KI-Kompetenz konkret?

Beschäftigte müssen verstehen:

Wie das eingesetzte KI-System funktioniert
Welche Chancen und Risiken damit verbunden sind
Wie Ergebnisse interpretiert und überprüft werden
Welche rechtlichen und ethischen Rahmenbedingungen gelten

Für Unternehmen bedeutet das: Schulungsprogramme aufsetzen, Dokumentationen erstellen und regelmäßige Weiterbildung sicherstellen.

Sanktionen bei Verstößen

Das KI-Gesetz sieht empfindliche Strafen vor – ähnlich wie die DSGVO. Die Höhe der Bußgelder hängt von der Art des Verstoßes ab:

Verstoß	Maximale Strafe
Verbotene KI-Praktiken	Bis zu 35 Mio. € oder 7 % des weltweiten Jahresumsatzes
Verstoß gegen Hochrisiko-Pflichten	Bis zu 15 Mio. € oder 3 % des Jahresumsatzes
Falsche Informationen an Behörden	Bis zu 7,5 Mio. € oder 1 % des Jahresumsatzes

Für kleine und mittlere Unternehmen (KMU) gelten reduzierte Sätze, um sie vor Existenzgefährdung zu schützen.

Auswirkungen auf Verbraucher

Für Bürgerinnen und Bürger in Deutschland und der EU bringt das KI-Gesetz spürbare Verbesserungen beim Schutz der Grundrechte:

Neue Rechte für Verbraucher

Recht auf Erklärung: Bei Entscheidungen durch Hochrisiko-KI (z.B. Kreditvergabe) haben Betroffene Anspruch auf eine verständliche Erklärung
Recht auf Beschwerde: Verstöße können bei nationalen Aufsichtsbehörden gemeldet werden
Transparenz: Klare Kennzeichnung von KI-Interaktionen und -Inhalten
Schutz vor Manipulation: Verbot manipulativer Systeme

Wer den Verdacht hat, dass ein KI-System DSGVO-Verstöße begeht, kann sich zusätzlich an die zuständige Datenschutzbehörde wenden. Ein ähnliches Verfahren wie bei der Beschwerde bei der österreichischen Datenschutzbehörde gilt auch in Deutschland beim BfDI.

KI-Gesetz und Datenschutz: Das Zusammenspiel mit der DSGVO

Das KI-Gesetz ersetzt nicht die DSGVO, sondern ergänzt sie. Wenn KI-Systeme personenbezogene Daten verarbeiten, gelten beide Regelwerke parallel.

Wichtige Überschneidungen

Datenschutz-Folgenabschätzung (DSFA): Für Hochrisiko-KI mit personenbezogenen Daten ist eine DSFA nach DSGVO Pflicht
Rechtsgrundlage: Der Einsatz von KI muss eine Rechtsgrundlage nach Art. 6 DSGVO haben
Automatisierte Entscheidungen: Art. 22 DSGVO gilt weiterhin für vollautomatisierte Entscheidungen
Betroffenenrechte: Auskunft, Berichtigung und Löschung bleiben bestehen

Wer KI datenschutzkonform einsetzen will, sollte zusätzlich auf sichere Datenübertragung achten. Techniken wie Ende-zu-Ende-Verschlüsselung schützen sensible Daten vor unbefugtem Zugriff – auch beim Training von KI-Modellen.

Praxis: So bereiten Sie Ihr Unternehmen vor

Die Umsetzung des KI-Gesetzes ist komplex, aber mit einem strukturierten Vorgehen machbar. Folgende Schritte empfehlen wir:

7-Schritte-Plan zur Compliance

KI-Inventar erstellen: Erfassen Sie alle KI-Systeme im Unternehmen
Risikoklassifizierung: Ordnen Sie jedes System einer Risikoklasse zu
Gap-Analyse: Vergleichen Sie den Ist-Zustand mit den gesetzlichen Anforderungen
Governance etablieren: Benennen Sie Verantwortliche und Prozesse
Dokumentation aufbauen: Erstellen Sie technische Dokumentationen und Risikoanalysen
Schulungen durchführen: Trainieren Sie Mitarbeiter in KI-Kompetenz
Kontinuierliches Monitoring: Überwachen Sie KI-Systeme im laufenden Betrieb

Vorteile und Herausforderungen im Überblick

Vorteile des KI-Gesetzes:

Rechtssicherheit für Unternehmen und Nutzer
Vertrauensaufbau durch klare Regeln
Schutz von Grundrechten
Einheitlicher Binnenmarkt für KI
Wettbewerbsvorteil durch "Trustworthy AI Made in Europe"

Herausforderungen:

Hoher Compliance-Aufwand, besonders für KMU
Komplexe Risikoklassifizierung in Grenzfällen
Möglicher Innovationsnachteil gegenüber USA/China
Unklarheit bei manchen Auslegungsfragen
Nationale Umsetzungslücken

Auswirkungen auf digitale Werkzeuge und Dienste

Auch alltägliche digitale Dienste sind vom KI-Gesetz betroffen. Viele Plattformen setzen KI ein, um Inhalte zu analysieren, zu personalisieren oder zu moderieren. Anbieter müssen künftig transparenter darüber informieren, wo und wie KI eingesetzt wird.

Auch bei der Wahl von Online-Tools lohnt es sich, auf datenschutzfreundliche Anbieter zu setzen. Lunyb etwa bietet einen datenschutzorientierten URL-Shortener, der ohne Profiling und ohne Tracking-Cookies auskommt – ein Ansatz, der gut zum Geist des KI-Gesetzes passt. Wer Alternativen vergleicht, findet in unserem Beitrag zu Bitly vs TinyURL eine Übersicht.

Zuständige Behörden in Deutschland

Die nationale Umsetzung des KI-Gesetzes wird in Deutschland voraussichtlich durch mehrere Behörden erfolgen:

Bundesnetzagentur: Vorgesehen als zentrale KI-Aufsichtsbehörde
BfDI: Zuständig bei datenschutzrechtlichen Aspekten
Landesdatenschutzbehörden: Regional zuständig
BaFin: Für KI im Finanzsektor
BSI: Bei Fragen zur IT-Sicherheit von KI-Systemen

Auf europäischer Ebene wurde das AI Office bei der EU-Kommission eingerichtet, das die einheitliche Anwendung der Verordnung koordiniert.

Verbraucherschutz: Ihre digitale Souveränität stärken

Das KI-Gesetz schützt Verbraucher, doch jeder Einzelne kann selbst viel für den Schutz seiner Daten tun. Der bewusste Umgang mit dem eigenen digitalen Fußabdruck ist essenziell – gerade weil KI-Systeme aus jeder Datenspur lernen.

Empfohlene Maßnahmen:

Datenschutzeinstellungen in Diensten regelmäßig prüfen
Sparsame Datenweitergabe an KI-Chatbots
Auf Kennzeichnung von KI-generierten Inhalten achten
Rechte auf Auskunft und Löschung nutzen
Bei Verstößen Beschwerde einreichen

Häufig gestellte Fragen (FAQ)

Ab wann gilt das KI-Gesetz für mein Unternehmen?

Das KI-Gesetz gilt bereits seit dem 1. August 2024. Die meisten Pflichten – insbesondere für Hochrisiko-KI-Systeme – werden am 2. August 2026 verbindlich. Verbote bestimmter KI-Praktiken und die KI-Kompetenzpflicht gelten bereits seit dem 2. Februar 2025. GPAI-Regeln greifen seit dem 2. August 2025.

Was passiert, wenn mein Unternehmen gegen das KI-Gesetz verstößt?

Verstöße können mit Bußgeldern von bis zu 35 Mio. € oder 7 % des weltweiten Jahresumsatzes geahndet werden – je nachdem, welcher Betrag höher ist. Für kleine und mittlere Unternehmen gelten reduzierte Sätze. Zusätzlich drohen Anordnungen zur Marktrücknahme und Reputationsschäden.

Gilt das KI-Gesetz auch für Unternehmen außerhalb der EU?

Ja. Sobald ein KI-System in der EU auf den Markt gebracht wird oder seine Ergebnisse in der EU genutzt werden, gilt das KI-Gesetz – unabhängig vom Sitz des Anbieters. US-amerikanische, britische oder asiatische Unternehmen müssen also ebenfalls die Regeln einhalten, ähnlich wie bei der DSGVO.

Muss ich als Nutzer von ChatGPT etwas beachten?

Als privater Nutzer müssen Sie das KI-Gesetz nicht selbst umsetzen. Anbieter wie OpenAI sind jedoch verpflichtet, Sie transparent über die KI-Nutzung zu informieren und generierte Inhalte zu kennzeichnen. Nutzen Sie ChatGPT beruflich, sollten Sie prüfen, ob die KI-Kompetenzpflicht Ihres Arbeitgebers greift.

Wie unterscheidet sich das KI-Gesetz von der DSGVO?

Die DSGVO regelt den Schutz personenbezogener Daten, das KI-Gesetz regelt spezifisch den Einsatz von KI-Systemen – unabhängig davon, ob personenbezogene Daten verarbeitet werden. Beide Regelwerke gelten parallel. Werden mit KI personenbezogene Daten verarbeitet, müssen Sie beide Verordnungen einhalten.

Fazit

Das KI-Gesetz der EU ist ein Meilenstein in der Regulierung von Künstlicher Intelligenz. Es schafft weltweit einmalige Standards für vertrauenswürdige KI und schützt Grundrechte, ohne Innovation abzuwürgen. Für Unternehmen bedeutet die Umsetzung Aufwand, bietet aber auch die Chance, sich durch verantwortungsvollen KI-Einsatz zu differenzieren.

Beginnen Sie jetzt mit der Vorbereitung: Erstellen Sie ein KI-Inventar, klassifizieren Sie Ihre Systeme, schulen Sie Ihre Mitarbeiter und etablieren Sie eine KI-Governance. So sind Sie bis August 2026 bereit – und profitieren gleichzeitig vom Wettbewerbsvorteil einer datenschutzfreundlichen, transparenten KI-Nutzung.