KI-Gesetz der EU: Was Sich 2026 für Unternehmen Ändert

Mit dem KI-Gesetz der EU (AI Act) wurde erstmals ein umfassender Rechtsrahmen für Künstliche Intelligenz geschaffen. Für Unternehmen in Deutschland und ganz Europa bedeutet das: neue Pflichten, klare Risikoklassen und empfindliche Bußgelder bei Verstößen. In diesem Leitfaden erfahren Sie, was sich konkret ändert, welche Fristen gelten und wie Sie Ihr Unternehmen rechtssicher aufstellen.

Was ist das KI-Gesetz der EU?

Das KI-Gesetz der EU (offiziell: Verordnung (EU) 2024/1689, auch "AI Act" genannt) ist die weltweit erste umfassende Regulierung für Künstliche Intelligenz. Es trat am 1. August 2024 in Kraft und wird stufenweise bis 2027 vollständig anwendbar. Ziel ist es, vertrauenswürdige KI zu fördern und gleichzeitig Grundrechte, Sicherheit und demokratische Werte zu schützen.

Das Gesetz gilt direkt in allen EU-Mitgliedstaaten und betrifft nicht nur Entwickler von KI-Systemen, sondern auch Betreiber, Importeure und Händler. Entscheidend: Auch Unternehmen außerhalb der EU unterliegen der Verordnung, sobald ihre KI-Systeme in der EU eingesetzt werden oder deren Ergebnisse hier verwendet werden – ähnlich dem Marktortprinzip der DSGVO.

Wer ist vom KI-Gesetz betroffen?

Anbieter von KI-Systemen (Entwickler, Hersteller)
Betreiber, die KI-Systeme in beruflicher Tätigkeit einsetzen
Importeure und Händler von KI-Systemen auf dem EU-Markt
Bevollmächtigte Vertreter von Drittlands-Anbietern
Produkthersteller, die KI in ihre Produkte integrieren

Der risikobasierte Ansatz: Vier Klassen von KI-Systemen

Das Herzstück des KI-Gesetzes ist ein risikobasierter Ansatz. KI-Systeme werden in vier Kategorien eingeteilt, an die jeweils unterschiedliche Pflichten geknüpft sind.

Risikoklasse	Beispiele	Rechtsfolge
Unannehmbares Risiko	Social Scoring, manipulative KI, biometrische Massenüberwachung	Verboten
Hohes Risiko	KI in Personalwesen, Kreditvergabe, Medizinprodukten, kritischer Infrastruktur	Strenge Pflichten, Konformitätsbewertung
Begrenztes Risiko	Chatbots, Deepfakes, emotionserkennende Systeme	Transparenzpflichten
Minimales Risiko	Spamfilter, KI in Videospielen	Keine spezifischen Pflichten

Verbotene KI-Praktiken (seit Februar 2025)

Seit dem 2. Februar 2025 sind bestimmte KI-Anwendungen in der EU vollständig verboten. Dazu gehören:

Systeme zur unterschwelligen Beeinflussung von Personen
Ausnutzung von Schwächen bestimmter Personengruppen (z. B. Kinder)
Social Scoring durch öffentliche oder private Akteure
Predictive Policing allein auf Basis von Profilerstellung
Ungezieltes Auslesen von Gesichtsbildern aus dem Internet
Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen
Biometrische Kategorisierung nach sensiblen Merkmalen
Biometrische Echtzeit-Identifizierung im öffentlichen Raum (mit engen Ausnahmen)

Hochrisiko-KI: Die wichtigsten Pflichten

Der größte Teil der Verordnung widmet sich Hochrisiko-KI-Systemen. Hier gelten weitreichende Anforderungen, bevor ein System auf den Markt gebracht werden darf.

Pflichten für Anbieter von Hochrisiko-KI

Risikomanagementsystem über den gesamten Lebenszyklus
Daten-Governance: hochwertige, repräsentative Trainingsdaten
Technische Dokumentation gemäß Anhang IV
Automatische Protokollierung (Logging) der Systemaktivitäten
Transparenz und Bereitstellung von Informationen für Betreiber
Menschliche Aufsicht muss möglich und effektiv sein
Genauigkeit, Robustheit und Cybersicherheit
Konformitätsbewertungsverfahren vor Inverkehrbringen
CE-Kennzeichnung und Registrierung in der EU-Datenbank

Pflichten für Betreiber

Auch Unternehmen, die Hochrisiko-KI lediglich einsetzen – etwa im Recruiting oder bei Kreditentscheidungen – trifft eine Reihe von Pflichten: Betrieb gemäß Herstelleranweisungen, menschliche Aufsicht sicherstellen, Protokolle aufbewahren, Beschäftigte informieren und bei bestimmten Anwendungen eine Grundrechte-Folgenabschätzung durchführen.

Allzweck-KI (GPAI) und Foundation Models

Ein eigenes Kapitel widmet das KI-Gesetz Allzweck-KI-Modellen (General Purpose AI, GPAI) wie GPT-4, Claude oder Gemini. Diese Modelle können für viele Zwecke eingesetzt werden und bergen daher besondere Risiken.

Grundpflichten für alle GPAI-Anbieter

Technische Dokumentation des Modells
Informationen für nachgelagerte Anbieter
Richtlinie zur Einhaltung des Urheberrechts
Öffentlich zugängliche Zusammenfassung der Trainingsdaten

Verschärfte Pflichten bei systemischem Risiko

Modelle mit systemischem Risiko (Rechenleistung über 10^25 FLOPs beim Training) müssen zusätzlich Modellbewertungen, Angriffstests (Red Teaming), Risikobewertungen und Meldungen schwerwiegender Vorfälle an das EU-KI-Büro durchführen.

Zeitplan: Wann gelten welche Regeln?

Das KI-Gesetz wird gestaffelt wirksam. Unternehmen sollten die Fristen genau im Blick behalten:

Datum	Was gilt?
1. August 2024	Inkrafttreten der Verordnung
2. Februar 2025	Verbote und KI-Kompetenzpflicht gelten
2. August 2025	Regeln für GPAI, Governance, Sanktionen
2. August 2026	Vollständige Anwendung (inkl. Hochrisiko-KI nach Anhang III)
2. August 2027	Hochrisiko-KI in regulierten Produkten (Anhang I)

Bußgelder und Sanktionen

Die Strafen des KI-Gesetzes übertreffen sogar die der DSGVO. Je nach Verstoß drohen:

Bis zu 35 Mio. € oder 7 % des weltweiten Jahresumsatzes bei Verstößen gegen Verbote
Bis zu 15 Mio. € oder 3 % des Umsatzes bei Verstößen gegen sonstige Pflichten (z. B. Hochrisiko-Anforderungen)
Bis zu 7,5 Mio. € oder 1 % des Umsatzes bei falschen oder irreführenden Informationen an Behörden

Für KMU und Start-ups gelten die jeweils niedrigeren Beträge, um Innovation nicht übermäßig zu belasten.

Zuständige Behörden in Deutschland

In Deutschland wird die Marktaufsicht voraussichtlich zwischen Bundesnetzagentur (als zentrale Koordinierungsstelle) und sektorspezifischen Behörden aufgeteilt. Für datenschutzbezogene Aspekte bleibt die Zusammenarbeit mit der/dem BfDI (Bundesbeauftragte für den Datenschutz und die Informationsfreiheit) und den Landesdatenschutzbehörden zentral. Das KI-Gesetz ergänzt die DSGVO, ersetzt sie aber nicht – beide Regelwerke gelten parallel.

Transparenzpflichten: Was Nutzer wissen müssen

Unabhängig von der Risikoklasse gelten für viele KI-Systeme Transparenzpflichten:

Chatbots: Nutzer müssen erkennen, dass sie mit einer KI interagieren.
Deepfakes: Künstlich erzeugte oder manipulierte Inhalte müssen als solche gekennzeichnet werden.
KI-generierte Texte zu Themen von öffentlichem Interesse müssen als KI-generiert markiert sein.
Emotionserkennung und biometrische Kategorisierung erfordern aktive Information der Betroffenen.

Diese Kennzeichnungspflichten greifen besonders bei Marketing, Social Media und journalistischen Inhalten. Wer etwa KI-Bilder einsetzt, sollte auch an Werkzeuge zur umgekehrten Bildersuche denken, um Herkunft und Verbreitung von Inhalten nachvollziehen zu können.

KI-Kompetenz als neue Pflicht

Seit Februar 2025 verpflichtet Artikel 4 des KI-Gesetzes Anbieter und Betreiber, für ein ausreichendes Maß an "KI-Kompetenz" (AI Literacy) ihres Personals zu sorgen. Konkret bedeutet das:

Schulungen für Mitarbeitende, die mit KI arbeiten
Berücksichtigung von technischem Vorwissen, Kontext und betroffenen Personen
Dokumentation der Maßnahmen

Diese Pflicht gilt unabhängig von der Unternehmensgröße und sollte zeitnah umgesetzt werden.

Praktische Umsetzung: Checkliste für Unternehmen

Die folgende Schritt-für-Schritt-Anleitung hilft Ihnen, die Anforderungen des KI-Gesetzes systematisch zu erfüllen:

Inventarisierung: Erfassen Sie alle KI-Systeme im Unternehmen (auch SaaS-Dienste mit KI-Komponenten).
Klassifizierung: Ordnen Sie jedes System einer Risikoklasse zu.
Rollenklärung: Sind Sie Anbieter, Betreiber oder beides?
Gap-Analyse: Welche Pflichten erfüllen Sie bereits, wo besteht Handlungsbedarf?
Governance aufsetzen: Verantwortlichkeiten, Prozesse und Dokumentation definieren.
Schulungen durchführen: KI-Kompetenz nachweislich aufbauen.
Lieferantenverträge prüfen: Pflichten entlang der Wertschöpfungskette weiterreichen.
Monitoring etablieren: Vorfälle, Beschwerden und Modellperformance kontinuierlich überwachen.

Datenschutz und Datensicherheit als Grundlage

Das KI-Gesetz steht in engem Zusammenhang mit der DSGVO. Jedes KI-System, das personenbezogene Daten verarbeitet, muss beide Regelwerke erfüllen. Dazu gehören Rechtsgrundlage, Zweckbindung, Datenminimierung, Betroffenenrechte und – bei hohem Risiko – eine Datenschutz-Folgenabschätzung.

Gerade bei öffentlich geteilten KI-Inhalten, Marketinglinks oder Analysen lohnt sich der Einsatz datenschutzfreundlicher Werkzeuge. Dienste wie Lunyb ermöglichen etwa das Kürzen und Analysieren von Links, ohne unnötige Tracker einzusetzen – ein wichtiger Baustein für eine datenschutzkonforme digitale Kommunikation. Mehr dazu auch in unserem Vergleich der besten Link-Tracking-Tools 2026 und der datenschutzfreundlichsten Browser.

Vorteile und Herausforderungen des KI-Gesetzes

Vorteile

Rechtssicherheit und einheitlicher Binnenmarkt für KI
Stärkung des Vertrauens in KI-Anwendungen
Schutz von Grundrechten und demokratischen Werten
Wettbewerbsvorteil für verantwortungsvolle Anbieter
Klare Haftungsstrukturen entlang der Lieferkette

Herausforderungen

Hoher Dokumentations- und Compliance-Aufwand
Unklare Auslegungsfragen in der Übergangsphase
Mögliche Innovationsbremse für kleinere Anbieter
Internationale Fragmentierung (EU vs. USA vs. China)
Schnelle technologische Entwicklung vs. starrer Rechtsrahmen

Was Marketing- und Produktteams jetzt tun sollten

Für Marketing- und Produktteams ergeben sich konkrete Handlungsempfehlungen: KI-generierte Inhalte transparent kennzeichnen, Deepfake-Richtlinien im Unternehmen etablieren, Chatbots mit klaren Hinweisen versehen und Trainingsdaten rechtssicher beschaffen. Auch beim Aufbau digitaler Präsenz – etwa über eine Link-in-Bio-Seite – sollten KI-Elemente dokumentiert und erklärbar sein.

Häufig gestellte Fragen (FAQ)

Gilt das KI-Gesetz auch für Unternehmen außerhalb der EU?

Ja. Das KI-Gesetz folgt dem Marktortprinzip. Sobald ein KI-System in der EU in Verkehr gebracht, in Betrieb genommen wird oder seine Ergebnisse in der EU verwendet werden, gilt die Verordnung – unabhängig vom Sitz des Anbieters. Drittlands-Anbieter benötigen zudem einen bevollmächtigten Vertreter in der EU.

Wie unterscheidet sich das KI-Gesetz von der DSGVO?

Die DSGVO regelt den Schutz personenbezogener Daten, während das KI-Gesetz die Sicherheit und Vertrauenswürdigkeit von KI-Systemen regelt – auch bei nicht-personenbezogenen Daten. Beide Regelwerke gelten parallel. Ein KI-System, das Personendaten verarbeitet, muss beide erfüllen.

Was gilt für Open-Source-KI?

Open-Source-KI-Modelle sind grundsätzlich von vielen Pflichten befreit, solange sie nicht als Hochrisiko-System eingesetzt werden oder systemisches Risiko darstellen. Werden sie jedoch kommerziell integriert oder für kritische Anwendungen genutzt, gelten die vollen Pflichten für den jeweiligen Anbieter oder Betreiber.

Ab wann drohen Bußgelder nach dem KI-Gesetz?

Die Sanktionsvorschriften gelten seit dem 2. August 2025. Verstöße gegen die bereits geltenden Verbote (seit Februar 2025) können somit seit Sommer 2025 geahndet werden. Weitere Pflichten werden mit den jeweiligen Stufen 2026 und 2027 sanktionsbewehrt.

Müssen auch kleine Unternehmen das KI-Gesetz umsetzen?

Ja, das KI-Gesetz gilt unabhängig von der Unternehmensgröße. Für KMU und Start-ups gibt es jedoch Erleichterungen: reduzierte Bußgeldobergrenzen, vereinfachte Dokumentation sowie regulatorische Sandkästen ("Reallabore"), die von den Mitgliedstaaten eingerichtet werden müssen.

Fazit

Das KI-Gesetz der EU markiert einen Wendepunkt in der Regulierung Künstlicher Intelligenz. Unternehmen, die frühzeitig handeln, profitieren von Rechtssicherheit, Vertrauen bei Kunden und einem klaren Wettbewerbsvorteil. Beginnen Sie jetzt mit der Inventarisierung Ihrer KI-Systeme, bauen Sie KI-Kompetenz auf und etablieren Sie eine belastbare Governance – so sind Sie für die kommenden Umsetzungsstufen gerüstet.