KI-Gesetz der EU: Was sich 2026 für Unternehmen und Nutzer ändert

Das KI-Gesetz der EU (AI Act) ist die weltweit erste umfassende Regulierung künstlicher Intelligenz. Seit August 2024 schrittweise in Kraft, bringt es 2026 die ersten weitreichenden Pflichten für Unternehmen, Entwickler und Nutzer von KI-Systemen in der Europäischen Union mit sich. In diesem Artikel erfahren Sie, was sich konkret ändert, welche Risikoklassen es gibt und welche Konsequenzen Verstöße nach sich ziehen.

Was ist das KI-Gesetz der EU?

Das KI-Gesetz der EU, offiziell Regulation (EU) 2024/1689, ist ein horizontaler Rechtsrahmen, der den Einsatz und die Entwicklung künstlicher Intelligenz in allen Mitgliedstaaten reguliert. Es wurde am 13. März 2024 vom Europäischen Parlament verabschiedet und trat am 1. August 2024 in Kraft. Ziel ist es, Innovation zu fördern und gleichzeitig Grundrechte, Sicherheit und demokratische Werte zu schützen.

Das Gesetz verfolgt einen risikobasierten Ansatz: Je höher das potenzielle Risiko eines KI-Systems für Menschen und Gesellschaft, desto strenger die Anforderungen. Dieser Ansatz unterscheidet die europäische Regulierung grundlegend von weniger strukturierten Rahmenwerken in anderen Weltregionen.

Zeitplan der Umsetzung

Februar 2025: Verbot verbotener KI-Praktiken (Artikel 5) tritt in Kraft
August 2025: Regeln für General Purpose AI (GPAI) wie ChatGPT, Gemini und Claude gelten
August 2026: Hauptteil des Gesetzes gilt – inkl. Hochrisiko-Systeme
August 2027: Vollständige Anwendung aller Vorschriften

Die vier Risikoklassen des KI-Gesetzes

Das KI-Gesetz teilt KI-Systeme in vier Kategorien ein, die jeweils unterschiedliche rechtliche Konsequenzen haben. Dieses Modell bildet das Rückgrat der Regulierung.

1. Unannehmbares Risiko (verbotene KI)

Diese KI-Systeme sind in der EU grundsätzlich verboten. Dazu gehören:

Social Scoring durch staatliche Stellen
Manipulative KI, die vulnerable Gruppen ausnutzt
Biometrische Echtzeit-Fernidentifizierung im öffentlichen Raum (mit engen Ausnahmen für Strafverfolgung)
Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen
Ungezieltes Scraping von Gesichtsbildern zur Erstellung von Datenbanken
Predictive Policing basierend ausschließlich auf Profiling

2. Hohes Risiko

Hochrisiko-KI ist erlaubt, aber stark reguliert. Dazu zählen Systeme in Bereichen wie:

Kritische Infrastruktur (Strom, Verkehr, Wasser)
Bildung und Berufsausbildung (z. B. Prüfungsbewertung)
Beschäftigung und Personalwesen (z. B. Recruiting-Algorithmen)
Zugang zu wesentlichen Diensten (Kredit-Scoring, Sozialleistungen)
Strafverfolgung und Justiz
Migration und Grenzkontrolle
Medizinprodukte und Fahrzeugsicherheit

3. Begrenztes Risiko

Hier gelten vor allem Transparenzpflichten. Nutzer müssen darüber informiert werden, dass sie mit einer KI interagieren. Betroffen sind etwa Chatbots, Deepfakes und KI-generierte Inhalte.

4. Minimales Risiko

Die große Mehrheit aller KI-Anwendungen fällt in diese Kategorie – darunter Spam-Filter, KI in Videospielen und einfache Empfehlungssysteme. Hier gelten keine zusätzlichen Pflichten über das allgemeine Recht hinaus.

Vergleich der Pflichten nach Risikoklasse

Risikoklasse	Beispiele	Hauptpflichten	Strafen
Unannehmbar	Social Scoring, manipulative KI	Vollständiges Verbot	Bis 35 Mio. € oder 7 % Umsatz
Hoch	Recruiting, Medizin, Kredit-Scoring	Konformitätsbewertung, Risikomanagement, Dokumentation	Bis 15 Mio. € oder 3 % Umsatz
Begrenzt	Chatbots, Deepfakes	Transparenz- und Kennzeichnungspflicht	Bis 7,5 Mio. € oder 1 % Umsatz
Minimal	Spam-Filter, KI in Spielen	Freiwillige Verhaltenskodizes	Keine spezifischen

Was ändert sich 2026 konkret für Unternehmen?

Ab dem 2. August 2026 gelten die Vorschriften für Hochrisiko-KI vollständig. Unternehmen, die solche Systeme entwickeln, importieren oder einsetzen, müssen umfangreiche Anforderungen erfüllen.

Pflichten für Anbieter von Hochrisiko-KI

Risikomanagementsystem: Kontinuierliche Identifikation und Minderung von Risiken über den gesamten Lebenszyklus
Datenqualität: Trainings-, Validierungs- und Testdaten müssen relevant, repräsentativ und möglichst fehlerfrei sein
Technische Dokumentation: Umfassende Dokumentation vor Markteinführung
Protokollierung: Automatische Aufzeichnung von Ereignissen während des Betriebs
Transparenz: Klare Betriebsanleitungen für Nutzer
Menschliche Aufsicht: Möglichkeit effektiver Überwachung durch natürliche Personen
Genauigkeit, Robustheit und Cybersicherheit: Technische Standards müssen eingehalten werden
Konformitätsbewertung: CE-Kennzeichnung nach erfolgreichem Verfahren
Registrierung: Eintragung in die EU-Datenbank für Hochrisiko-KI

Pflichten für Betreiber (Deployer)

Auch Unternehmen, die KI nur einsetzen (nicht entwickeln), haben Pflichten:

Nutzung gemäß Betriebsanleitung
Sicherstellung menschlicher Aufsicht
Überwachung des Betriebs und Meldung schwerwiegender Vorfälle
Durchführung einer Grundrechte-Folgenabschätzung bei bestimmten Hochrisiko-Anwendungen
Information der betroffenen Arbeitnehmer vor dem Einsatz am Arbeitsplatz

Regeln für General Purpose AI (GPAI)

Große Sprachmodelle wie GPT-4, Gemini oder Claude unterliegen seit August 2025 eigenen Regeln. Anbieter müssen:

Technische Dokumentation bereitstellen
Informationen für nachgelagerte Anbieter liefern
Eine Policy zur Einhaltung des EU-Urheberrechts implementieren
Eine Zusammenfassung der Trainingsdaten veröffentlichen

Für GPAI-Modelle mit systemischem Risiko (Trainingsaufwand > 10²⁵ FLOPs) gelten zusätzliche Pflichten: Modellevaluierungen, Risikobewertung, Vorfallsmeldungen und Cybersicherheit.

Auswirkungen auf Nutzer und Verbraucher

Für Endnutzer bringt das KI-Gesetz mehrere konkrete Verbesserungen. Diese stärken die Position gegenüber KI-gestützten Entscheidungen erheblich.

Neue Rechte für Betroffene

Recht auf Erklärung: Bei Entscheidungen durch Hochrisiko-KI haben Betroffene Anspruch auf eine klare Erklärung
Beschwerderecht: Jede Person kann bei nationalen Marktüberwachungsbehörden Beschwerde einreichen
Transparenz bei Deepfakes: KI-generierte oder manipulierte Inhalte müssen gekennzeichnet werden
Kennzeichnung von Chatbots: Es muss erkennbar sein, dass man mit einer Maschine kommuniziert

Diese Rechte ergänzen die bestehenden Ansprüche aus der DSGVO. Wer sich etwa bei automatisierten Entscheidungen übergangen fühlt, kann zusätzlich zum Datenschutz auch das KI-Gesetz heranziehen. Mehr zu allgemeinen Beschwerdewegen finden Sie in unserem Leitfaden zur BfDI-Beschwerde.

Strafen und Durchsetzung

Das KI-Gesetz sieht empfindliche Sanktionen vor, die sich am Vorbild der DSGVO orientieren. Die genauen Beträge richten sich nach der Art des Verstoßes:

Verstoßart	Maximalstrafe	Alternative
Verbotene KI-Praktiken	35 Mio. €	7 % des weltweiten Jahresumsatzes
Verstöße gegen Pflichten	15 Mio. €	3 % des weltweiten Jahresumsatzes
Falsche Informationen an Behörden	7,5 Mio. €	1 % des weltweiten Jahresumsatzes

Zuständig für die Durchsetzung sind in Deutschland voraussichtlich die Bundesnetzagentur sowie Fachbehörden wie das BSI. Auf EU-Ebene koordiniert das neu geschaffene AI Office der Europäischen Kommission die Aufsicht über GPAI-Modelle.

Besondere Herausforderungen für kleine Unternehmen

Das KI-Gesetz berücksichtigt die Lage von KMU und Start-ups durch mehrere Erleichterungen. Dazu zählen vereinfachte Dokumentationsanforderungen, Priorität beim Zugang zu regulatorischen Sandboxes und reduzierte Gebühren.

Dennoch stehen viele Mittelständler vor der Herausforderung, ihre KI-Nutzung erstmals systematisch zu inventarisieren. Ein typischer erster Schritt ist die Erstellung eines KI-Registers im Unternehmen – ähnlich dem Verarbeitungsverzeichnis nach Art. 30 DSGVO.

Praktische Umsetzungsschritte für Unternehmen

Inventarisierung: Alle eingesetzten und entwickelten KI-Systeme erfassen
Klassifizierung: Jedes System einer Risikoklasse zuordnen
Gap-Analyse: Abgleich mit den Anforderungen des KI-Gesetzes
Governance etablieren: Verantwortlichkeiten und Prozesse festlegen
Schulung: Mitarbeiter zu KI-Kompetenz (Art. 4) weiterbilden – diese Pflicht gilt bereits seit Februar 2025
Dokumentation: Technische und organisatorische Nachweise erstellen
Monitoring: Laufende Überwachung und Anpassung

Verhältnis zur DSGVO und anderen Rechtsrahmen

Das KI-Gesetz ersetzt die DSGVO nicht, sondern ergänzt sie. Wenn ein KI-System personenbezogene Daten verarbeitet, gelten beide Regelwerke parallel. Zusätzlich greifen je nach Anwendungsbereich auch der Digital Services Act (DSA), die Produktsicherheitsverordnung und sektorspezifische Vorschriften.

Für Unternehmen bedeutet dies, dass ein integriertes Compliance-Management nötig ist. Themen wie das Recht auf Vergessenwerden können bei KI-Modellen, die auf personenbezogenen Daten trainiert wurden, besondere Herausforderungen schaffen.

Datenschutz und Online-Sicherheit im KI-Zeitalter

Mit dem zunehmenden Einsatz von KI steigt auch die Menge an Daten, die über Nutzer gesammelt werden. Links, die über Social Media, E-Mail oder Messaging-Dienste geteilt werden, können KI-Systemen wertvolle Verhaltensinformationen liefern. Wer seine digitale Spur minimieren möchte, sollte auf datenschutzfreundliche Tools achten.

Ein praktisches Beispiel: Datenschutzorientierte URL-Kürzer wie Lunyb bieten eine Alternative zu Diensten, die umfangreiches Tracking betreiben. Weitere Optionen finden Sie in unserem Vergleich der besten Bitly-Alternativen 2026 sowie im Überblick zu den besten URL-Kürzungsdiensten in Österreich.

Pro und Kontra des KI-Gesetzes

Vorteile

Weltweit erster umfassender Rechtsrahmen – Vorbildwirkung („Brussels Effect")
Schutz der Grundrechte und demokratischen Werte
Rechtssicherheit für Unternehmen und Entwickler
Risikobasierter Ansatz vermeidet Überregulierung
Stärkung des Vertrauens in KI-Technologien

Kritikpunkte

Hohe Compliance-Kosten, besonders für KMU
Komplexität der Vorschriften
Potenzieller Innovationsnachteil gegenüber den USA und China
Unklare Definitionen bei neuen KI-Formen
Herausforderung der globalen Durchsetzung

Was Betroffene jetzt tun sollten

Ob als Unternehmer, Entwickler oder Verbraucher – jetzt ist der richtige Zeitpunkt, sich mit dem KI-Gesetz vertraut zu machen. Für Unternehmen empfiehlt sich eine frühzeitige Vorbereitung auf die Hauptanwendung ab August 2026. Für Nutzer lohnt es sich, die eigenen Rechte zu kennen und bei Verstößen aktiv zu werden – auch grenzüberschreitend, wie unser Leitfaden zur österreichischen Datenschutzbehörde zeigt.

FAQ: Häufige Fragen zum KI-Gesetz der EU

Ab wann gilt das KI-Gesetz vollständig?

Das KI-Gesetz trat am 1. August 2024 in Kraft und wird gestaffelt angewendet. Verbotene Praktiken gelten seit Februar 2025, GPAI-Regeln seit August 2025, Hochrisiko-Pflichten ab August 2026 und die vollständige Anwendung erfolgt ab August 2027.

Betrifft das KI-Gesetz auch Unternehmen außerhalb der EU?

Ja. Das Gesetz hat extraterritoriale Wirkung. Jedes Unternehmen weltweit, das KI-Systeme in der EU anbietet oder deren Output in der EU genutzt wird, muss die Vorschriften einhalten – unabhängig vom Firmensitz.

Was ist KI-Kompetenz nach Artikel 4?

Seit Februar 2025 müssen Anbieter und Betreiber von KI-Systemen sicherstellen, dass ihr Personal über ausreichende KI-Kompetenz verfügt. Dies umfasst technisches Verständnis, Kenntnis der Risiken und der jeweiligen Anwendungskontexte. Konkrete Schulungsformate sind flexibel.

Gilt das KI-Gesetz auch für ChatGPT und ähnliche Tools?

Ja. ChatGPT, Gemini, Claude und vergleichbare Modelle fallen unter die Regeln für General Purpose AI, die seit August 2025 gelten. Anbieter müssen Transparenz- und Urheberrechtspflichten erfüllen. Modelle mit systemischem Risiko unterliegen zusätzlichen Auflagen.

Wo kann ich Beschwerde über KI-Systeme einlegen?

In Deutschland werden die zuständigen Marktüberwachungsbehörden derzeit benannt – voraussichtlich spielen Bundesnetzagentur, BSI und BfDI eine zentrale Rolle. Bei GPAI-Modellen können Beschwerden direkt an das AI Office der EU-Kommission gerichtet werden.