EU AI Act verständlich erklärt

Der EU AI Act ist die Verordnung (EU) 2024/1689, im Deutschen KI-Verordnung genannt. Sie ist am 1. August 2024 in Kraft getreten und gilt als Verordnung unmittelbar in allen Mitgliedstaaten, anders als eine Richtlinie braucht sie also kein nationales Umsetzungsgesetz. Der Ansatz ist risikobasiert: Je höher das Risiko einer Anwendung für Menschen, desto strenger die Pflichten. Unterschieden werden verbotene Praktiken, Hochrisiko-Systeme, Systeme mit Transparenzpflichten und Anwendungen mit minimalem Risiko.

Ja, in Teilen. Wer ein KI-System im Unternehmen einsetzt, ist Betreiber im Sinne von Art. 3 Nr. 4 der KI-Verordnung. Damit greifen unabhängig von der Risikoklasse die Kompetenzpflicht nach Art. 4 und das Verbot der Praktiken aus Art. 5. Die umfangreichen Pflichten für Hochrisiko-Systeme treffen Sie nur, wenn Sie solche Systeme tatsächlich einsetzen. Vorsicht ist bei Art. 25 geboten: Wer ein System unter eigener Marke weitergibt oder seinen Zweck wesentlich ändert, wird rechtlich zum Anbieter und trägt dann deutlich mehr Verantwortung.

Art. 4 der KI-Verordnung verpflichtet Anbieter und Betreiber, für ein ausreichendes Maß an KI-Kompetenz bei allen Personen zu sorgen, die in ihrem Auftrag mit KI-Systemen arbeiten. Diese Pflicht gilt seit dem 2. Februar 2025 und ist an keine Risikoklasse und an keine Unternehmensgröße gebunden. Der Digital Omnibus hat daran nichts geändert. Das Gesetz schreibt kein bestimmtes Format vor, verlangt aber ein Niveau, das zur Rolle der Beschäftigten und zum Einsatzkontext passt. In der Praxis heißt das: Schulung durchführen, Inhalte und Teilnehmer dokumentieren, regelmäßig auffrischen.

Der Digital Omnibus on AI verschiebt die Pflichten für Hochrisiko-Systeme. Eigenständige Systeme nach Anhang III sollen statt ab dem 2. August 2026 erst ab dem 2. Dezember 2027 erfasst werden, in Produkte eingebettete Systeme nach Anhang I statt ab August 2027 erst ab dem 2. August 2028. Unverändert bleiben die Kompetenzpflicht und die Verbote seit Februar 2025, die Regeln für Modelle mit allgemeinem Verwendungszweck und die Bußgeldvorschriften seit August 2025 sowie die Transparenzpflichten aus Art. 50 ab August 2026. Das Europäische Parlament hat den Omnibus am 16. Juni 2026 angenommen, der Rat am 29. Juni 2026. Verbindlich wird er mit der Veröffentlichung im Amtsblatt.

Art. 5 listet sie abschließend auf. Für Unternehmen am wichtigsten sind drei: Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen, abgesehen von medizinischen und sicherheitstechnischen Ausnahmen. Social Scoring, also die Bewertung von Menschen anhand ihres Sozialverhaltens, ausdrücklich auch durch private Unternehmen. Und biometrische Kategorisierung nach Merkmalen wie Herkunft, Religion oder sexueller Orientierung. Diese Verbote gelten seit Februar 2025 und sind mit dem höchsten Bußgeldrahmen belegt.

Die Sanktionen sind in Art. 99 der KI-Verordnung dreistufig geregelt und seit dem 2. August 2025 anwendbar. Für verbotene Praktiken nach Art. 5 sind bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes vorgesehen, je nachdem welcher Betrag höher ist. Für Verstöße gegen Anbieter- und Betreiberpflichten sind es bis zu 15 Millionen Euro oder 3 Prozent, für falsche oder irreführende Angaben gegenüber Behörden bis zu 7,5 Millionen Euro oder 1 Prozent. Für kleine und mittlere Unternehmen gilt eine Besonderheit: Nach Art. 99 Abs. 6 zählt der jeweils niedrigere der beiden Beträge.

Die Aufsicht bündelt das KI-Durchführungsgesetz bei der Bundesnetzagentur. Der Bundestag hat es am 11. Juni 2026 beschlossen, der Bundesrat hat am 10. Juli 2026 zugestimmt. Die Bundesnetzagentur wird zentrale Marktüberwachungsbehörde, soweit die Aufgabe nicht bei einer Fachbehörde liegt. Dort entstehen zudem eine Koordinierungs- und Kompetenzstelle sowie eine Anlaufstelle für Beschwerden. Vorgesehen ist außerdem mindestens ein KI-Reallabor, in dem neue Anwendungen unter Aufsicht erprobt werden können.

Nein, nicht automatisch. ISO/IEC 42001 ist seit Dezember 2023 die erste zertifizierbare Norm für ein KI-Managementsystem und umfasst 38 Maßnahmen in neun Bereichen. Sie ist eine sehr gute Grundlage und belegt gegenüber Kunden und Aufsicht eine geordnete KI-Governance. Sie ist aber Stand 2026 keine harmonisierte Norm unter dem AI Act. Die Konformitätsvermutung nach Art. 40 entsteht nur über harmonisierte europäische Normen, die noch erarbeitet werden. Wer ISO/IEC 42001 aufbaut, arbeitet also vor, ersetzt damit aber keine Konformitätsbewertung.

Ein Verzeichnis der eingesetzten KI-Systeme ist der praktische Einstieg in die KI-Governance. Sinnvoll sind je System: Bezeichnung und Anbieter, Zweck und betroffene Prozesse, verantwortliche Rolle im Haus, Einstufung nach Risikoklasse, Art der verarbeiteten Daten und die Schnittstelle zum Datenschutz, Umgang mit den Ergebnissen sowie der Stand der Schulung. Das Register ist keine ausdrückliche Pflicht für jeden Betreiber, ohne dieses Verzeichnis lässt sich aber weder die eigene Betroffenheit bestimmen noch gegenüber Dritten belegen.

Die drei Regelwerke überschneiden sich stärker, als es zunächst aussieht. Rollen, Risikomethode, Dokumentenlenkung, Schulungsnachweise und Lieferantenprüfung brauchen Sie in allen dreien. Wer bereits ein Informationssicherheits-Managementsystem betreibt, kann die KI-Governance darin verankern, statt eine zweite Struktur danebenzustellen. Das spart Aufwand und vermeidet widersprüchliche Regelungen. Mehr dazu auf den Seiten zu ISO 27001 und NIS2.