EU AI Act: Was Unternehmen jetzt wissen müssen

Die KI-Verordnung ist das erste umfassende Gesetz über künstliche Intelligenz in der EU. Sie regelt nicht die Technik an sich, sondern ihren Einsatz: Je größer das Risiko eines KI-Systems für Gesundheit, Sicherheit und Grundrechte, desto strenger die Anforderungen. Als Verordnung gilt sie in allen Mitgliedstaaten unmittelbar; die Staaten regeln nur Begleitfragen wie Zuständigkeiten der Behörden und Sanktionen.

Zentral ist der Begriff des KI-Systems in Art. 3 Nr. 1: ein maschinengestütztes System, das mit unterschiedlichem Grad an Autonomie arbeitet und aus Eingaben ableitet, wie es Ausgaben wie Vorhersagen, Inhalte, Empfehlungen oder Entscheidungen erzeugt. Klassische Software mit fest programmierten Regeln fällt in der Regel nicht darunter, Sprachmodelle, Bilderkennung oder lernende Empfehlungssysteme dagegen schon.

Die Verordnung unterscheidet Rollen. Anbieter entwickeln ein KI-System oder lassen es entwickeln und bringen es unter eigenem Namen in Verkehr. Betreiber verwenden ein KI-System in eigener Verantwortung, etwa ein Unternehmen, das einen Sprachassistenten für den Kundendienst einsetzt. Daneben gibt es Einführer, Händler und Bevollmächtigte. Wer ein fremdes System wesentlich verändert oder unter eigenem Namen anbietet, kann selbst zum Anbieter werden (Art. 25).

Der risikobasierte Ansatz ist das Herzstück. Er entscheidet, ob ein Unternehmen nur Grundpflichten hat oder ein ganzes Qualitäts- und Risikomanagement aufbauen muss.

Art. 113 legt fest: Die Verordnung tritt am zwanzigsten Tag nach der Veröffentlichung im Amtsblatt in Kraft — veröffentlicht wurde sie am 12. Juli 2024, in Kraft trat sie damit am 1. August 2024. Grundsätzlich gilt sie ab dem 2. August 2026. Davon gibt es drei Ausnahmen, die das Gesetz ausdrücklich nennt.

Die meisten Unternehmen entwickeln keine KI, sondern nutzen sie. Für sie gilt seit Februar 2025 vor allem Art. 4: ausreichende KI-Kompetenz des Personals. Verbotene Praktiken müssen sie meiden — ein Werkzeug, das Emotionen von Beschäftigten erkennt, ist am Arbeitsplatz grundsätzlich untersagt.

Wer ein Hochrisiko-System betreibt, trägt ab Geltung dieser Regeln die Pflichten aus Art. 26: Verwendung nach der Gebrauchsanweisung, menschliche Aufsicht durch kompetente Personen, Überwachung des Betriebs, Aufbewahrung automatisch erzeugter Protokolle für mindestens sechs Monate, Information der betroffenen Beschäftigten und ihrer Vertretung vor dem Einsatz am Arbeitsplatz. Bestimmte Betreiber, etwa öffentliche Stellen, müssen zusätzlich eine Grundrechte-Folgenabschätzung nach Art. 27 durchführen.

Für Transparenz gilt Art. 50: Wer Deepfakes erzeugt oder Texte zu Fragen von öffentlichem Interesse mit KI veröffentlicht, muss das grundsätzlich offenlegen. Anbieter von Chatbots und Generatoren synthetischer Inhalte haben eigene Kennzeichnungspflichten.

Art. 99 staffelt die Geldbußen: bis zu 35 Mio. Euro oder 7 Prozent des weltweiten Jahresumsatzes bei verbotenen Praktiken, bis zu 15 Mio. Euro oder 3 Prozent bei Verstößen gegen bestimmte andere Pflichten, etwa die von Betreibern nach Art. 26 oder die Transparenzpflichten nach Art. 50, und bis zu 7,5 Mio. Euro oder 1 Prozent für falsche Angaben gegenüber Behörden. Für KMU gilt jeweils der niedrigere der beiden Beträge. Die Einzelheiten der Durchsetzung regeln die Mitgliedstaaten.

Die KI-Verordnung tritt neben andere Gesetze, nicht an ihre Stelle. Verarbeitet ein KI-System personenbezogene Daten, gilt die DSGVO weiter — etwa das Verbot rein automatisierter Entscheidungen mit rechtlicher Wirkung (Art. 22 DSGVO). Im Betrieb kommen Mitbestimmungsrechte hinzu, wenn KI geeignet ist, Verhalten oder Leistung zu überwachen. Und Produkthaftung sowie Vertragsrecht bleiben unberührt.

Dieser Beitrag erklärt die Rechtslage allgemein und ist keine Rechtsberatung. Für den Einzelfall gilt der amtliche Normtext in der aktuellen Fassung; bei Zweifeln helfen anwaltliche Beratung, der Datenschutzbeauftragte oder die zuständige Aufsichtsbehörde.