Der EU AI Act verständlich erklärt: Der vollständige Leitfaden

Der EU AI Act (Verordnung (EU) 2024/1689) ist am 1. August 2024 in Kraft getreten und ist der weltweit erste umfassende Rechtsrahmen für künstliche Intelligenz. Er wendet ein risikobasiertes Regulierungsmodell auf KI-Systeme an, die in der Europäischen Union in Verkehr gebracht oder genutzt werden, mit Pflichten, die zwischen Februar 2025 und August 2028 gestaffelt in Kraft treten.

Ob Sie ein Startup-Gründer sind, der ein KI-Produkt ausliefert, ein Einkäufer, der Anbieter-Tools bewertet, oder ein Compliance-Profi, der ein internes Programm aufbaut, dieser Leitfaden deckt alles ab, was Sie brauchen, um die Verordnung zu verstehen, ihre Auswirkungen auf Ihr Unternehmen einzuschätzen und ins Handeln zu kommen.

• Der EU AI Act ist die weltweit erste verbindliche, horizontale Regulierung künstlicher Intelligenz, die über alle Branchen hinweg gilt.
• Er nutzt einen risikobasierten Ansatz mit vier Stufen: verboten, Hochrisiko, begrenztes Risiko und minimales Risiko.
• Die Verordnung gilt für jedes Unternehmen, das ein KI-System auf dem EU-Markt in Verkehr bringt oder eines innerhalb der EU nutzt, unabhängig davon, wo dieses Unternehmen seinen Sitz hat.
• Verbotene KI-Praktiken sind seit dem 2. Februar 2025 durchsetzbar. Hochrisiko-Pflichten gelten ab dem 2. Dezember 2027 (verschoben vom 2. August 2026 durch das Digital-Omnibus, Verordnung (EU) 2026/1744).
• Sanktionen erreichen bis zu 35 Millionen EUR oder 7 % des weltweiten Jahresumsatzes für die schwersten Verstöße.
• Anbieter von Hochrisiko-KI-Systemen tragen die schwerste Compliance-Last: technische Dokumentation, Risikomanagement-Systeme, Konformitätsbewertungen und Marktbeobachtung.
• Der AI Act ergänzt die DSGVO, er ersetzt sie nicht. Unternehmen, die personenbezogene Daten in KI-Systemen verarbeiten, müssen beide einhalten.

Was ist der EU AI Act und warum gibt es ihn?

Die Europäische Kommission veröffentlichte ihren ersten Vorschlag für den AI Act im April 2021, und der endgültige Text wurde im Juni 2024 nach ausführlichen Verhandlungen zwischen Europäischem Parlament und Rat förmlich verabschiedet. Die Verordnung ist am 1. August 2024 in Kraft getreten.

Die gesetzgeberischen Ziele sind dreifach:

1. Grundrechte schützen, verhindern, dass KI-Systeme die Menschenwürde, Nichtdiskriminierung, Privatsphäre und demokratische Teilhabe untergraben.
2. Rechtssicherheit schaffen, Unternehmen einen einheitlichen, harmonisierten Rechtsrahmen geben statt eines Flickenteppichs aus 27 nationalen Regelwerken.
3. Vertrauenswürdige Innovation fördern, Bedingungen schaffen, unter denen KI-Systeme verantwortungsvoll entwickelt und eingesetzt werden können, auch über Reallabore und Verhaltenskodizes.

Die Rechtsgrundlage des AI Act ist Artikel 114 des Vertrags über die Arbeitsweise der Europäischen Union (AEUV), der es der EU erlaubt, Maßnahmen für das Funktionieren des Binnenmarkts zu erlassen. Damit ist der AI Act im Kern eine Produktsicherheitsverordnung, er regelt KI-Systeme als Produkte, die in Verkehr gebracht werden, ähnlich wie die bestehenden EU-Rahmen für Medizinprodukte, Maschinen und Spielzeug.

Aufbau der Verordnung

Der AI Act ist in 13 Kapitel mit 113 Artikeln gegliedert, ergänzt durch 13 Anhänge:

Die Anhänge definieren die Hochrisiko-Anwendungsbereiche (Anhang III), Anforderungen an die technische Dokumentation (Anhang IV), Inhalte der EU-Konformitätserklärung (Anhang V), Konformitätsbewertungsverfahren (Anhänge VI-VIII) und mehr.

Der risikobasierte Ansatz: die vier Stufen erklärt

Das zentrale Ordnungsprinzip des AI Act lautet, dass die regulatorischen Anforderungen im Verhältnis zum Risiko stehen sollen. Je höher das Risiko, das ein KI-System für Gesundheit, Sicherheit oder Grundrechte darstellt, desto strenger die Pflichten.

Stufe 1, verbotene KI-Praktiken (Artikel 5)

Diese KI-Anwendungen sind vollständig verboten, weil die EU ihre Risiken als inakzeptabel einstuft:

• Social Scoring durch Behörden, das Bürger nach ihrem Verhalten einordnet, um über den Zugang zu Diensten zu entscheiden.
• Unterschwellige Manipulation, der Einsatz von Techniken unterhalb der Schwelle des bewussten Wahrnehmens, um Verhalten zu verzerren und Schaden zu verursachen.
• Ausnutzung von Schwächen, das gezielte Ansprechen von Menschen aufgrund von Alter, Behinderung oder sozioökonomischer Lage.
• Biometrische Echtzeit-Fernidentifizierung in öffentlich zugänglichen Räumen durch Strafverfolgungsbehörden (mit engen Ausnahmen für bestimmte schwere Straftaten).
• Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen (außer zu medizinischen oder Sicherheitszwecken).
• Ungezieltes Auslesen von Gesichtsbildern aus dem Internet oder von Überwachungskameras, um Gesichtserkennungsdatenbanken aufzubauen.
• Vorausschauende Polizeiarbeit, die allein auf Profiling oder Persönlichkeitsmerkmalen beruht.
• Biometrische Kategorisierung anhand sensibler Merkmale (Herkunft, Religion, sexuelle Orientierung, politische Ansichten).

Praxisbeispiel: Eine Einzelhandelskette setzt Kameras ein, die die Gefühlslage der Kunden analysieren, um Preise dynamisch anzupassen. Nach Artikel 5 fällt das unter das Verbot der Emotionserkennung, die genutzt wird, um Gefühle in einem kommerziellen Umfeld abzuleiten, das Schwächen ausnutzen könnte, und kann auch eine unterschwellige Manipulation darstellen, wenn es das Kaufverhalten ohne das Bewusstsein der Person verändert.

Diese Verbote sind seit dem 2. Februar 2025 durchsetzbar.

Stufe 2, Hochrisiko-KI-Systeme (Artikel 6-49)

Hochrisiko-KI-Systeme sind erlaubt, unterliegen aber umfangreichen Anforderungen, bevor sie in Verkehr gebracht werden dürfen, und über ihren gesamten Lebenszyklus hinweg. Es gibt zwei Wege in die Hochrisiko-Einstufung:

Weg A (Artikel 6 Absatz 1): Das KI-System ist eine Sicherheitskomponente eines Produkts, oder selbst ein Produkt, das unter die in Anhang I aufgeführten bestehenden harmonisierten EU-Rechtsvorschriften fällt (z. B. Medizinprodukte, Maschinen, Spielzeug, Funkanlagen), und muss nach diesen Rechtsvorschriften einer Konformitätsbewertung durch Dritte unterzogen werden.

Weg B (Artikel 6 Absatz 2): Das KI-System fällt in einen der in Anhang III aufgeführten Anwendungsbereiche:

Anbieter von Hochrisiko-Systemen müssen umsetzen:

• Ein Risikomanagement-System, das iterativ über den gesamten KI-Lebenszyklus läuft.
• Maßnahmen zur Daten-Governance und Datenqualität.
• Technische Dokumentation, die die Anforderungen von Anhang IV erfüllt.
• Fähigkeiten zur automatischen Protokollierung (Aufzeichnung).
• Transparenz und Nutzungsanweisungen für Betreiber.
• Mechanismen für menschliche Aufsicht.
• Anforderungen an Genauigkeit, Robustheit und Cybersicherheit.
• Ein Qualitätsmanagement-System.
• Eine Konformitätsbewertung, entweder als Selbstbewertung oder durch eine benannte Stelle.
• CE-Kennzeichnung und EU-Konformitätserklärung.
• Registrierung in der EU-Datenbank.
• Marktbeobachtung und Meldung von Vorfällen.

Praxisbeispiel: Ein Fintech-Unternehmen nutzt ein Machine-Learning-Modell, um Verbraucherkreditanträge zu genehmigen oder abzulehnen. Das ist Kreditwürdigkeitsprüfung, Anhang III, Bereich 5(b), und damit Hochrisiko. Der Anbieter muss die technische Dokumentation nach Anhang IV erstellen, eine Konformitätsbewertung durchführen, menschliche Aufsicht umsetzen und das System nach dem Einsatz beobachten.

Praxisbeispiel: Ein Logistikunternehmen setzt ein KI-Tool ein, um Lagerschichten zu planen und die Leistung der Mitarbeiter zu bewerten. Das fällt unter Anhang III, Bereich 4 (Beschäftigung, Personalmanagement), und löst Hochrisiko-Pflichten aus, darunter eine Grundrechte-Folgenabschätzung für den Betreiber.

Eine ausführliche Durchsicht der Hochrisiko-Einstufung finden Sie unter Ist mein KI-System Hochrisiko?.

Stufe 3, KI-Systeme mit begrenztem Risiko (Artikel 50)

Bestimmte KI-Systeme tragen Transparenzpflichten, unabhängig davon, ob sie als Hochrisiko eingestuft sind:

• KI-Systeme, die mit Menschen interagieren, Nutzer müssen darüber informiert werden, dass sie mit einer KI interagieren (z. B. Chatbots).
• Emotionserkennungs- und biometrische Kategorisierungssysteme, betroffene Personen müssen benachrichtigt werden.
• KI-generierte oder manipulierte Inhalte (Deepfakes), müssen als künstlich erzeugt oder manipuliert gekennzeichnet werden.
• KI-generierter Text, der veröffentlicht wird, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren, muss als KI-generiert gekennzeichnet werden (sofern er nicht einer menschlichen redaktionellen Prüfung unterliegt).

Praxisbeispiel: Ein SaaS-Unternehmen nutzt einen GPT-gestützten Chatbot für den direkten Kundensupport. Nach Artikel 50 muss jede Nutzersitzung klar offenlegen, dass der Nutzer mit einem KI-System kommuniziert und nicht mit einem menschlichen Mitarbeiter.

Stufe 4, minimales Risiko (keine besonderen Pflichten)

KI-Systeme, die in keine der obigen Kategorien fallen, etwa KI-gestützte Spamfilter, Tools zur Bestandsoptimierung oder Empfehlungssysteme für Unterhaltung, haben nach dem AI Act keine besonderen Pflichten. Anbietern von Systemen mit minimalem Risiko wird empfohlen (aber nicht vorgeschrieben), freiwillig Verhaltenskodizes zu folgen.

Ihre Stufe zu bestimmen ist der entscheidende erste Schritt. Nutzen Sie die kostenlose AI-Act-Bewertung, um Ihr System in Minuten einzuordnen.

Für wen gilt der AI Act?

Räumlicher Anwendungsbereich (Artikel 2)

Der AI Act gilt für:

1. Anbieter (Provider) (Entwickler), die ein KI-System auf dem EU-Markt in Verkehr bringen oder es in der EU in Betrieb nehmen, unabhängig davon, ob sie innerhalb oder außerhalb der EU niedergelassen sind.
2. Betreiber (Deployer) (Nutzer) von KI-Systemen, die in der EU niedergelassen oder ansässig sind.
3. Anbieter und Betreiber außerhalb der EU, sofern das Ergebnis des KI-Systems in der EU genutzt wird.

Das bedeutet: Ein US-amerikanisches Unternehmen, das ein KI-gestütztes HR-Tool an einen deutschen Arbeitgeber verkauft, ist ein Anbieter, der dem AI Act unterliegt, und der deutsche Arbeitgeber ist ein Betreiber mit eigenen Pflichten.

Rollen und ihre Pflichten

Der AI Act definiert mehrere unterschiedliche Rollen, jede mit anderen Verantwortlichkeiten:

Eine ausführliche Aufschlüsselung der Pflichten von Anbieter und Betreiber finden Sie unter Pflichten von Anbieter vs. Betreiber im AI Act.

Wichtige Regel zum Rollenwechsel: Wenn ein Betreiber ein Hochrisiko-KI-System wesentlich verändert, seinen eigenen Namen oder seine Marke darauf setzt oder dessen Zweckbestimmung ändert, wird dieser Betreiber zum Anbieter und übernimmt die vollen Anbieterpflichten (Artikel 25).

Wichtige Fristen und gestaffelter Zeitplan der Durchsetzung

Der AI Act nutzt einen gestaffelten Zeitplan der Durchsetzung:

Für Unternehmen, die Hochrisiko-KI entwickeln oder einsetzen, ist die Frist am 2. Dezember 2027 der wichtigste Meilenstein in naher Zukunft. Nutzen Sie die Compliance-Checkliste zum EU AI Act, um einen konkreten Aktionsplan aufzubauen.

Verhältnis zur DSGVO und anderen EU-Verordnungen

Der AI Act steht nicht für sich allein. Er ist Teil eines größeren digitalen Regulierungssystems der EU:

AI Act und DSGVO

Die meisten KI-Systeme verarbeiten personenbezogene Daten, was bedeutet, dass die DSGVO neben dem AI Act gilt. Wichtige Überschneidungen sind:

• Datenschutz-Folgenabschätzungen (DSFA) nach Artikel 35 DSGVO überschneiden sich stark mit dem Risikomanagement und den Grundrechte-Folgenabschätzungen des AI Act. Unternehmen können diese in einen einzigen Prozess zusammenführen.
• Automatisierte Entscheidungsfindung nach Artikel 22 DSGVO gibt Personen das Recht, nicht ausschließlich automatisierten Entscheidungen mit rechtlicher oder erheblicher Wirkung unterworfen zu werden. Die Anforderungen des AI Act an die menschliche Aufsicht bei Hochrisiko-Systemen verstärken das.
• Datenminimierung (Artikel 5 Absatz 1 Buchstabe c DSGVO) kann in Spannung zu KI-Systemen geraten, die große Trainingsdatensätze benötigen. Der AI Act begegnet dem, indem er Daten-Governance-Praktiken verlangt, die sicherstellen, dass Trainingsdaten relevant, repräsentativ und fehlerfrei sind.
• Rechtsgrundlage für die Verarbeitung bleibt eine Anforderung der DSGVO. Der Einsatz von KI schafft keine neue Rechtsgrundlage.

Einen gründlichen Vergleich finden Sie unter EU AI Act vs. DSGVO: Unterschiede und Überschneidungen. Für KI-spezifische DSGVO-Hinweise siehe Erste Schritte zur DSGVO-Compliance für KI.

AI Act und andere Rahmenwerke

• Produktsicherheitsrecht, Hochrisiko-KI-Systeme, die in bereits regulierte Produkte eingebettet sind (Medizinprodukte, Maschinen, Spielzeug), müssen sowohl den AI Act als auch die jeweilige Branchenregulierung einhalten.
• Digital Services Act (DSA), Plattformen, die KI-Empfehlungssysteme nutzen, müssen die Transparenzpflichten des DSA und die Transparenzanforderungen des AI Act einhalten.
• Cyber Resilience Act (CRA), KI-Systeme, die digitale Produkte mit Netzwerkverbindung sind, müssen auch die Cybersicherheitsanforderungen des CRA erfüllen, wobei die Cybersicherheitsbestimmungen des AI Act speziell greifen.
• EU-Charta der Grundrechte, Der AI Act verweist ausdrücklich auf die Charta und ist darauf ausgelegt, ihre Schutzvorgaben im Kontext von KI umzusetzen.

Was Unternehmen tun müssen, nach Rolle

Wenn Sie Anbieter eines Hochrisiko-KI-Systems sind

1. Stufen Sie Ihr System ein, bestimmen Sie über Artikel 6 und Anhang III, ob es Hochrisiko ist. Nutzen Sie die kostenlose AI-Act-Bewertung, um eine vorläufige Einstufung zu erhalten.
2. Bauen Sie Ihr KI-System-Inventar auf, katalogisieren Sie jedes KI-System, das Sie bereitstellen, samt Risikostufe, Zweckbestimmung und Zielmarkt. Siehe Wie Sie ein KI-System-Inventar aufbauen.
3. Setzen Sie ein Risikomanagement-System um, einen iterativen Prozess über den gesamten Lebenszyklus (Artikel 9).
4. Erstellen Sie die technische Dokumentation, decken Sie alle neun Abschnitte von Anhang IV ab.
5. Führen Sie eine Konformitätsbewertung durch, Selbstbewertung oder benannte Stelle, je nach Anwendungsfall.
6. Bringen Sie die CE-Kennzeichnung an und erstellen Sie die EU-Konformitätserklärung.
7. Registrieren Sie sich in der EU-Datenbank, bevor Sie das System in Verkehr bringen.
8. Richten Sie Marktbeobachtung und Prozesse zur Meldung schwerwiegender Vorfälle ein.

Wenn Sie Betreiber eines Hochrisiko-KI-Systems sind

1. Prüfen Sie die Konformität des Anbieters, bestätigen Sie CE-Kennzeichnung, Dokumentation und Registrierung.
2. Bestimmen Sie menschliche Aufsicht, benennen Sie kompetente Personen und schulen Sie sie.
3. Bewahren Sie Protokolle auf, halten Sie automatisch erzeugte Protokolle mindestens sechs Monate vor.
4. Führen Sie eine Grundrechte-Folgenabschätzung (FRIA) durch, erforderlich für Betreiber des öffentlichen Sektors und bestimmte private Betreiber. Siehe den FRIA-Leitfaden.
5. Informieren Sie betroffene Personen, teilen Sie Menschen mit, dass sie einem Hochrisiko-KI-System unterworfen sind.
6. Kooperieren Sie auf Anfrage mit den Marktüberwachungsbehörden.

Wenn Sie ein GPAI-Modell oder -System bereitstellen oder betreiben

Anbieter von KI-Modellen mit allgemeinem Verwendungszweck müssen Artikel 51-56 einhalten, darunter technische Dokumentation, Richtlinien zur zulässigen Nutzung und Transparenz zum Urheberrecht. Modelle mit systemischem Risiko unterliegen zusätzlichen Pflichten: adversarielle Tests, Überwachung von Vorfällen und Berichterstattung zum Energieverbrauch.

Wenn Ihr KI-System minimales Risiko hat

Keine besonderen rechtlichen Pflichten, aber Sie sollten dennoch freiwillige Verhaltenskodizes in Betracht ziehen und sicherstellen, dass Sie die DSGVO einhalten, wenn Sie personenbezogene Daten verarbeiten.

Reallabore und Verhaltenskodizes

Der AI Act fördert Innovation neben der Regulierung:

• Reallabore (Artikel 57-63), Jeder EU-Mitgliedstaat muss bis zum 2. August 2026 mindestens ein KI-Reallabor einrichten. Diese bieten kontrollierte Umgebungen, in denen Unternehmen KI-Systeme unter behördlicher Aufsicht entwickeln und testen können, mit reduzierter Compliance-Last während der Testphase. Vorrangigen Zugang erhalten KMU und Startups.

• Verhaltenskodizes (Artikel 95), Die Kommission und die Mitgliedstaaten werden Anbieter von KI-Systemen, die kein Hochrisiko sind, ermutigen, freiwillig Verhaltenskodizes zu übernehmen. Diese Kodizes können ökologische Nachhaltigkeit, KI-Kompetenz, inklusives Design und die Beteiligung von Interessengruppen abdecken.

Überblick über die Sanktionen

Der AI Act legt eine gestaffelte Sanktionsstruktur fest, die von den nationalen Marktüberwachungsbehörden durchgesetzt wird:

Für KMU und Startups gilt in jeder Stufe der niedrigere der beiden Werte (fester Betrag oder Prozentsatz), was für ein gewisses Maß an Verhältnismäßigkeit sorgt.

Die nationalen Behörden haben außerdem die Befugnis, die Rücknahme nicht konformer KI-Systeme vom Markt anzuordnen.

Eine ausführliche Aufschlüsselung finden Sie unter Sanktionen und Bußgelder des EU AI Act erklärt.

Auswirkungen auf Nicht-EU-Unternehmen

Die extraterritoriale Reichweite des AI Act spiegelt den Ansatz der DSGVO wider. Nicht-EU-Unternehmen fallen in den Anwendungsbereich, wenn:

• Sie ein KI-System auf dem EU-Markt in Verkehr bringen, also ein KI-Produkt an in der EU ansässige Kunden verkaufen, lizenzieren oder bereitstellen.
• Sie ein Anbieter oder Betreiber außerhalb der EU sind, aber das Ergebnis des KI-Systems in der EU genutzt wird, zum Beispiel ein US-KI-Anbieter, dessen Risk-Scoring-Ergebnis von einer EU-Bank genutzt wird.

Nicht-EU-Anbieter müssen einen in der EU niedergelassenen Bevollmächtigten benennen, bevor sie ein Hochrisiko-KI-System in Verkehr bringen. Dieser Bevollmächtigte fungiert als regulatorischer Ansprechpartner und muss den Behörden auf Anfrage alle Compliance-Unterlagen vorlegen können.

Praxisbeispiel: Ein kanadisches SaaS-Unternehmen verkauft ein KI-gestütztes Bewerbermanagement-System an EU-Arbeitgeber. Das Unternehmen ist ein Anbieter nach dem AI Act, muss alle Hochrisiko-Pflichten erfüllen (Beschäftigung ist ein Anhang-III-Bereich) und muss einen EU-Bevollmächtigten benennen.

Häufige Fehler bei der Auslegung des AI Act

1. Anzunehmen, er gelte nur für EU-Unternehmen. Der AI Act hat extraterritoriale Reichweite. Wenn Ihr KI-Ergebnis in der EU genutzt wird, fallen Sie wahrscheinlich in den Anwendungsbereich.
2. Anzunehmen, alle Fristen lägen weit in der Zukunft. Verbotene Praktiken sind bereits durchsetzbar. Pflichten zur KI-Kompetenz gelten bereits. Die Transparenzpflichten nach Artikel 50 und der Sanktionsrahmen gelten seit dem 2. August 2026. Die Hochrisiko-Pflichten wurden durch das Digital-Omnibus (Verordnung (EU) 2026/1744) auf den 2. Dezember 2027 verschoben, bleiben aber angesichts des Umsetzungsaufwands dringend.
3. "Betreiber" mit "Endnutzer" zu verwechseln. Der AI Act definiert Betreiber als Organisationen, die KI unter eigener Verantwortung im beruflichen Kontext nutzen, nicht als einzelne Verbraucher.
4. Zu glauben, DSGVO-Compliance decke AI-Act-Compliance ab. Die beiden Verordnungen überschneiden sich, haben aber eigene Anforderungen. Eine DSFA ersetzt kein Risikomanagement-System und keine Konformitätsbewertung nach dem AI Act.
5. Regeln zum Rollenwechsel zu ignorieren. Ein Hochrisiko-System zu verändern, es umzubenennen oder seine Zweckbestimmung zu ändern, kann aus einem Betreiber einen Anbieter machen, mit der vollen Compliance-Last, die das mit sich bringt.
6. Anzunehmen, "nicht Hochrisiko" bedeute "keine Pflichten". Selbst KI-Systeme mit minimalem Risiko müssen die DSGVO einhalten, wenn sie personenbezogene Daten verarbeiten, und die Transparenzpflichten nach Artikel 50 können unabhängig von der Risikostufe für Chatbots, Deepfakes oder Emotionserkennungs-Funktionen gelten.
7. Compliance als einmalige Aufgabe zu behandeln. Der AI Act verlangt fortlaufende Marktbeobachtung, iteratives Risikomanagement und dauerhafte Konformität. Das ist eine Pflicht über den gesamten Lebenszyklus.

Schritt für Schritt: wie Sie Ihren Weg zur EU-AI-Act-Compliance beginnen

1. Schulen Sie Ihr Team, erfüllen Sie die Pflicht zur KI-Kompetenz nach Artikel 4, indem Sie sicherstellen, dass alle mit KI befassten Mitarbeiter die Verordnung ausreichend verstehen.
2. Inventarisieren Sie Ihre KI-Systeme, dokumentieren Sie jedes KI-System, das Sie entwickeln, einsetzen, beschaffen oder integrieren. Siehe Wie Sie ein KI-System-Inventar aufbauen.
3. Stufen Sie jedes System ein, bestimmen Sie die Risikostufe jedes Systems über Artikel 6, Anhang III und die kostenlose AI-Act-Bewertung.
4. Bestimmen Sie Ihre Rolle, sind Sie für jedes System Anbieter, Betreiber, Einführer oder Händler? Sehen Sie sich die Pflichten von Anbieter vs. Betreiber an.
5. Lückenanalyse, vergleichen Sie Ihre aktuellen Praktiken mit den geltenden Pflichten für Ihre Risikostufe und Rolle.
6. Bauen Sie einen Maßnahmenplan auf, priorisieren Sie Maßnahmen nach Durchsetzungsfrist, beginnend mit den verbotenen Praktiken (bereits durchsetzbar) und weiter zu den Hochrisiko-Anforderungen ab Dezember 2027. Die Compliance-Checkliste liefert einen detaillierten Aktionsplan.
7. Setzen Sie die technischen Anforderungen um, Risikomanagement, Daten-Governance, Dokumentation, menschliche Aufsicht, Beobachtung.
8. Schließen Sie die Konformitätsbewertung ab, Selbstbewertung oder benannte Stelle, je nach Kategorie.
9. Registrieren, kennzeichnen und starten, registrieren Sie sich in der EU-Datenbank, bringen Sie die CE-Kennzeichnung an und stellen Sie die EU-Konformitätserklärung aus.
10. Beobachten Sie fortlaufend, Marktbeobachtung, Meldung von Vorfällen und iterative Neubewertung des Risikos.

Häufig gestellte Fragen

Gilt der EU AI Act für mein Unternehmen, wenn ich außerhalb der EU sitze?

Ja, wenn Sie ein KI-System auf dem EU-Markt in Verkehr bringen, eines in der EU einsetzen oder ein Ergebnis erzeugen, das in der EU genutzt wird. Der räumliche Anwendungsbereich in Artikel 2 ist bewusst weit gefasst und spiegelt die extraterritoriale Reichweite der DSGVO wider.

Ab wann muss ich compliant sein?

Das hängt von der Pflicht ab. Verbotene Praktiken und Anforderungen zur KI-Kompetenz sind bereits durchsetzbar (seit 2. Februar 2025). Die Transparenzpflichten nach Artikel 50 und der Sanktionsrahmen gelten seit dem 2. August 2026. Hochrisiko-Pflichten und Betreiberpflichten wurden durch das Digital-Omnibus (Verordnung (EU) 2026/1744) auf den 2. Dezember 2027 verschoben. Pflichten für Sicherheitskomponenten von Produkten unter Anhang I gelten ab 2. August 2028.

Ist mein Chatbot ein Hochrisiko-KI-System?

Die meisten allgemeinen Chatbots sind nach Anhang III kein Hochrisiko, unterliegen aber der Transparenzpflicht, die eine Offenlegung verlangt, dass Nutzer mit KI interagieren. Wird ein Chatbot jedoch in einem Hochrisiko-Kontext eingesetzt, etwa um medizinische Ratschläge zu geben, die Behandlungsentscheidungen beeinflussen, kann er aufgrund seiner Zweckbestimmung als Hochrisiko eingestuft werden.

Was ist der Unterschied zwischen dem AI Act und der DSGVO?

Die DSGVO regelt die Verarbeitung personenbezogener Daten. Der AI Act regelt KI-Systeme als Produkte, unabhängig davon, ob sie personenbezogene Daten verarbeiten. Viele KI-Systeme fallen unter beide Verordnungen. Siehe EU AI Act vs. DSGVO für einen ausführlichen Vergleich.

Kann ich die Konformitätsbewertung selbst durchführen?

Für die meisten Hochrisiko-KI-Systeme nach Anhang III ist eine Selbstbewertung zulässig (Verfahren nach Anhang VI). Eine Konformitätsbewertung durch Dritte über eine benannte Stelle ist nur für biometrische Identifizierungssysteme erforderlich sowie für KI-Systeme, die Sicherheitskomponenten von Produkten sind, die ohnehin eine Bewertung durch Dritte verlangen. Siehe den Leitfaden zur Konformitätsbewertung.

Welche Tools helfen bei der EU-AI-Act-Compliance?

Compliance-Plattformen können die Risikoeinstufung, das Erzeugen von Dokumentation, die Lückenanalyse und die Beobachtung automatisieren. Siehe den Vergleich von EU-AI-Act-Compliance-Tools für einen unabhängigen Überblick. Für den Einstieg mit einer schnellen Risikoeinstufung nutzen Sie die kostenlose AI-Act-Bewertung.

Legalithm ist ein KI-gestütztes Compliance-Workflow-Tool, keine Rechtsberatung. Endgültige Compliance-Entscheidungen sollten von qualifizierten Rechtsberatern geprüft werden.