Für wen der AI Act gilt
Der AI Act gilt für Organisationen, die KI-Systeme in der EU entwickeln, bereitstellen oder nutzen, auch für Unternehmen mit Sitz außerhalb der EU, deren KI-Systeme in der EU in Verkehr gebracht werden oder deren Ergebnisse in der EU verwendet werden. Was Sie tun müssen, hängt von Ihrer Rolle bei jedem System ab:
- Anbieter: entwickelt ein KI-System oder ein KI-Modell mit allgemeinem Verwendungszweck oder lässt es entwickeln und bringt es unter eigenem Namen in Verkehr oder nimmt es in Betrieb.
- Betreiber: verwendet ein KI-System in eigener Verantwortung im Rahmen einer beruflichen Tätigkeit, etwa ein Unternehmen, das das Recruiting-Tool eines Anbieters nutzt.
- Einführer und Händler: bringen ein System von außerhalb der EU auf den EU-Markt oder stellen es dort bereit.
Die meisten Unternehmen sind Betreiber. Ein Betreiber wird zum Anbieter, wenn er ein Hochrisiko-System mit seinem Namen oder seiner Marke versieht, es wesentlich verändert oder den Zweck eines Systems so ändert, dass es zum Hochrisiko-System wird.
Die Fristen
Die Daten folgen dem AI Act in der Fassung der Verordnung (EU) 2026/1744, des Digital Omnibus, in Kraft seit dem 27. Juli 2026.
- Der AI Act tritt in Kraft.
- Verbotene Praktiken sind untersagt, und die Pflicht zur KI-Kompetenz gilt.
- Die Regeln für KI-Modelle mit allgemeinem Verwendungszweck, Governance und Sanktionen gelten.
- Die Transparenzpflichten nach Artikel 50 gelten. Das AI Office kann die Regeln für KI-Modelle mit allgemeinem Verwendungszweck durchsetzen, und die nationalen Behörden beaufsichtigen die KI-Kompetenz.
- Zwei neue Verbote gelten: für KI, die nicht einvernehmliche intime oder sexuelle Bilder erzeugt, und für Darstellungen sexuellen Kindesmissbrauchs. Generative Systeme, die vor dem 2. August 2026 bereits auf dem Markt waren, müssen ihre Ergebnisse bis zu diesem Tag kennzeichnen.
- KI-Modelle mit allgemeinem Verwendungszweck, die vor dem 2. August 2025 in Verkehr gebracht wurden, müssen die Anforderungen erfüllen.
- Die Pflichten für die in Anhang III genannten Hochrisiko-Einsatzfelder gelten.
- Die Pflichten für Hochrisiko-KI in Produkten nach Anhang I gelten.
- Von Behörden genutzte Hochrisiko-Systeme, die bereits auf dem Markt waren, müssen die Anforderungen erfüllen.
Schritt 1: Jedes KI-System erfassen
Schritt 2: Das Risiko klassifizieren
Jeder Einsatz fällt in eine von vier Stufen. Klassifizieren Sie jeden Einsatz, nicht jedes Produkt: Derselbe Assistent kann beim Entwerfen von E-Mails minimales Risiko bedeuten und hohes Risiko, wenn er Bewerbungen vorsortiert.
| Stufe | Was sie umfasst | Was das für Sie bedeutet |
|---|---|---|
| Verboten | Nach Artikel 5 verbotene Praktiken wie Social Scoring oder Emotionserkennung am Arbeitsplatz und ab dem 2. Dezember 2026 KI, die nicht einvernehmliche intime Bilder erzeugt | Nutzung einstellen |
| Hohes Risiko | In Anhang III genannte Einsatzfelder wie Recruiting, Kreditscoring und Zugang zu grundlegenden Diensten sowie KI in Produkten nach Anhang I | Volle Pflichten ab dem 2. Dezember 2027 oder dem 2. August 2028 |
| Transparenz | Systeme, die mit Menschen interagieren, Inhalte erzeugen oder Deepfakes erstellen | Menschen informieren und Inhalte kennzeichnen, nach Artikel 50, seit dem 2. August 2026 |
| Minimal | Die meisten übrigen Einsatzfelder wie Entwerfen, Zusammenfassen und Analysieren | Keine besonderen Pflichten über die KI-Kompetenz hinaus |
Die Kommission hat im Februar 2025 Leitlinien zur Definition eines KI-Systems und zu verbotenen Praktiken veröffentlicht und im Mai 2026 einen Entwurf von Leitlinien zur Hochrisiko-Einstufung. Hochrisiko-Systeme, die vor ihrem Stichtag bereits auf dem Markt waren, sind nur erfasst, wenn sie danach erheblich verändert werden; von Behörden genutzte Systeme müssen die Anforderungen bis zum 2. August 2030 erfüllen.
Schritt 3: Die Pflichten Ihrer Rolle zuordnen
Jeder Anbieter und Betreiber
Maßnahmen ergreifen, die die KI-Kompetenz des Personals und anderer Personen fördern, die in Ihrem Auftrag KI-Systeme betreiben oder nutzen, nach Artikel 4.
Betreiber von Hochrisiko-Systemen, nach Artikel 26
Anbieter von Hochrisiko-Systemen
Risikomanagement, Daten-Governance, technische Dokumentation, Protokollierung, Betriebsanleitungen für Betreiber, menschliche Aufsicht, Genauigkeit, Robustheit und Cybersicherheit, ein Qualitätsmanagementsystem, Konformitätsbewertung, CE-Kennzeichnung, Registrierung in der EU-Datenbank und Beobachtung nach dem Inverkehrbringen.
Transparenz, nach Artikel 50
Anbieter gestalten Systeme, die mit Menschen interagieren, so, dass diese wissen, dass sie es mit KI zu tun haben, sofern es nicht offensichtlich ist, und kennzeichnen KI-erzeugte Inhalte maschinenlesbar. Betreiber legen Deepfakes offen, ebenso KI-erzeugte Texte, die veröffentlicht werden, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren, es sei denn, ein Mensch hat sie geprüft und trägt die redaktionelle Verantwortung. Die Kommission hat am 20. Juli 2026 Leitlinien zu diesen Pflichten veröffentlicht.
Anbieter von KI-Modellen mit allgemeinem Verwendungszweck
Technische Dokumentation, Informationen für Unternehmen, die auf dem Modell aufbauen, eine Urheberrechtsstrategie und eine öffentliche Zusammenfassung der Trainingsinhalte, mit weiteren Pflichten für Modelle mit systemischem Risiko. Der General-Purpose AI Code of Practice vom Juli 2025 ist ein anerkannter Weg, die Einhaltung nachzuweisen.
Schritt 4: KI-Kompetenz aufbauen
Artikel 4 gilt seit dem 2. Februar 2025. In der Fassung vom Juli 2026 verlangt er von Anbietern und Betreibern Maßnahmen, die die KI-Kompetenz ihres Personals und anderer Personen fördern, die in ihrem Auftrag KI nutzen, ohne ein bestimmtes Niveau garantieren zu müssen. Die nationalen Behörden beaufsichtigen dies seit dem 2. August 2026, und ein Zertifikat ist nicht erforderlich.
Schritt 5: Governance einrichten
Eine Norm für Managementsysteme wie ISO/IEC 42001 gibt dieser Governance eine Struktur, die Auditoren anerkennen.
Geldbußen
| Verstoß | Höchstbetrag |
|---|---|
| Verbotene Praktiken | 35 Mio. EUR oder 7 % des weltweiten Jahresumsatzes |
| Pflichten der Akteure, einschließlich Betreiber und Transparenz | 15 Mio. EUR oder 3 % |
| Unrichtige, unvollständige oder irreführende Angaben gegenüber Behörden | 7,5 Mio. EUR oder 1 % |
Es gilt der höhere der beiden Beträge. Für KMU und Start-ups gilt in jeder Stufe der niedrigere, und kleine Midcap-Unternehmen profitieren in den beiden unteren Stufen vom niedrigeren Betrag.
Quellen
- Verordnung (EU) 2026/1744, Digital Omnibus zu KI, Amtsblatt
- AI Act Service Desk: Artikel 4, KI-Kompetenz
- AI Act Service Desk: Artikel 26, Pflichten der Betreiber von Hochrisiko-KI-Systemen
- AI Act Service Desk: Artikel 50, Transparenzpflichten
- AI Act Service Desk: Artikel 99, Sanktionen
- AI Act Service Desk: Artikel 113, Inkrafttreten und Geltungsbeginn
- Europäische Kommission: Fragen und Antworten zur KI-Kompetenz
- Europäische Kommission: Leitlinien zur Definition eines KI-Systems
- Europäische Kommission: Leitlinien zu verbotenen KI-Praktiken
- Europäische Kommission: Entwurf der Leitlinien zur Hochrisiko-Einstufung
- Europäische Kommission: Leitlinien zu den Transparenzpflichten