KI-Verordnung (AI Act)

Was bedeutet KI-Verordnung (AI Act)?

Die KI-Verordnung ist das erste umfassende Gesetz zur künstlichen Intelligenz in der Europäischen Union. Sie ist am 1. August 2024 in Kraft getreten und gilt als EU-Verordnung unmittelbar in allen Mitgliedstaaten – ein deutsches Umsetzungsgesetz braucht es für die Pflichten selbst nicht, nur für Aufsicht und Sanktionen. Die Verordnung regelt nicht die Technik an sich, sondern ihren Einsatz: Entscheidend ist, wofür ein KI-System verwendet wird und welches Risiko daraus für Gesundheit, Sicherheit und Grundrechte von Menschen entsteht.

Daraus ergibt sich der risikobasierte Aufbau in vier Stufen. Bestimmte Praktiken sind verboten, etwa Social Scoring oder Systeme, die Menschen gezielt manipulieren. Hochrisiko-KI – zum Beispiel in der Bewerberauswahl, bei der Kreditwürdigkeitsprüfung oder als Sicherheitsbauteil von Maschinen – unterliegt strengen Anforderungen an Risikomanagement, Datenqualität, Dokumentation und menschliche Aufsicht. Bei begrenztem Risiko stehen Transparenzpflichten im Vordergrund: Chatbots müssen sich als KI zu erkennen geben, künstlich erzeugte oder veränderte Inhalte wie Deepfakes müssen gekennzeichnet werden. Für minimales Risiko, also den Großteil alltäglicher Anwendungen wie Spamfilter oder Rechtschreibhilfen, gelten keine besonderen Pflichten. Daneben gibt es eigene Regeln für KI-Modelle mit allgemeinem Verwendungszweck, also die großen Sprachmodelle hinter Chat-Assistenten.

Ebenso wichtig wie die Risikoklasse ist die Rolle. Anbieter ist, wer ein KI-System entwickelt oder entwickeln lässt und unter eigenem Namen in Verkehr bringt. Betreiber ist, wer ein KI-System in eigener Verantwortung beruflich nutzt – das ist die Rolle fast jedes Mittelständlers. Für alle gilt seit dem 2. Februar 2025 die KI-Kompetenzpflicht nach Artikel 4. Ein Unternehmen, das nur einen Chat-Assistenten auf Basis eines Large Language Model nutzt, ist also nicht automatisch der Hersteller mit allen Herstellerpflichten, aber eben auch nicht außen vor.

Abzugrenzen ist die KI-Verordnung von der DSGVO: Die DSGVO schützt personenbezogene Daten, die KI-Verordnung regelt die Sicherheit und Vertrauenswürdigkeit von KI-Systemen. Beide gelten nebeneinander; wer mit KI Kundendaten verarbeitet, muss beide beachten. Auch der Cyber Resilience Act ist ein anderes Gesetz – er betrifft die IT-Sicherheit digitaler Produkte, nicht deren KI-Funktion. Welche KI ein Betrieb sinnvoll einsetzt und welche Pflichten daraus folgen, klärt man am besten zusammen, etwa in einer KI-Potenzialanalyse. Dieser Eintrag ist eine praktische Einordnung, keine Rechtsberatung.

KI-Verordnung (AI Act) kurz erklärt: die wichtigsten Punkte

• Die Pflichten greifen gestaffelt: Verbote und KI-Kompetenzpflicht seit dem 2. Februar 2025, Regeln für KI-Modelle mit allgemeinem Verwendungszweck seit dem 2. August 2025, Transparenzpflichten seit dem 2. August 2026. Für einzelne Hochrisiko-Fristen wird über den Digital Omnibus eine Verschiebung verhandelt.
• Maßgeblich ist der Einsatzzweck, nicht das Werkzeug: Derselbe Chat-Assistent ist beim Formulieren einer E-Mail unkritisch und bei der Vorauswahl von Bewerbungen ein Hochrisiko-Fall.
• Eine generelle Ausnahme für kleine Unternehmen gibt es nicht. KMU profitieren aber von Erleichterungen, etwa bei Bußgeldern und beim Zugang zu Reallaboren.
• Betreiber von Hochrisiko-KI müssen das System nach Gebrauchsanweisung nutzen, eine befähigte menschliche Aufsicht stellen, Protokolle aufbewahren und Beschäftigte vor dem Einsatz am Arbeitsplatz informieren.
• Die Bußgelder sind gestaffelt und reichen bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes bei verbotenen Praktiken; die Aufsicht übernehmen nationale Behörden.

KI-Verordnung (AI Act) in der Praxis

• Handwerksbetrieb mit KI-Textentwürfen: Büro und Meister lassen Angebotstexte und Kundenmails von einem Chat-Assistenten vorformulieren. Das ist minimales Risiko. Der Betrieb ist Betreiber und muss vor allem die KI-Kompetenzpflicht erfüllen: kurze Einweisung, klare Regel, dass Entwürfe vor dem Versand geprüft werden, und eine Vorgabe, welche Daten in welches Werkzeug dürfen.
• Dienstleister mit Telefon- und Website-Assistent: Ein KI-Telefonassistent nimmt Anrufe an, ein Chatbot beantwortet Fragen auf der Website. Beide fallen unter die Transparenzpflicht nach Artikel 50: Wer anruft oder schreibt, muss erkennen können, dass eine KI antwortet. Ein klarer Satz zu Beginn des Gesprächs und ein Hinweis im Chatfenster genügen in der Regel.
• Personaldienstleister mit Bewerber-Ranking: Eine Software sortiert eingehende Bewerbungen per KI vor. Das ist ein Hochrisiko-Einsatz im Bereich Beschäftigung. Vor dem Start müssen Zuständigkeit für die menschliche Aufsicht, Protokollierung, Information der Belegschaft und die Unterlagen des Anbieters geklärt sein – sonst sollte die Funktion abgeschaltet bleiben.

Woran Sie einen sauberen Umgang mit der KI-Verordnung erkennen

1. Es gibt eine aktuelle Liste aller genutzten KI-Werkzeuge mit Zweck, Nutzern und den Daten, die hineinfließen.
2. Jeder Einsatz ist einer Risikoklasse zugeordnet, und für jedes Werkzeug ist klar, ob der Betrieb Anbieter oder Betreiber ist.
3. Die KI-Kompetenzpflicht ist mit Schulung, KI-Richtlinie und dokumentierter Teilnahme erfüllt.
4. Chatbots, Telefonassistenten und KI-erzeugte Inhalte mit Außenwirkung sind sichtbar als KI gekennzeichnet.
5. Eine verantwortliche Person beobachtet Änderungen der Fristen und prüft neue Werkzeuge, bevor sie eingeführt werden.

Typische Fehler

• „Wir entwickeln keine KI, also betrifft uns das nicht“: Schon die berufliche Nutzung macht ein Unternehmen zum Betreiber – mit KI-Kompetenzpflicht und, je nach Einsatz, Transparenzpflichten.
• Alles für Hochrisiko halten: Aus Unsicherheit wird KI ganz verboten, obwohl die meisten Anwendungen im Mittelstand minimales oder begrenztes Risiko haben. Das kostet Nutzen und treibt die Nutzung in private Konten.
• Auf eine Verschiebung spekulieren: Der Digital Omnibus betrifft einzelne Fristen, nicht den Rahmen. Verbote, Kompetenzpflicht und Transparenzpflichten gelten bereits.
• Unbemerkt zum Anbieter werden: Wer ein fremdes Hochrisiko-System wesentlich verändert oder unter eigener Marke anbietet, übernimmt Anbieterpflichten – oft, ohne es zu merken.

Mein Bezug

Ich bin selbst Unternehmer und arbeite in unseren eigenen Firmen täglich mit KI – von Chat-Assistenten bis zu digitalen Mitarbeitern, die Aufgaben im Hintergrund vorbereiten. Die KI-Verordnung betrifft mich also in genau der Rolle, in der auch meine Kunden stehen. Als zertifizierter KI-Manager und BAFA-akkreditierter Berater begleite ich Betriebe in Rostock, Mecklenburg-Vorpommern und Norddeutschland dabei, den AI Act pragmatisch umzusetzen: KI-Inventar, Einordnung nach Risikoklasse und Rolle, KI-Richtlinie, Schulung nach Rollen und Kennzeichnung von Chatbots. Was seit dem 2. August 2026 konkret gilt, beschreibe ich ausführlich im Beitrag zum EU AI Act ab 2. August 2026; meine kritische Sicht auf manche Regel steht im Kommentar Gut gemeint, schlecht gemacht.

Zur Förderung bleibe ich ehrlich: Die reine Umsetzung von Rechtspflichten ist kein Förderzweck. Ist die Einordnung nach KI-Verordnung aber Teil einer Beratung, in der Prozesse analysiert und ein KI-Konzept für den Betrieb erarbeitet wird, kann der beratende Anteil über die BAFA-Beratungsförderung gefördert werden – in Mecklenburg-Vorpommern mit 80 Prozent der förderfähigen Kosten, bemessen an höchstens 3.500 Euro netto je Beratung. Der Antrag muss vor Beratungsbeginn gestellt werden und ist nach aktuellem Stand nur noch bis zum 31. Dezember 2026 möglich. Einzelheiten stehen im Eintrag zur BAFA-Beratungsförderung.

Verwandte Begriffe

• KI-Kompetenzpflicht
• KI-Telefonassistent
• Large Language Model (LLM)
• KI-Potenzialanalyse
• KI-Berater

Weiterführende Beiträge

• EU AI Act ab 2. August 2026: Was jetzt für Ihr Unternehmen gilt
• EU AI Act: Kennzeichnungspflicht für KI-Interaktionen – was Unternehmen jetzt beachten müssen
• KI-Schulung für Mitarbeiter nach EU AI Act: Was die Pflicht zur KI-Kompetenz verlangt und wie Sie sie pragmatisch erfüllen
• ChatGPT im Betrieb: erlaubt oder Datenschutz-Falle?
• Gut gemeint, schlecht gemacht: Was der EU AI Act in der Praxis anrichtet

Häufige Fragen zu KI-Verordnung (AI Act)

Was ist die KI-Verordnung (AI Act)?

Die KI-Verordnung ist die Verordnung (EU) 2024/1689, das erste umfassende Gesetz zur künstlichen Intelligenz in der EU. Sie ordnet KI-Anwendungen nach ihrem Risiko ein und legt fest, welche Pflichten Anbieter und Betreiber von KI-Systemen je nach Risikoklasse erfüllen müssen.

Gilt der AI Act auch für kleine Unternehmen?

Ja, eine generelle Ausnahme für kleine und mittlere Unternehmen gibt es nicht. Entscheidend sind Rolle und Einsatzzweck: Wer KI beruflich nutzt, ist Betreiber und muss mindestens die KI-Kompetenzpflicht erfüllen; bei Bußgeldern sieht die Verordnung für KMU allerdings den jeweils niedrigeren Höchstbetrag vor.

Ab wann gelten die Pflichten der KI-Verordnung?

Die Pflichten gelten gestaffelt: Die Verordnung ist seit dem 1. August 2024 in Kraft, Verbote und KI-Kompetenzpflicht gelten seit dem 2. Februar 2025, Regeln für KI-Modelle mit allgemeinem Verwendungszweck seit dem 2. August 2025 und die Transparenzpflichten seit dem 2. August 2026. Für einzelne Hochrisiko-Pflichten wird über den Digital Omnibus eine Verschiebung verhandelt; verbindlich ist der jeweils im Amtsblatt veröffentlichte Stand.

Bin ich Anbieter oder Betreiber im Sinne des AI Act?

Die meisten Mittelständler sind Betreiber, weil sie fertige KI-Systeme in eigener Verantwortung beruflich nutzen. Anbieter ist, wer ein KI-System entwickelt oder entwickeln lässt und es unter eigenem Namen in Verkehr bringt; zum Anbieter kann auch werden, wer ein fremdes Hochrisiko-System wesentlich verändert oder unter eigener Marke anbietet.

Welche Bußgelder sieht die KI-Verordnung vor?

Die KI-Verordnung sieht gestaffelte Bußgelder vor: bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes bei verbotenen Praktiken, bis zu 15 Millionen Euro oder 3 Prozent bei Verstößen gegen andere Pflichten. Für KMU gilt jeweils der niedrigere der beiden Werte; die konkrete Ahndung regeln die Mitgliedstaaten.