Innovation

AI Act: Neue Regeln für Künstliche Intelligenz in Unternehmen

Der AI Act ist eine Verordnung der Europäischen Union über harmonisierte Vorschriften für Künstliche Intelligenz. Er schafft einen EU-weit einheitlichen Rechtsrahmen für die Entwicklung, das Inverkehrbringen und den Einsatz von KI-Systemen.
Ziel der Verordnung ist es, vertrauenswürdige KI zu fördern und Risiken für Gesundheit, Sicherheit und Grundrechte zu begrenzen. Die Anforderungen richten sich insbesondere nach dem Verwendungszweck und dem Risiko eines KI-Systems sowie nach der Rolle des jeweiligen Unternehmens. Betroffen sind daher sowohl Unternehmen, die KI-Systeme anbieten, als auch Unternehmen, die diese im eigenen Betrieb einsetzen.

Kernpunkte und Ziel

Der AI Act verfolgt einen risikobasierten Ansatz. Für Anwendungen mit höheren Risiken gelten umfangreichere Anforderungen als für Anwendungen mit geringem Risiko.
Die Kernpunkte der Verordnung sind:
  • Verbot bestimmter KI-Praktiken: Anwendungen mit nicht hinnehmbaren Risiken sind untersagt. Dazu gehören bestimmte schädliche Manipulationspraktiken und Formen des Social Scorings. Die KI-gestützte Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen ist grundsätzlich verboten; ausgenommen sind bestimmte medizinische oder sicherheitsbezogene Verwendungen.
  • Anforderungen an Hochrisiko-KI: Für bestimmte Anwendungen gelten besondere Vorgaben, etwa zum Risikomanagement, zur Datenqualität, zur Dokumentation, zur menschlichen Aufsicht sowie zu Genauigkeit, Robustheit und Cybersicherheit.
  • Konformitätsbewertung und CE-Kennzeichnung: Anbieter von Hochrisiko-KI müssen nach den jeweils anwendbaren Vorschriften die Konformität nachweisen, eine EU-Konformitätserklärung ausstellen und eine CE-Kennzeichnung anbringen. Hinzu kommen Qualitätsmanagement- und gegebenenfalls Registrierungspflichten.
  • Transparenz beim KI-Einsatz: Bei bestimmten Anwendungen müssen Menschen erkennen können, dass sie mit KI interagieren oder künstlich erzeugten beziehungsweise manipulierten Inhalten begegnen. Technische Kennzeichnungspflichten der Anbieter und Offenlegungspflichten der Betreiber sind dabei zu unterscheiden.
  • Förderung der KI-Kompetenz: Anbieter und Betreiber müssen Maßnahmen zur Förderung der KI-Kompetenz ihres Personals und weiterer in ihrem Auftrag handelnder Personen ergreifen. Ein bestimmtes individuelles Kompetenzniveau oder zertifizierte Schulungen sind nicht vorgeschrieben. Die Bundesnetzagentur empfiehlt, die getroffenen Maßnahmen zu dokumentieren.
  • Regeln für KI-Modelle mit allgemeinem Verwendungszweck: Für Anbieter solcher Modelle gelten gesonderte Anforderungen, unter anderem zur Dokumentation, zur Information nachgelagerter Anbieter und zum Urheberrecht. Bei Modellen mit systemischem Risiko kommen weitere Anforderungen hinzu.
Eine Übersicht über den Rechtsrahmen, Leitlinien und Anwendungshilfen bietet der AI Act Service Desk der Europäischen Kommission. Ergänzende Erläuterungen und Materialien stellt die vom Land Nordrhein-Westfalen geförderte Kompetenzplattform KI.NRW bereit.

Warum ist der AI Act für Unternehmen relevant?

Der AI Act betrifft unterschiedliche Unternehmen entlang der KI-Wertschöpfungskette. Die Pflichten beschränken sich nicht auf die Entwicklung eigener KI-Systeme:
  • Anforderungen an die Produktentwicklung: Anbieter von Hochrisiko-KI müssen die gesetzlichen Anforderungen in ihre Entwicklungs-, Qualitäts- und Konformitätsbewertungsverfahren einbeziehen.
  • Verantwortung beim betrieblichen Einsatz: Betreiber von Hochrisiko-KI müssen die Systeme entsprechend der Gebrauchsanweisung verwenden, ihren Betrieb überwachen und eine geeignete menschliche Aufsicht sicherstellen.
  • Dokumentation und Umgang mit Vorfällen: Für Hochrisiko-KI bestehen unter anderem Anforderungen an die Aufbewahrung automatisch erzeugter Protokolle und an die Information über Risiken und schwerwiegende Vorfälle.
  • Information von Beschäftigten: Vor dem Einsatz von Hochrisiko-KI am Arbeitsplatz müssen Arbeitgeber die betroffenen Beschäftigten und deren Vertretungen informieren.
  • Zusätzliche Prüfungen bei bestimmten Einsätzen: Für bestimmte Betreiber und Anwendungen kann eine Grundrechte-Folgenabschätzung erforderlich sein. Dies betrifft unter anderem bestimmte öffentliche Dienstleister sowie bestimmte Anwendungen zur Kreditwürdigkeitsprüfung oder zur Risikobewertung und Preisbildung bei Lebens- und Krankenversicherungen.
Der AI Act ersetzt andere Vorschriften nicht. Insbesondere Datenschutz-, Verbraucherschutz- und Produktsicherheitsrecht bleiben zu beachten.
Für die Förderung der KI-Kompetenz sollten Unternehmen die Vorkenntnisse ihrer Beschäftigten, die eingesetzten Systeme und die jeweiligen Aufgaben berücksichtigen. Unterstützung bietet der Praxisleitfaden „KI-Kompetenz aufbauen“ von Mittelstand-Digital. Weitere Erläuterungen enthält der Fragen-und-Antworten-Katalog der Europäischen Kommission zu Artikel 4.
Für die betriebliche Qualifizierung stehen außerdem die KI-Weiterbildungen des IHK-Forums Düsseldorf, die kostenlosen Lernangebote des KI-Campus sowie die kostenlosen Onlinekurse des appliedAI Institute for Europe zur Verfügung.

Wichtige Fristen

Die Anforderungen gelten schrittweise. Die nachfolgenden Termine berücksichtigen die Verordnung (EU) 2026/1744, den sogenannten KI-Omnibus, der am 27. Juli 2026 in Kraft getreten ist.
Zeitpunkt Regelung
Seit 2. Februar 2025 Die ursprünglichen Verbote bestimmter KI-Praktiken sowie die Vorgaben zur KI-Kompetenz gelten.
Seit 2. August 2025 Die Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck gelten grundsätzlich. Für bereits zuvor in Verkehr gebrachte Modelle besteht eine Übergangsfrist.
Seit 2. August 2026 Die Transparenzpflichten für bestimmte KI-Systeme gelten.
Bis 2. Dezember 2026 Anbieter generativer KI-Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden, müssen die Anforderungen an die maschinenlesbare Kennzeichnung und Erkennbarkeit ihrer Ausgaben nach Artikel 50 Absatz 2 erfüllen.
Ab 2. Dezember 2026 Zusätzliche Verbote greifen, insbesondere für bestimmte KI-Systeme zur Erzeugung nicht einvernehmlicher intimer oder sexueller Inhalte sowie von Darstellungen sexuellen Kindesmissbrauchs.
Bis 2. August 2027 Anbieter von KI-Modellen mit allgemeinem Verwendungszweck, die vor dem 2. August 2025 in Verkehr gebracht wurden, müssen die entsprechenden Pflichten erfüllen.
Ab 2. Dezember 2027 Die Anforderungen und Akteurspflichten für bestimmte Hochrisiko-Anwendungen gelten, beispielsweise in Beschäftigung, Bildung und kritischen Infrastrukturen.
Ab 2. August 2028 Die entsprechenden Hochrisiko-Anforderungen gelten für KI-Systeme, die nach den produktbezogenen Einstufungskriterien der Verordnung erfasst sind.
Die Fristen betreffen unterschiedliche Pflichten und Adressaten. Die Übergangsfrist bis Dezember 2026 für die technische Kennzeichnung ist insbesondere keine allgemeine Umsetzungsfrist für sämtliche Unternehmen, die KI-Werkzeuge nutzen. Eine Übersicht veröffentlicht die Bundesnetzagentur in ihrem Zeitplan zur KI-Verordnung.
Für bereits vor dem jeweiligen Anwendungsbeginn in Verkehr gebrachte oder in Betrieb genommene Hochrisiko-KI bestehen besondere Übergangsregelungen. Grundsätzlich werden diese Systeme von den betreffenden Anforderungen erfasst, wenn ihre Konzeption danach erheblich verändert wird. Für Hochrisiko-KI, die bestimmungsgemäß von Behörden verwendet werden soll, gilt eine besondere Frist bis zum 2. August 2030. Die Verbote bestimmter KI-Praktiken bleiben davon unberührt.

Wer ist vom AI Act betroffen?

Die Verordnung betrifft insbesondere Anbieter, Betreiber, Einführer und Händler von KI-Systemen sowie bestimmte Produkthersteller und Bevollmächtigte. Auch Anbieter außerhalb der EU können erfasst sein, wenn sie KI-Systeme auf dem europäischen Markt bereitstellen.
Anbieter entwickeln KI-Systeme oder lassen diese entwickeln und bringen sie unter eigenem Namen oder eigener Marke in Verkehr beziehungsweise nehmen sie in Betrieb. Betreiber setzen KI-Systeme in eigener Verantwortung im beruflichen oder betrieblichen Kontext ein. Die ausschließlich private, nicht berufliche Nutzung durch natürliche Personen fällt nicht unter die Betreiberpflichten.
Ein Unternehmen kann auch beim Einsatz fremder Systeme Anbieterpflichten übernehmen. Dies kann insbesondere der Fall sein, wenn es ein Hochrisiko-KI-System unter eigenem Namen anbietet, wesentlich verändert oder die Zweckbestimmung eines bisher nicht hochriskanten Systems so ändert, dass daraus Hochrisiko-KI wird.
Eine erste, unverbindliche Orientierung zur Betroffenheit und Risikoeinstufung bietet der kostenlose KI-Compliance-Kompass der Bundesnetzagentur. Erläuterungen zu den Unternehmensrollen und ihren Pflichten finden sich im KI-Service Desk der Bundesnetzagentur.

Wann liegt Hochrisiko-KI vor?

Bei bestimmten Anwendungen, beispielsweise zur Bewerberauswahl, richtet sich die Einstufung nach den ausdrücklich erfassten Verwendungszwecken. Für bestimmte eng begrenzte oder vorbereitende Aufgaben können Ausnahmen bestehen. Die gesetzlichen Voraussetzungen müssen im Einzelfall geprüft werden; eine bloße Zuordnung zum Personal- oder Bildungsbereich reicht nicht aus.
Für produktbezogene Hochrisiko-KI müssen grundsätzlich zwei Voraussetzungen zusammenkommen: Das KI-System ist selbst ein erfasstes Produkt oder dient als dessen Sicherheitsbauteil, und für das Produkt ist eine Konformitätsbewertung durch Dritte vorgeschrieben. Nicht jede KI-Funktion in einer Maschine oder einem anderen regulierten Produkt ist deshalb automatisch Hochrisiko-KI. Ausschließlich nicht sicherheitsrelevante Funktionen, etwa zur Nutzerunterstützung oder Leistungsoptimierung, gelten nach der Verordnung nicht als Sicherheitsbauteile. Für einzelne Produktbereiche bestehen besondere sektorale Regelungen.

Welche Transparenzpflichten gelten?

Die Transparenzpflichten unterscheiden insbesondere folgende Fälle:
  • Direkte Interaktion mit KI: Anbieter müssen die Systeme so gestalten, dass Menschen über die KI-Interaktion informiert werden, sofern diese nicht bereits offensichtlich ist.
  • Generative KI: Anbieter müssen Ausgaben grundsätzlich maschinenlesbar kennzeichnen und als künstlich erzeugt oder manipuliert erkennbar machen. Ausnahmen bestehen unter anderem für unterstützende Standardbearbeitung oder nicht wesentliche Veränderungen der Eingabedaten.
  • Emotionserkennung und biometrische Kategorisierung: Soweit solche Systeme zulässig eingesetzt werden, müssen Betreiber die betroffenen Personen über den Betrieb informieren.
  • Deepfakes: Betreiber müssen den künstlichen Ursprung entsprechender Bild-, Ton- oder Videoinhalte offenlegen.
  • Texte zu Angelegenheiten von öffentlichem Interesse: Eine Offenlegung ist grundsätzlich erforderlich. Sie entfällt bei menschlicher Überprüfung oder redaktioneller Kontrolle, wenn zugleich eine natürliche oder juristische Person die redaktionelle Verantwortung trägt.
Erforderliche Hinweise müssen klar, eindeutig und spätestens bei der ersten Interaktion beziehungsweise Konfrontation mit den Inhalten erfolgen. Für offensichtlich künstlerische, kreative, satirische oder fiktionale Werke gelten angepasste Offenlegungsvorgaben.
Weitere Erläuterungen veröffentlicht die Europäische Kommission zu den Transparenzpflichten nach Artikel 50.

Wie hoch fallen Sanktionen bei Verstößen aus?

Der AI Act sieht ein gestuftes Sanktionssystem vor:
Verstoß Bußgeldobergrenze
Verbotene KI-Praktiken Bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes
Bestimmte weitere Pflichten, darunter Transparenzpflichten Bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes
Falsche, unvollständige oder irreführende Angaben auf Auskunftsersuchen zuständiger nationaler Behörden oder notifizierter Stellen Bis zu 7,5 Millionen Euro oder 1 Prozent des weltweiten Jahresumsatzes
Maßgeblich ist grundsätzlich der jeweils höhere Betrag; Bezugsgröße ist der Umsatz des vorangegangenen Geschäftsjahres. Für kleine und mittlere Unternehmen einschließlich Start-ups gilt bei diesen Obergrenzen jeweils der niedrigere Betrag. Für kleine Midcap-Unternehmen gilt diese Erleichterung bei den beiden letztgenannten Kategorien.
Die konkrete Sanktion richtet sich unter anderem nach Art, Schwere und Dauer des Verstoßes sowie den Umständen des Einzelfalls.
Für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck bestehen gesonderte Sanktionsregelungen. Die Europäische Kommission kann bei den dort geregelten Verstößen Geldbußen von bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Vorjahresumsatzes verhängen, je nachdem, welcher Betrag höher ist.
In Deutschland übernimmt die Bundesnetzagentur eine zentrale Rolle als Marktüberwachungsbehörde, Anlaufstelle und Beschwerdestelle. Daneben bleiben je nach Produktbereich und Anwendung andere Marktüberwachungs- und Fachaufsichtsbehörden zuständig.

Was sollten Unternehmen jetzt prüfen?

  • Welche KI-Systeme werden entwickelt, angeboten oder eingesetzt?
  • Für welche Aufgaben und Entscheidungen werden die Systeme verwendet?
  • Welche Rolle übernimmt das Unternehmen: Anbieter, Betreiber, Einführer oder Händler?
  • Entstehen durch Änderungen oder eine neue Zweckbestimmung zusätzliche Anbieterpflichten?
  • Fallen Anwendungen unter die Verbote bestimmter KI-Praktiken?
  • Sind Systeme nach den gesetzlichen Kriterien als Hochrisiko-KI einzustufen?
  • Welche Fristen und Übergangsregelungen gelten für die jeweiligen Systeme?
  • Werden erforderliche Hinweise zur KI-Interaktion und zu künstlich erzeugten Inhalten bereitgestellt?
  • Müssen als Anbieter technische Kennzeichnungen bis zum 2. Dezember 2026 umgesetzt werden?
  • Welche Maßnahmen zur KI-Kompetenz bestehen, und werden diese dokumentiert?
  • Sind bei Hochrisiko-KI die erforderlichen Unterlagen, Konformitätsverfahren und Verantwortlichkeiten vorgesehen?
  • Sind menschliche Aufsicht, Überwachung, Protokollaufbewahrung und der Umgang mit Vorfällen geregelt?
  • Werden betroffene Beschäftigte und deren Vertretungen erforderlichenfalls informiert?
  • Ist für die konkrete Anwendung eine Grundrechte- oder Datenschutz-Folgenabschätzung erforderlich?
Die Prüfung sollte sich an der konkreten Anwendung, der Unternehmensrolle und den jeweils anwendbaren Anforderungen orientieren. Der KI-Service Desk der Bundesnetzagentur und der AI Act Service Desk der Europäischen Kommission bieten hierzu Informationen und Umsetzungshilfen.