IHK Ulm
AI-Act: Die EU reguliert künstliche Intelligenz (KI)
Der AI Act (Artificial Intelligence Act), offiziell die Verordnung über künstliche Intelligenz, ist weltweit eine der ersten umfassenden Regulierungen von künstlicher Intelligenz (KI). Erfahren Sie in diesem Artikel mehr über den AI Act sowie ob und wie Ihr Unternehmen davon betroffen ist.
- Was ist das Ziel des AI Act?
- Meilensteine des AI Act
- Wer ist vom AI Act betroffen?
- Wie wird KI im Rahmen des AI Act definiert?
- KI-Kompetenzvermittlung (Artikel 4 AI Act)
- Ist meine KI vom AI Act betroffen?
- Welche Risikoklassen gibt es?
- Welche gesonderten Vorschriften gelten für KI-Modelle mit allgemeinem Verwendungszweck?
- Wie hoch fallen Sanktionen für Verstöße aus?
- Kennzeichnungs- und Transparenzpflichten nach AI Act
- Wo bekomme ich weitere Unterstützung?
Was ist das Ziel des AI Act?
Die KI hat das Potenzial, vielfältige Vorteile für Wirtschaft und Gesellschaft hervorzubringen. Als Beispiele können die Verbesserung von Prognosen, die Optimierung der Ressourcennutzung und die Personalisierung von Dienstleistungen genannt werden. Dieselben KI-Faktoren, die einen sozioökonomischen Nutzen erbringen, bergen aber auch neue Gefahren und Nachteile für unsere Gesellschaft. Beispielsweise können KI-Systeme, die auf unzureichenden oder verzerrten Trainingsdaten basieren, Vorurteile übernehmen und dadurch diskriminierende Entscheidungen begünstigen.
Die EU möchte deshalb sicherstellen, dass KI im Einklang mit den Werten, Grundrechten und Prinzipien der EU entwickelt und eingesetzt wird.
Die EU möchte deshalb sicherstellen, dass KI im Einklang mit den Werten, Grundrechten und Prinzipien der EU entwickelt und eingesetzt wird.
Meilensteine des AI Act
Der AI Act ist am 1. August 2024 in Kraft getreten. Seine Vorgaben gelten jedoch schrittweise. Voll anwendbar ist die Verordnung grundsätzlich ab dem 2. August 2026. Einzelne Regelungen gelten bereits früher oder erst später.
| Datum | Meilenstein |
|---|---|
| 2. Februar 2025 | Geltung von Kapitel I und II, insbesondere der Begriffsbestimmungen, der Pflicht zur KI-Kompetenz und der Verbote bestimmter KI-Praktiken |
| 2. August 2025 | Geltung u. a. von Governance-, Notifizierungs- und Sanktionsvorschriften sowie der Vorgaben zu KI-Modellen mit allgemeinem Verwendungszweck |
| 2. August 2026 | Grundsätzlicher Geltungsbeginn der KI-Verordnung. Ab diesem Zeitpunkt gelten insbesondere viele Pflichten für Hochrisiko-KI-Systeme nach Anhang III sowie die Transparenzpflichten nach Art. 50 AI Act |
| 2. August 2027 | Geltung von Art. 6 Abs. 1 und der entsprechenden Pflichten für bestimmte Hochrisiko-KI-Systeme, insbesondere KI als Sicherheitsbauteil regulierter Produkte |
- Neuerungen im AI-Act seit dem 2. August 2025
Neuerungen im AI-Act seit dem 2. August 2025
Seit dem 2. August 2025 gelten im Rahmen des AI-Act neue Vorschriften. Diese betreffen vor allem Anbieter von KI-Modellen mit allgemeinem Verwendungszweck (General Purpose AI, GPAI).Was hat sich geändert?
Regeln für GPAI-Modelle- Anbieter von GPAI-Modellen müssen mehr Transparenz gewährleisten, z. B. durch technische Dokumentationen und Informationen über mögliche Risiken der Nutzung.
- Ziel ist es, Risiken für Unternehmen, Verbraucher und die Gesellschaft frühzeitig zu erkennen und zu minimieren.
Nationale AufsichtsbehördenJeder EU-Mitgliedstaat benennt eine zuständige Behörde, die:- die Einhaltung der KI-Verordnung überwacht,
- Unternehmen berät und
- bei Verstößen Sanktionen verhängen kann.
NotifizierungsbehördenAußerdem muss jeder Mitgliedstaat eine oder mehrere Notifizierungsbehörden einrichten.Diese sind verantwortlich für:- die Bewertung,
- Benennung und
- laufende Überwachung von Konformitätsbewertungsstellen, die KI-Systeme prüfen.
Zentrale Anlaufstelle (Single Point of Contact)Künftig wird es in jedem Mitgliedstaat eine zentrale Anlaufstelle geben:
- für Unternehmen, die Fragen zum AI Act haben,
- für Verbraucher sowie
- für andere Behörden, um Informationen effizient auszutauschen.
Die Bundesnetzagentur soll nach bisherigen Plänen eine zentrale Rolle in der Umsetzung der KI-Verordnung in Deutschland übernehmen und führt bereits vorbereitende Tätigkeiten durch. - Durchführungsgesetz zur EU-KI-Verordnung
Das Bundeskabinett hat am 11. Februar 2026 das nationale Durchführungsgesetz zur KI-Verordnung (AI Act) der Europäischen Union beschlossen. Damit werden die zuständigen Behörden für die Umsetzung und Überwachung der europäischen Vorgaben in Deutschland festgelegt.Der Gesetzestext berücksichtigt zudem die föderalen Zuständigkeiten im Bereich der Medienaufsicht. Dies betrifft unter anderem Transparenzpflichten wie die Kennzeichnung von Deepfakes und KI-generierten Inhalten.Das Durchführungsgesetz ist ein weiterer Baustein für einen abgestimmten europäischen Ordnungsrahmen im Umgang mit künstlicher Intelligenz. Im Mittelpunkt steht die Verantwortung der Anwender und Plattformen. Klare Regeln, deren konsequente Durchsetzung sowie regelmäßige Risikobewertungen sollen einen verlässlichen Rahmen für den Einsatz von KI schaffen.Ziel ist ein fairer und transparenter digitaler Informationsraum, der Innovation ermöglicht und zugleich den Schutz von Meinungsvielfalt und demokratischer Öffentlichkeit stärkt.Stellungnahme der DIHKBegleitend zum Gesetzentwurf hat die Deutsche Industrie- und Handelskammer (DIHK) eine Stellungnahme vorgelegt. Darin begrüßt sie grundsätzlich die Zielsetzung des Durchführungsgesetzes, betont jedoch die Notwendigkeit einer praxisnahen und innovationsfreundlichen Ausgestaltung. Insbesondere fordert die DIHK klare Zuständigkeiten und eine zentrale Koordinierung der Aufsicht, um Rechtsunsicherheiten und Doppelstrukturen zu vermeiden. Zugleich warnt sie vor zusätzlichen bürokratischen Belastungen über die europäischen Vorgaben hinaus, die insbesondere kleine und mittlere Unternehmen beim Einsatz von KI-Systemen beeinträchtigen könnten. Hier geht es zur DIHK-Stellungnahme.Wie geht es nun weiter?Im weiteren Verfahren wird der Gesetzentwurf nun in den Bundestag eingebracht und dort parlamentarisch beraten; nach Abschluss des Gesetzgebungsverfahrens und Verkündung im Bundesgesetzblatt kann das Durchführungsgesetz in Kraft treten.
Wer ist vom AI Act betroffen?
Der AI Act betrifft nicht nur Unternehmen mit Sitz in der EU. Er gilt insbesondere für Anbieter, die KI-Systeme in der EU in Verkehr bringen oder in Betrieb nehmen, für Betreiber von KI-Systemen mit Sitz oder Standort in der EU sowie für Anbieter und Betreiber aus Drittländern, wenn die Ausgabe des KI-Systems in der EU verwendet wird.
Diese Akteure sind vom AI Act betroffen:
- Anbieter, die KI-Systeme in der EU in Verkehr bringen oder in Betrieb nehmen, unabhängig davon, ob sie in der EU oder in einem Drittland niedergelassen sind
- Betreiber von KI-Systemen, die ihren Sitz in der EU haben oder sich in der EU befinden
- Anbieter und Betreiber von KI-Systemen, die in einem Drittland niedergelassen oder ansässig sind, wenn das vom System hervorgebrachte Ergebnis innerhalb der EU verwendet wird
- Einführer, Händler, Produkthersteller und Bevollmächtigte, soweit sie unter die Verordnung fallen
Nicht vom AI Act betroffen sind unter anderem:
- KI-Systeme, die ausschließlich für militärische Zwecke, Verteidigungszwecke oder Zwecke der nationalen Sicherheit in Verkehr gebracht, in Betrieb genommen oder verwendet werden
- bestimmte Behörden in Drittländern und internationale Organisationen, die KI-Systeme im Rahmen internationaler Zusammenarbeit im Bereich der Strafverfolgung und justiziellen Zusammenarbeit mit der EU oder mindestens einem Mitgliedstaat verwenden
- KI-Systeme oder KI-Modelle, die eigens für den alleinigen Zweck der wissenschaftlichen Forschung und Entwicklung entwickelt und in Betrieb genommen werden
- Forschungs-, Test- und Entwicklungstätigkeiten zu KI-Systemen oder KI-Modellen, bevor diese in Verkehr gebracht oder in Betrieb genommen werden. Tests unter Realbedingungen fallen jedoch nicht unter diese Ausnahme
- Betreiber, die natürliche Personen sind und KI-Systeme ausschließlich persönlich und nicht beruflich verwendenoffenen Lizenzen bereitgestellt werden, fallen grundsätzlich nicht unter die Verordnung. Die Ausnahme gilt jedoch nicht, wenn sie als Hochrisiko-KI-System, als verbotenes KI-System oder als KI-System mit Transparenzpflichten nach Art. 50 AI Act in Verkehr gebracht
Wie wird KI im Rahmen des AI Act definiert?
Der AI Act definiert ein KI-System als ein maschinengestütztes System, das für einen in unterschiedlichem Grade autonomen Betrieb ausgelegt ist und nach seiner Betriebsaufnahme anpassungsfähig sein kann. Es leitet aus Eingaben ab, wie Ausgaben wie Vorhersagen, Inhalte, Empfehlungen oder Entscheidungen erstellt werden, die physische oder virtuelle Umgebungen beeinflussen können.
Das heißt: Ein KI-System ist ein Computerprogramm, das selbstständig Daten verarbeiten kann, um bestimmte Ergebnisse zu liefern. Es kann dabei lernen und sich anpassen, ohne dass ein Mensch es jedes Mal neu programmieren muss.
KI-Kompetenzvermittlung (Artikel 4 AI Act)
Artikel 4 des AI Act ist seit dem 2. Februar 2025 anwendbar und wurde durch den Digital Omnibus on AI geändert. Anbieter und Betreiber von KI-Systemen müssen weiterhin Maßnahmen ergreifen, um die Entwicklung von KI-Kompetenz bei Beschäftigten und anderen Personen zu unterstützen, die in ihrem Auftrag KI-Systeme nutzen.
Für Unternehmen bedeutet das: Die Pflicht zur KI-Kompetenz ist nicht entfallen, wurde aber neu gefasst. Statt ein „ausreichendes Maß an KI-Kompetenz“ sicherstellen zu müssen, sollen Unternehmen nun die Entwicklung von KI-Kompetenz durch geeignete Maßnahmen unterstützen. Bestehende Informationen und interne Vorgaben zu Artikel 4 sollten daher auf die neue Rechtslage abgestimmt werden.
Zu geeigneten Maßnahmen können gehören:
- Schulungsprogramme, die die notwendigen technischen, rechtlichen und ethischen Grundlagen für den Umgang mit KI vermitteln
- Trainings zur sicheren Nutzung von KI-Systemen, insbesondere wenn diese in sicherheitskritischen oder sensiblen Bereichen eingesetzt werden
- interne Leitlinien und Rollenprofile für den Einsatz von KI-Systemen
- regelmäßige Auffrischungskurse, um Mitarbeitende über neue Entwicklungen und Best Practices im Umgang mit KI-Systemen zu informieren
Ist meine KI vom AI Act betroffen?
Im AI Act gilt: Je höher das Risiko eines KI-Systems ist, desto strenger sind die Anforderungen. Um zu bestimmen, welche Vorschriften für welche KI-Systeme gelten, unterscheidet die Verordnung insbesondere zwischen verbotenen KI-Praktiken, Hochrisiko-KI-Systemen, KI-Systemen mit besonderen Transparenzpflichten und sonstigen KI-Systemen.
Welche Risikoklassen gibt es?
Der AI Act kategorisiert KI-Systeme in vier verschiedene Risikoklassen, die jeweils mit unterschiedlichen rechtlichen Vorgaben verknüpft sind:
| Risikoklasse | Kurzbeschreibung | Regulierung | Beispiel |
|---|---|---|---|
| Inakzeptables Risiko | Verletzung fundamentaler Rechte | Verboten | Social Scoring Systeme |
| Hohes Risiko | Potenziell hohes Schadensrisiko | Weitreichende Anforderungen | Kreditwürdigkeitsprüfung |
| Begrenztes Risiko | Interaktion mit Personen | Transparenzpflichten | Chatbots |
| Niedriges Risiko | Alle anderen Systeme | Keine Anforderungen | Vorausschauende Wartung |
Je größer das potenzielle Risiko bei der Verwendung eines KI-Systems ist, desto umfangreicher sind die damit verbundenen rechtlichen Anforderungen. Dazu können Risikomanagement, Dokumentationspflichten, EU-Konformitätserklärungen, Registrierungspflichten, menschliche Aufsicht und Überwachung durch den Betreiber gehören.
- Niedriges Risiko
Mit niedrigem Risiko werden in der Praxis KI-Systeme bezeichnet, die unter keine andere regulierte Kategorie fallen. Dazu zählen interne Anwendungen wie Spam-Filter oder Systeme für die vorausschauende Wartung von Maschinen.Für solche Systeme enthält der AI Act grundsätzlich keine spezifischen Pflichten. Dennoch besteht für Unternehmen die Möglichkeit, freiwillig Verhaltenskodizes oder interne Leitlinien für diese KI-Systeme anzuwenden.
- Begrenztes Risiko
Unter die Kategorie „begrenztes Risiko“ fallen in der Praxis vor allem KI-Systeme, bei denen besondere Transparenzpflichten bestehen. Dazu gehören etwa KI-Systeme, die für die direkte Interaktion mit natürlichen Personen bestimmt sind, also zum Beispiel Chatbots.Ab dem 2. August 2026 gelten die Transparenzpflichten nach Art. 50 AI Act. Anbieter müssen KI-Systeme, die für die direkte Interaktion mit natürlichen Personen bestimmt sind, grundsätzlich so gestalten, dass betroffene Personen informiert werden, dass sie mit einem KI-System interagieren. Diese Information ist nicht erforderlich, wenn dies aus Sicht einer angemessen informierten, aufmerksamen und verständigen Person aufgrund der Umstände und des Nutzungskontexts offensichtlich ist.Anbieter von KI-Systemen, einschließlich KI-Systemen mit allgemeinem Verwendungszweck, die synthetische Audio-, Bild-, Video- oder Textinhalte erzeugen, müssen sicherstellen, dass die Ausgaben in einem maschinenlesbaren Format gekennzeichnet und als künstlich erzeugt oder manipuliert erkennbar sind. Dies gilt nur soweit technisch möglich und unter Berücksichtigung des allgemein anerkannten Stands der Technik.Betreiber eines KI-Systems, das Bild-, Ton- oder Videoinhalte erzeugt oder manipuliert, die ein Deepfake sind, müssen offenlegen, dass die Inhalte künstlich erzeugt oder manipuliert wurden.Betreiber eines KI-Systems, das Text erzeugt oder manipuliert, der veröffentlicht wird, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren, müssen ebenfalls offenlegen, dass der Text künstlich erzeugt oder manipuliert wurde. Diese Pflicht gilt nicht, wenn die KI-generierten Inhalte einem Verfahren der menschlichen Überprüfung oder redaktionellen Kontrolle unterzogen wurden und eine natürliche oder juristische Person die redaktionelle Verantwortung für die Veröffentlichung trägt.
- KI mit Hohem Risiko (Art. 6 AI-Act)
Stellt ein KI-System ein potenziell hohes Risiko für Sicherheit, Gesundheit oder Grundrechte von Menschen dar, kann es als Hochrisiko-KI-System gelten. Hochrisiko-KI-Systeme sind insbesondere KI-Systeme, die als Sicherheitsbauteil bestimmter regulierter Produkte eingesetzt werden oder in den in Anhang III genannten Bereichen verwendet werden.Für viele Hochrisiko-KI-Systeme nach Anhang III gelten die entsprechenden Pflichten ab dem 2. August 2026. Für Hochrisiko-KI-Systeme nach Art. 6 Abs. 1, insbesondere KI als Sicherheitsbauteil bestimmter regulierter Produkte, gelten Art. 6 Abs. 1 und die entsprechenden Pflichten ab dem 2. August 2027.Darunter fallen unter anderem diese Anwendungen:
- KI-Systeme zur Einstellung oder Auswahl natürlicher Personen, insbesondere um gezielte Stellenanzeigen zu schalten, Bewerbungen zu sichten oder zu filtern und Bewerber zu bewerte
- KI-Systeme für Entscheidungen über Arbeitsbedingungen, Beförderungen, Kündigungen, Aufgabenzuweisungen oder die Beobachtung und Bewertung der Leistung und des Verhaltens von Personen in Beschäftigungsverhältnissen
- biometrische Fernidentifizierungssysteme, soweit ihr Einsatz nach einschlägigem Unionsrecht oder nationalem Recht zugelassen ist
- KI-Systeme als Sicherheitsbauteile im Rahmen der Verwaltung und des Betriebs kritischer digitaler Infrastruktur, des Straßenverkehrs oder der Wasser-, Gas-, Wärme- oder Stromversorgung
- KI-Systeme für die Kreditwürdigkeitsprüfung und Bonitätsbewertung natürlicher Personen, mit Ausnahme bestimmter Systeme zur Aufdeckung von Finanzbetrug
- Inakzeptables Risiko - Verbotene KI (Art. 5 AI-Act)
Die folgenden KI-Systeme bzw. KI-Praktiken sind unter anderem nach dem AI-Act verboten:
- Soziales Scoring, also die Bewertung oder Einstufung von Personen oder Gruppen über einen bestimmten Zeitraum auf Grundlage ihres Sozialverhaltens oder bekannter, abgeleiteter oder vorhergesagter persönlicher Eigenschaften, wenn dies zu ungerechtfertigter oder unverhältnismäßiger Benachteiligung führt
- KI-Systeme, die Techniken der unterschwelligen Beeinflussung oder absichtlich manipulative oder täuschende Techniken einsetzen und dadurch die Fähigkeit einer Person, eine fundierte Entscheidung zu treffen, deutlich beeinträchtigen können
- KI-Systeme, die eine Vulnerabilität oder Schutzbedürftigkeit aufgrund von Alter, Behinderung oder bestimmter sozialer oder wirtschaftlicher Situation ausnutzen
- der Aufbau oder die Erweiterung von Datenbanken zur Gesichtserkennung durch ungezieltes Auslesen von Gesichtsbildern aus dem Internet oder aus Videoüberwachungsaufzeichnungen
- KI-Systeme zur Ableitung von Emotionen am Arbeitsplatz und in Bildungseinrichtungen, soweit keine medizinischen oder sicherheitsbezogenen Ausnahmen greifen
Welche gesonderten Vorschriften gelten für KI-Modelle mit allgemeinem Verwendungszweck?
KI-Modelle mit allgemeinem Verwendungszweck, auch General Purpose Artificial Intelligence oder GPAI genannt, sind von KI-Systemen zu unterscheiden. Gemeint sind Modelle, die eine erhebliche allgemeine Verwendbarkeit aufweisen und in der Lage sind, ein breites Spektrum unterschiedlicher Aufgaben kompetent zu erfüllen. Solche Modelle können in eine Vielzahl nachgelagerter Systeme oder Anwendungen integriert werden.
Ein populäres Beispiel hierfür ist ChatGPT von OpenAI. Das zugrunde liegende KI-Modell kann für unterschiedliche Aufgaben eingesetzt werden, etwa zur Verarbeitung und Erzeugung von Texten, Bildern oder anderen Inhalten.
Für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck gelten insbesondere folgende Pflichten:
- Erstellung und Aktualisierung technischer Dokumentation des Modells
- Bereitstellung von Informationen und Dokumentation für Anbieter, die das Modell in ihre KI-Systeme integrieren wollen
- Einführung einer Strategie zur Einhaltung des Urheberrechts der Union
- Erstellung und Veröffentlichung einer hinreichend detaillierten Zusammenfassung der für das Training verwendeten Inhalte nach einer Vorlage des AI Office
Für KI-Modelle mit allgemeinem Verwendungszweck mit systemischem Risiko gelten zusätzliche Pflichten. Dazu gehören insbesondere Modellbewertungen, die Bewertung und Minderung systemischer Risiken, die Überwachung schwerwiegender Vorfälle sowie angemessene Cybersicherheitsmaßnahmen.
Wie hoch fallen Sanktionen für Verstöße aus?
Die Strafen für Verstöße gegen die Vorschriften werden entsprechend der Art, Schwere und Dauer des Verstoßes sowie weiterer Umstände festgelegt. Die Sanktionen müssen wirksam, verhältnismäßig und abschreckend sein.
- Missachtung verbotener KI-Praktiken nach Art. 5 AI Act: bis zu 35 Mio. EUR oder bis zu 7 % des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres, je nachdem, welcher Betrag höher ist
- Verstöße gegen bestimmte Verpflichtungen des AI Acts, einschließlich der Transparenzpflichten nach Art. 50: bis zu 15 Mio. EUR oder bis zu 3 % des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres, je nachdem, welcher Betrag höher ist
- Bereitstellung falscher, unvollständiger oder irreführender Informationen an notifizierte Stellen oder zuständige nationale Behörden: bis zu 7,5 Mio. EUR oder bis zu 1 % des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres, je nachdem, welcher Betrag höher ist
Bei KMU einschließlich Start-ups gilt jeweils der niedrigere Betrag aus dem genannten Prozentsatz oder der genannten Summe.
Kennzeichnungs- und Transparenzpflichten nach AI Act
Ab dem 2. August 2026 gelten weitere Pflichten zur Kennzeichnung von KI-generierten Inhalten.
Weitere Informationen finden Sie hier.
Wo bekomme ich weitere Unterstützung?
Betroffenheitsprüfung (Compliance-Checker)
Der Compliance-Checker des Future of Life Instituts ist ein nützliches Tool, um schnell herauszufinden, unter welche Risikoklasse ein KI-System fällt: EU AI Act Compliance Checker
KI Service Desk der Bundesnetzagentur
Der KI-Service Desk unterstützt Unternehmen, Behörden und Organisationen bei der Umsetzung der KI-Verordnung in Deutschland.
Kennzeichnung von KI-Inhalten
Dieses kostenlose Tool von Mimikama (Verein zur Aufklärung über Internetmissbrauch) hilft dabei zu prüfen, ob KI-generierte oder KI-bearbeitete Inhalte nach dem EU AI Act gekennzeichnet werden müssen.
Die Informationen und Auskünfte der IHK Ulm enthalten nur erste Hinweise und erheben daher keinen Anspruch auf Vollständigkeit. Obwohl sie mit größtmöglicher Sorgfalt erstellt wurden, kann eine Haftung für ihre inhaltliche Richtigkeit nicht übernommen werden. Sie können eine Beratung im Einzelfall (z. B. durch einen Rechtsanwalt, Steuerberater, Unternehmensberater etc.) nicht ersetzen.
Stand: August 2026