Der EU-KI-Gesetzentwurf (Verordnung (EU) 2024/1689): Ein praktischer Leitfaden für 2026

Letzte Aktualisierung: 9. August 2026.

Seit dem 2. August 2026 gelten die Transparenzregeln des EU-KI-Gesetzes. Chatbots, Deepfakes, Systeme zur Emotionserkennung und KI-generierte Inhalte unterliegen nun EU-weit konkreten Offenlegungspflichten. Gleichzeitig werden die anspruchsvollsten Verpflichtungen – jene für risikoreiche KI – nicht mehr im August 2026 erwartet. Gemäß dem KI-Digital-Omnibus sollen sie nun im Dezember 2027 in Kraft treten. Dieser Leitfaden erklärt in verständlicher Sprache, was das EU-KI-Gesetz vorschreibt, für wen es gilt, was bereits heute relevant ist und wie sich Organisationen vorbereiten sollten.

Die EU-KI-Verordnung (EU) 2024/1689 ist seit dem 1. August 2024 in Kraft und wird schrittweise angewendet. Sie ist das weltweit erste umfassende, horizontale Gesetz für künstliche Intelligenz und – ähnlich der DSGVO – weit über die Grenzen der EU hinaus gültig. Wenn Ihre KI-Systeme den europäischen Markt berühren, betrifft Sie diese Verordnung mit hoher Wahrscheinlichkeit.

Was ist das EU-KI-Gesetz?

Der EU-KI-Gesetzentwurf ist eine risikobasierte Verordnung. Anstatt alle künstlichen Intelligenzen gleich zu behandeln, teilt er Systeme nach ihrem potenziellen Schadenspotenzial in verschiedene Kategorien ein und knüpft höhere Risiken an strengere Auflagen. Das Ziel ist zweifach: zum einen sollen Gesundheit, Sicherheit und Grundrechte geschützt und zum anderen sollen Unternehmen Rechtssicherheit gegeben werden, damit vertrauenswürdige KI im gesamten Binnenmarkt entwickelt und eingesetzt werden kann.

Das Gesetz definiert ein KI-System weit gefasst, im Einklang mit dem OECD-Ansatz: ein maschinenbasiertes System, das mit einem gewissen Grad an Autonomie arbeitet, sich nach der Implementierung anpassen kann und – aus den empfangenen Eingaben – ableitet, wie Ausgaben wie Vorhersagen, Inhalte, Empfehlungen oder Entscheidungen generiert werden können, die physische oder virtuelle Umgebungen beeinflussen. Diese bewusst weite Definition erfasst moderne Modelle des maschinellen Lernens, einschließlich generativer und allgemeiner KI.

Für wen gilt das KI-Gesetz?

Das KI-Gesetz hat extraterritoriale Geltung. Es findet Anwendung, wenn ein Anbieter ein KI-System auf dem EU-Markt in Verkehr bringt oder es in der EU in Betrieb nimmt, und – entscheidend – wenn ein Anbieter oder Anwender seinen Sitz außerhalb der EU hat, die Ergebnisse des Systems aber innerhalb der EU genutzt werden. Ein US-amerikanisches oder britisches Unternehmen, das europäische Nutzer bedient, kann daher direkt unter das Gesetz fallen.

Das Gesetz unterscheidet mehrere Akteure, von denen jeder unterschiedliche Aufgaben hat:

• Anbieter — diejenigen, die ein KI-System (oder ein universelles KI-Modell) entwickeln und es unter ihrem eigenen Namen oder ihrer eigenen Marke auf den Markt bringen oder in Betrieb nehmen. Anbieter tragen die größte Verantwortung für die Einhaltung der Vorschriften.
• Bereitsteller — diejenigen, die ein KI-System in einem beruflichen Kontext unter ihrer Aufsicht nutzen (z. B. ein Arbeitgeber, der ein KI-gestütztes Einstellungstool einsetzt). Rein private, nicht-berufliche Nutzung fällt nicht unter diese Pflichten.
• Importeure und Händler — diejenigen, die ein Drittanbietersystem auf dem EU-Markt einführen oder es entlang der Lieferkette verfügbar machen, mit den damit verbundenen Verifizierungs- und Aufzeichnungspflichten.
• Produktherstellerund in einigen Fällen auch Bevollmächtigte, die gegebenenfalls Verpflichtungen auf Anbieterebene übernehmen.

Ein Implementierer kann auch als Anbieter neu eingestuft werden – und damit die strengeren Pflichten übernehmen –, wenn er ein Hochrisikosystem wesentlich verändert oder es unter seinem eigenen Namen betreibt.

Die vier Risikostufen

Das KI-Gesetz basiert auf vier Risikostufen.

1. Unannehmbares Risiko (verboten)

Bestimmte Nutzungen gelten als unvereinbar mit den Werten der EU und sind gemäß Artikel 5 gänzlich verboten. Dazu gehören manipulative oder irreführende Techniken, die das Verhalten erheblich verzerren und Schaden verursachen; die Ausnutzung von Schwächen (Alter, Behinderung, sozioökonomische Lage); das Social Scoring durch Behörden; das ungerichtete Sammeln von Gesichtsbildern zum Aufbau von Erkennungsdatenbanken; die Emotionserkennung am Arbeitsplatz und im Bildungsbereich (außer aus medizinischen oder Sicherheitsgründen); bestimmte biometrische Kategorisierungen, die sensible Merkmale offenbaren; und – vorbehaltlich enger, geschützter Ausnahmen – die biometrische Echtzeit-Fernidentifizierung im öffentlichen Raum für Zwecke der Strafverfolgung. Im Rahmen des Digital Omnibus verbietet ein weiteres Verbot die Verwendung von KI zur Erstellung nicht einvernehmlicher intimer Bilder und kinderpornografischen Materials.

2. Hohes Risiko

Hochrisikosysteme sind zulässig, unterliegen aber strengen Regulierungen. Sie lassen sich in zwei Gruppen einteilen. Die erste Gruppe (Anhang I) umfasst KI, die eine Sicherheitskomponente eines bereits nach EU-Harmonisierungsrecht regulierten Produkts darstellt oder selbst ein solches Produkt ist – beispielsweise Medizinprodukte, Maschinen, Aufzüge, Spielzeug usw. Die zweite Gruppe (Anhang III) listet eigenständige Anwendungsfälle in sensiblen Bereichen auf: Biometrie, kritische Infrastrukturen, Bildung, Beschäftigung und Personalmanagement, Zugang zu essenziellen öffentlichen und privaten Dienstleistungen, Strafverfolgung, Migration und Grenzkontrolle sowie Justizverwaltung und demokratische Prozesse. Diese Systeme müssen die nachfolgend beschriebenen technischen und organisatorischen Anforderungen erfüllen.

3. Begrenztes Risiko (Transparenz)

Bestimmte Systeme bergen zwar kein hohes Risiko, können aber irreführen und unterliegen daher den Transparenzpflichten gemäß Artikel 50. Nutzer müssen darüber informiert werden, wenn sie mit einem Chatbot interagieren; KI-generierte oder manipulierte Audio-, Bild-, Video- und Textdateien (einschließlich Deepfakes) müssen offengelegt und gekennzeichnet werden; und Personen müssen informiert werden, wenn sie zulässigen Systemen zur Emotionserkennung oder biometrischen Kategorisierung unterliegen. Diese Verpflichtungen sind bereits in Kraft (siehe Zeitleiste unten).

4. Minimales Risiko

Der Großteil der KI – Spamfilter, Empfehlungssysteme, KI in Videospielen – fällt unter diese Kategorie. Sie unterliegt keinen zwingenden Verpflichtungen gemäß dem Gesetz, jedoch werden freiwillige Verhaltenskodizes empfohlen.

Was gilt wann: der aktualisierte Zeitplan des KI-Gesetzes (nach dem Digital Omnibus)

Der Zeitpunkt ist der Punkt, an dem die meisten Organisationen beim KI-Gesetz Fehler machen, und genau hier hat sich die Rechtslage kürzlich geändert. Das Gesetz tritt ab dem 1. August 2024 schrittweise in Kraft. Anfang Mai 2026 erzielte der KI-Digital-Omnibus eine vorläufige politische Einigung, die am 13. Mai 2026 von den Vertretern der Mitgliedstaaten gebilligt wurde. Die formelle Annahme und die Veröffentlichung im Amtsblatt stehen noch aus, aber das Paket bildet nun die realistische Planungsgrundlage – und es hat die kritischen Fristen verschoben.

Die oben genannten verschobenen Termine hängen von der endgültigen Verabschiedung des Omnibusgesetzes ab. Die bereits festgelegten Termine sind rechtskräftig.

Zwei praktische Hinweise. Erstens: Die Transparenzpflichten sind keine Zukunftsmusik – sie gelten seit dem 2. August 2026, also seit etwa einer Woche. Anbieter von generativen KI-Systemen, die bereits auf dem Markt sind, haben bis zum 2. Dezember 2026 Zeit, ihre bestehenden Ergebnisse an die Anforderungen für maschinenlesbare Kennzeichnung und Wasserzeichen anzupassen. Zweitens: Der zusätzliche Spielraum für risikoreiche KI ist zwar begrüßenswert, stellt aber lediglich eine Verschiebung und keine Befreiung dar: Die inhaltlichen Verpflichtungen bleiben unverändert, und die Vorbereitungsarbeiten sollten am besten jetzt beginnen.

Pflichten je nach Rolle

Anbieter von Hochrisikosystemen tragen die Hauptverantwortung. Sie müssen ein Risikomanagementsystem über den gesamten Lebenszyklus hinweg etablieren, Maßnahmen zur Datenverwaltung für Schulungs-, Validierungs- und Testdaten anwenden, detaillierte technische Dokumentationen erstellen und aktuell halten, Systeme für die automatische Protokollierung und Rückverfolgbarkeit entwickeln, Transparenz und klare Gebrauchsanweisungen gewährleisten, eine effektive menschliche Aufsicht ermöglichen und angemessene Genauigkeit, Robustheit und Cybersicherheit sicherstellen. Vor der Markteinführung müssen sie die entsprechende Konformitätsbewertung durchführen, eine EU-Konformitätserklärung erstellen, die CE-Kennzeichnung anbringen und das System in der EU-Datenbank registrieren. Die Marktbeobachtung und die Meldung schwerwiegender Vorfälle werden anschließend fortgesetzt.

Betreiber von Hochrisikosystemen müssen das System gemäß den Anweisungen des Anbieters verwenden, eine kompetente menschliche Aufsicht gewährleisten, die Relevanz der Eingabedaten sicherstellen, den Betrieb überwachen und Protokolle führen sowie gegebenenfalls betroffene Personen informieren. In einigen sensiblen Bereichen müssen Betreiber zudem eine Folgenabschätzung für die Grundrechte durchführen. Arbeitgeber, die KI einsetzen, die Auswirkungen auf Beschäftigte hat, unterliegen zusätzlichen Informationspflichten.

Importeure und Händler müssen sich vergewissern, dass der Anbieter seinen Verpflichtungen – Konformitätsbewertung, Dokumentation, CE-Kennzeichnung – nachgekommen ist, bevor sie ein System in Verkehr bringen, und müssen handeln (und die Behörden benachrichtigen), wenn sie der Ansicht sind, dass ein System nicht konform ist.

Auf allen Ebenen verpflichtet die im Gesetz festgelegte Pflicht zur KI-Kompetenz (Art. 4) Organisationen dazu, sicherzustellen, dass Mitarbeiter, die mit KI arbeiten, über ausreichende Kenntnisse verfügen. Das Omnibusgesetz hat die Formulierung dieser Verpflichtung zwar abgeschwächt, die grundlegende Erwartung einer kompetenten und informierten Nutzung bleibt jedoch bestehen.

Technische und Governance-Anforderungen für risikoreiche KI

Die Anforderungen für Hochrisikobereiche übersetzen abstrakte Prinzipien in die Praxis von Engineering und Governance. Zusammenfassend müssen Anbieter Folgendes nachweisen können: einen dokumentierten, iterativen Risikomanagementprozess; Datenqualität und -governance, die dem Verwendungszweck angemessen sind und Verzerrungen sowie Repräsentativität berücksichtigen; eine umfassende technische Dokumentation, die es den Behörden ermöglicht, die Konformität zu bewerten; Protokollierung von Ereignissen durch automatische Ereigniserfassung; Transparenz und benutzerfreundliche Anweisungen; eine sinnvolle, in das System integrierte menschliche Aufsicht; sowie nachweisbare Genauigkeit, Robustheit und Cybersicherheit. Diese Nachweise bilden die Grundlage für die Konformitätsbewertung – und sind in der Praxis die Unterlagen, die eine Aufsichtsbehörde als Erstes einsehen möchte.

Verpflichtungen im Bereich der allgemeinen KI (GPAI)

Allgemeine KI-Modelle – die großen, vielseitigen Modelle, die vielen nachgelagerten Anwendungen zugrunde liegen – unterliegen gemäß den Artikeln 51–55 einer eigenen Regelung, die seit dem 2. August 2025 gilt. Alle Anbieter allgemeiner KI-Modelle müssen die technische Dokumentation pflegen, eine ausreichend detaillierte Zusammenfassung der Trainingsinhalte veröffentlichen, eine Urheberrechtsrichtlinie einführen und entlang der Wertschöpfungskette mit denjenigen zusammenarbeiten, die auf dem Modell aufbauen. Modelle mit systemischem Risiko unterliegen erhöhten Pflichten: Modellevaluierung und Adversarial Testing, Bewertung und Minderung systemischer Risiken, Erfassung und Meldung schwerwiegender Vorfälle sowie robuste Cybersicherheit. Die Einhaltung des offiziellen Verhaltenskodex ist ein anerkannter Nachweis der Konformität.

Transparenzverpflichtungen sind nun in Kraft (Artikel 50).

Da Artikel 50 am 2. August 2026 in Kraft trat, erfordern drei Pflichten nun sofortige Aufmerksamkeit. Chatbots und Dialogsysteme müssen deutlich machen, dass der Nutzer mit einer Maschine interagiert. KI-generierte oder -manipulierte Inhalte – Texte zu Themen von öffentlichem Interesse sowie synthetische Audio-, Bild- und Videodateien, einschließlich Deepfakes – müssen offengelegt und in einem maschinenlesbaren Format gekennzeichnet werden, damit sie als künstlich erkannt werden können. Personen, die zulässigen Systemen zur Emotionserkennung oder biometrischen Kategorisierung ausgesetzt sind, müssen informiert werden. Organisationen, die bereits generative KI-Funktionen einsetzen, sollten die Übergangsfrist bis zum 2. Dezember 2026 für die Kennzeichnung bestehender Ergebnisse als verbindliche interne Frist betrachten.

Strafen und Bußgelder

Die Durchsetzung birgt erhebliche finanzielle Risiken, wobei die Strafen sich nach der Schwere des Verstoßes richten:

• Verbotene Praktiken (Art. 5): bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.
• Verstöße gegen Hochrisikoverpflichtungen und die meisten anderen Verpflichtungen: bis zu 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes.
• Falsche, unvollständige oder irreführende Informationen an die Behörden weitergeben: bis zu 7.5 Millionen Euro oder 1 % des weltweiten Jahresumsatzes.

Für KMU und Start-ups beträgt die Geldbuße den niedrigeren Wert aus Festbetrag und Prozentsatz – eine Verhältnismäßigkeitsmaßnahme für kleinere Unternehmen. Die nationalen Marktaufsichtsbehörden setzen das Gesetz auf EU-Ebene durch, und weitere Maßnahmen können nach nationalem Recht folgen.

Wie das KI-Gesetz mit der DSGVO und NIS2 vereinbar ist

Das KI-Gesetz steht nicht für sich allein. Verarbeitet ein KI-System personenbezogene Daten, findet die DSGVO uneingeschränkt Anwendung – Rechtsgrundlage, Zweckbindung, Rechte der betroffenen Personen und häufig auch eine Datenschutz-Folgenabschätzung. Die Folgenabschätzung der Grundrechte gemäß KI-Gesetz und die Datenschutz-Folgenabschätzung der DSGVO überschneiden sich oft und sollten idealerweise gemeinsam durchgeführt werden. Unterstützt KI wesentliche oder wichtige Dienste, ergänzt die NIS2-Richtlinie die Anforderungen an das Cybersicherheits-Risikomanagement und die Meldung von Vorfällen und stärkt so die Robustheit und die Sicherheitsanforderungen des KI-Gesetzes. Die Behandlung dieser Regelungen als ein einziges, integriertes Compliance-Programm – anstatt als drei parallele Projekte – spart Aufwand und verringert das Risiko widersprüchlicher Kontrollen.

Checkliste zur Einhaltung des AI Act

• Erstellen Sie ein Verzeichnis aller von Ihnen bereitgestellten oder eingesetzten KI-Systeme, einschließlich eingebetteter und Drittanbieter-Tools.
• Ordnen Sie jedes System einer Risikostufe zu (inakzeptabel, hoch, begrenzt, minimal).
• Bestätigen Sie Ihre Rolle – Anbieter, Implementierer, Importeur oder Distributor – für jedes System.
• Prüfen Sie, ob Verstöße gegen Artikel 5 vorliegen, und unterbinden Sie jede verbotene Nutzung unverzüglich.
• Setzen Sie jetzt Transparenzmaßnahmen für Chatbots, Deepfakes und KI-generierte Inhalte um und planen Sie die Kennzeichnung der Ergebnisse vor dem 2. Dezember 2026.
• Hochrisikoverpflichtungen erfassen und die technische Dokumentation, das Risikomanagement und die Kontrollmechanismen für die menschliche Aufsicht vor dem Stichtag im Dezember 2027 erstellen.
• Erfüllen Sie die GPAI-Pflichten, wenn Sie Allzweckmodelle bereitstellen oder feinabstimmen.
• Bieten Sie relevanten Mitarbeitern Schulungen zur KI-Kompetenz an.
• Integration mit DSGVO und NIS2 – Abstimmung von Datenschutz-Folgenabschätzungen, Folgenabschätzungen und Sicherheitskontrollen.
• Weisen Sie Verantwortlichkeiten zu – klare Zuständigkeiten, Dokumentation und Überwachung – und halten Sie die Aufzeichnungen revisionsbereit.

Häufig gestellte Fragen

Ist der EU-KI-Gesetzentwurf bereits in Kraft?

Ja. Die Verordnung (EU) 2024/1689 trat am 1. August 2024 in Kraft und wird stufenweise angewendet. Verbote und Pflichten zur KI-Kompetenz gelten ab dem 2. Februar 2025, die GPAI- und Governance-Regeln ab dem 2. August 2025 und die Transparenzpflichten ab dem 2. August 2026.

Wann treten die Hochrisikoregeln in Kraft?

Nach dem AI Digital Omnibus werden die Verpflichtungen für Systeme gemäß Anhang III mit hohem Risiko voraussichtlich am 2. Dezember 2027 und die für in regulierte Produkte gemäß Anhang I eingebettete KI am 2. August 2028 in Kraft treten. Diese verschobenen Termine hängen von der endgültigen Annahme des Omnibus ab.

Gelten die Transparenzregeln heute für meinen Chatbot?

Ja. Ab dem 2. August 2026 müssen Nutzer darüber informiert werden, dass sie mit KI interagieren, und KI-generierte oder -manipulierte Inhalte müssen offengelegt und gekennzeichnet werden. Bestehende KI-generierte Inhalte müssen die Kennzeichnungsvorschriften bis zum 2. Dezember 2026 erfüllen.

Wie hoch sind die Höchststrafen?

Bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes für verbotene Geschäftspraktiken; bis zu 15 Millionen Euro oder 3 % für Verstöße mit hohem Risiko; und bis zu 7.5 Millionen Euro oder 1 % für fehlerhafte oder unvollständige Angaben. KMU zahlen den niedrigeren der beiden Beträge: den Festbetrag oder den Prozentsatz.

Gilt das KI-Gesetz auch für Unternehmen außerhalb der EU?

Ja, wenn ein KI-System auf dem EU-Markt eingesetzt wird oder seine Ergebnisse in der EU genutzt werden – selbst wenn der Anbieter oder Anwender seinen Sitz woanders hat.

Die zentralen Thesen

• Das EU-KI-Gesetz ist die Verordnung (EU) 2024/1689, die seit dem 1. August 2024 in Kraft ist und schrittweise angewendet wird.
• Die Transparenzpflichten (Art. 50) gelten ab dem 2. August 2026; bestehende Ergebnisse generativer KI müssen bis zum 2. Dezember 2026 gekennzeichnet werden.
• Im Digital Omnibus wurden die Fristen für risikoreiche Maßnahmen auf den 2. Dezember 2027 (Anhang III) und den 2. August 2028 (Anhang I) verschoben – vorbehaltlich der endgültigen Annahme.
• Die Strafen belaufen sich auf 35 Millionen Euro oder 7 % des weltweiten Umsatzes; KMU zahlen den geringeren Betrag.
• Das Gesetz arbeitet mit der DSGVO und NIS2 zusammen – die Einhaltung soll als ein integriertes Programm geplant werden.

Lassen Sie einen AI Act-Bereitschaftsscan durchführen

Das KI-Gesetz belohnt Organisationen, die frühzeitig handeln – und seine Transparenzregeln greifen bereits. Die Technologie- und Datenschutzanwälte von Law & More Wir unterstützen Anbieter und Betreiber bei der Klassifizierung ihrer Systeme, der Korrektur unzulässiger oder nicht konformer Nutzungen, der Erfüllung der Transparenzpflichten und der Entwicklung eines tragfähigen Plans für die Hochrisiko-Frist 2027, der vollständig mit der DSGVO und NIS2 übereinstimmt. Kontaktieren Sie uns. Law & More für eine Überprüfung der Bereitschaft zur Umsetzung des AI Act und um ein sich ständig veränderndes regulatorisches Ziel in einen klaren, priorisierten Aktionsplan umzuwandeln.