Der EU AI Act ist die Verordnung (EU) 2024/1689 des Europäischen Parlaments und des Rates, im Deutschen meist KI-Verordnung genannt. Sie legt einheitliche Regeln für die Entwicklung, das Inverkehrbringen und die Nutzung von KI-Systemen in der Europäischen Union fest. Ihr Grundgedanke: Nicht die Technik wird reguliert, sondern der Zweck, für den sie eingesetzt wird. Je größer der mögliche Schaden für Menschen, desto strenger die Pflichten.
Die Verordnung ist im August 2024 in Kraft getreten, gilt aber nicht auf einen Schlag. Ihre Pflichten greifen gestaffelt über mehrere Jahre. Dieser Eintrag gibt einen Überblick über die Struktur und ersetzt keine Rechtsberatung.
Der Ansatz: Risiko statt Technik
Die Verordnung sortiert Anwendungen in vier Stufen. Entscheidend ist immer der konkrete Einsatzzweck. Dasselbe Modell kann in einer Anwendung unter die strengste Stufe fallen und in einer anderen unter die lockerste.
| Stufe | Was darunter fällt | Folge |
|---|---|---|
| Verbotene Praktiken | Unter anderem Social Scoring durch Behörden, manipulative Techniken, die Menschen erheblich schaden, sowie bestimmte Formen biometrischer Auswertung | Nicht erlaubt |
| Hochrisiko | Systeme in sensiblen Bereichen, etwa Personalauswahl, Kreditvergabe, Bildung, kritische Infrastruktur, oder als Sicherheitsbauteil in bereits regulierten Produkten | Umfangreiche Pflichten vor und nach dem Einsatz |
| Begrenztes Risiko | Systeme mit direktem Kontakt zu Menschen oder mit erzeugten Inhalten, etwa Chatbots, Bild- und Textgeneratoren | Transparenzpflichten |
| Minimales Risiko | Der weit überwiegende Rest, etwa Spamfilter, Empfehlungen im Shop, Rechtschreibhilfen | Keine besonderen Pflichten |
Für die meisten Unternehmen liegt der Alltag in den unteren beiden Stufen. Der Punkt, an dem es kippt, ist selten die Technik und fast immer die Entscheidung, die von der Ausgabe abhängt. Ein Modell, das Bewerbungen vorsortiert, steht deshalb anders da als eines, das Produktbeschreibungen formuliert.
Für allgemeine KI-Modelle, also die großen Large Language Models, gibt es zusätzlich eine eigene Spur mit Pflichten für die Anbieter. Dazu gehören technische Dokumentation, Informationen für die Unternehmen, die darauf aufbauen, und Angaben zum Urheberrecht der Trainingsdaten.
Der Zeitplan
Die Staffelung ist der Grund, warum die Verordnung in Diskussionen mal als “gilt längst” und mal als “kommt noch” auftaucht. Beides stimmt, je nachdem, welcher Teil gemeint ist.
Die Pflicht, die schon gilt
Seit Februar 2025 verlangt Artikel 4 von Anbietern und Betreibern eine ausreichende KI-Kompetenz der Personen, die KI-Systeme in ihrem Auftrag bedienen. Das betrifft mehr Betriebe, als die meisten vermuten: Es reicht, dass Beschäftigte KI-Werkzeuge im Arbeitskontext einsetzen, dann gilt das Unternehmen als Betreiber.
Ein vorgeschriebenes Curriculum gibt es nicht. Verlangt wird ein Kenntnisstand, der zum Einsatz passt. Wie arbeitet das Werkzeug, wo sind seine Grenzen, welche Daten dürfen hinein, woran erkennt man eine falsche Ausgabe. Praktisch heißt das vor allem, mitzuschreiben: wer wurde wann worauf geschult.
Ebenfalls seit Februar 2025 sind die verbotenen Praktiken untersagt.
Die Transparenzpflichten
Seit dem 2. August 2026 greift Artikel 50. Er verlangt, dass Menschen erkennen können, wenn sie mit einem KI-System sprechen, und dass künstlich erzeugte oder veränderte Inhalte als solche gekennzeichnet und maschinenlesbar markiert werden. Für Deepfakes und für KI-erzeugte Texte zu Themen von öffentlichem Interesse gelten dabei eigene Offenlegungspflichten.
Für Websites ist das der Teil mit der größten Reichweite. Ein Assistent im Support, eine automatisch generierte Produktbeschreibung, ein erzeugtes Bild im Blog: Alles davon fällt in den Bereich, den dieser Artikel adressiert.
Was später greift
Für Hochrisiko-Systeme, die als Sicherheitsbauteil in Produkten stecken, die schon nach anderen EU-Vorschriften geprüft werden, läuft die Übergangsfrist länger, bis in das Jahr 2027 hinein. Der Zeitplan der Verordnung ist zudem politisch weiter in Bewegung, weshalb sich bei konkreten Vorhaben ein Blick auf den aktuellen Stand lohnt.
Anbieter oder Betreiber
Die Verordnung unterscheidet mehrere Rollen. Für die Praxis sind zwei entscheidend.
- Anbieter ist, wer ein KI-System entwickelt und unter eigenem Namen bereitstellt. Hier liegen die schweren Pflichten: Risikomanagement, Datenqualität, technische Dokumentation, Protokollierung, menschliche Aufsicht, Konformitätsbewertung bei Hochrisiko-Systemen.
- Betreiber ist, wer ein KI-System im eigenen Namen einsetzt. Die Pflichten sind schlanker, aber vorhanden: bestimmungsgemäße Nutzung, Aufsicht durch geeignete Personen, Information der Betroffenen, Aufbewahrung von Protokollen.
Die Rolle kann wechseln. Wer ein zugekauftes Modell so weit anpasst und unter eigenem Namen anbietet, dass daraus ein eigenes System wird, rutscht in die Anbieterrolle. Das ist einer der Punkte, an denen Projekte teuer werden, wenn niemand ihn früh klärt.
Verstöße sind mit Bußgeldern bewehrt, die gestaffelt sind und sich im oberen Bereich am weltweiten Jahresumsatz bemessen. Am höchsten liegt der Rahmen bei den verbotenen Praktiken.
Was das praktisch für Software und Websites heißt
Der größte Teil der Arbeit ist Bestandsaufnahme, nicht Technik.
- Inventar anlegen. Welche KI-Funktionen sind im Haus im Einsatz, in eigener Software wie in zugekauften Werkzeugen. Erfahrungsgemäß ist die Liste länger als gedacht.
- Zweck einordnen. Was hängt an der Ausgabe? Eine Entscheidung über einen Menschen führt in eine andere Stufe als ein Textvorschlag, den jemand redigiert.
- Rolle klären. Anbieter oder Betreiber, pro Anwendung.
- Transparenz umsetzen. Kennzeichnung dort, wo Menschen mit einem System sprechen oder erzeugte Inhalte sehen.
- Aufsicht organisieren. Wer prüft die Ausgaben, wer darf abschalten, wo wird das dokumentiert.
- Kompetenz nachweisen. Schulungen und Teilnehmer festhalten.
Datenschutz bleibt davon unberührt. Die DSGVO gilt parallel weiter, und beide Regelwerke stellen zum Teil dieselben Fragen an dieselben Projekte.
Häufige Fragen zum EU AI Act
Betrifft die Verordnung auch kleine Unternehmen? Ja, wenn auch abgestuft. Artikel 4 gilt unabhängig von der Betriebsgröße. Die schweren Pflichten hängen an der Risikostufe, nicht an der Mitarbeiterzahl. Für kleine und mittlere Unternehmen sieht die Verordnung Erleichterungen bei der Dokumentation vor.
Gilt der AI Act auch für Anbieter außerhalb der EU? Er greift, wenn ein System in der EU in Verkehr gebracht wird oder seine Ausgabe hier verwendet wird. Der Sitz des Anbieters allein entscheidet also nicht.
Muss ich jeden KI-generierten Text auf meiner Website kennzeichnen? Die Transparenzpflichten setzen nicht bei jedem Werkzeugeinsatz an, sondern bei erzeugten Inhalten, die als echt erscheinen können, und bei Texten zu Themen von öffentlichem Interesse. Redigierte Inhalte unter menschlicher Verantwortung werden anders behandelt als vollautomatisch veröffentlichte. Wo die Grenze im Einzelfall verläuft, gehört juristisch geprüft.
Ist ein Chatbot automatisch ein Hochrisiko-System? Nein. Ein Assistent, der Auskunft gibt, fällt in der Regel unter die Transparenzpflichten. Hochrisiko wird es, wenn an der Ausgabe eine Entscheidung über Menschen hängt, etwa bei einer Vorauswahl von Bewerbungen.
Fazit
Der EU AI Act ist weniger ein Verbotskatalog als eine Sortieraufgabe. Wer weiß, welche KI-Funktionen im Haus laufen, wofür sie eingesetzt werden und wer dafür geradesteht, hat den größten Teil erledigt. Der Rest ist Dokumentation und, bei den Transparenzpflichten, eine überschaubare Änderung an der Oberfläche. Wie wir Software bauen, bei der Protokollierung und menschliche Aufsicht von Anfang an im Entwurf stehen, steht auf unserer Seite zur Custom-Software-Entwicklung. Eine Einordnung aus der Projektpraxis gibt der Artikel KI in der Softwareentwicklung. Was sich nicht auf dem Papier erledigen lässt, ist die Kompetenzpflicht aus Artikel 4, denn die verlangt Leute, die verstehen, womit sie arbeiten, und genau dafür gibt es unsere KI-Schulungen für Unternehmen. Wenn du wissen willst, was das für ein konkretes Vorhaben bedeutet, sprich uns im unverbindlichen Beratungsgespräch darauf an.