EU AI Act (KI-Verordnung)

Was ist die KI-Verordnung (EU AI Act)?

Die KI-Verordnung (EU AI Act) ist eine europäische Verordnung, die KI-Systeme nach ihrem Risiko reguliert, von verbotenen Praktiken über Hochrisiko-KI-Systeme und Transparenzpflichten bis zu minimalem Risiko, mit eigenen Regeln für KI-Modelle mit allgemeinem Verwendungszweck. Formal handelt es sich um die Verordnung (EU) 2024/1689, die am 1. August 2024 in Kraft getreten ist und sowohl für Anbieter als auch für Betreiber von KI gilt.

Das Wichtigste in Kürze

• Die KI-Verordnung ordnet KI-Systeme nach Risiko: verbotene Praktiken, Hochrisiko, Transparenzpflichten und minimales Risiko, dazu Regeln für Modelle mit allgemeinem Verwendungszweck.
• Verbotene Praktiken und die Pflicht zur KI-Kompetenz nach Artikel 4 der KI-Verordnung gelten seit dem 2. Februar 2025.
• Der AI Omnibus hat die Hochrisiko-Pflichten der KI-Verordnung verschoben: Systeme nach Anhang III ab 2. Dezember 2027, nach Anhang I ab 2. August 2028.
• Die meisten mittelständischen Unternehmen sind Betreiber von KI-Tools, daher beginnt die Umsetzung der KI-Verordnung mit dem Wissen, welche Tools die Belegschaft nutzt.

So funktioniert die KI-Verordnung

• Verbotene Praktiken: Eine kurze Liste als unannehmbar eingestufter KI-Anwendungen ist seit dem 2. Februar 2025 untersagt, mit Geldbussen von bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.
• Hochrisiko-KI-Systeme: Systeme in den Anwendungsfällen nach Anhang III oder eingebettet in Produkte nach Anhang I unterliegen den strengsten Anforderungen, deren Anwendung der AI Omnibus verschoben hat.
• Transparenzpflichten: Bestimmte Systeme tragen leichtere Pflichten, vor allem den Hinweis, dass Menschen mit einer KI oder mit KI-generierten Inhalten zu tun haben.
• Minimales Risiko: Die meisten alltäglichen KI-Anwendungen unterliegen keinen eigenen Anforderungen an das System.
• KI-Modelle mit allgemeinem Verwendungszweck: Ihre Anbieter haben seit dem 2. August 2025 eigene Pflichten, getrennt von den Regeln für darauf aufbauende Systeme.

Anbieter oder Betreiber: Was verlangt die KI-Verordnung von einem Mittelständler, und ab wann?

Die Verordnung unterscheidet den Anbieter, der ein KI-System oder -Modell entwickelt und in Verkehr bringt, vom Betreiber, der ein KI-System in eigener Verantwortung beruflich verwendet. Die meisten Mittelständler sind Betreiber von KI-Assistenten, KI-Funktionen in SaaS-Tools oder Transkriptionsdiensten. Die schwersten Anforderungen treffen vor allem Anbieter, doch zwei Pflichten betreffen Betreiber bereits: das Verbot bestimmter Praktiken und die KI-Kompetenz nach Artikel 4. Beides lässt sich nur erfüllen, wenn bekannt ist, welche KI-Tools die Mitarbeitenden tatsächlich nutzen, auch solche ohne Freigabe der IT.

Die Verordnung (EU) 2024/1689 gilt seit dem 2. August 2026 allgemein, ein Jahr nach den Pflichten für KI-Modelle mit allgemeinem Verwendungszweck. Der AI Omnibus, die am 24. Juli 2026 im Amtsblatt veröffentlichte Verordnung (EU) 2026/1744, hat die Hochrisiko-Pflichten verschoben: für Systeme nach Anhang III auf den 2. Dezember 2027, für in Produkte eingebettete Systeme nach Anhang I auf den 2. August 2028. Werden personenbezogene Daten verarbeitet, gilt daneben weiterhin die DSGVO.

Beispiele und Anwendungsfälle

Ein Softwareunternehmen mit 350 Mitarbeitenden hat einen einzigen KI-Assistenten für alle freigegeben. Eine SaaS-Discovery findet 27 KI-Tools im Einsatz, von Meeting-Protokollierern bis zu KI-Funktionen, die im CRM aktiviert wurden, viele davon per Firmenkreditkarte bezahlt. Bevor die Compliance-Verantwortliche Schulungen zur KI-Kompetenz pro Team planen oder prüfen kann, dass keine Nutzung in die Nähe einer verbotenen Praxis kommt, braucht sie diese Liste mit den Nutzenden jedes Tools.

Corma liefert diesen Inventarschritt: Die Sichtbarkeit auf Shadow AI erkennt die genutzten KI-Tools mit ihren Nutzenden und Lizenzen, Access Reviews mit Auditnachweisen dokumentieren, wer jedes Tool noch verwendet, und das Monitoring der KI-Ausgaben zeigt ihre Kosten.

Verwandte Begriffe

• Schatten-KI (Shadow AI)
• KI-Agenten-Governance
• DSGVO (GDPR)
• NIS2-Richtlinie
• Schatten-KI erkennen und steuern
• Shadow AI mit Corma entdecken und vermeiden

FAQ

Ab wann gilt die KI-Verordnung?

Stufenweise. Sie ist am 1. August 2024 in Kraft getreten und gilt seit dem 2. August 2026 allgemein, mit früheren Terminen für verbotene Praktiken, KI-Kompetenz und Modelle mit allgemeinem Verwendungszweck und späteren für Hochrisiko-Systeme.

Gilt die KI-Verordnung auch für Unternehmen, die KI-Tools nur nutzen?

Ja. Wer ein KI-System beruflich verwendet, ist Betreiber im Sinne der Verordnung und bereits vom Verbot bestimmter Praktiken sowie von der Pflicht zur KI-Kompetenz betroffen.

Welche Bussgelder sieht die KI-Verordnung vor?

Bei verbotenen Praktiken bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.

Hat der AI Omnibus die KI-Verordnung verschoben?

Er hat die Hochrisiko-Pflichten verschoben, für Anhang III auf den 2. Dezember 2027 und für Anhang I auf den 2. August 2028. Allgemein gilt die KI-Verordnung dennoch seit dem 2. August 2026.

Demo anfragen