Der Fahrplan zum EU AI Act: Ein detaillierter Leitfaden

Was ist der European AI Act?

Das EU AI Act ist die erste umfassende kontinentale Gesetzgebung zu Künstlicher Intelligenz der Welt. Mit dem Gesetz soll sichergestellt werden, dass KI-Systeme sicher und transparent sind und die Verbraucher in der EU keinen Risiken ausgesetzt werden. Bei der Verfolgung dieser Ziele erkennt der EU-AI-Act-Gesetzestext auch die Notwendigkeit an, Innovation und Investitionen im KI-Sektor zu fördern, und versucht, ein ausgewogenes Verhältnis zwischen diesen Zielen herzustellen.

Daher verfolgt der EU-AI-Act-Gesetzestext einen risikobasierten Ansatz zur Regulierung von KI-Systemen und klassifiziert die A.I.-Systeme in vier verschiedene Kategorien:

• unannehmbares Risiko
• hohes Risiko
• begrenztes Risiko
• geringes Risiko 

Je nach Risikokategorie wird ein KI-System automatisch verboten oder unterliegt weniger strengen oder strengeren Auflagen. 

Was bisher gilt

Update: Februar 2025

Seit dem 02. Februar 2025 gilt Artikel 4 des EU AI Acts zur AI Literacy. Dieser Artikel gilt für Unternehmen, die KI-Systeme entwickeln, vertreiben oder betreiben. Demnach sind sie dazu verpflichtet, sicherzustellen, dass alle Mitarbeitenden und externen Dienstleister, die an der Planung, Implementierung oder Nutzung von KI-Systemen beteiligt sind, in der sicheren Handhabung dieser Systeme sowie in der Einhaltung gesetzlicher und ethischer Anforderungen geschult sind. Um rechtliche und ethische Anforderungen zu erfüllen und Haftungsrisiken zu minimieren, sollten Unternehmen daher proaktiv in den Ausbau ihrer Daten- und KI-Kompetenzen investieren. Der AI Act selbst bietet jedoch keine konkreten Vorgaben zum Umfang oder zu den Inhalten der Schulungen. Um dennoch eine einheitliche Umsetzung der Anforderungen aus Artikel 4 zu gewährleisten, hat die Europäische Kommission einen ausführlichen Leitfaden in Form von Q&A rund um diesen Artikel veröffentlicht. Darin wird beispielsweise erläutert, welchen Mindestumfang entsprechende Schulungen zur AI Literacy haben sollten, um den Vorgaben des AI Acts zu entsprechen.

Darauf basierend bieten wir Ihnen im Rahmen unseres Academy Programms spezialisierte Weiterbildungen zum sicheren Umgang mit KI-Systemen gemäß Artikel 4 des EU AI Acts an. Unser Academy-Programm bietet kompakte Schulungen für Endnutzer*innen sowie spezialisierte Experten-Trainings zur technischen Implementierung. So können wir Sie dabei unterstützen, eine solide Grundlage für regelkonformes Handeln mit KI-Systemen zu schaffen und zugleich die erfolgreiche und verantwortungsvolle Nutzung von KI in der gesamten Belegschaft zu fördern. 

Update: August 2025

Ab August 2025 treten zentrale Bestimmungen des AI Acts in Kraft, die sowohl für Behörden der Mitgliedstaaten als auch für Anbieter und Betreiber von KI-Systemen gelten. Die folgenden Abschnitte geben einen Überblick über die wichtigsten Regelungen zur Anwendung und Durchsetzung.

Bestimmungen zur Anwendung und Durchsetzung des AI Acts

Regelungen zu Benachrichtigungen an Behörden (Kapitel 3, Abschnitt 4)

Von diesen Regelungen sind Anbieter und Betreiber nicht direkt betroffen. Sie richten sich an die Mitgliedstaaten und sehen unter anderem vor, dass jedes EU-Land mindestens eine Behörde benennen muss, die für die Bewertung und Überwachung von AI-Konformitätsbewertungsstellen zuständig ist. Diese Behörden sollen in allen Mitgliedstaaten zusammenarbeiten und dabei unparteiisch sowie frei von Interessenkonflikten agieren.

Zudem legt Kapitel 3 Regelungen und Verfahren für die Notifizierung von KI-Systemen bei den Behörden in der EU fest.

Governance Regelungen (Kapitel VII)

Auch diese Bestimmungen richten sich nicht an Anbieter und Betreiber, sondern an die Mitgliedsstaaten. Kapitel VII legt fest, dass die EU ein sogenanntes AI Office einrichten muss, um ihre Kenntnisse und Fähigkeiten im Bereich KI zu verbessern. Das Büro soll von Mitgliedsstaaten unterstützt werden, die bei der Erfüllung seiner im AI Ac festgelegten Aufgaben helfen werden.

Das AI Office muss bis August 2025 eingerichtet und funktionsfähig sein. Dazu gehört:

• die Ernennung von Personal und der Leitung,
• die Festlegung von Verfahren zur Zusammenarbeit mit den nationalen Aufsichtsbehörden,
• sowie der Beginn seiner Koordinierungs-, Beratungs- und Aufsichtsfunktionen.

Zudem gilt unter Kapitel VII der 2. August als Frist für die Mitgliedstaaten, die zuständigen nationalen Behörden (notifizierende Behörden und Marktüberwachungsbehörden) zu benennen, sie der Kommission mitzuteilen und ihre Kontaktdaten öffentlich zugänglich zu machen.

Sanktionen bei Nichteinhaltung (Kapitel XII)

Frist für die Mitgliedstaaten, Regeln für Sanktionen und Geldbußen festzulegen, sie der Kommission mitzuteilen und sicherzustellen, dass sie ordnungsgemäß umgesetzt werden.

Vertraulichkeit (Artikel 78)

Im Zusammenhang mit den neuen Meldepflichten und der Benennung notifizierender Behörden tritt ab August 2025 auch Artikel 78 in Kraft. Dieser Artikel verpflichtet die EU-Kommission, Marktüberwachungsbehörden und notifizierende Stellen dazu, alle Informationen, die sie bei der Umsetzung des AI Acts erhalten, vertraulich zu behandeln.

Bestimmungen für Anbieter und Betreiber

Pflichten für GPAI Anbieter (Kapitel V, Art. 51-56)

Für Anbieter sogenannter General Purpose AI-Modelle (GPAI) – also großer, vielseitig einsetzbarer Modelle wie Sprach- oder Bildgeneratoren – gelten ab August erste Verpflichtungen. Dies betrifft sowohl reguläre GPAI-Modelle als auch solche mit systemischem Risiko:

• Bereitstellung einer technischen Dokumentation (Art. 53)
• Offenlegung über Trainingsdaten und Nutzungslizenzen (Art. 53): Dazu gehört die Erstellung und öffentliche Bereitstellung einer hinreichend detaillierten Zusammenfassung über die für das Training des GPAI-Modells verwendeten Inhalte. Die Europäische Kommission hat hierfür eine Vorlage für die verpflichtende Zusammenfassung der Trainingsinhalte von KI-Modellen veröffentlicht, die Sie hier finden können.
• Informationen und Unterstützung für nachgelagerte Anbieter, damit diese ihre rechtlichen Pflichten erfüllen können (Art. 53)
• Mit systemischem Risiko: Modelle müssen anhand von Standardprotokollen bewertet, systemische Risiken minimiert und schwerwiegende Vorfälle gemeldet werden (Art. 55).

Wichtig dabei zu beachten ist, dass Anbieter von GPAI-Modellen, die vor diesem Datum in Verkehr gebracht bzw. in Betrieb genommen wurden, müssen bis zum 2. August 2027 mit dem AI Act konform sein.

Um die Einhaltung dieser Bestimmungen zu erleichtern und Klarheit zu schaffen, hat die EU-Kommission konkrete Leitlinien veröffentlicht, die die einzelnen Verpflichtungen für GPAI Anbieter spezifiziert.

Am 10. Juli 2025 veröffentlichte die EU-Kommission außerdem den GPAI Code of Practice – einen freiwilligen Verhaltenskodex, der der Industrie helfen soll, die spezifischen Anforderungen für General Purpose AI (GPAI) zu erfüllen.

Der Kodex versteht sich als alternatives Instrument zur Einhaltung der Vorgaben des AI Acts: Anbieter können entweder den Kodex unterzeichnen und seine Maßnahmen umsetzen oder sich direkt am Gesetzestext orientieren – beispielsweise mithilfe der zuvor veröffentlichten Leitlinien. 

Wer ist vom EU AI Act betroffen?

Welche Organisationen fallen unter das Gesetz?

Der EU AI Act soll alle Parteien erfassen, die bei der Entwicklung, der Einführung, dem Verkauf, dem Vertrieb und der Nutzung von KI-Systemen, die den Verbrauchern in der EU zur Verfügung gestellt werden, eine Rolle spielen. Artikel 1 des AI Acts legt fest, dass Bereitsteller, Produkthersteller, Importeure, Händler und Anbieter von KI-Systemen unter das europäische KI-Gesetz fallen können.

Insbesondere würde der EU AI Act auch für Organisationen gelten, die außerhalb der Europäischen Union ansässig sind, wenn sie KI-Systeme an EU-Verbraucher liefern. 

Außerdem legt der EU AI Act keine Umsatz- oder Nutzerschwelle für die Anwendbarkeit des KI-Gesetzes fest. Daher sollten alle Organisationen die neuen Verpflichtungen berücksichtigen und sich beraten lassen, ob ihre KI-Systeme unter den EU AI Act fallen. 

 Was die Ausnahmen betrifft, so schließt das Gesetz Folgendes vom Anwendungsbereich aus:

• KI-Modelle oder -Systeme, die ausschließlich zum Zweck der wissenschaftlichen Forschung verwendet werden
• Verwendung von KI-Systemen für reine Haushaltstätigkeiten
• KI-Systeme, die ausschließlich für Verteidigungs- oder Militärzwecke verwendet werden

Laden Sie sich das kostenfreie Whitepaper zum European AI-Act herunter. Kompakt klären wir darin Unternehmen über die Konsequenzen und wichtigsten Regelungen der ersten europäischen KI-Gesetzesregelung auf.

EU AI-Act Whitepaper

Was ist ein KI-System?

Da der European AI Act für Anbieter, Bereitsteller, Vertreiber und Importeure von KI-Systemen gilt, ist es wichtig zu bestimmen, ob ein bestimmtes Werkzeug oder eine bestimmte Dienstleistung unter die Definition eines KI-Systems fällt. 

Artikel 3 des Entwurfs des AI Acts beschreibt KI-Systeme als „ein maschinengestütztes System, das so konzipiert ist, dass es mit unterschiedlichem Grad an Autonomie arbeitet und das nach der Bereitstellung Anpassungsfähigkeit zeigen kann und das für explizite oder implizite Ziele aus den Eingaben, die es erhält, ableitet, wie es Ausgaben wie Vorhersagen, Inhalte, Empfehlungen oder Entscheidungen generieren kann, die physische oder virtuelle Umgebungen beeinflussen können;“.

Diese Definition deckt ein breites Spektrum von KI-Systemen wie biometrische Identifikationssysteme und Chatbots ab, schließt aber einfache Softwareprogramme nicht ein. 

Risikokategorien und unterschiedliche Verpflichtungen

Nach dem EU AI Act gibt es vier verschiedene Risikokategorien für KI-Systeme, und je nach Kategorie unterliegen Sie unterschiedlichen Verpflichtungen.

Kategorie 1: Unannehmbares Risiko

In Artikel 5 des KI-Gesetzes sind die Praktiken der künstlichen Intelligenz aufgeführt, die automatisch verboten sind. Daher sollte eine Organisation diese verbotenen KI-Systeme nicht einsetzen, bereitstellen, in Verkehr bringen oder verwenden. Dazu gehören:

• Verwendung von A.I.-Systemen für die vorausschauende Polizeiarbeit
• biometrische Identifikationssysteme in Echtzeit
• gezieltes Auslesen von Gesichtsbildern aus dem Internet oder aus Videoüberwachungsanlagen zur Erstellung von Gesichtserkennungsdatenbanken
• Rückschlüsse auf die Emotionen von Menschen am Arbeitsplatz

Kategorie 2: Hohes Risiko

KI-Systeme mit hohem Risiko sind in Anhang III des KI-Gesetzes aufgeführt und umfassen KI-Systeme, die in den Bereichen Biometrie, kritische Infrastrukturen, Bildung, Beschäftigung und Strafverfolgung eingesetzt werden, sofern bestimmte Kriterien erfüllt sind.

KI-Systeme mit hohem Risiko sind nicht verboten, aber sie erfordern die Einhaltung strenger Auflagen. Artikel 29 des AI Acts erlegt Ihnen die folgenden Verpflichtungen auf, wenn Sie ein KI-System mit hohem Risiko einsetzen oder verwenden: 

• Durchführung einer Risikobewertung der Grundrechte
• Schulung und Unterstützung des Personals, das mit der Überwachung der KI-Systeme mit hohem Risiko betraut ist
• Führung von Protokollen, die von diesen Systemen automatisch erstellt werden

Kategorie 3: Begrenztes Risiko

Diese Kategorie umfasst weniger risikoreiche KI-Systeme wie Chatbots und Deepfake-Generatoren, für die im Gegensatz zur Hochrisikokategorie weniger strenge Verpflichtungen gelten. Wenn Sie ein KI-System dieser Kategorie einsetzen, bereitstellen oder verwenden, müssen Sie die Nutzer darüber informieren, dass sie mit einem KI-System interagieren, und außerdem alle Audio-, Video- und Fotoaufnahmen als von KI generiert kennzeichnen.

Kategorie 4: Minimales Risiko

KI-Systeme dieser Kategorie sind mit keinerlei Verpflichtungen verbunden und umfassen Systeme wie Spam-Filter und Empfehlungssysteme.

Wann tritt der EU AI Act in Kraft?

Der EU-Gesetzesentwurf wird am 2. August 2026, zwei Jahre nach seinem Inkrafttreten anwendbar sein.  Nach der Verabschiedung des EU AI Acts durch das Europäische Parlament im April 2024 trat das KI-Gesetz am 2. August 2024 nach seiner Veröffentlichung im Amtsblatt der EU in Kraft.

Allerdings gibt es Ausnahmen von dieser Regel:
So wird zum Beispiel die Vorschrift über das Verbot von KI-Systemen mit inakzeptablem Risiko nach 6 Monaten (2. Februar 2025) in Kraft treten.

Darüber hinaus werden die Verpflichtungen in Bezug auf KI-Systeme mit hohem Risiko erst nach 36 Monaten (2. August 2027) in Kraft treten, was den Unternehmen zusätzliche Zeit zur Vorbereitung gibt.

Sanktionen bei Nichteinhaltung

Die Strafen für die Nichteinhaltung des KI-Gesetzes richten sich nach dem konkreten Verstoß sowie nach dem Grad und der Art der Nichteinhaltung. 

Bei verbotenen KI-Systemen können die Geldbußen bis zu 35 Millionen Euro oder 7 % des Jahresumsatzes betragen. Wer falsche Angaben macht, kann mit einer Geldstrafe von bis zu 7,5 Millionen Euro oder 1,5 % seines Jahresumsatzes belegt werden.

Zeitplan für die Annahme des European AI Acts

EU AI Act Zeitplan (Stand: Februar 2025)

Das Europäische Parlament hat am 13. März 2024 über den AI Act abstimmt und diesen angenommen. Nach der Verabschiedung durch das Parlament und nach der Veröffentlichung im Amtsblatt der Europäischen Union tritt das Gesetz am 2. August 2024 in Kraft. 

Der European AI Act: Chance und Herausforderung für Unternehmen

In Anbetracht der Tatsache, dass das kommende europäische KI-Gesetz wahrscheinlich viele verwendete KI-Systeme abdecken wird und für Bereitsteller, Importeure, Anbieter und Organisationen gilt, sollten diese sich zeitnah mit dem EU AI Act und seinen Verpflichtungen vertraut machen. 

So ist es beispielsweise von entscheidender Bedeutung, dass Organisationen über ein detailliertes und aktuelles Verzeichnis aller von ihnen verwendeten KI-Systeme verfügen und die spezifischen Verpflichtungen für jede einzelne Risikokategorie genau kennen.

Wir stehen Ihnen gerne zur Verfügung, um Ihnen bei der Erstellung, Überwachung und Dokumentation zu helfen. Unser AI-Governance-Team freut sich auf Ihre Anfrage.