Europäische Regeln reisen
Die EU-KI-Verordnung (EU AI Act) ist am 1. August 2024 in Kraft getreten. Sie schafft den ersten umfassenden unionsweiten Rechtsrahmen für Künstliche Intelligenz – und ihre Reichweite endet nicht an den Grenzen der EU.
Ein Unternehmen kann betroffen sein, ohne Niederlassung, Tochtergesellschaft oder Beschäftigte in der Europäischen Union zu haben. Es kann bereits genügen, ein KI-System oder ein KI-Modell mit allgemeinem Verwendungszweck in der EU anzubieten. Gleiches gilt, wenn ein System außerhalb der EU betrieben, sein Ergebnis aber in der EU verwendet wird.
Dieser Leitfaden erklärt, wann die Verordnung international greift, wie ihr Risikomodell funktioniert und was international tätige Unternehmen als Nächstes auf die Agenda setzen sollten.
Das Wichtigste
Den Rahmen verstehen
Was die Verordnung regelt, wann sie gilt und wie das Risiko die Pflichten bestimmt.
Den EU-Bezug prüfen
Wann Marktzugang, Ergebnisse oder Lieferketten ein Unternehmen außerhalb der EU erfassen.
Den Weg zur Compliance bauen
Vom ersten KI-Inventar über Nachweise und Abhilfemaßnahmen bis zur laufenden Überwachung.
Die scharfen Kanten kennen
Fristen, Geldbußen, Verbote und das Hochrisiko-Regime – ohne Nebelmaschine.
Grundlagen des EU AI Act
Wann?
Ein Start in Etappen
Die Verordnung kommt stufenweise zur Anwendung, nicht mit einem einzigen feierlichen Startschuss. Das maßgebliche Datum hängt vom System, von der Rolle des Unternehmens und von der jeweiligen Pflicht ab.
-
Verbotene Praktiken und erste grundlegende Vorschriften wurden anwendbar.
-
Governance-Regeln und Pflichten für KI-Modelle mit allgemeinem Verwendungszweck folgten.
-
Die meisten übrigen Vorschriften wurden anwendbar, darunter Transparenzpflichten.
-
Die Hochrisiko-Regeln für sensible Anwendungsfälle nach Anhang III sollen anwendbar werden.
-
Die Hochrisiko-Regeln für KI in regulierten Produkten nach Anhang I sollen anwendbar werden.
Die letzten beiden Daten berücksichtigen den AI Omnibus, der am 27. Juli 2026 in Kraft getreten ist.
Was?
Eine Verordnung mit Wirkung im ganzen Unternehmen
Die Verordnung gilt unmittelbar in der EU und steht neben dem Datenschutz-, Produktsicherheits-, Arbeits-, Verbraucher- und Branchenrecht. Sie kann Organisationen betreffen, die KI-Systeme entwickeln, anbieten, einführen, vertreiben oder einsetzen.
Wie?
Das Risiko bestimmt den Aufwand
Je höher das Risiko, desto umfangreicher die regulatorische Arbeit. Eine belastbare Einordnung jedes Systems ist deshalb weniger Ablageübung als Kompass.
Unannehmbar
Verbotene KI-Praktiken.
Hoch
Umfangreiche Pflichten für Systeme und Akteure.
Transparenz
Bestimmte Informationspflichten für einzelne Systeme.
Minimal
Wenige risikospezifische Pflichtanforderungen.
Und GPAI? KI-Modelle mit allgemeinem Verwendungszweck unterliegen einem eigenen Regime. Dazu gehören Dokumentations-, Urheberrechts- und Transparenzpflichten sowie zusätzliche Anforderungen für Modelle mit systemischem Risiko. Für bestimmte Anbieter mit Sitz außerhalb der EU kann außerdem ein Bevollmächtigter in der EU erforderlich sein.
Wenn die Verordnung über die EU hinausreicht
Kein Büro in der EU bedeutet nicht automatisch: keine Pflichten in der EU. Die internationale Reichweite kann sich aus dem Markt, dem Ergebnis eines Systems oder der Rolle in der Lieferkette ergeben.
Die Verordnung kann gelten, wenn eine Organisation:
- ein KI-System in der EU anbietet oder dort in Betrieb nimmt
- ein KI-Modell mit allgemeinem Verwendungszweck auf dem EU-Markt bereitstellt
- außerhalb der EU ein System anbietet oder betreibt, dessen Ergebnisse in der EU verwendet werden
- unter eigenem Namen oder eigener Marke ein Produkt mit integriertem KI-System vermarktet
- über einen Einführer handelt, der das System erstmals in der EU bereitstellt
- das System über einen Händler auf dem europäischen Markt bereitstellt
Auf die Einzelheiten kommt es an. Der Standort allein ist kein Tarnumhang. Für die Bewertung zählen die genaue Rolle, die Vertragskette, die Zweckbestimmung und die Verwendung der Ergebnisse.
Sechs praktische Beispiele
Wie die Verordnung reist
-
01
Seoul → Paris
Ein koreanisches Unternehmen bietet online einen KI-Porträtservice an. Menschen in der EU laden Fotos hoch und verwenden die erzeugten Bilder.
-
02
Singapur → EU-Belegschaft
Ein Anbieter aus Singapur entwickelt eine KI-Trainingsplattform für einen multinationalen Arbeitgeber mit Beschäftigten in der EU.
-
03
Indien → EU-Personalteam
Ein indischer HR-Anbieter prüft Bewerbungen mit KI; die daraus entstehenden Rankings werden von einem Personalteam in der EU für Einstellungsentscheidungen genutzt.
-
04
Japan → Straßen der EU
Ein japanischer Hersteller verkauft in der EU Fahrzeuge unter eigenem Namen mit einer KI-gestützten Bremsfunktion.
-
05
Taiwan → Kreditwesen der EU
Ein taiwanisches Unternehmen lizenziert ein KI-System zur Bonitätsbewertung an Geschäftskunden in der EU.
-
06
Indien → EU-Support
Ein indisches Unternehmen erwirbt ein bereits in Europa verfügbares Kundensupport-System und vergibt dafür Unterlizenzen in der EU.
Was Unternehmen jetzt tun sollten
Erfassen. Einordnen. Handeln.
Ein vernünftiges Programm beginnt mit drei Fragen. Die Antworten müssen am ersten Tag nicht vollkommen sein. Vorhanden sein sollten sie allerdings.
Wo wird KI bereits eingesetzt?
Prüfen Sie Produkte, Dienstleistungen, interne Werkzeuge und eingekaufte Software. KI versteckt sich häufig in Lösungen für Recruiting, Kundenservice, Betrugserkennung, Schulung, Analysen und IT-Sicherheit.
Welche Kategorie und Rolle gelten?
Ordnen Sie jedes System ein und prüfen Sie, ob ein KI-Modell mit allgemeinem Verwendungszweck beteiligt ist. Anschließend ist zu klären, wer Anbieter, Betreiber, Einführer oder Händler ist.
Was fehlt?
Vergleichen Sie bestehende Kontrollen mit den anwendbaren Anforderungen. Verbotene Praktiken müssen beendet werden, Hochrisiko-Systeme verlangen strukturierte Arbeit und auch andere Systeme können Transparenz- oder Governance-Maßnahmen auslösen.
Ein Programm in fünf Etappen
Vom Inventar zum Nachweis
01 Erfassen Erst die ganze Landschaft ansehen. Dann die Wanderschuhe auswählen. +
- Verantwortlichkeiten zuweisen
- Relevante Prozesse dokumentieren
- Ein Inventar der KI-Systeme und -Modelle erstellen
- Lieferanten-, Kunden- und Lizenzverträge prüfen
02 Festlegen Aus einer Werkzeugliste wird eine Liste rechtlicher und betrieblicher Anforderungen. +
- Die rechtliche Rolle jeder Partei bestimmen
- Systeme und Modelle klassifizieren
- Den EU AI Act und sonstiges anwendbares Recht ermitteln
- Kontrollen, Dokumentation und Transparenzmaßnahmen definieren
03 Analysieren Die heutige Praxis mit der künftig belastbaren Position vergleichen. +
- Technische und organisatorische Lücken dokumentieren
- Nach Exposition, Risiko und Umsetzungsaufwand priorisieren
- Verantwortliche, Nachweise und Zieltermine festlegen
04 Umsetzen Lücken in Systemen, Verträgen und menschlichen Gewohnheiten schließen. +
- Relevante Teams schulen
- Hinweise und Nutzerinformationen vorbereiten
- Technische und organisatorische Kontrollen einführen
- Dokumentation, Richtlinien und Freigabeprozesse etablieren
05 Überwachen Compliance ist ein Kreislauf, kein laminiertes Zertifikat. +
- Systeme und Kontrollen regelmäßig überprüfen
- Änderungen bei Nutzung, Daten, Lieferanten und Regulierung verfolgen
- Das Programm anpassen, wenn sich die Tatsachen ändern
Was Unternehmen wissen müssen
Anwendungsbereich
Was gilt, wenn wir vollständig außerhalb der EU tätig sind?
Eine fehlende Niederlassung in der EU nimmt eine Organisation nicht automatisch aus dem Anwendungsbereich. Entscheidend ist unter anderem, ob ein System oder Modell auf den EU-Markt gelangt, ob sein Ergebnis in der EU verwendet wird und welche Rolle die Organisation in der Lieferkette einnimmt.
Jedes international tätige Unternehmen, das KI anbietet oder einsetzt, sollte diese Prüfung durchführen. Nicht jedes Unternehmen wird erfasst. Auf den Standort allein sollte sich jedoch keines verlassen.
Zeitplan
Ab wann müssen wir die Vorgaben erfüllen?
Die Verordnung gilt stufenweise. Verbote, GPAI-Pflichten und ein großer Teil des übrigen Rechtsrahmens sind bereits anwendbar. Die wesentlichen Hochrisiko-Fristen sind nun der 2. Dezember 2027 für Anwendungsfälle nach Anhang III und der 2. August 2028 für KI, die in Produkte nach Anhang I eingebettet ist. Anbieter von GPAI-Modellen, die vor dem 2. August 2025 in Verkehr gebracht wurden, haben eine gesonderte Übergangsfrist bis zum 2. August 2027.
Geldbußen
Was kann ein Verstoß kosten?
Der gesetzliche Höchstbetrag richtet sich nach dem jeweiligen Verstoß.
Verbotene KI-Praktiken
Bestimmte Betreiber-, Konformitäts- und Transparenzpflichten
Unrichtige, unvollständige oder irreführende Angaben
Bei Unternehmen gilt grundsätzlich die jeweils höhere einschlägige Obergrenze; für KMU besteht eine besondere Regelung mit niedrigerer Höchstgrenze. Die endgültige Geldbuße muss im Einzelfall verhältnismäßig sein. Dennoch ist dies keine Verordnung, die man der Finanzabteilung vorzugsweise erst nach Fristablauf vorstellt.
Verbote
Was ist ein KI-System mit unannehmbarem Risiko?
Die verbotene Kategorie umfasst Praktiken, die mit den Sicherheits- und Grundrechtsstandards der EU als unvereinbar gelten. Dazu gehören beispielsweise:
- manipulative oder täuschende Techniken, die Verhalten verzerren und erheblichen Schaden verursachen;
- verbotene soziale Bewertung, die zu einer ungerechtfertigten oder unverhältnismäßigen Benachteiligung führt;
- die Bewertung der Wahrscheinlichkeit einer Straftat ausschließlich anhand von Profiling oder Persönlichkeitsmerkmalen; und
- biometrische Kategorisierung, mit der geschützte oder besonders sensible Merkmale abgeleitet werden.
Die gesetzliche Liste ist ausführlicher und enthält Bedingungen sowie Ausnahmen. Jeder Anwendungsfall muss anhand des genauen Gesetzestextes geprüft werden.
Klassifizierung
Wann wird ein KI-System zum Hochrisiko-System?
Regulierte Produkte
Ein System kann als hochriskant gelten, wenn es selbst ein Produkt oder eine Sicherheitskomponente eines Produkts ist, das unter bestimmte EU-Produktsicherheitsvorschriften fällt und einer Konformitätsbewertung durch Dritte unterliegt. Beispiele sind Medizinprodukte, Maschinen, Spielzeug, Aufzüge, Schutzausrüstungen und Fahrzeuge.
Sensible Anwendungsfälle
Anhang III nennt potenziell hochriskante Anwendungen aus acht Bereichen. Eine Nennung ist nicht automatisch abschließend: Funktion und gesetzliche Ausnahmen des Systems sind weiterhin maßgeblich.
- 01Biometrie
- 02Kritische Infrastruktur
- 03Allgemeine und berufliche Bildung
- 04Beschäftigung und Personalmanagement
- 05Wesentliche private und öffentliche Dienste
- 06Strafverfolgung
- 07Migration, Asyl und Grenzkontrolle
- 08Justiz und demokratische Prozesse
Systemanforderungen
Sieben Anforderungen, ein Lebenszyklus
-
01
Risikomanagement
Ein dokumentierter, kontinuierlicher Prozess über den gesamten Lebenszyklus des Systems.
-
02
Daten-Governance
Angemessene Qualität und Governance für Trainings-, Validierungs- und Testdaten.
-
03
Technische Dokumentation
Vor Markteintritt oder Einsatz erstellte und fortlaufend aktualisierte Dokumentation.
-
04
Aufzeichnungspflichten
Technische Protokollierung, die die Nachvollziehbarkeit im Betrieb unterstützt.
-
05
Transparenz
Anleitungen zu Zweck, Fähigkeiten, Grenzen und Bedeutung der Ergebnisse.
-
06
Menschliche Aufsicht
Wirksame Kontrolle zur Verringerung von Risiken für Sicherheit und Grundrechte.
-
07
Genauigkeit, Robustheit & Cybersicherheit
Leistung, Robustheit und Cybersicherheit müssen für die Zweckbestimmung geeignet sein.
Anbieter
Wenn Sie ein System entwickeln oder anbieten
Anbieter tragen die Hauptverantwortung dafür, dass ein Hochrisiko-KI-System die anwendbaren Anforderungen erfüllt. Sie müssen in der Regel:
- die technische und organisatorische Compliance gewährleisten
- den Anbieter auf dem System, der Verpackung oder in der Dokumentation angeben
- ein Qualitätsmanagementsystem unterhalten
- die erforderliche Dokumentation und Protokolle erstellen und aufbewahren
- die einschlägige Konformitätsbewertung durchführen
- die EU-Konformitätserklärung ausstellen und die CE-Kennzeichnung anbringen
- erforderliche Eintragungen in EU-Datenbanken vornehmen
- eine Überwachung nach dem Inverkehrbringen und Verfahren für Korrekturmaßnahmen betreiben
- als Anbieter mit Sitz in einem Drittstaat vor dem Bereitstellen eines Hochrisiko-KI-Systems in der EU schriftlich einen Bevollmächtigten in der EU benennen
Betreiber
Wenn Sie ein System einsetzen
Betreiber müssen kontrollieren, wie das System in der Praxis eingesetzt wird. Zu ihren Pflichten kann es gehören:
- das System gemäß der Gebrauchsanweisung des Anbieters einzusetzen
- die Aufsicht Personen mit der erforderlichen Kompetenz, Befugnis und Unterstützung zu übertragen
- sicherzustellen, dass die von ihnen kontrollierten Eingabedaten relevant und hinreichend repräsentativ sind
- den Betrieb zu überwachen, Risiken oder Vorfälle zu melden und den Einsatz erforderlichenfalls auszusetzen
- automatisch erzeugte Protokolle für den vorgeschriebenen Zeitraum aufzubewahren
- betroffene Beschäftigte vor dem Einsatz am Arbeitsplatz zu informieren
- Personen zu informieren, wenn ein Hochrisiko-KI-System Entscheidungen über sie unterstützt
Für bestimmte Betreiber oder Anwendungsfälle können weitere Anforderungen gelten.
Einführer & Händler
Auch die Lieferkette hat Pflichten
Einführer und Händler sind keine passiven Lieferkanäle. Bevor sie ein Hochrisiko-KI-System bereitstellen, müssen sie bestimmte Prüfungen zu Konformität, Kennzeichnung, Dokumentation und Angaben zum Anbieter durchführen.
Stellen sie eine Nichtkonformität fest, müssen sie das System gegebenenfalls zurückhalten, Korrekturmaßnahmen unterstützen und den Anbieter sowie die zuständigen Behörden informieren. Auch Lagerung, Transport und Aufbewahrung von Unterlagen können relevant sein.
Nationales Recht redet weiterhin mit
Der EU AI Act ist eine Ebene des regulatorischen Gesamtbilds, nicht das gesamte Gemälde.
Viele Staaten haben eigene KI-Gesetze, Rahmenwerke, Leitlinien oder branchenspezifische Anforderungen eingeführt. Internationale Organisationen sollten deshalb neben dem EU-Regime stets auch das nationale Recht prüfen. Compliance lässt sich ohnehin nur ungern Land für Land betrachten.
07 · Ausblick
Das Gesetz ist da. Ein Teil des Mobiliars wird noch geliefert.
Die Verordnung ist in Kraft, doch ihre unterstützende Architektur entwickelt sich weiter. Normen, gemeinsame Spezifikationen, Vorlagen und Leitlinien der Kommission werden weiterhin prägen, wie gute Compliance in der Praxis aussieht.
Die vernünftige Antwort ist ein lebendiges Governance-Programm: dokumentiert, regelmäßig überprüft und beweglich genug, um sich mit den Regeln zu verändern.