Die EU-KI-Verordnung ist jetzt durchsetzbar. Das sind die tatsächlichen Anforderungen.

Die EU-KI-Verordnung verpflichtet Unternehmen, die von der Verordnung erfasste KI-Systeme entwickeln oder einsetzen, jedes System nach Risikostufe zu klassifizieren und die damit verbundenen Pflichten zu erfüllen. Bei Hochrisiko-KI-Systemen bedeutet dies: Qualitätsmanagementsysteme, vollständige technische Dokumentation, Protokollierungspflichten, Konformitätsbewertungen und in das System integrierte menschliche Aufsicht, noch vor dem Inverkehrbringen. Verbotene Praktiken sind seit Februar 2025 durchsetzbar, die Pflichten für Allzweck-KI-Modelle (General Purpose AI, GPAI) gelten seit August 2025, und die Transparenzpflichten nach Artikel 50 greifen ab August 2026. Die Bußgelder erreichen bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes und liegen damit höher als die 4-%-Obergrenze der DSGVO. Die Frage ist nicht mehr, ob die EU-KI-Verordnung für Ihr Unternehmen gilt. Die Frage ist, ob Ihre aktuellen KI-Einsätze compliant sind.

EU-KI-Verordnung: Der Compliance-Zeitplan

Die EU-KI-Verordnung ist am 1. August 2024 in Kraft getreten. Ihre Pflichten treten gestaffelt in Kraft, entlang zentraler Durchsetzungsmeilensteine:

2. Februar 2025 – Verbotene Praktiken & KI-Kompetenz: Verbotene KI-Praktiken wurden rechtswidrig und durchsetzbar. Anbieter und Betreiber wurden verpflichtet, ein angemessenes Maß an KI-Kompetenz bei ihrem Personal und anderen Personen sicherzustellen, die in ihrem Auftrag mit KI-Systemen umgehen.
2. August 2025 – Allzweck-KI (GPAI): Die Governance-Pflichten für Anbieter von Allzweck-KI-Modellen traten in Kraft. Die Bußgeldvorschriften wurden auf die zu diesem Zeitpunkt geltenden Pflichten anwendbar.
2. August 2026 – Transparenz & Marktüberwachung: Die Transparenzpflichten nach Artikel 50 treten in Kraft. Nutzer müssen darüber informiert werden, wenn sie mit KI interagieren (z. B. Chatbots), und KI-generierte oder manipulierte Inhalte müssen, wo erforderlich, gekennzeichnet oder offengelegt werden. Die nationalen zuständigen Behörden beginnen, ihre vollen Durchsetzungsbefugnisse für die dann geltenden Vorschriften auszuüben.
2. Dezember 2027 – Eigenständige Hochrisiko-KI nach Anhang III: Hochrisiko-KI-Systeme nach Anhang III (Personalauswahl und Recruiting-Tools, Bildung, Bonitätsbewertung, kritische Infrastrukturen, Biometrie, Strafverfolgung, Migration, Justiz) unterliegen ab diesem Zeitpunkt den vollständigen Compliance-Pflichten. Diese Frist wurde im Rahmen des EU-Omnibus-Vereinfachungspakets 2026 von August 2026 verlängert.
2. August 2028 – Produktintegrierte Hochrisiko-KI nach Anhang I: Hochrisiko-KI-Systeme, die als Sicherheitsbauteile in regulierte physische Produkte integriert sind, darunter Maschinen, Medizinprodukte und Fahrzeuge, unterliegen ab diesem Zeitpunkt den vollständigen Compliance-Anforderungen (im Rahmen der Omnibus-Änderungen 2026 von August 2027 verschoben).

Die Fristverlängerungen des Omnibus-Pakets gelten für die Hochrisiko-Fristen (Anhang III und Anhang I), um eine Angleichung an technische Normen zu ermöglichen. Verbotene Praktiken, die GPAI-Vorschriften, die Transparenzpflichten nach Artikel 50 sowie das Bußgeldregime bleiben hingegen bei ihrem ursprünglichen Zeitplan.

Die vier Risikostufen und ihre praktische Bedeutung

Unannehmbares Risiko (verboten seit 2. Februar 2025)

Diese Praktiken sind vollständig untersagt. Für ein mittelständisches Unternehmen zählen dazu insbesondere:

Emotionserkennungssysteme am Arbeitsplatz und in Bildungseinrichtungen.
KI, die Schwachstellen aufgrund von Alter, Behinderung oder besonderer sozialer und wirtschaftlicher Situation ausnutzt, um Verhalten zu verzerren.
Biometrische Echtzeit-Fernidentifizierung im öffentlichen Raum (mit eng gefassten Ausnahmen für die Strafverfolgung).
Ungezieltes Auslesen von Gesichtsbildern aus dem Internet oder von Videoüberwachung zum Aufbau von Erkennungsdatenbanken.

Wenn Ihre Tools zur Mitarbeiterüberwachung, HR-Analyse oder Kundenansprache eine dieser Funktionen enthalten, sind sie nach EU-Recht nicht compliant.

Hochrisiko (stufenweise Einführung bis 2027–2028)

Für die meisten mittelständischen Unternehmen konzentriert sich der Compliance-Aufwand auf die Kategorie Hochrisiko-KI. Relevante Beispiele sind:

KI als Sicherheitsbauteil in Maschinen, Fahrzeugen oder Medizinprodukten (Anhang I - in Kraft ab 2. August 2028).
KI-gestütztes Lebenslauf-Screening, Kandidaten-Ranking oder Leistungsüberwachung von Mitarbeitern (Anhang III - in Kraft ab 2. Dezember 2027).
KI zur Bonitätsprüfung und bestimmten versicherungstechnischen Risikobewertungen (Anhang III - in Kraft ab 2. Dezember 2027).
KI im Betrieb kritischer Infrastrukturen, einschließlich sicherheitskritischer vorausschauender Wartung. (Anhang III - in Kraft ab 2. Dezember 2027).

Begrenztes Risiko (in Kraft ab 2. August 2026)

Hierzu zählen Chatbots und KI-Systeme, die synthetische Inhalte erzeugen. Die zentrale Pflicht ist die Transparenz nach Artikel 50: Nutzer müssen darüber informiert werden, dass sie mit KI interagieren, und KI-generierte oder manipulierte Inhalte müssen, wo nach Artikel 50 erforderlich, gekennzeichnet oder offengelegt werden. Eine förmliche Konformitätsbewertung ist nicht erforderlich.

Minimales Risiko

Spamfilter, Videospiele und gängige KI-gestützte Dokumentensuchen. Für sie bestehen keine verpflichtenden gesetzlichen Vorgaben nach der Verordnung, freiwillige Verhaltenskodizes werden jedoch empfohlen.

Was Hochrisiko-KI-Compliance konkret erfordert

Wer ein Hochrisiko-KI-System einsetzt oder entwickelt, muss vor dem Inverkehrbringen oder der Inbetriebnahme des Systems folgende gesetzliche Pflichten erfüllen:

Qualitätsmanagementsystem (Artikel 17) - Dokumentierte Richtlinien zu Datenmanagement, Systemdesign, Änderungsmanagement, Marktbeobachtung nach Inverkehrbringen und Vorfallmeldung.
Technische Dokumentation (Artikel 11) - Vollständige Dokumentation von Zweck, Trainingsdaten, Architektur, Leistungskennzahlen und bekannten Einschränkungen des Systems (geregelt in Artikel 11 und gemäß Artikel 18 zehn Jahre nach Inverkehrbringen aufzubewahren).
Protokollierungspflichten (Artikel 12 & 26) - Anbieter müssen technische Protokollierungsfunktionen bereitstellen (Artikel 12). Betreiber müssen, soweit die Protokolle unter ihrer Kontrolle stehen und dies technisch möglich ist, automatisch erzeugte Protokolle für einen angemessenen Zeitraum aufbewahren, mindestens sechs Monate, sofern nicht anderes EU- oder nationales Recht gilt (Artikel 26).
Konformitätsbewertung (Artikel 43) - Vor dem Inverkehrbringen oder der Inbetriebnahme des Systems abzuschließen. Je nach Systemtyp erfolgt dies als Selbstbewertung oder durch eine unabhängige Prüfstelle.
EU-Konformitätserklärung & CE-Kennzeichnung (Artikel 47 & 48) - Eine förmliche Erklärung und die CE-Kennzeichnung, die bestätigen, dass das System vor dem Inverkehrbringen die Anforderungen der Verordnung erfüllt.
Eintragung in die EU-KI-Datenbank (Artikel 49) - Verpflichtende Registrierung des Systems in der offiziellen EU-Datenbank vor dem Inverkehrbringen oder der Inbetriebnahme.
Menschliche Aufsicht (Artikel 14) - Anbieter müssen wirksame Aufsichtsmechanismen bereits im Systemdesign verankern, damit Betreiber die Grenzen des Systems verstehen, Automatisierungsverzerrungen vorbeugen und eingreifen oder das System stoppen können.

Auch Betreiber, also Unternehmen, die von Dritten entwickelte Hochrisiko-KI einsetzen, unterliegen eigenen Pflichten. Dazu zählen die Durchführung von Grundrechte-Folgenabschätzungen (FRIA nach Artikel 27) für Behörden und Anbieter wesentlicher Dienstleistungen, die Umsetzung angemessener Maßnahmen zur menschlichen Aufsicht sowie die Aufbewahrung von Protokollen.

ChatGPT, Claude oder Gemini in Ihrem Produkt einsetzen. Was das nach der Verordnung bedeutet.

Die im August 2025 in Kraft getretenen Pflichten für Allzweck-KI (GPAI) gelten in erster Linie für die Anbieter der GPAI-Modelle, also OpenAI, Anthropic, Google, nicht für Unternehmen, die deren APIs für den gewöhnlichen Geschäftsbetrieb nutzen.

Wenn Ihr Unternehmen ein KI-Modell eines Drittanbieters über eine API nutzt, um interne Arbeitsabläufe oder Kundenfunktionen zu betreiben, sind Sie Betreiber. Ihr Compliance-Risiko beschränkt sich darauf, sicherzustellen, dass der Anwendungsfall nicht in eine verbotene oder Hochrisiko-Kategorie fällt, sowie die Transparenzanforderungen nach Artikel 50 einzuhalten.

Die Einordnung ändert sich, wenn Sie ein Produkt entwickeln und einsetzen, das ein GPAI-Modell wesentlich verändert, oder wenn Sie es unter Ihrer eigenen Marke oder Ihrem eigenen Warenzeichen auf dem EU-Markt in Verkehr bringen. In diesem Fall übernimmt Ihr Unternehmen den Status als Anbieter im Sinne der Verordnung und damit die entsprechenden Pflichten, einschließlich technischer Dokumentation, Transparenz und, sofern das System die Hochrisiko-Schwelle erreicht, einer vollständigen Konformitätsbewertung.

Extraterritorialer Anwendungsbereich

Artikel 2 der Verordnung ist eindeutig: Sie gilt für jedes Unternehmen, das KI-Systeme auf dem EU-Markt in Verkehr bringt oder dessen KI-Ergebnisse Nutzer in der EU betreffen, unabhängig davon, wo das Unternehmen seinen Sitz hat oder wo sein Entwicklungsteam ansässig ist.

Ein Unternehmen mit Hauptsitz in den USA, im Vereinigten Königreich oder in Asien und Entwicklungsteams in Vietnam, Indien oder auf den Philippinen unterliegt denselben umfassenden Pflichten wie ein EU-Unternehmen, sofern sein Produkt Nutzer in der Europäischen Union bedient. Entscheidend ist, wo das KI-System in Verkehr gebracht oder genutzt wird, nicht wo es entwickelt wurde.

Bußgelder

Die Durchsetzungsbefugnisse verteilen sich auf die nationalen Marktüberwachungsbehörden und das Europäische Büro für Künstliche Intelligenz:

Verbotene Praktiken: Bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.
Verstöße gegen Hochrisiko-KI-Pflichten: Bis zu 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes.
Unrichtige Angaben gegenüber Behörden: Bis zu 7,5 Millionen Euro oder 1,5 % des weltweiten Jahresumsatzes.

Mit 7 % übersteigt die maximale Bußgeldobergrenze der EU-KI-Verordnung die 4-%-Obergrenze der DSGVO. Für Unternehmen außerhalb der EU gilt exakt dieselbe Bußgeldskala.

Häufig gestellte Fragen

Was verlangt die EU-KI-Verordnung 2026 von Unternehmen?

Im Jahr 2026 sollten Unternehmen die von ihnen entwickelten oder eingesetzten KI-Systeme erfassen und bewerten. Unternehmen müssen die Einhaltung der Transparenzpflichten nach Artikel 50 sicherstellen (Nutzer bei der Interaktion mit Chatbots informieren und KI-generierte Medien kennzeichnen), ein angemessenes Maß an KI-Kompetenz gewährleisten und Hochrisiko-Tools den Compliance-Fristen für 2027 und 2028 zuordnen.

Gilt die EU-KI-Verordnung auch für Unternehmen außerhalb der EU?

Ja. Artikel 2 gilt für jeden Anbieter oder Betreiber, dessen KI-System auf dem EU-Markt in Verkehr gebracht wird oder dessen Ergebnisse Personen in der EU betreffen, unabhängig vom Unternehmenssitz. Ein Unternehmen außerhalb der EU, das ein KI-gestütztes Produkt an europäische Kunden verkauft, unterliegt denselben Pflichten wie ein EU-Unternehmen.

Welche KI-Praktiken sind nach der EU-KI-Verordnung inzwischen verboten?

Seit Februar 2025 zählen zu den verbotenen Praktiken: biometrische Echtzeit-Fernidentifizierung im öffentlichen Raum, Social Scoring, KI, die Verhalten durch unterschwellige Techniken oder die Ausnutzung von Schwachstellen manipuliert, Emotionserkennung am Arbeitsplatz und in Schulen sowie das ungezielte Auslesen von Gesichtsbildern zum Aufbau von Erkennungsdatenbanken.

Was passiert, wenn ein Unternehmen ChatGPT oder Claude in seinem Produkt einsetzt?

Bei Nutzung über eine API für den allgemeinen Betrieb oder für Funktionen liegen die primären GPAI-Pflichten beim Anbieter (z. B. OpenAI, Anthropic). Verändert das Unternehmen das Modell wesentlich oder vermarktet es die Lösung unter eigener Marke in der EU, wird es zum Anbieter im Sinne der Verordnung und übernimmt Pflichten zu Dokumentation, Transparenz und, im Falle von Hochrisiko-Einstufung, zur Konformitätsbewertung.

Ab wann gilt die EU-KI-Verordnung für HR- und Recruiting-KI?

HR-, Recruiting-, Lebenslauf-Screening-, Kandidaten-Ranking- und Mitarbeiterleistungsüberwachungs-Tools werden nach Anhang III als Hochrisiko-KI eingestuft. Nach den 2026 verabschiedeten Änderungen zur Umsetzung der EU-KI-Verordnung liegt die Durchsetzungsfrist für eigenständige Hochrisiko-Systeme nach Anhang III bei 2. Dezember 2027.

Was unterscheidet einen Anbieter von einem Betreiber nach der EU-KI-Verordnung?

Ein Anbieter entwickelt ein KI-System (oder lässt es entwickeln) und bringt es unter eigenem Markennamen auf den Markt. Ein Betreiber nutzt ein KI-System eines Dritten in eigener Verantwortung für betriebliche Zwecke. Anbieter tragen die primären strukturellen Pflichten (Qualitätsmanagement, technische Dokumentation, Konformitätsbewertungen, CE-Kennzeichnung). Betreiber tragen die operativen Pflichten (Umsetzung von Maßnahmen zur menschlichen Aufsicht, Protokollaufbewahrung für mindestens sechs Monate, soweit möglich, sowie Transparenzhinweise gegenüber Nutzern).

Der nächste Schritt

Gradion unterstützt Unternehmen in der DACH-Region und in Südostasien dabei, ihre KI-Compliance-Risiken zu bewerten, Risikoeinstufungen zu prüfen und KI-Systeme zu entwickeln, die produktionsreifen Standards entsprechen. Kontaktieren Sie unser Team, um das Gespräch zu beginnen.