Häufige Fragen zur KI-Verordnung

Der EU AI Act ist die Verordnung (EU) 2024/1689, in Deutschland meist KI-Verordnung genannt. Sie regelt, welche KI-Systeme in der EU erlaubt sind und welche Pflichten Anbieter und Betreiber haben. Je höher das Risiko eines Einsatzes, desto strenger sind die Pflichten.

Ja, in Teilen. Seit dem 02.02.2025 gelten Artikel 4 zur KI-Kompetenz und die Verbote nach Artikel 5. Seit dem 02.08.2026 gelten die Transparenzpflichten nach Artikel 50. Die Pflichten für Hochrisiko-KI-Systeme nach Anhang III gelten ab dem 02.12.2027.

Jedes Unternehmen, das KI-Systeme entwickelt, anbietet oder beruflich einsetzt. Wie viel zu tun ist, hängt von der Rolle und vom Einsatzzweck ab. Die meisten Mittelständler sind Betreiber: Sie fördern die KI-Kompetenz, schließen Verbote aus und prüfen die Kennzeichnung. Den Überblick für Ihr Unternehmen gibt der Pflichten-Check.

Ja. Wer ein KI-System beruflich unter eigener Verantwortung einsetzt, ist nach der KI-Verordnung Betreiber. Für Betreiber gelten vor allem Artikel 4 zur KI-Kompetenz, die Verbote nach Artikel 5 und Teile der Kennzeichnungspflicht nach Artikel 50. Für eine rein private Nutzung gilt die Verordnung nicht.

Nein. Die Verordnung gilt auch für Anbieter aus Drittstaaten, die KI-Systeme in der EU in Verkehr bringen. Sie gilt ebenso, wenn die Ergebnisse eines KI-Systems in der EU verwendet werden. Entscheidend ist der Einsatz in der EU, nicht der Sitz des Anbieters.

Artikel 5 verbietet seit dem 02.02.2025 unter anderem manipulative Techniken, Social Scoring und Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen. Verboten sind auch das ungezielte Auslesen von Gesichtsbildern und die biometrische Kategorisierung nach sensiblen Merkmalen. Ab dem 02.12.2026 sind zusätzlich KI-Systeme verboten, die nicht einvernehmliche intime Inhalte oder Darstellungen sexuellen Kindesmissbrauchs erzeugen.

Zwei Dinge. Anbieter generativer KI-Systeme, die vor dem 02.08.2026 auf den Markt kamen, müssen ihre Inhalte dann maschinenlesbar markieren. Außerdem gelten neue Verbote für KI, die nicht einvernehmliche intime Inhalte oder Missbrauchsdarstellungen erzeugt. Für Unternehmen, die KI nur einsetzen, beginnt an diesem Tag keine neue Kennzeichnungspflicht.

Die Verordnung (EU) 2026/1744 ändert die KI-Verordnung. Sie wurde am 24.07.2026 im Amtsblatt veröffentlicht und trat am 27.07.2026 in Kraft. Sie verschiebt unter anderem die Hochrisikopflichten und schwächt Artikel 4 ab.

Ein KI-System, dessen Einsatz erhebliche Risiken für Gesundheit, Sicherheit oder Grundrechte birgt. Die KI-Verordnung nennt zwei Gruppen: Einsatzbereiche nach Anhang III, etwa Personal oder Bonität, und Sicherheitsbauteile regulierter Produkte nach Anhang I. Entscheidend ist der Einsatzzweck, nicht die Technik.

Im Mittelstand vor allem KI-Systeme, die Bewerbungen filtern, Leistung bewerten oder über Beförderungen mitentscheiden. Dazu kommen Bonitätsbewertungen natürlicher Personen, Risikobewertungen bei Lebens- und Krankenversicherungen und die Bewertung von Prüfungsleistungen. Die Tabelle oben zeigt alle Bereiche, die für Unternehmen einschlägig sind.

Für Systeme nach Anhang III ab dem 02.12.2027, für Hochrisiko-KI in Produkten nach Anhang I ab dem 02.08.2028. Beide Termine wurden durch die Verordnung (EU) 2026/1744 verschoben. Alle Termine zeigt der Fristenüberblick.

In der Regel erst, wenn das System danach in seinem Design wesentlich geändert wird. So beschreibt es die Bundesnetzagentur für Hochrisiko-Systeme, die vor dem 02.12.2027 angeboten oder eingesetzt wurden. Für Systeme, die Behörden nutzen, gelten eigene Fristen.

Anbieter brauchen unter anderem ein Risikomanagement, geeignete Daten, eine technische Dokumentation, Protokollierung und eine Konformitätsbewertung. Betreiber nutzen das System nach Anleitung, sichern die menschliche Aufsicht durch geschulte Personen und überwachen den Betrieb. Sie bewahren Protokolle auf und informieren Beschäftigte vor dem Einsatz am Arbeitsplatz. Grundlage ist ein vollständiges KI-Verzeichnis.

Nein, nicht als solches. Ob ein System als hochriskant gilt, hängt vom Einsatzzweck ab. Wer ein allgemeines KI-Werkzeug gezielt für einen Zweck aus Anhang III einsetzt, etwa zur Auswahl von Bewerbungen, sollte das prüfen. Unter Umständen wird das Unternehmen dann selbst zum Anbieter mit allen Pflichten.

Systeme, die zur Einstellung oder Auswahl von Bewerbenden eingesetzt werden, etwa zum Filtern von Bewerbungen, sind in Anhang III ausdrücklich genannt. Ob im Einzelfall eine Ausnahme greift, ist zu prüfen und zu dokumentieren.

KI-Kompetenz sind die Fähigkeiten, Kenntnisse und das Verständnis, um KI-Systeme sachkundig einzusetzen. Dazu gehört, Chancen, Risiken und mögliche Schäden zu kennen. So definiert es Artikel 3 Nummer 56 der KI-Verordnung.

Artikel 4 verpflichtet Anbieter und Betreiber, Maßnahmen zur Unterstützung der KI-Kompetenz ihres Personals zu ergreifen. Eine bestimmte Form wie eine Schulung ist nicht vorgeschrieben, sie ist aber der übliche Weg. Ein bestimmtes Kompetenzniveau muss nach der neuen Fassung nicht garantiert werden.

Artikel 4 richtet sich an Anbieter und Betreiber von KI-Systemen. Sie müssen Maßnahmen ergreifen, um die KI-Kompetenz ihres Personals zu unterstützen. Gemeint sind alle, die im Unternehmen mit KI arbeiten, auch Führungskräfte. Externe Kräfte, die in Ihrem Auftrag KI nutzen, sollten Sie einbeziehen.

Ja. Wer ChatGPT, Copilot oder ein anderes KI-Werkzeug beruflich einsetzt, macht das Unternehmen zum Betreiber. Damit gilt Artikel 4 auch für diese Nutzung.

Eine ausdrückliche Nachweispflicht enthält die KI-Verordnung nicht. Wer bei einer Prüfung, gegenüber Kunden oder Versicherern zeigen will, dass er Maßnahmen ergriffen hat, braucht aber eine Dokumentation. Bewährt hat sich ein Eintrag je Person und System, wie in der Vorlage auf dieser Seite.

Nach der Fassung durch die Verordnung (EU) 2026/1744 ist Artikel 4 in den Sanktionsvorschriften nach Artikel 99 nicht aufgeführt. Die Pflicht, Maßnahmen zur KI-Kompetenz zu ergreifen, besteht weiter. Ein dokumentierter Nachweis ist deshalb sinnvoll.

Die KI-Verordnung nennt keinen Zeitraum. Sinnvoll ist eine Auffrischung, wenn sich ein System oder eine Rolle ändert, spätestens aber nach zwölf Monaten. So bleibt der Nachweis aktuell.

Nein. Die KI-Verordnung schreibt kein Zertifikat vor. Entscheidend ist eine nachvollziehbare Dokumentation der ergriffenen Maßnahmen.

Ein KI-Verzeichnis ist die zentrale Übersicht über alle KI-Systeme im Unternehmen. Je System hält es Zweck, Rolle, Risikoklasse, Daten, Kennzeichnung und Verantwortliche fest. Es ist die Grundlage, um die Pflichten der KI-Verordnung zu prüfen.

Unter diesem Namen nicht. Ohne eine solche Übersicht lassen sich aber weder die Kennzeichnungspflicht noch die Einstufung als Hochrisiko-KI-System belastbar prüfen. Für Hochrisiko-Systeme verlangt die Verordnung ohnehin Dokumentation und Protokolle.

Zuerst alle KI-Systeme erfassen, auch eingebettete Funktionen in bestehender Software. Dann je System die neun Felder ausfüllen und eine Risikoklasse zuordnen. Zuletzt eine verantwortliche Person benennen und das Verzeichnis bei jeder Änderung fortschreiben.

Ja, die Grafik oben zeigt einen Auszug mit vier Systemen, vom Chatbot bis zur Bewerbervorauswahl. Die Tabelle darunter nennt alle neun Felder. Sie eignet sich als Vorlage für eine eigene Tabelle.

Die Datenschutz-Folgenabschätzung nach Artikel 35 DSGVO gilt bereits und betrifft riskante Verarbeitungen personenbezogener Daten. Die Grundrechte-Folgenabschätzung nach Artikel 27 KI-Verordnung trifft bestimmte Betreiber von Hochrisiko-Systemen, etwa bei Bonitäts- und Versicherungsbewertung. Sie gilt ab dem 02.12.2027 und ergänzt die Datenschutz-Folgenabschätzung.