Aufbau der Verordnung
Die Verordnung (EU) 2024/1689 gliedert sich in 13 Kapitel und 180 Erwägungsgründe. Für Unternehmen, die KI einsetzen, sind vier Stellen relevant: Artikel 4 (KI-Kompetenz), Artikel 5 (verbotene Praktiken), Kapitel III (Hochrisiko-Systeme) und Artikel 50 (Transparenzpflichten).
Der Rest betrifft Anbieter, Zertifizierungsstellen, Marktüberwachung und allgemeine KI-Modelle. Wer eine Zusammenfassung liest, die alle 113 Artikel gleich gewichtet, verliert Zeit. Die inhaltliche Tiefe zu den einzelnen Pflichten steht auf der Schwesterseite EU AI Act.
Selbst-Check: Anbieter oder Betreiber?
Die Verordnung knüpft fast alle Pflichten an die Rolle. Sie unterscheidet den Anbieter (entwickelt und bringt ein KI-System in Verkehr) vom Betreiber (setzt es beruflich ein). Die meisten Mittelständler sind Betreiber.
- Betreiber, wenn Sie ein fertiges KI-System wie ChatGPT, Copilot oder eine KI-Funktion im CRM im Arbeitsalltag nutzen.
- Anbieter, wenn Sie ein KI-System entwickeln oder entwickeln lassen und unter eigenem Namen bereitstellen.
- Anbieter durch Umwidmung, wenn Sie ein System wesentlich verändern oder zweckfremd einsetzen.
- Anbieter durch Namensnennung, wenn Sie ein System unter eigener Marke weitergeben.
- Faustregel: nutzen = Betreiber, bauen oder umbauen = Anbieter. Die Betreiberpflichten sind deutlich kürzer.
Fristen im Überblick
Die Staffelung ist der Grund, warum das Thema immer wieder aufflammt — es gibt nicht einen Stichtag, sondern mehrere. Die ersten beiden Stufen sind längst scharf.
| Datum | Was gilt | Betrifft |
|---|---|---|
| 01.08.2024 | Verordnung in Kraft | — |
| 02.02.2025 | Verbotene Praktiken; Pflicht zur KI-Kompetenz (Art. 4) | Alle Unternehmen |
| 02.08.2025 | Pflichten für allgemeine KI-Modelle (GPAI), Governance-Struktur, Sanktionsregime | GPAI-Anbieter, Behörden |
| 02.08.2026 | Hochrisiko-Systeme nach Anhang III und Transparenzpflichten (Art. 50) | Betreiber und Anbieter betroffener Systeme |
| 02.08.2027 | Hochrisiko-Systeme als Sicherheitskomponenten regulierter Produkte (Anhang I) | Hersteller regulierter Produkte |
Risikoklassen und Betreiberpflichten
Die Verordnung staffelt die Anforderungen nach Risiko. Entscheidend für den Mittelstand ist die dritte Spalte: was der Betreiber selbst schuldet.
| Klasse | Beispiele | Konkrete Pflichten Betreiber |
|---|---|---|
| Verboten | Social Scoring, Emotionserkennung am Arbeitsplatz, biometrische Kategorisierung nach sensiblen Merkmalen | Einsatz untersagt, auch für Betreiber, seit 02.02.2025 |
| Hoch | Bewerberauswahl, Kreditwürdigkeit, kritische Infrastruktur, Bildungszugang | Menschliche Aufsicht, bestimmungsgemäßer Betrieb, Prüfung der Eingabedaten, Protokollierung (Logs), Information Betroffener, Einhaltung der Anbietervorgaben |
| Begrenzt (Transparenz) | Chatbots, KI-generierte Inhalte, Deepfakes | Hinweis auf KI-Interaktion, Kennzeichnung von KI-Inhalten (Art. 50) |
| Minimal | Textassistenz, Übersetzung, Rechtschreibprüfung | Keine besonderen Pflichten außer KI-Kompetenz (Art. 4) |
Umsetzung in Deutschland
Eine EU-Verordnung gilt unmittelbar, muss also nicht in nationales Recht übertragen werden. Zu regeln bleiben aber Zuständigkeiten, Marktüberwachung und Sanktionsverfahren — dafür braucht es ein Durchführungsgesetz.
Dieser Prozess hat sich verzögert. Für Unternehmen ändert das nichts an den Pflichten selbst; unklar bleibt vorerst nur, welche Behörde im Einzelfall zuständig ist. Wer auf ein deutsches Gesetz wartet, um mit der Umsetzung zu beginnen, missversteht die Rechtslage: Die Pflichten aus der Verordnung gelten bereits.
Bußgelder und Sanktionen
Die Sanktionen sind nach Schwere gestaffelt. Es gilt jeweils der höhere der beiden Werte; für kleine und mittlere Unternehmen sowie Start-ups der jeweils niedrigere.
| Verstoß | Bußgeld-Obergrenze | Anteil weltweiter Jahresumsatz |
|---|---|---|
| Verbotene KI-Praktiken (Art. 5) | bis 35 Mio. € | bis 7 % |
| Verstoß gegen sonstige Pflichten (Hochrisiko, Transparenz, Betreiberpflichten) | bis 15 Mio. € | bis 3 % |
| Falsche oder irreführende Angaben gegenüber Behörden | bis 7,5 Mio. € | bis 1 % |
Verhältnis zu DSGVO, ISO 42001 und anderen Regeln
Die KI-Verordnung tritt nicht an die Stelle bestehender Regeln, sondern kommt hinzu. Wer personenbezogene Daten in KI-Systeme gibt, muss weiterhin die DSGVO einhalten — beide Regime greifen parallel. In der Praxis überschneiden sich die Anforderungen an Dokumentation und Risikobewertung, sodass sich ein gemeinsames Vorgehen anbietet. Mehr dazu unter DSGVO-konforme KI.
Die Norm ISO 42001 beschreibt ein Managementsystem für KI und ist freiwillig. Sie ist kein Ersatz für die Verordnung, kann aber helfen, deren Pflichten strukturiert und nachweisbar zu erfüllen. Wer ohnehin ein Qualitäts- oder Datenschutzmanagement betreibt, kann die KI-Governance daran andocken.
Aufwand und Kosten der Umsetzung
Für Betreiber ohne Hochrisiko-Anwendungen ist die Umsetzung in Wochen zu leisten. Die folgenden Werte sind grobe Orientierung und hängen von Größe und Systemlandschaft ab. Die Schritte darunter fassen zusammen, was jeder Betreiber ohnehin angehen sollte.
- Rollen klären: Sind wir Betreiber oder Anbieter?
- KI-Bestandsliste anlegen (System, Zweck, Risikoklasse, Daten).
- KI-Kompetenz nachweisbar sicherstellen — siehe Schulungspflicht.
- Kennzeichnung an Kunden-Touchpoints prüfen (Art. 50).
- Interne KI-Richtlinie verabschieden — siehe KI-Governance.
| Leistung | Aufwand | Kosten (Orientierung) |
|---|---|---|
| Bestandsaufnahme und Potenzialanalyse | 1–2 Wochen | niedriger vierstelliger Bereich |
| KI-Kompetenz / Grundschulung der Belegschaft | 2–4 Std. je Mitarbeiter | über Qualifizierungschancengesetz bis zu 100 % förderfähig |
| Erster begleiteter Anwendungsfall | 4–12 Wochen | 5.000–20.000 € je nach Systemanbindung |
Häufige Fragen
Ist die KI-Verordnung dasselbe wie der AI Act?
Ja. Verordnung (EU) 2024/1689, deutsch KI-Verordnung, englisch AI Act. Auch die Kurzform KI-VO meint dasselbe. Es gibt keinen inhaltlichen Unterschied, nur zwei Sprachfassungen.
Gilt die KI-Verordnung unmittelbar oder braucht es ein deutsches Gesetz?
Sie gilt unmittelbar in allen Mitgliedstaaten, ohne Umsetzung in nationales Recht. Deutschland regelt per Durchführungsgesetz nur Zuständigkeiten, Marktüberwachung und Sanktionsverfahren. Dass dieser Prozess verzögert ist, ändert nichts an den bereits geltenden Pflichten.
Sind wir als Betreiber überhaupt betroffen?
Ja. Wer KI beruflich einsetzt, ist Betreiber und unterliegt zumindest der KI-Kompetenzpflicht nach Art. 4 sowie gegebenenfalls der Kennzeichnungspflicht nach Art. 50. Die aufwendigen Pflichten wie Konformitätsbewertung treffen dagegen vor allem Anbieter von Hochrisiko-Systemen.
Wo finde ich den Text auf Deutsch?
Im Amtsblatt der EU und über EUR-Lex, dort in allen Amtssprachen. Für die Praxis sind die konsolidierten Fassungen mit Erwägungsgründen hilfreicher als der reine Artikeltext.
Was ändert sich seit August 2026?
Der größte Block: Hochrisiko-Systeme nach Anhang III — darunter Personalauswahl, Kreditwürdigkeitsprüfung und Bildungszugang — sowie die Transparenzpflichten nach Artikel 50, also die Kennzeichnung von KI-Interaktionen und KI-generierten Inhalten.
Wie hoch sind die Bußgelder?
Bis zu 35 Mio. € oder 7 % des weltweiten Jahresumsatzes bei verbotenen Praktiken, bis zu 15 Mio. € oder 3 % bei sonstigen Verstößen, bis zu 7,5 Mio. € oder 1 % bei falschen Angaben. Maßgeblich ist der höhere Betrag, für KMU der niedrigere.
Wie hängt die KI-Verordnung mit der DSGVO zusammen?
Beide gelten parallel. Die KI-Verordnung regelt das KI-System, die DSGVO die Verarbeitung personenbezogener Daten darin. Wo KI mit personenbezogenen Daten arbeitet, müssen beide Regime erfüllt sein — die Anforderungen an Dokumentation und Risikobewertung lassen sich sinnvoll zusammenfassen.
Brauchen wir einen KI-Beauftragten?
Die Verordnung schreibt keine solche Rolle vor. In der Praxis ist es trotzdem sinnvoll, Verantwortung zu bündeln — siehe KI-Beauftragter.
Was ändert sich für KMU?
Es gibt keine generelle Größenausnahme, aber Erleichterungen: vereinfachte Dokumentation an mehreren Stellen und bei Bußgeldern der jeweils niedrigere der beiden Höchstbeträge. Die Grundpflichten — KI-Kompetenz und, wo einschlägig, Kennzeichnung — gelten auch für kleine Betriebe.