Der EU AI Act (Verordnung (EU) 2024/1689) reguliert KI-Systeme nach ihrem Risiko in vier Klassen und gilt unmittelbar in allen EU-Mitgliedstaaten — ohne Ausnahme nach Unternehmensgröße. Diese Zusammenfassung richtet sich an Unternehmen, die KI einsetzen — nicht an solche, die sie entwickeln. Entsprechend stehen die Betreiberpflichten im Vordergrund und die Anbieterpflichten sind stark gekürzt.
Worum es geht
Die Verordnung (EU) 2024/1689 — deutsch KI-Verordnung, englisch AI Act — reguliert KI-Systeme nach ihrem Risiko. Sie gilt unmittelbar in allen Mitgliedstaaten und muss nicht in nationales Recht umgesetzt werden.
Unmittelbar geltendes EU-Recht
Anders als eine Richtlinie braucht eine Verordnung kein deutsches Umsetzungsgesetz. Die Regeln gelten direkt — für Unternehmen bedeutet das: Es gibt keine Schonfrist durch nationale Gesetzgebung, sondern nur die gestuften Anwendungstermine der Verordnung selbst.
Anbieter und Betreiber
Die Verordnung unterscheidet Rollen. Der Anbieter (englisch „provider“) entwickelt ein KI-System oder bringt es unter eigenem Namen in Verkehr. Der Betreiber (englisch „deployer“) setzt ein System im eigenen Verantwortungsbereich ein. Der Mittelstand ist fast immer Betreiber — er nutzt zugekaufte Werkzeuge, entwickelt aber selbst keine Modelle. Das reduziert die Pflichten erheblich.
Wann aus einem Betreiber ein Anbieter wird
Wichtig ist die Ausnahme: Wer ein zugekauftes System wesentlich verändert, unter eigenem Namen weitervertreibt oder für einen anderen als den vorgesehenen Zweck einsetzt, kann selbst zum Anbieter werden — mit den strengeren Pflichten. Für den normalen Einsatz von Standardwerkzeugen ist das aber die Ausnahme.
Die Systematik in einem Satz
Je höher das Risiko einer Anwendung für Gesundheit, Sicherheit und Grundrechte, desto strenger die Pflichten — von völligem Verbot bis zu praktisch keinen Anforderungen.
Vier Risikoklassen
Die Verordnung kennt vier Stufen. Für die Einordnung einer konkreten Anwendung genügt meist die Frage: Wozu wird das System genau eingesetzt, und wen betrifft die Entscheidung?
| Risikoklasse | Beispiele | Pflicht für Betreiber |
|---|---|---|
| Verboten | Social Scoring, Emotionserkennung am Arbeitsplatz | Nicht einsetzen |
| Hochrisiko | Personalauswahl, Kreditwürdigkeit | Aufsicht, Protokolle, Info |
| Begrenzt | Chatbots, generierte Inhalte, Deepfakes | Kennzeichnung (Art. 50) |
| Minimal | Textassistenz, Recherche, interne Tools | Nur KI-Kompetenz |
Die vier Risikoklassen im Detail
Die folgende Aufschlüsselung nennt die Anwendungen, die in der Praxis am häufigsten diskutiert werden.
Verboten und Hochrisiko
Verboten sind unter anderem: Social Scoring durch Behörden, Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen, biometrische Kategorisierung nach sensiblen Merkmalen, manipulative Systeme und weitgehend die Echtzeit-Fernidentifizierung im öffentlichen Raum. Als Hochrisiko gelten Personalauswahl und Beförderung, Kreditwürdigkeitsprüfung, Zugang zu Bildung, kritische Infrastruktur, Strafverfolgung, Teile der Verwaltung — sowie KI als Sicherheitskomponente regulierter Produkte.
Begrenztes und minimales Risiko
Begrenztes Risiko betrifft Chatbots, generierte Inhalte und Deepfakes; hier greifen die Transparenzpflichten nach Artikel 50. Minimales Risiko deckt den überwiegenden Teil betrieblicher Anwendungen ab — Textassistenz, Recherche, Zusammenfassungen, interne Werkzeuge. Für diese Klasse gibt es außer der KI-Kompetenzpflicht keine besonderen Anforderungen.
Was ein Betreiber tun muss
Für Betreiber lässt sich die gesamte Verordnung auf vier Stellen verdichten.
Die vier relevanten Pflichten
- KI-Kompetenz sicherstellen (Art. 4) — gilt seit dem 2. Februar 2025 für alle, siehe KI-Schulungspflicht.
- Verbotene Praktiken vermeiden (Art. 5) — gilt seit dem 2. Februar 2025.
- Transparenz herstellen (Art. 50) — seit dem 2. August 2026, wo Kunden mit KI interagieren oder KI-Inhalte sehen.
- Bei Hochrisiko-Anwendungen zusätzlich: menschliche Aufsicht sicherstellen, Protokolle aufbewahren, Anbieterangaben befolgen, betroffene Beschäftigte informieren.
Wo Hochrisiko im Mittelstand auftritt
Punkt 4 betrifft im Mittelstand fast ausschließlich den Personalbereich — konkret Software, die Bewerbungen vorsortiert, Beförderungen empfiehlt oder Leistung bewertet. Wer solche Systeme einsetzt, sollte die zusätzlichen Betreiberpflichten früh prüfen. Alle anderen betrieblichen Anwendungen fallen meist in die minimale Klasse. Zur Kostenseite dieser Umsetzung siehe was KI kostet.
Die Fristen
Die Verordnung wird in Stufen wirksam. Diese Termine sind für die Planung verbindlich.
Zeitplan bis 2027
| Datum | Was gilt |
|---|---|
| 02.02.2025 | Verbotene Praktiken (Art. 5) + KI-Kompetenzpflicht (Art. 4) |
| 02.08.2025 | GPAI-Pflichten, Governance, Sanktionsregime |
| 02.08.2026 | Hauptteil: Hochrisiko Anhang III + Transparenz (Art. 50) |
| 02.08.2027 | Hochrisiko Anhang I (Sicherheitskomponenten) |
Die Sanktionen
Die Bußgelder sind gestaffelt: bis 35 Mio. € oder 7 % des weltweiten Jahresumsatzes bei verbotenen Praktiken, bis 15 Mio. € oder 3 % bei sonstigen Verstößen, bis 7,5 Mio. € oder 1 % bei falschen Angaben gegenüber Behörden. Maßgeblich ist jeweils der höhere Betrag. Für den Mittelstand ist das Organisationsverschulden im Schadensfall oft relevanter als das Bußgeld selbst — auch dann, wenn keine Aufsichtsbehörde ein Verfahren einleitet.
Was die Verordnung nicht verlangt
In der Beratungspraxis werden regelmäßig Pflichten behauptet, die es nicht gibt. Diese Klarstellung spart Aufwand und Geld.
Keine erfundenen Pflichten
Die Verordnung verlangt keinen KI-Beauftragten, keine Zertifizierung für normale Anwendungen, keine Meldung eingesetzter Werkzeuge bei einer Behörde und keine bestimmte Schulungsdauer. Wer solche Anforderungen als zwingend präsentiert bekommt, sollte nachfragen, auf welche Norm sich das stützt. Häufig verwechseln Anbieter freiwillige Empfehlungen mit gesetzlichen Pflichten.
Wo der Blick ins Original lohnt
Für Betreiber genügen vier Stellen: Artikel 4, Artikel 5, Artikel 50 und — falls einschlägig — Anhang III. Den amtlichen Text gibt es im Amtsblatt der EU und über EUR-Lex in allen Amtssprachen. Alles Weitere lässt sich in einem Erstgespräch auf den konkreten Einsatzfall herunterbrechen.
Quellen: Verordnung (EU) 2024/1689 (EUR-Lex) · EU-Kommission: Rechtsrahmen für KI