Die KI-Verordnung gilt in Deutschland unmittelbar — ihre Pflichten und Fristen brauchen kein deutsches Gesetz; das ausstehende Durchführungsgesetz regelt nur den Vollzugsapparat aus zuständigen Behörden und Sanktionsverfahren. Als EU-Verordnung muss sie nicht in nationales Recht umgesetzt werden. Trotzdem ist sie in Deutschland nicht vollständig vollziehbar — und das hat einen einfachen, oft missverstandenen Grund.
Warum es trotzdem ein Gesetz braucht
Der Unterschied zwischen Geltung und Vollzug
Die Verordnung legt die inhaltlichen Anforderungen fest — was verboten ist, wer welche Pflichten hat, welche Fristen gelten. Sie überlässt den Mitgliedstaaten aber den Vollzugsapparat. Ohne diesen fehlt nicht die Pflicht, sondern die Behörde, die sie durchsetzt.
Was national geregelt werden muss
Drei Punkte sind offen und müssen durch ein Durchführungsgesetz geregelt werden:
- Zuständige Behörden benennen — Marktüberwachung und notifizierende Behörde
- Sanktionsverfahren ausgestalten — wer verhängt in welchem Verfahren Bußgelder
- Verfahrensrechtliche Details — Befugnisse, Rechtsschutz, Zusammenarbeit der Stellen
Warum das die Pflichten nicht aufschiebt
Entscheidend ist die Reihenfolge: Die Verordnung schafft die Pflicht, das nationale Gesetz nur den Apparat, der sie durchsetzt. Ein fehlender Durchsetzungsapparat verschiebt keinen einzigen Stichtag. Wer daraus einen Aufschub liest, verwechselt zwei verschiedene Dinge.
Der aktuelle Stand
Verzögerung und absehbare Struktur
Das Durchführungsgesetz hat sich verzögert. Absehbar ist eine zentrale Rolle der Bundesnetzagentur, ergänzt um bestehende Fachaufsichten für regulierte Bereiche wie Medizinprodukte und Finanzdienstleistungen. Die Bundesnetzagentur hat bereits vorbereitende Strukturen aufgebaut und informiert öffentlich zum Thema.
Die Fristen laufen unabhängig davon
Wichtig ist die Trennung: Die materiellen Fristen der Verordnung gelten, egal wie weit das nationale Gesetz ist.
| Datum | Was in Kraft tritt |
|---|---|
| 02.02.2025 | Verbotene Praktiken, KI-Kompetenzpflicht (Art. 4) |
| 02.08.2025 | GPAI-Pflichten, Governance, Sanktionsrahmen |
| 02.08.2026 | Hochrisiko (Anhang III), Transparenz (Art. 50) |
| 02.08.2027 | Hochrisiko (Anhang I) |
Was schon scharf ist und was noch kommt
Drei der vier Stufen sind bereits in Kraft: das Verbot bestimmter Praktiken und die Kompetenzpflicht seit Februar 2025, die GPAI-Pflichten und der Sanktionsrahmen seit August 2025 — und seit dem 2. August 2026 die Transparenzpflichten nach Artikel 50 samt der Hochrisiko-Pflichten nach Anhang III. Offen ist nur noch die letzte Stufe: Hochrisiko-Systeme nach Anhang I folgen zum 2. August 2027.
Was das für Unternehmen bedeutet
An den eigenen Pflichten ändert sich nichts
Artikel 4 gilt seit Februar 2025, unabhängig davon, ob eine Behörde benannt ist. Wer daraus schließt, man könne abwarten, verwechselt Vollzug mit Geltung. Die Pflicht besteht, auch wenn heute noch niemand systematisch prüft. Details zur Kompetenzpflicht unter KI-Schulungspflicht.
Unsicherheit bleibt bei Zuständigkeiten
Wer eine verbindliche Auskunft zu einem Grenzfall braucht, hat derzeit keinen eindeutigen Ansprechpartner. In der Praxis behelfen sich Unternehmen mit den Auslegungshinweisen der EU-Kommission und der Fachliteratur — eine abschließend verbindliche Auskunft ist so aber nicht zu bekommen.
Die Vorbereitung ändert sich nicht
Übersicht der eingesetzten Systeme, interne Richtlinie, Schulungsnachweis — diese drei Bausteine gelten unabhängig davon, welche Behörde am Ende prüft. Sie sind zugleich die Grundlage für einen DSGVO-konformen Einsatz, sodass sich der Aufwand doppelt lohnt.
Was jetzt zu tun ist
Unabhängig vom Stand des Durchführungsgesetzes lässt sich die Vorbereitung in vier Schritten strukturieren:
- Systeme erfassen — welche KI-Anwendungen werden im Unternehmen genutzt, offiziell wie inoffiziell?
- Rollen klären — Betreiber oder in Einzelfällen Anbieter? Die Einordnung erklärt der Beitrag EU AI Act.
- Richtlinie und Schulung — interne Regeln aufsetzen und die Kompetenzpflicht nach Artikel 4 dokumentiert erfüllen.
- Dokumentation ablegen — damit die „nach besten Kräften”-Anforderung im Ernstfall belegbar ist.
Warum sich der frühe Start rechnet
Die drei Bausteine sind ohnehin nötig, unabhängig davon, wann die Behörde ihre Arbeit aufnimmt. Wer sie jetzt anlegt, verteilt den Aufwand über Monate statt ihn unter Zeitdruck nachzuholen, wenn die erste Prüfung ansteht — und hat den DSGVO-Nutzen sofort. Der Aufwand für diese Vorbereitung ist überschaubar und beginnt meist mit einer Potenzialanalyse im niedrigen vierstelligen Bereich. Wer den Einstieg begleiten lassen möchte, klärt das Vorgehen in einem Erstgespräch.
Quellen: Verordnung (EU) 2024/1689 (EUR-Lex) · EU-Kommission: Rechtsrahmen für KI