Das KI-Gesetz der EU, offiziell die Verordnung (EU) 2024/1689 über künstliche Intelligenz, auf Englisch AI Act, ist am 1. August 2024 in Kraft getreten und gilt seit dem 2. August 2026 im Grundsatz vollständig. Es ordnet KI nach Risiko: Einige Praktiken sind verboten, Hochrisiko-Systeme bekommen strenge Pflichten, für Chatbots und Deepfakes gelten Transparenzpflichten, der Rest bleibt weitgehend frei. Die Änderungsverordnung (EU) 2026/1744 hat die Hochrisiko-Pflichten verschoben, auf den 2. Dezember 2027 für die Einsatzbereiche aus Anhang III und auf den 2. August 2028 für Produkte nach Anhang I. Wer KI im Betrieb nur nutzt, ist Betreiber und hat heute vor allem zwei Pflichten: KI-Kompetenz der eigenen Leute und Transparenz bei Deepfakes.
Ich bin Entwickler und kein Anwalt, das hier ist keine Rechtsberatung, sondern die Betreiber-Perspektive. Meine vierzehn KI-Mitarbeiter laufen auf Claude Team, manche auch auf offenen Modellen oder über die API. Grundlage ist der Verordnungstext in der konsolidierten Fassung vom 27. Juli 2026, also einschließlich der Änderungen durch die Verordnung (EU) 2026/1744, Stand 31.10.2026, dazu das deutsche Durchführungsgesetz KI-MIG. Weitere Beiträge zu KI im Betrieb sammle ich auf der Seite KI-Grundlagen.
Was das KI-Gesetz der EU regelt
Die Verordnung soll laut Art. 1 Abs. 1 den Binnenmarkt verbessern und „eine auf den Menschen ausgerichtete und vertrauenswürdige künstliche Intelligenz“ fördern, bei hohem Schutz von Gesundheit, Sicherheit und Grundrechten. Als Verordnung gilt sie unmittelbar in jedem Mitgliedstaat. Erfasst sind nach Art. 2 Abs. 1 vor allem Anbieter, die KI in der EU auf den Markt bringen, und Betreiber in der EU, außerdem Anbieter und Betreiber außerhalb der EU, wenn die Ausgabe ihres KI-Systems in der EU verwendet wird. Rein private Nutzung ist nach Art. 2 Abs. 10 ausgenommen.
Die vier Risikoklassen
Die EU-Kommission fasst die Verordnung in vier Risikostufen zusammen:
Zwei Punkte gehen dabei leicht unter. Die Pflicht zur KI-Kompetenz aus Art. 4 gilt für alle KI-Systeme, auch mit minimalem Risiko. Und nicht jedes System aus Anhang III ist automatisch hochriskant: Nach Art. 6 Abs. 3 fällt es heraus, wenn es kein erhebliches Risiko birgt, etwa weil es nur eine eng gefasste Verfahrensaufgabe erledigt. Mit Profiling natürlicher Personen gilt es aber immer als hochriskant. Eine eigene Spur haben KI-Modelle mit allgemeinem Verwendungszweck, dazu unten mehr.
Die Rollen: Anbieter, Betreiber und andere
Die Pflichten hängen an der Rolle, nicht an der Firmengröße:
- Anbieter (Art. 3 Nr. 3) entwickeln ein KI-System oder Modell oder lassen es entwickeln und bringen es unter eigenem Namen auf den Markt, etwa OpenAI oder Anthropic.
- Betreiber (Art. 3 Nr. 4) verwenden ein KI-System in eigener Verantwortung, außer rein privat. Wenn dein Betrieb ChatGPT, Claude oder einen Bildgenerator nutzt, bist du Betreiber.
- Bevollmächtigte, Einführer und Händler (Art. 3 Nr. 5 bis 7) stehen in der Lieferkette.
Rollen können wechseln. Nach Art. 25 Abs. 1 gilt ein Betreiber selbst als Anbieter eines Hochrisiko-Systems, wenn er es mit seinem Namen versieht, es wesentlich verändert oder den Zweck eines Systems so ändert, dass es hochriskant wird. Wer etwa einen Chat-Assistenten künftig Bewerbungen vorsortieren lässt, sollte das fachlich prüfen lassen.
Fristen: was ab wann gilt
Die Daten stehen in Art. 113 und für Altsysteme in Art. 111, jeweils in der Fassung der Verordnung (EU) 2026/1744:
Was die Änderung von 2026 verschoben hat
Die Verordnung (EU) 2026/1744, die sogenannte Digital-Omnibus-Verordnung zur KI, erschien am 24. Juli 2026 im Amtsblatt. Für die Fristen zählen diese Änderungen:
- Hochrisiko nach Anhang III: vorher 2. August 2026, jetzt 2. Dezember 2027. Begründung in Erwägungsgrund 40: verzögerte Normen und verspätet eingerichtete Behörden.
- Hochrisiko nach Anhang I: vorher 2. August 2027, jetzt 2. August 2028.
- Neue Verbote in Art. 5 Abs. 1 Buchst. ba und bb ab 2. Dezember 2026.
- KI-Reallabore der Mitgliedstaaten: vorher bis 2. August 2026, jetzt bis 2. August 2027 (Art. 57 Abs. 1).
Nicht verschoben sind die Verbote von 2025, die Modellpflichten und die Transparenzpflichten aus Art. 50. Art. 4 wurde weicher gefasst, gilt aber weiter. Ein Überblick, der den 2. August 2026 als Start aller Hochrisiko-Pflichten nennt, zeigt den Stand vor Juli 2026.
Was für Betreiber gilt
- KI-Kompetenz (Art. 4), seit 2. Februar 2025: Maßnahmen, um die KI-Kompetenz deiner Leute und deiner Auftragnehmer zu unterstützen. Ein bestimmtes Niveau musst du nicht garantieren. Details in KI-Kompetenz nach AI Act: Mitarbeiter schulen.
- Keine verbotenen Praktiken (Art. 5), seit 2. Februar 2025: Für Betriebe am ehesten relevant ist das Verbot, Emotionen am Arbeitsplatz per KI abzuleiten, außer aus medizinischen oder Sicherheitsgründen.
- Transparenz (Art. 50 Abs. 3 und 4), seit 2. August 2026: Deepfakes offenlegen, ebenso KI-Texte zu Themen von öffentlichem Interesse ohne redaktionelle Prüfung. Beispiele in KI-Kennzeichnungspflicht: was ab wann gilt.
- Hochrisiko (Art. 26), ab 2. Dezember 2027: nach Betriebsanleitung verwenden, die menschliche Aufsicht Personen mit „der erforderlichen Kompetenz, Ausbildung und Befugnis“ übertragen, den Betrieb überwachen, Protokolle mindestens sechs Monate aufbewahren. Arbeitgeber informieren vorher Arbeitnehmervertreter und Beschäftigte (Abs. 7); mehr in KI und Betriebsrat: wann Mitbestimmung greift.
Eine Grundrechte-Folgenabschätzung nach Art. 27 betrifft nur öffentliche Stellen, private Erbringer öffentlicher Dienste sowie Kreditwürdigkeitsprüfung und Preisbildung bei Lebens- und Krankenversicherungen. Einen KI-Beauftragten verlangt das Gesetz nicht, siehe Brauche ich einen KI-Beauftragten?.
KI-Modelle mit allgemeinem Verwendungszweck
Gemeint sind Modelle, die ein breites Spektrum von Aufgaben erledigen und in viele Anwendungen eingebaut werden können (Art. 3 Nr. 63), also die Sprachmodelle hinter ChatGPT, Claude oder Gemini. Ihre Anbieter müssen seit 2. August 2025 nach Art. 53 unter anderem technisch dokumentieren, nachgelagerte Anbieter informieren, eine Urheberrechts-Strategie haben und eine Zusammenfassung der Trainingsinhalte veröffentlichen. Bei systemischem Risiko, vermutet ab mehr als 10²⁵ Rechenoperationen im Training (Art. 51 Abs. 2), kommen nach Art. 55 Modellbewertungen, Risikominderung, Vorfallmeldungen und Cybersicherheit hinzu. Zuständig ist das KI-Büro der Kommission. Als Nutzer betreffen dich diese Pflichten nicht direkt. Was ein Modell ist, erkläre ich in Was ist ein KI-Modell? Einfach erklärt. Welche Anbieter in Deutschland oder der EU sitzen, steht in Deutsche und europäische KI-Anbieter.
Bußgelder und Sanktionen
Art. 99 nennt Höchstbeträge, jeweils der höhere Wert aus festem Betrag und Anteil am weltweiten Vorjahresumsatz:
Für kleine und mittlere Unternehmen gilt nach Art. 99 Abs. 6 jeweils der niedrigere Betrag, seit 2026 nach Abs. 6a für die Bußgelder aus Abs. 4 und 5 auch für kleine Midcap-Unternehmen. Das sind Obergrenzen. Nach Art. 99 Abs. 1 sehen die Mitgliedstaaten Sanktionen für jeglichen Verstoß vor; dazu können neben Geldbußen auch Verwarnungen und nichtmonetäre Maßnahmen gehören. Deutschland ergänzt in § 15 KI-MIG eigene Ordnungswidrigkeiten, etwa zur Grundrechte-Folgenabschätzung, mit Geldbußen bis 50.000 Euro. Berücksichtigt sind Art. 99 und 101 KI-VO und §§ 15 bis 17 KI-MIG, keine anderen Gesetze.
Welche Behörden in Deutschland zuständig sind
Das KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG) vom 22. Juli 2026 gilt seit dem 29. Juli 2026:
- Bundesnetzagentur: im Regelfall Marktüberwachungsbehörde (§ 2 Abs. 1), zentrale Anlaufstelle (§ 6 Abs. 1) und Beschwerdestelle (§ 8 Abs. 1).
- Bestehende Produktaufsicht: für KI in Produkten nach Anhang I Abschnitt A (§ 2 Abs. 2).
- BaFin: für KI in regulierten Finanztätigkeiten der von ihr beaufsichtigten Unternehmen (§ 2 Abs. 3).
- Länder: für ihre öffentlichen Stellen und für Mediendienste (§ 2 Abs. 6 und 8).
Zur ersten Orientierung bietet die Bundesnetzagentur einen „KI-Compliance Kompass“ an.
Häufige Fragen
Seit wann gilt das KI-Gesetz der EU?
In Kraft seit 1. August 2024, im Grundsatz anwendbar seit 2. August 2026. Verbote und KI-Kompetenz gelten seit 2. Februar 2025, die Modellpflichten seit 2. August 2025, die Hochrisiko-Pflichten ab 2. Dezember 2027 bzw. 2. August 2028.
Wurde die KI-Verordnung verschoben?
Teilweise. Die Verordnung (EU) 2026/1744 hat die Hochrisiko-Pflichten verschoben und für Systeme, die vor dem 2. August 2026 auf dem Markt waren, eine Frist bis 2. Dezember 2026 für die maschinenlesbare Kennzeichnung eingeführt. Die Termine für die Verbote von 2025, die KI-Kompetenz, die Modellpflichten und Art. 50 sind geblieben.
Gilt das Gesetz, wenn mein Team nur ChatGPT oder Claude nutzt?
Ja. Wer KI beruflich verwendet, ist Betreiber nach Art. 3 Nr. 4. Dann gelten vor allem Art. 4 und Art. 50. Ein Textassistent für Mails und Angebote ist kein Hochrisiko-System.
Gibt es ein deutsches KI-Gesetz?
Die EU-Verordnung gilt in Deutschland unmittelbar. Das KI-MIG regelt ergänzend die Zuständigkeiten, vor allem der Bundesnetzagentur, und einige nationale Bußgelder.
Was ist der Unterschied zwischen KI-Verordnung, KI-Gesetz und AI Act?
Keiner. Gemeint ist immer die Verordnung (EU) 2024/1689; „Verordnung über künstliche Intelligenz“ ist der amtliche Titel.
Wie du weitermachst
Kläre zuerst deine Rolle: Nutzt du KI nur, oder bringst du ein KI-System unter eigenem Namen heraus? Als Betreiber fängst du mit der KI-Kompetenz an und schreibst die Regeln als Hausregel auf, wie in KI-Richtlinie für dein Team: was rein muss. Planst du KI bei Personalentscheidungen, Krediten oder Prüfungen, ist jetzt der Zeitpunkt für eine fachliche Prüfung, nicht Ende 2027.
Wie andere Betriebe mit den Regeln umgehen, besprechen wir in meiner deutschsprachigen Community Claude Practitioners. Eine rechtliche Prüfung ersetzt die Mitgliedschaft nicht.
