Die Verordnung (EU) 2024/1689 — kurz KI-Verordnung oder AI Act — ist am 1. August 2024 in Kraft getreten. Sie gilt unmittelbar in jedem Mitgliedstaat; ein deutsches Umsetzungsgesetz braucht es dafür nicht.
Wen sie betrifft
Nicht nur Technologieunternehmen. Erfasst ist jedes Unternehmen, das ein KI-System in der EU einsetzt — auch dann, wenn es das System nur eingekauft hat. Ein Handwerksbetrieb, der Angebotstexte mit ChatGPT schreibt, fällt darunter. Ein Steuerbüro, das Belege automatisch erkennen lässt, ebenfalls.
Ausgenommen sind unter anderem rein private Nutzung außerhalb einer beruflichen Tätigkeit, militärische Zwecke und Forschung vor dem Inverkehrbringen.
Vier Risikostufen
Die Verordnung stuft nicht Produkte ein, sondern Verwendungszwecke. Dasselbe Sprachmodell kann in einem Unternehmen harmlos und im anderen Hochrisiko sein.
| Stufe | Beispiel | Folge |
|---|---|---|
| Verboten | Emotionserkennung am Arbeitsplatz | Einsatz unzulässig |
| Hochrisiko | Vorauswahl von Bewerbern | Umfangreiche Pflichten |
| Begrenztes Risiko | Chatbot, generierte Texte | Transparenzpflichten (Art. 50) |
| Minimales Risiko | Rechtschreibprüfung | Keine besonderen Pflichten |
Für kleine und mittlere Unternehmen ist die dritte Stufe der Regelfall. Die zweite trifft vor allem Personalabteilungen und alles, was über Kreditwürdigkeit entscheidet.
Ab wann was gilt
Die Verordnung tritt gestaffelt in Kraft:
| Datum | Was gilt |
|---|---|
| 2. Februar 2025 | Verbotene Praktiken (Art. 5), KI-Kompetenz (Art. 4) |
| 2. August 2025 | Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck |
| 2. August 2026 | Der große Rest, darunter Art. 50 und Anhang-III-Hochrisiko |
| 2. August 2027 | Hochrisiko-Systeme, die Teil regulierter Produkte sind (Anhang I) |
Zwei Pflichten gelten also bereits: das Verbot bestimmter Praktiken und die Anforderung, dass Ihre Beschäftigten hinreichende KI-Kompetenz haben.
Was bei Verstößen droht
Artikel 99 nennt drei Stufen:
- bis 35 Mio. € oder 7 % des weltweiten Jahresumsatzes bei verbotenen Praktiken,
- bis 15 Mio. € oder 3 % bei den meisten übrigen Pflichten, darunter Art. 50,
- bis 7,5 Mio. € oder 1 % für falsche oder unvollständige Auskünfte an Behörden.
Maßgeblich ist jeweils der höhere Betrag — außer bei kleinen und mittleren Unternehmen. Für sie gilt nach Art. 99 Abs. 6 der jeweils niedrigere Betrag. Das entschärft die Zahlen, macht sie aber nicht harmlos.
Häufige Fragen
Wir nutzen nur ChatGPT. Betrifft uns das überhaupt? Ja. Sie sind dann Betreiber. Ihre Pflichten sind überschaubar — im Kern Transparenz gegenüber den Menschen, die mit dem System oder seinen Ergebnissen zu tun haben, und KI-Kompetenz im Betrieb.
Müssen wir uns irgendwo registrieren? Als Betreiber in aller Regel nicht. Eine Registrierung in der EU-Datenbank betrifft Anbieter von Hochrisiko-Systemen und, in bestimmten Fällen, Behörden als Betreiber.
Reicht es, wenn wir das dokumentieren, wenn jemand fragt? Nein. Die Nachweise müssen vorliegen, bevor gefragt wird. Wer sie erst dann erstellt, hat sie zum maßgeblichen Zeitpunkt nicht gehabt.
Gibt es eine Bagatellgrenze für kleine Unternehmen? Nein. Die Verordnung nimmt kleine Unternehmen nicht aus. Sie sieht Erleichterungen bei der Form vor (Art. 63) und bei der Höhe der Bußgelder, nicht bei den Pflichten selbst.