EU AI Act Durchsetzung beginnt: Compliance-Checkliste

Der AI Act tritt in Kraft

Der EU AI Act, der weltweit erste umfassende Rechtsrahmen für künstliche Intelligenz, ist vom Gesetzestext in die Durchsetzung übergegangen — in Etappen. Das Verbot unzulässiger KI-Praktiken und die Pflicht zur KI-Kompetenz gelten seit dem 2. Februar 2025. Die Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck folgten am 2. August 2025; seit dem 2. August 2026 kann die Kommission sie mit Geldbußen durchsetzen, und ab diesem Datum gelten auch die Transparenzpflichten für Chatbots und KI-generierte Inhalte. Die zentralen Hochrisiko-Regeln wurden dagegen verschoben: Der Digital Omnibus zur KI, in Kraft seit dem 27. Juli 2026, hat die Pflichten für eigenständige Hochrisiko-Systeme nach Anhang III (etwa Personalauswahl oder Kreditwürdigkeitsprüfung) vom 2. August 2026 auf den 2. Dezember 2027 verlegt, die für KI in Produkten, die unter EU-Sicherheitsvorschriften fallen, auf den 2. August 2028.

Das ist keine abstrakte Politik. Wenn Ihr Unternehmen KI für Personalentscheidungen, Bonitätsbewertungen, medizinische Diagnosen oder irgendein System einsetzt, das Rechte und Sicherheit von Menschen berührt, gilt der AI Act unmittelbar für Ihren Betrieb.

Die Risikostufen verstehen

Der AI Act ordnet KI-Systeme vier Risikokategorien zu, jeweils mit unterschiedlichen regulatorischen Anforderungen:

Unannehmbares Risiko (verboten): KI-Systeme für staatliches Social Scoring, biometrische Echtzeit-Fernidentifizierung im öffentlichen Raum (mit engen Ausnahmen für die Strafverfolgung), Manipulation schutzbedürftiger Gruppen und Emotionserkennung am Arbeitsplatz und in Schulen. Diese sind schlichtweg verboten.

Hohes Risiko: KI in kritischer Infrastruktur, Bildung, Beschäftigung, grundlegenden Diensten, Strafverfolgung, Migration und Justiz. Solche Systeme müssen Konformitätsbewertungen durchlaufen, ein Risikomanagementsystem unterhalten, Datenqualität sicherstellen, Transparenz gegenüber Nutzern bieten und menschliche Aufsicht ermöglichen.

Begrenztes Risiko: Systeme wie Chatbots und Deepfake-Generatoren, die Transparenzpflichten erfüllen müssen — Nutzer müssen darüber informiert werden, dass sie mit einer KI interagieren oder KI-generierte Inhalte sehen.

Minimales Risiko: Die Mehrheit der KI-Anwendungen — Spamfilter, KI in Videospielen, Lagerverwaltung — unterliegt keinen zusätzlichen regulatorischen Anforderungen.

Ihre Compliance-Checkliste

Für Unternehmen, die Hochrisiko-KI-Systeme anbieten oder einsetzen, muss Folgendes vorhanden sein (für eigenständige Systeme nach Anhang III gelten diese Pflichten ab dem 2. Dezember 2027 — Zeit zur Vorbereitung, nicht zum Abwarten):

1. Inventar der KI-Systeme: Dokumentieren Sie jedes KI-System, das Ihre Organisation nutzt oder bereitstellt, eingeordnet nach Risikostufe. Regeln, von denen Sie nicht wissen, dass sie für Sie gelten, können Sie nicht einhalten.

2. Risikomanagementsystem: Richten Sie einen kontinuierlichen Risikomanagementprozess ein, der Risiken über den gesamten Lebenszyklus des KI-Systems hinweg erkennt, analysiert und mindert.

3. Daten-Governance: Stellen Sie sicher, dass Trainings-, Validierungs- und Testdatensätze relevant, repräsentativ und so weit wie praktisch möglich frei von Verzerrungen sind. Dokumentieren Sie Herkunft und Aufbereitung der Daten.

4. Technische Dokumentation: Führen Sie detaillierte Aufzeichnungen über Systemdesign, Entwicklungsmethodik, Trainingsverfahren und Leistungskennzahlen — bevor das System in Verkehr gebracht wird.

5. Transparenz und Nutzerinformation: Stellen Sie Betreibern klare Gebrauchsanweisungen zur Verfügung, einschließlich Zweckbestimmung des Systems, Genauigkeitsgrad, bekannter Einschränkungen und Maßnahmen zur menschlichen Aufsicht.

6. Mechanismen zur menschlichen Aufsicht: Gestalten Sie Systeme so, dass Menschen den Betrieb wirksam beaufsichtigen, Ergebnisse interpretieren und das System bei Bedarf eingreifend steuern oder anhalten können.

7. Genauigkeit, Robustheit und Cybersicherheit: Weisen Sie nach, dass Systeme konsistent arbeiten und widerstandsfähig gegenüber Fehlern, Störungen und gezielten Angriffen sind.

8. Konformitätsbewertung: Die meisten Hochrisiko-Systeme nach Anhang III — darunter kritische Infrastruktur, Beschäftigung, Bildung und Kreditwürdigkeitsprüfung — durchlaufen eine interne Kontrolle (Selbstbewertung) durch den Anbieter. Eine Bewertung durch eine benannte Stelle ist für biometrische Systeme vorgeschrieben, wenn harmonisierte Normen nicht (vollständig) angewandt wurden, sowie für KI in Produkten, die nach sektoralem Recht ohnehin eine Drittprüfung brauchen, etwa Medizinprodukte.

Sanktionen bei Verstößen

Der AI Act hat echte Zähne. Verstöße gegen die Verbote unzulässiger KI-Praktiken werden mit Geldbußen von bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes geahndet, je nachdem, welcher Betrag höher ist. Die Nichteinhaltung der Hochrisiko-Anforderungen kann Geldbußen von bis zu 15 Millionen Euro oder 3 % des Umsatzes nach sich ziehen. Falsche Angaben gegenüber Behörden werden mit bis zu 7,5 Millionen Euro oder 1 % des Umsatzes sanktioniert.

Für KMU und Start-ups sind die Geldbußen auf verhältnismäßig niedrigere Schwellen begrenzt, und es stehen regulatorische Sandboxes (Reallabore) zur Verfügung, in denen innovative KI-Systeme unter Aufsicht getestet werden können, bevor sie vollständig auf den Markt kommen.

Die transatlantische Kluft

Der Kontrast zu den Vereinigten Staaten könnte kaum größer sein. Stand 2026 haben die USA kein bundesweites KI-Gesetz. Executive Orders wurden von wechselnden Regierungen erlassen und wieder aufgehoben, zurück bleibt ein Flickenteppich aus freiwilligen Selbstverpflichtungen und Vorschlägen auf Ebene der Bundesstaaten. Amerikanische Unternehmen, die in Europa tätig sind, müssen den AI Act trotzdem einhalten — und so entsteht ein faktischer globaler Standard, genau wie zuvor bei der DSGVO für den Datenschutz.

Für europäische Unternehmen ist der AI Act nicht nur eine Compliance-Last. Er ist ein Wettbewerbsrahmen, der das Vertrauen der Öffentlichkeit in KI-Systeme stärkt, gleiche Bedingungen gegenüber unterregulierten Wettbewerbern schafft und die EU als weltweiten Maßstab für verantwortungsvolle KI-Governance etabliert. Unternehmen, die früh konform sind, werden einen Vorsprung haben, wenn andere Rechtsordnungen unweigerlich dem europäischen Beispiel folgen.