EU KI-Verordnung · Stand: August 2026
Seit dem 2. August 2026 ist die EU-Verordnung 2024/1689 in weiten Teilen anwendbar und durchsetzbar. Die Entwarnung zuerst: Die umfangreichen Hochrisiko-Pflichten sind mit dem „Digital Omnibus“ auf Dezember 2027 verschoben. Was jetzt wirklich geprüft wird, sind fünf konkrete, für den Mittelstand beherrschbare Punkte. Die Verordnung betrifft jedes Unternehmen, das KI entwickelt, bereitstellt oder nutzt, auch wenn das „nur“ Microsoft 365 Copilot ist.
Die Verordnung folgt einem risikobasierten Ansatz: Je höher das Risiko, desto strenger die Pflichten. Die meisten Mittelstands-Anwendungen landen in den unteren beiden Klassen. Das macht den Aufwand überschaubar.
Inakzeptables Risiko
Systeme, die eine klare Bedrohung für Sicherheit, Lebensgrundlagen und Grundrechte darstellen. Diese KI-Praktiken sind in der EU vollständig verboten.
Beispiele: Social Scoring, Emotionserkennung am Arbeitsplatz, biometrische Echtzeit-Fernidentifizierung im öffentlichen Raum, manipulative oder ausnutzende KI.
In Kraft seit 2. Februar 2025
Hohes Risiko
Systeme mit schwerwiegenden Risiken für Gesundheit, Sicherheit oder Grundrechte. Sie sind erlaubt, aber strengen Anforderungen unterworfen: Risikobewertung, hochqualitative Trainingsdaten, Aktivitätsprotokollierung, technische Dokumentation, menschliche Aufsicht, Robustheit und Cybersicherheit.
Beispiele: KI für Einstellungs- und Beförderungs-Entscheidungen, Kreditwürdigkeitsprüfung, kritische Infrastruktur, Bildungsbewertung, biometrische Identifizierung.
Anwendbar ab 2. Dezember 2027 (Anhang III) bzw. 2. August 2028 (in regulierte Produkte integrierte Systeme)
Begrenztes Risiko
Systeme mit Transparenzrisiken: Nutzer müssen wissen, dass sie es mit einer KI zu tun haben. KI-generierte Inhalte müssen erkennbar sein, Deepfakes und öffentlichkeitsrelevante Texte deutlich gekennzeichnet werden.
Beispiele: Chatbots, KI-generierte Bilder/Videos/Texte, Deepfakes.
Anwendbar ab 2. August 2026
Minimales oder kein Risiko
Die übergroße Mehrheit aller heutigen KI-Anwendungen fällt hierunter. Keine Pflichten außer der allgemeinen KI-Kompetenz-Pflicht nach Artikel 4 (siehe unten).
Beispiele: KI in Videospielen, Spamfilter, Empfehlungssysteme im Web-Shop.
Keine Frist relevant
Die Anwendungsfristen sind bewusst gestaffelt, damit Unternehmen Zeit zur Umsetzung haben. Manche Verpflichtungen gelten aber schon. Insbesondere die KI-Kompetenz-Pflicht aus Artikel 4 wird in Diskussionen oft übersehen.
2. Februar 2025
2. Februar 2025
Die acht inakzeptablen KI-Praktiken (Social Scoring, manipulative KI, biometrische Echtzeit-Identifizierung etc.) dürfen nicht mehr eingesetzt werden.
2. Februar 2025
2. Februar 2025
Alle Unternehmen, die KI entwickeln, bereitstellen oder nutzen, müssen Maßnahmen ergreifen, um die KI-Kompetenz ihres Personals zu fördern. Gilt auch für Standard-Tools wie Microsoft 365 Copilot oder ähnliche. Seit dem 27. Juli 2026 ist der Artikel entschärft: Ein bestimmtes Kompetenzniveau muss niemand garantieren.
2. August 2025
2. August 2025
Anbieter universeller KI-Modelle (wie GPT, Claude, Gemini) sind seither verpflichtet zu Transparenz, Urheberrechtsbestimmungen und Risikobeurteilung systemischer Risiken.
2. August 2026
2. August 2026
Pflichten für KI mit begrenztem Risiko greifen: Kennzeichnung von Chatbots, Deepfakes und KI-generierten Inhalten. Die nationale Marktüberwachung startet, in Deutschland bei der Bundesnetzagentur.
Heute
Heute · alles darüber gilt, alles darunter kommt noch
2. Dezember 2027
2. Dezember 2027
Vollständige Konformitätspflichten für Hochrisiko-Systeme in Bereichen wie HR-Screening, Kreditwürdigkeit, Bildung, kritische Infrastruktur. Ursprünglich für August 2026 geplant, mit dem „Digital Omnibus“ (Verordnung (EU) 2026/1744, in Kraft seit 27. Juli 2026) auf Dezember 2027 verschoben.
2. August 2028
2. August 2028
KI als Sicherheitskomponente in regulierten Produkten (Medizinprodukte, Maschinen, Spielzeug etc.) muss vollständig konform sein.
Der 2. August 2026 war der Stichtag, seit dem die Verordnung in weiten Teilen anwendbar und durchsetzbar ist. Die große Erleichterung: Die umfangreichen Hochrisiko-Pflichten nach Anhang III sind mit dem „Digital Omnibus“ (Verordnung (EU) 2026/1744, in Kraft seit dem 27. Juli 2026) auf den 2. Dezember 2027 verschoben. Was jetzt tatsächlich geprüft wird, sind diese fünf Punkte, die der Mittelstand gut beherrschen kann.
Chatbots und KI-Assistenten müssen sich als KI zu erkennen geben. KI-generierte oder -bearbeitete Inhalte (Text, Bild, Audio, Video), insbesondere Deepfakes, müssen erkennbar und maschinenlesbar gekennzeichnet werden. Bei Emotionserkennung oder biometrischer Kategorisierung sind die betroffenen Personen zu informieren.
So handeln Sie: einen KI-Hinweis in Chatbots setzen, KI-erzeugte Medien kennzeichnen, betroffene Prozesse prüfen.
Artikel 4 gilt seit Februar 2025 und verlangt seit der Neufassung vom 27. Juli 2026, dass Sie Maßnahmen ergreifen, um die KI-Kompetenz Ihres Personals zu fördern. Das ist eine Bemühenspflicht: Verpflichtende Schulungen oder ein garantiertes Kompetenzniveau schreibt die Verordnung nicht vor, und Artikel 4 steht auch nicht im Bußgeldkatalog. Relevant bleibt er trotzdem, weil er unabhängig von der Risikoklasse für jeden KI-Einsatz gilt, auch für Standard-Tools wie Microsoft 365 Copilot.
So handeln Sie: den Kompetenzaufbau passend zum eigenen KI-Einsatz aufsetzen und nachvollziehbar festhalten.
Die acht verbotenen KI-Praktiken (unter anderem Social Scoring, Emotionserkennung am Arbeitsplatz, manipulative KI) sind seit Februar 2025 untersagt, die zugehörigen Sanktionsvorschriften gelten seit August 2025. Mit der vollen Marktüberwachung ab August 2026 werden Verstöße flächendeckend verfolgt: mit Bußgeldern bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.
So handeln Sie: sicherstellen, dass keine dieser Praktiken im Einsatz ist, etwa keine Emotionsanalyse von Beschäftigten.
Anbieter universeller KI-Modelle (GPT, Claude, Gemini und andere) unterliegen ab August 2026 der Durchsetzung durch das EU-KI-Büro, mit Bußgeldern bis zu 15 Millionen Euro oder 3 Prozent des Umsatzes. Als Anwender sind Sie meist nicht selbst Anbieter, sollten aber prüfen, dass die eingesetzten Modelle die Anbieter-Transparenzpflichten erfüllen.
So handeln Sie: bei den genutzten Modellen die Anbieter-Dokumentation und deren Konformität prüfen.
Seit August 2026 sind die nationalen Aufsichtsbehörden benannt und mit Untersuchungs- und Sanktionsbefugnissen ausgestattet, in Deutschland die Bundesnetzagentur. Der Bußgeldrahmen für sonstige Pflichtverstöße (bis zu 15 Millionen Euro oder 3 Prozent des Umsatzes) wird durchsetzbar. Im Streitfall zählt, ob Sie Ihre KI-Nutzung klassifiziert und dokumentiert haben.
So handeln Sie: eine verantwortliche Person benennen, Ihre KI-Systeme inventarisieren und die Einordnung dokumentieren.
Drei pragmatische Schritte. Keine 200-Seiten-Compliance-Strategie, sondern ein klarer Anfang, der die wichtigsten offenen Punkte adressiert.
Listen Sie alle Software auf, die Ihr Team einsetzt, auch die „klassischen" Tools wie Microsoft 365, Google Workspace, CRM- oder Recruiting-Software. Viele haben KI-Funktionen, die in Updates stillschweigend hinzukommen. Identifizieren Sie, wo Sie de facto bereits KI nutzen.
Ordnen Sie jedes identifizierte KI-System einer der vier Risikoklassen zu. Für die meisten Mittelstands-Anwendungen ist das „minimal" oder „begrenzt". Wichtig ist, das nachvollziehbar zu dokumentieren, falls eine Aufsichtsbehörde nachfragt.
Auch wenn Sie keine Hochrisiko-KI einsetzen: Artikel 4 gilt seit Februar 2025 für alle. Vorgeschrieben ist keine bestimmte Schulung, sondern dass Sie die KI-Kompetenz Ihres Personals aktiv fördern. Halten Sie fest, wie Sie das tun und dass Ihre Mitarbeitenden mit den eingesetzten Tools sicher umgehen können.
Vertiefung
Warum Artikel 4 praktisch jedes Unternehmen betrifft und welche „versteckte KI“ in Standard-Tools oft übersehen wird, lesen Sie in unserem Blog-Beitrag: Muss ich Schulungen nach KI-VO Artikel 4 machen?
Ihren Schutzbedarf und die passende Risikoklasse können Sie mit dem interaktiven KI-Lotsen (Seekarte) selbst einschätzen.
Wo Sie beim Wissen selbst stehen, zeigt der KI-Kompetenztest: eine Standortbestimmung in 20 Fragen, kein Schulungsnachweis.
Verwandte Themen: Wie Sie Compliance von Anfang an mitdenken, zeigt souveräne KI; worauf Sie bei autonomen Systemen achten müssen, steht unter KI-Agenten im Unternehmen.
Seit dem 2. August 2026 ist die EU-KI-Verordnung in weiten Teilen anwendbar und durchsetzbar: Die Transparenzpflichten aus Artikel 50 (Kennzeichnung von Chatbots, Deepfakes und KI-Inhalten) greifen, die nationalen Aufsichtsbehörden erhalten Untersuchungs- und Sanktionsbefugnisse, und die Durchsetzung gegen Anbieter universeller KI-Modelle (GPAI) beginnt. Die umfangreichen Hochrisiko-Pflichten sind davon ausgenommen und erst später fällig.
Nein. Mit dem „Digital Omnibus“ (Verordnung (EU) 2026/1744, in Kraft seit 27. Juli 2026) wurden die Pflichten für Hochrisiko-Systeme nach Anhang III auf den 2. Dezember 2027 verschoben, für KI in regulierten Produkten (Anhang I) auf den 2. August 2028. Der 2. August 2026 brachte also vor allem die Transparenz- und Governance-Regeln, nicht das große Hochrisiko-Paket.
Die Verordnung greift gestaffelt: Die verbotenen KI-Praktiken und die Pflicht zur KI-Kompetenz (Artikel 4) gelten seit dem 2. Februar 2025. Seit dem 2. August 2026 gelten weitere Pflichten und die Marktüberwachung, die vollen Hochrisiko-Anforderungen folgen im Dezember 2027 und im August 2028.
Eine Pflicht zu bestimmten Schulungen gibt es nicht. Artikel 4 verlangt seit Februar 2025, dass Unternehmen die KI-Kompetenz der Mitarbeitenden fördern, die KI-Systeme betreiben oder nutzen. Seit der Neufassung vom 27. Juli 2026 steht ausdrücklich in der Verordnung, dass daraus kein garantiertes Kompetenzniveau folgt. Das gilt unabhängig von der Risikoklasse, und wie viel angemessen ist, hängt von Ihrem konkreten KI-Einsatz ab.
Vier: inakzeptables Risiko (verbotene Praktiken), hohes Risiko (erlaubt, aber mit umfangreichen Pflichten), begrenztes Risiko (Transparenzpflichten, etwa die Kennzeichnung von Chatbots und KI-Inhalten) und minimales Risiko (keine besonderen Auflagen). Die meisten Mittelstands-Anwendungen fallen in die unteren beiden Klassen.
Bei den schwersten Verstößen, etwa gegen die verbotenen Praktiken, drohen Bußgelder bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Die Marktüberwachung läuft seit August 2026. Der pragmatische erste Schritt ist, Ihre KI-Systeme zu klassifizieren und Lücken zu dokumentieren.
Mit drei Schritten: die KI-Systeme im Unternehmen inventarisieren, jedes einer Risikoklasse zuordnen und die KI-Kompetenz nach Artikel 4 fördern. Ein EU-KI-Verordnung-Quickcheck oder der passende Workshop hilft, das schnell und nachvollziehbar aufzusetzen.
An einem Tag verstehen Sie, was die EU KI-Verordnung für Ihr Unternehmen konkret bedeutet, klassifizieren Ihre Systeme und entwickeln einen priorisierten Maßnahmenplan: pragmatisch, ohne Compliance-Angst.
Quellen
Diese Einordnung ersetzt keine Rechtsberatung. Konkrete Compliance-Pflichten hängen von Ihrer Branche, Ihren KI-Systemen und der individuellen Risikoklassifizierung ab.