EU KI-Verordnung · Stand: Juli 2026
Am 2. August 2026 wird die EU-Verordnung 2024/1689 in weiten Teilen anwendbar und durchsetzbar. Die Entwarnung zuerst: Die umfangreichen Hochrisiko-Pflichten sind mit dem „Digital Omnibus“ auf Dezember 2027 verschoben. Was ab August 2026 wirklich geprüft wird, sind fünf konkrete, für den Mittelstand beherrschbare Punkte. Die Verordnung betrifft jedes Unternehmen, das KI entwickelt, bereitstellt oder nutzt, auch wenn das „nur“ Microsoft 365 Copilot ist.
Die Verordnung folgt einem risikobasierten Ansatz: Je höher das Risiko, desto strenger die Pflichten. Die meisten Mittelstands-Anwendungen landen in den unteren beiden Klassen. Das macht den Aufwand überschaubar.
Inakzeptables Risiko
Systeme, die eine klare Bedrohung für Sicherheit, Lebensgrundlagen und Grundrechte darstellen. Diese KI-Praktiken sind in der EU vollständig verboten.
Beispiele: Social Scoring, Emotionserkennung am Arbeitsplatz, biometrische Echtzeit-Fernidentifizierung im öffentlichen Raum, manipulative oder ausnutzende KI.
In Kraft seit 2. Februar 2025
Hohes Risiko
Systeme mit schwerwiegenden Risiken für Gesundheit, Sicherheit oder Grundrechte. Sie sind erlaubt, aber strengen Anforderungen unterworfen: Risikobewertung, hochqualitative Trainingsdaten, Aktivitätsprotokollierung, technische Dokumentation, menschliche Aufsicht, Robustheit und Cybersicherheit.
Beispiele: KI für Einstellungs- und Beförderungs-Entscheidungen, Kreditwürdigkeitsprüfung, kritische Infrastruktur, Bildungsbewertung, biometrische Identifizierung.
Anwendbar ab 2. Dezember 2027 (Anhang III) bzw. 2. August 2028 (in regulierte Produkte integrierte Systeme)
Begrenztes Risiko
Systeme mit Transparenzrisiken: Nutzer müssen wissen, dass sie es mit einer KI zu tun haben. KI-generierte Inhalte müssen erkennbar sein, Deepfakes und öffentlichkeitsrelevante Texte deutlich gekennzeichnet werden.
Beispiele: Chatbots, KI-generierte Bilder/Videos/Texte, Deepfakes.
Anwendbar ab 2. August 2026
Minimales oder kein Risiko
Die übergroße Mehrheit aller heutigen KI-Anwendungen fällt hierunter. Keine Pflichten außer der allgemeinen Schulungspflicht nach Artikel 4 (siehe unten).
Beispiele: KI in Videospielen, Spamfilter, Empfehlungssysteme im Web-Shop.
Keine Frist relevant
Die Anwendungsfristen sind bewusst gestaffelt, damit Unternehmen Zeit zur Umsetzung haben. Manche Verpflichtungen gelten aber schon. Insbesondere die Schulungspflicht aus Artikel 4 wird in Diskussionen oft übersehen.
2. Februar 2025
Die acht inakzeptablen KI-Praktiken (Social Scoring, manipulative KI, biometrische Echtzeit-Identifizierung etc.) dürfen nicht mehr eingesetzt werden.
2. Februar 2025
Alle Unternehmen, die KI entwickeln, bereitstellen oder nutzen, müssen sicherstellen, dass ihre Mitarbeitenden über ausreichende KI-Kompetenz verfügen. Gilt auch für Standard-Tools wie Microsoft 365 Copilot oder ähnliche.
2. August 2025
Anbieter universeller KI-Modelle (wie GPT, Claude, Gemini) sind seither verpflichtet zu Transparenz, Urheberrechtsbestimmungen und Risikobeurteilung systemischer Risiken.
2. August 2026
Pflichten für KI mit begrenztem Risiko greifen: Kennzeichnung von Chatbots, Deepfakes und KI-generierten Inhalten. Nationale Aufsichtsbehörden sind eingerichtet.
2. Dezember 2027
Vollständige Konformitätspflichten für Hochrisiko-Systeme in Bereichen wie HR-Screening, Kreditwürdigkeit, Bildung, kritische Infrastruktur. Ursprünglich für August 2026 geplant, mit dem „Digital Omnibus“ (Parlament Juni 2026, Rat Juni 2026) auf Dezember 2027 verschoben.
2. August 2028
KI als Sicherheitskomponente in regulierten Produkten (Medizinprodukte, Maschinen, Spielzeug etc.) muss vollständig konform sein.
Der 2. August 2026 ist der Stichtag, ab dem die Verordnung in weiten Teilen anwendbar und durchsetzbar wird. Die große Erleichterung: Die umfangreichen Hochrisiko-Pflichten nach Anhang III sind mit dem „Digital Omnibus“ (von Parlament und Rat im Juni 2026 beschlossen) auf den 2. Dezember 2027 verschoben. Was ab August 2026 tatsächlich geprüft und sanktioniert werden kann, sind diese fünf Punkte, die der Mittelstand gut beherrschen kann.
Chatbots und KI-Assistenten müssen sich als KI zu erkennen geben. KI-generierte oder -bearbeitete Inhalte (Text, Bild, Audio, Video), insbesondere Deepfakes, müssen erkennbar und maschinenlesbar gekennzeichnet werden. Bei Emotionserkennung oder biometrischer Kategorisierung sind die betroffenen Personen zu informieren.
So handeln Sie: einen KI-Hinweis in Chatbots setzen, KI-erzeugte Medien kennzeichnen, betroffene Prozesse prüfen.
Die Schulungspflicht gilt schon seit Februar 2025. Ab August 2026 stehen die nationalen Aufsichtsbehörden bereit, sie durchzusetzen. Alle Mitarbeitenden, die KI betreiben oder nutzen, brauchen ausreichende KI-Kompetenz, auch beim Einsatz von Standard-Tools wie Microsoft 365 Copilot.
So handeln Sie: eine passende Schulung durchführen und die Teilnahme dokumentieren.
Die acht verbotenen KI-Praktiken (unter anderem Social Scoring, Emotionserkennung am Arbeitsplatz, manipulative KI) sind seit Februar 2025 untersagt, die zugehörigen Sanktionsvorschriften gelten seit August 2025. Mit der vollen Marktüberwachung ab August 2026 werden Verstöße flächendeckend verfolgt: mit Bußgeldern bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.
So handeln Sie: sicherstellen, dass keine dieser Praktiken im Einsatz ist, etwa keine Emotionsanalyse von Beschäftigten.
Anbieter universeller KI-Modelle (GPT, Claude, Gemini und andere) unterliegen ab August 2026 der Durchsetzung durch das EU-KI-Büro, mit Bußgeldern bis zu 15 Millionen Euro oder 3 Prozent des Umsatzes. Als Anwender sind Sie meist nicht selbst Anbieter, sollten aber prüfen, dass die eingesetzten Modelle die Anbieter-Transparenzpflichten erfüllen.
So handeln Sie: bei den genutzten Modellen die Anbieter-Dokumentation und deren Konformität prüfen.
Ab August 2026 sind die nationalen Aufsichtsbehörden benannt und mit Untersuchungs- und Sanktionsbefugnissen ausgestattet. Der Bußgeldrahmen für sonstige Pflichtverstöße (bis zu 15 Millionen Euro oder 3 Prozent des Umsatzes) wird durchsetzbar. Im Streitfall zählt, ob Sie Ihre KI-Nutzung klassifiziert und dokumentiert haben.
So handeln Sie: eine verantwortliche Person benennen, Ihre KI-Systeme inventarisieren und die Einordnung dokumentieren.
Drei pragmatische Schritte. Keine 200-Seiten-Compliance-Strategie, sondern ein klarer Anfang, der die wichtigsten offenen Punkte adressiert.
Listen Sie alle Software auf, die Ihr Team einsetzt, auch die „klassischen" Tools wie Microsoft 365, Google Workspace, CRM- oder Recruiting-Software. Viele haben KI-Funktionen, die in Updates stillschweigend hinzukommen. Identifizieren Sie, wo Sie de facto bereits KI nutzen.
Ordnen Sie jedes identifizierte KI-System einer der vier Risikoklassen zu. Für die meisten Mittelstands-Anwendungen ist das „minimal" oder „begrenzt". Wichtig ist, das nachvollziehbar zu dokumentieren, falls eine Aufsichtsbehörde nachfragt.
Auch wenn Sie keine Hochrisiko-KI einsetzen: die Schulungspflicht aus Artikel 4 gilt seit Februar 2025 für alle. Dokumentieren Sie, dass Ihre Mitarbeitenden mit den eingesetzten KI-Tools sicher umgehen können.
Vertiefung
Warum die Artikel-4-Schulungspflicht praktisch jedes Unternehmen betrifft und welche „versteckte KI“ in Standard-Tools oft übersehen wird, lesen Sie in unserem Blog-Beitrag: Muss ich Schulungen nach KI-VO Artikel 4 machen?
Ihren Schutzbedarf und die passende Risikoklasse können Sie mit dem interaktiven KI-Lotsen (Seekarte) selbst einschätzen.
Verwandte Themen: Wie Sie Compliance von Anfang an mitdenken, zeigt souveräne KI; worauf Sie bei autonomen Systemen achten müssen, steht unter KI-Agenten im Unternehmen.
Ab dem 2. August 2026 ist die EU-KI-Verordnung in weiten Teilen anwendbar und durchsetzbar: Die Transparenzpflichten aus Artikel 50 (Kennzeichnung von Chatbots, Deepfakes und KI-Inhalten) greifen, die nationalen Aufsichtsbehörden erhalten Untersuchungs- und Sanktionsbefugnisse, und die Durchsetzung gegen Anbieter universeller KI-Modelle (GPAI) beginnt. Die umfangreichen Hochrisiko-Pflichten sind davon ausgenommen und erst später fällig.
Nein. Mit dem im Juni 2026 von Parlament und Rat beschlossenen „Digital Omnibus" wurden die Pflichten für Hochrisiko-Systeme nach Anhang III auf den 2. Dezember 2027 verschoben, für KI in regulierten Produkten (Anhang I) auf den 2. August 2028. Der 2. August 2026 bringt also vor allem die Transparenz- und Governance-Regeln, nicht das große Hochrisiko-Paket.
Die Verordnung greift gestaffelt: Die verbotenen KI-Praktiken und die Pflicht zur KI-Kompetenz (Artikel 4) gelten seit dem 2. Februar 2025. Ab dem 2. August 2026 folgen weitere Pflichten und die Marktüberwachung, die vollen Hochrisiko-Anforderungen sind bis 2027 gestaffelt.
Artikel 4 verlangt seit Februar 2025, dass Unternehmen für ausreichende KI-Kompetenz der Mitarbeitenden sorgen, die KI-Systeme betreiben oder nutzen. Das gilt unabhängig von der Risikoklasse. Wie umfangreich die Schulung sein muss, hängt von Ihrem konkreten KI-Einsatz ab.
Vier: inakzeptables Risiko (verbotene Praktiken), hohes Risiko (erlaubt, aber mit umfangreichen Pflichten), begrenztes Risiko (Transparenzpflichten, etwa die Kennzeichnung von Chatbots und KI-Inhalten) und minimales Risiko (keine besonderen Auflagen). Die meisten Mittelstands-Anwendungen fallen in die unteren beiden Klassen.
Bei den schwersten Verstößen, etwa gegen die verbotenen Praktiken, drohen Bußgelder bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Die Marktüberwachung startet ab August 2026. Der pragmatische erste Schritt ist, Ihre KI-Systeme zu klassifizieren und Lücken zu dokumentieren.
Mit drei Schritten: die KI-Systeme im Unternehmen inventarisieren, jedes einer Risikoklasse zuordnen und die KI-Kompetenz nach Artikel 4 aufbauen. Ein EU-KI-Verordnung-Quickcheck oder der passende Workshop hilft, das schnell und nachvollziehbar aufzusetzen.
An einem Tag verstehen Sie, was die EU KI-Verordnung für Ihr Unternehmen konkret bedeutet, klassifizieren Ihre Systeme und entwickeln einen priorisierten Maßnahmenplan: pragmatisch, ohne Compliance-Angst.
Quellen
Diese Einordnung ersetzt keine Rechtsberatung. Konkrete Compliance-Pflichten hängen von Ihrer Branche, Ihren KI-Systemen und der individuellen Risikoklassifizierung ab.