EU AI Act: Alles, was Sie wissen müssen

Wenn Ihr Unternehmen in Europa KI entwickelt, kauft oder einsetzt, ist der EU AI Act jetzt Pflichtlektüre.

Er gilt nicht nur für europäische Unternehmen, sondern für jede Organisation, deren KI den EU-Markt berührt.

In diesem Leitfaden erfahren Sie, was der EU AI Act ist, wie die Gesetzgebung strukturiert ist, welche konkreten Auswirkungen sie auf Ihr Unternehmen hat und wie Sie die Anforderungen in Ihre Arbeitsabläufe integrieren.

Was ist der EU AI Act

Der EU AI Act ist das weltweit erste umfassende Gesetz für künstliche Intelligenz. Er legt harmonisierte Regeln für die Entwicklung, den Einsatz und die Überwachung von KI in der gesamten Europäischen Union fest.

Das Gesetz ist offiziell am 1. August 2024 in Kraft getreten, nachdem es am 12. Juli 2024im Amtsblatt der EU veröffentlicht wurde. Die Verpflichtungen treten schrittweise und nicht auf einmal in Kraft.

Sie werden auf den Act unter der Bezeichnung Verordnung (EU) 2024/1689stoßen. Da es sich um eine Verordnung (und nicht um eine Richtlinie) handelt, gelten die Regeln unmittelbar in jedem Mitgliedstaat, ohne dass eine nationale Umsetzung erforderlich ist.

Wenn Sie KI-Modelle mit allgemeinem Verwendungszweck (GPAI)entwickeln oder integrieren, sieht das Gesetz zusätzliche Transparenz- und Governance-Pflichten vor. Ein EU- KI-Büro Die Europäische Kommission koordiniert diese Regeln, insbesondere für GPAI, und arbeitet bei der Durchsetzung mit den nationalen Behörden zusammen.

Die Anforderungen des Gesetzes werden schrittweise eingeführt. Es ist bereits in Kraft; Verbote für unzulässige Praktiken galten zuerst, gefolgt von den Pflichten für GPAI, während die meisten Verpflichtungen für Hochrisikosysteme erst später greifen. Der offizielle Zeitplan verweist auf die Veröffentlichung im Amtsblatt (12. Juli 2024) und das Inkrafttreten (1. August 2024), gefolgt von einer gestaffelten Anwendbarkeit. Die Kommission hat zudem bekräftigt, dass die Fristen trotz Forderungen der Industrie nach Aufschub bestehen bleiben.

EU-KI-Gesetz: Gesetzgebung und regulatorische Struktur

Um zu verstehen, wie das EU-KI-Gesetz Ihre Verpflichtungen bestimmt, schauen wir uns die gesetzliche Architektur, die wichtigsten Pflichten nach Risikostufen und die Struktur der Durchsetzung an.

Verbotene KI-Praktiken (die „rote Linie“)

Bestimmte KI-Anwendungen sind grundsätzlich untersagt. Das Gesetz verbietet KI-Systeme, die:

• subliminale oder manipulative Techniken einsetzen, die das Verhalten ohne bewusstes Wissen der Betroffenen verzerren.
• Schutzbedürftige Gruppen (aufgrund von Alter, Behinderung oder sozialem Status) in einer Weise ausnutzen, die zu Schäden führt.
• Social Scoring oder eine allgemeine Verhaltensbewertung durchführen, die zu diskriminierender oder ungerechter Behandlung führt.
• Biometrische Kategorisierung nutzen, um sensible Merkmale wie Rasse, Religion oder sexuelle Orientierung abzuleiten (außer in streng regulierten Fällen der Strafverfolgung).

Wenn Ihr System in eine dieser Kategorien fällt, ist es in der EU nicht zulässig.

Der risikobasierte Ansatz (was für Sie gilt)

Das Gesetz stuft Verpflichtungen nach Risiko ein, damit Sie bei einfachen Tools keinen übermäßigen Compliance-Aufwand betreiben und bei kritischen Systemen nicht zu wenig regulieren. Hier erfahren Sie, wie die Stufen zu verstehen sind und was Sie tun müssen.

Minimales oder vernachlässigbares Risiko.
Denken Sie an Spam-Filter oder harmlose Automatisierungen. Sie haben keine schwerwiegenden rechtlichen Pflichten gemäß dem Gesetz. Arbeiten Sie wie gewohnt weiter, aber befolgen Sie bewährte technische Standards.

Begrenztes Risiko.
Wenn Nutzer direkt mit Ihrer KI interagieren – etwa bei einem Chatbot oder Empfehlungssystem –, müssen Sie transparent machen, dass sie mit einer KI kommunizieren. Sorgen Sie für eine klare und rechtzeitige Offenlegung in Ihrer UX.

Hohes Risiko.
Dies betrifft KI-Systeme in kritischen Bereichen wie Personalwesen, Bildung, Gesundheitswesen, kritische Infrastruktur und der Zugang zu wesentlichen Dienstleistungen. Hier ist eine solide Governance erforderlich: Risikomanagement, strenge Kontrollen der Datenqualität, menschliche Aufsicht, technische Dokumentation, Genauigkeit und Robustheit, Protokollierung sowie eine Konformitätsbewertung vor der Markteinführung. Als Anbieter sollten Sie mit erheblichem Vorbereitungsaufwand vor dem Start und einer kontinuierlichen Überwachung danach rechnen.

Allgemeine KI (GPAI).
Wenn Sie ein breit angelegtes Modell entwickeln oder bereitstellen, das von anderen weiterentwickelt wird, unterliegen Sie zusätzlichen Transparenz- und Dokumentationspflichten. Möglicherweise müssen Sie eine Zusammenfassung der urheberrechtlich geschützten Trainingsdatenquellen veröffentlichen sowie Modellkarten und Transparenzberichte pflegen. Bei Modellen mit „systemischem Risiko“ sind umfassendere Tests und Prüfungen auf Robustheit gegenüber Angriffen zu erwarten.

Sie können sich auch freiwillig für Verhaltenskodizes entscheiden, wenn Sie nicht in den Bereich für Hochrisiko-KI oder GPAI fallen. Dies ist ein kluger Weg, um gegenüber Kunden und Regulierungsbehörden Verantwortungsbewusstsein zu zeigen.

Pflichten für Hochrisiko-KI-Systeme

Wenn Ihre KI als Hochrisiko-KIeingestuft wird, greifen verschiedene Verantwortlichkeiten – insbesondere wenn Sie als Anbieteragieren. Sie müssen:

• Ein Risikomanagementsystem einrichten und pflegen, um Risiken zu erkennen, zu bewerten und zu mindern.
• Für Datenqualität, Bias-Management, Validierung und Tests der Trainings- und Eingabedatensätze sorgen.
• Erstellen und pflegen Sie Technische Dokumentation (Design, Architektur, Steuerungslogik, Einschränkungen).
• Implementieren Sie menschliche Aufsicht, damit Menschen eingreifen oder Entscheidungen übersteuern können.
• Erfüllen Sie Anforderungen an Genauigkeit, Robustheit, Cybersicherheit und Zuverlässigkeit .
• Führen Sie eine Überwachung nach dem Inverkehrbringen durch und melden Sie schwerwiegende Vorfälle oder Fehlfunktionen.
• Vergeben Sie die CE-Kennzeichnung / Konformitätsbewertung, häufig über benannte Stellen in der EU.

Was Anwender (diejenigen, die KI-Systeme nutzen) betrifft, so sind deren Verpflichtungen zwar geringer, aber dennoch bedeutsam: Befolgen Sie die Nutzungsrichtlinien, überwachen Sie den Betrieb im jeweiligen Kontext, bewahren Sie Protokolle für mindestens sechs Monate auf und informieren Sie Mitarbeiter und Nutzer über Risiken.

Besondere Regeln für KI-Modelle mit allgemeinem Verwendungszweck (GPAI)

GPAI-Modelle sind mehr als nur Werkzeuge – sie sind Infrastruktur. Deshalb behandelt das Gesetz sie gesondert:

• Anbieter müssen Folgendes veröffentlichen: Zusammenfassungen der urheberrechtlich geschützten Daten die für das Training verwendet wurden.
• Sie müssen technische Dokumentationen, Modellkarten und Transparenzberichte vorhalten.
• Das Modell muss so konzipiert sein, dass die Erstellung illegaler Inhalte (z. B. Hassrede, Desinformation) verhindert wird.
• Für GPAI-Modelle, die als „systemisches Risiko“ eingestuft werden, können zusätzliche Tests, Prüfungen der gegnerischen Robustheit und Berichtspflichten gelten.

Schließlich können sich Systeme, die nicht als Hochrisiko-Systeme oder GPAI eingestuft sind, dennoch für freiwillige Verhaltenskodizes gemäß dem Gesetz (Titel III) entscheiden.

Governance, Durchsetzung und Sanktionen

Ein gutes Gesetz ist nur so stark wie sein Durchsetzungsmechanismus. Die Governance des EU AI Act ist mehrstufig aufgebaut.

Europäisches Büro für Künstliche Intelligenz und Beratungsgremien

Der AI Act sieht die Einrichtung eines Büros für Künstliche Intelligenz innerhalb der Europäischen Kommission vor, um die Einhaltung der Vorschriften in der gesamten EU zu überwachen, insbesondere bei GPAI, und die Durchsetzung durch die nationalen Behörden zu koordinieren. Zu den Beratungsgremien gehören der Europäische Ausschuss für Künstliche Intelligenz, ein wissenschaftliches Gremium und ein Beratungsforum.

Nationale Behörden und Marktüberwachung

Jeder EU-Mitgliedstaat muss nationale zuständige Behörden (Marktüberwachungsbehörden) benennen, die die Einhaltung der Vorschriften überwachen, Inspektionen durchführen und Sanktionen verhängen. Diese Behörden benennen zudem notifizierte Stellen , die Konformitätsbewertungen für Hochrisiko-Systeme durchführen.

Durchsetzungsbefugnisse & Grenzen

Nationale Behörden verfügen gemäß der Verordnung 2019/1020 zur Produktkonformität über Untersuchungsbefugnisse (Dokumentenanforderungen, Audits). Für GPAI hat das EU-Büro für Künstliche Intelligenz die direkte Aufsichtsbefugnis. Es gibt jedoch verfahrensrechtliche Schutzmaßnahmen: Anfragen zu Dokumenten, die mit internen Rechtsberatern ausgetauscht wurden, sind geschützt, und Unternehmen haben vor Entscheidungen das Recht auf Anhörung.

Sanktionen bei Nichteinhaltung

Verstöße werden nach Schweregrad abgestuft. Die wichtigsten Bußgelder umfassen:

• Bis zu 40 Millionen Euro oder 7 % des weltweiten Jahresumsatzes für verbotene Praktiken.
• Bei Verstößen gegen Transparenz-, Daten-Governance- oder Informationspflichten: bis zu 20 Millionen Euro oder 4 % des Jahresumsatzes.
• Sonstige Verstöße: bis zu 10 Millionen Euro oder 2 % des Jahresumsatzes.

Öffentliche Stellen, Anwälte oder Bürger können Beschwerden bei nationalen Behörden einreichen. Regulierungsbehörden können Korrekturmaßnahmen anordnen, die Aussetzung von KI-Systemen verlangen oder Bußgelder verhängen.

Welche konkreten Auswirkungen hat der EU AI Act auf Unternehmen

Der EU AI Act ist keine abstrakte Verordnung. Er verändert Ihre Roadmap, Ihre Governance und die Art und Weise, wie Sie Produkte in Europa vertreiben. Hier erfahren Sie, was Sie wissen müssen.

3.1 Wer ist betroffen

Das Gesetz hat einen breiten Anwendungsbereich. Es bindet:

• Anbieter – Unternehmen, die KI entwickeln oder auf dem EU-Markt in Verkehr bringen
• Anwender – Unternehmen, die KI innerhalb der EU einsetzen
• Importeure und Händler – Firmen, die KI-Systeme in die EU einführen oder weiterverkaufen

Das Gesetz gilt zudem extraterritorial: Wenn Ihr System in der EU genutzt wird, fällt es in den Anwendungsbereich – unabhängig davon, wo es entwickelt oder gehostet wurde.

3.2 Fristen, die Sie im Blick behalten müssen

Das Gesetz ist am 1. August 2024in Kraft getreten, die Verpflichtungen werden jedoch schrittweise eingeführt:

• Februar 2025 → Verbote unzulässiger Praktiken und Pflichten zur KI-Kompetenz gelten
• August 2025 → Regeln für KI-Modelle mit allgemeinem Verwendungszweck (GPAI) greifen
• August 2026 → Großteil der Verpflichtungen für die meisten Systeme gilt
• August 2027 → Hochrisiko-KI-Systeme, die unter bestehende EU-Produktsicherheitsvorschriften fallen, müssen konform sein

Diese Fristen sind bindend. Die Kommission hat bereits bestätigt, dass es keine pauschalen Aufschübe geben wird.

3.3 Neue Verpflichtungen, die Sie einplanen müssen

Für Hochrisiko-KI-Systememüssen Sie:

• Risikomanagementsystem betreiben
• Qualitätsgeprüfte und auf Bias untersuchte Datensätze verwenden
• Detaillierte technische Dokumentation erstellen und pflegen
• Menschliche Aufsicht integrieren
• Anforderungen an Genauigkeit, Robustheit und Cybersicherheit erfüllen
• Prozesse für die Marktüberwachung und Meldung von Vorfällen vorhalten
• Konformitätsbewertung bestehen und CE-Kennzeichnung anbringen

Anbieter tragen den Großteil dieser Verpflichtungen, aber Anwender müssen ebenfalls Nutzungsrichtlinien befolgen, Protokolle führen, Systeme im realen Kontext überwachen und betroffene Personen bei Bedarf informieren.

Für GPAI-Modellemüssen Anbieter:

• Zusammenfassungen der urheberrechtlich geschützten Trainingsdaten veröffentlichen
• Transparenzberichte und technische Dokumentationen erstellen
• Schutzmaßnahmen gegen rechtswidrige Inhalte konzipieren
• Adversarial Testing durchführen, sofern die Modelle als „systemisches Risiko“ eingestuft werden

Wenn Sie GPAI in Ihre Produkte integrieren, müssen Sie diese Pflichten an Ihre nachgelagerten Partner weitergeben und sicherstellen, dass Ihre Anbieter die Anforderungen erfüllen.

3.4 Am stärksten betroffene Unternehmensbereiche

• Engineering & Produkt → CI/CD-Pipelines umfassen nun Datensatzvalidierung, Bias-Tests, Robustheitsprüfungen, Dokumentationsaktualisierungen und Protokolle für die Aufsicht.
• Recht & Compliance → CE-Kennzeichnungsunterlagen, Konformitätsbewertungen, Vertragsklauseln für Anbieter und Leitfäden für die Kommunikation mit Aufsichtsbehörden.
• Beschaffung & Lieferantenmanagement → Neue Sorgfaltspflichten bei Lieferanten: Herkunft von Trainingsdaten, Transparenzberichte, Meldewege für Vorfälle.
• Vertrieb & Verkauf → Compliance wird zum Vertrauensbeweis bei Ausschreibungen. CE-Kennzeichnungen und Transparenzberichte für GPAI können Sicherheitsprüfungen verkürzen.

3.5 Kosten und Risiken

Compliance ist nicht kostenlos. Rechnen Sie mit Auswirkungen auf das Budget durch Audits, Dokumentationsaufwand, Mitarbeiterschulungen und mögliche Systemanpassungen. Für kleinere Unternehmen können Vorlagen und Verhaltenskodizes die Last verringern, doch eine grundlegende Governance-Struktur bleibt unerlässlich.

Bußgelder steigen schnell an:

• Bis zu 40 Millionen Euro oder 7 % des weltweiten Jahresumsatzes bei verbotenen Praktiken
• Bis zu 20 Millionen Euro oder 4 % bei Verstößen gegen Transparenz- und Governance-Vorgaben
• Bis zu 10 Millionen Euro oder 2 % bei sonstigen Verstößen

Noch vor den Bußgeldern können Untersuchungen und behördliche Anordnungen den Geschäftsbetrieb stören und den Ruf schädigen.

So integrieren Sie den EU AI Act in Ihre Prozesse

Sie brauchen keine juristische Abhandlung, sondern einen wiederholbaren Prozess, den Sie quartalsweise anwenden können. Hier ist ein praktischer Ablauf, den Sie ab heute umsetzen können.

4.1 Erfassen Sie Ihren KI-Fußabdruck und Ihre Rollen

Listen Sie jedes System auf, das nutzt oder stellt bereit KI in Ihrem Produkt und Back-Office. Kennzeichnen Sie Ihre Rolle für jedes System: Anbieter, Betreiber, Importeuroder Händler—denn die Pflichten variieren je nach Rolle. Betreiber müssen beispielsweise Systeme gemäß Anweisung nutzen, menschliche Aufsicht sicherstellen, Mitarbeiter informieren und Protokolle mindestens sechs Monate lang aufbewahren.

4.2 Risikoklassifizierung frühzeitig vornehmen

Ordnen Sie jedes System den Risikoklassen des Gesetzes zu. Prüfen Sie, ob es sich um ein Hochrisikosystem gemäß Artikel 6/Anhang III handelt (z. B. Personalwesen, Bildung, kritische Infrastrukturen). Falls ja, planen Sie strenge Kontrollen ein; falls nein, beachten Sie die Transparenzpflichten für Systeme mit begrenztem Risiko. Halten Sie dieses Verzeichnis aktuell und überprüfen Sie es bei Funktionsänderungen erneut.

4.3 Ein schlankes Qualitätsmanagementsystem (QMS) aufbauen

Für Hochrisikosysteme ist ein QMS für Anbieter verpflichtend. Integrieren Sie Verfahren für Risikomanagement, Datensatz-Governance, Tests, Dokumentation, menschliche Aufsicht, Vorfallmanagement und CE-Kennzeichnung. Betrachten Sie dies als eine Produktdisziplin, nicht als bloße Aktenablage.

4.4 Menschliche Aufsicht in die UX integrieren

Menschliche Aufsicht ist kein bloßes Häkchen. Definieren Sie wer eingreifen kann, wann Warnmeldungen zu sehen sind und wie das System übersteuert werden kann. Dokumentieren Sie vorhersehbare Fehlbedienungen und die Schutzmaßnahmen, die diese minimieren. Integrieren Sie diese Kontrollen direkt in die Arbeitsumgebung der Nutzer.

4.5 Dokumentieren Sie, als stünde ein Audit bevor

Erstellen Sie lebendige technische Dokumentationen: Zweck, Einschränkungen, Architektur, Datenquellen, Evaluierungspläne und bekannte Risiken. Führen Sie versionierte Protokolle und Änderungshistorien – Sie werden diese für die Marktüberwachung und, bei hohem Risiko, für die Konformitätsbewertung benötigen. Automatisieren Sie die Nachweiserbringung so weit wie möglich.

4.6 Bereiten Sie sich auf die CE-Konformität vor (falls zutreffend)

Wenn Ihre KI als Hochrisiko-KI eingestuft ist, planen Sie den Konformitätsbewertungsprozess frühzeitig. Einige Kategorien erfordern eine interne Kontrolle, andere eine notifizierte Stelle. Überlassen Sie die Beweissammlung nicht der Woche vor der Veröffentlichung – verknüpfen Sie sie mit Ihrer CI/CD-Pipeline. Bringen Sie die CE-Kennzeichnung an, sobald Sie die Anforderungen erfüllen.

4.7 Richten Sie sich nach harmonisierten Normen

Verfolgen Sie die CEN-CENELEC Arbeit an KI-Normen und übernehmen Sie relevante Standards, sobald diese veröffentlicht werden. Harmonisierte Normen bieten eine Konformitätsvermutung, was Unklarheiten und Reibungsverluste bei Audits reduziert. Beauftragen Sie jemanden damit, Normenaktualisierungen zu überwachen und in Checklisten zu überführen.

4.8 Etablieren Sie eine Marktüberwachung

Legen Sie fest, wie Sie Probleme nach dem Launch erkennen: durch Telemetrie, Fehlerberichte, Nutzerfeedback sowie regelmäßige Prüfungen auf Bias und Genauigkeit. Definieren Sie, wann Sie Behörden über schwerwiegende Vorfälle informieren müssen und wie schnell Sie die Fakten zusammenstellen können. Führen Sie jetzt einen Probelauf durch; improvisieren Sie nicht erst im Krisenfall.

4.9 Governance für GPAI (falls Sie diese entwickeln oder bereitstellen)

Wenn Sie KI für allgemeine Zwecke, erstellen Sie Zusammenfassungen von urheberrechtlich geschützten Trainingsinhalten und Transparenzberichten. Verfolgen Sie den Verhaltenskodex für KI für allgemeine Zwecke sowie die offizielle Vorlage für Zusammenfassungen von Trainingsdaten – deren Unterzeichnung und Nutzung kann Ihren Compliance-Aufwand verringern.

4.10 Sorgen Sie für eine aufsichtsbehördliche Bereitschaft

Kennen Sie Ihre Aufsichtsbehörden: Ihre nationale Behörde sowie das EU-Büro für Künstliche Intelligenz (insbesondere bei KI für allgemeine Zwecke). Führen Sie eine zentrale Datenquelle für Dokumente und benennen Sie ein Reaktionsteam. Führen Sie „Table-Top“-Übungen durch, damit Sie Nachweise schnell und schlüssig erbringen können.

4.11 Hygiene bei Anbietern und Verträgen

Wenn Sie KI einkaufen , fordern Sie Risikoklassifizierungen, Verwendungszwecke, technische Dokumentationen, Modellkarten, Zusammenfassungen der Datenquellen (für KI für allgemeine Zwecke) und SLAs für Vorfälle an. Verankern Sie die Verantwortlichkeiten zwischen Anbieter und Anwender in Verträgen, damit keine Lücken bei Ihnen verbleiben. Überprüfen Sie Anbieter bei jeder größeren Veröffentlichung erneut.

4.12 Verknüpfen Sie es mit Ihrer Roadmap und Ihren Fristen

Richten Sie Ihren Plan am Zeitplan der EU aus: Das Gesetz ist in Kraft, mit breiter Anwendbarkeit ab dem 2. August 2026, sowie weiteren Terminen für KI für allgemeine Zwecke und andere Kapitel davor. Die Kommission hat bestätigt, dass es keine Pausegibt – identifizieren Sie Ihre Lücken also jetzt.

Noota: EU-konformer KI-Notizassistent

Noota verschlüsselt Ihre Daten Ende-zu-Ende und speichert sie in EU-Rechenzentren. Es entspricht der DSGVO sowie Unternehmenssicherheitsstandards wie SOC 2 und ISO 27001, damit Ihr Rechtsteam beruhigt sein kann.

Das Produkt wurde speziell für professionelle Meetings entwickelt. Es zeichnet auf, transkribiert und fasst zusammen – bei Videoanrufen, Telefoninterviews und persönlichen Gesprächen. So erfassen Sie jedes Detail, ohne zwischen verschiedenen Apps wechseln zu müssen.

• Sicherheit geht vor: Verschlüsselter Speicher mit Hosting in der EU und anerkannten Zertifizierungen unterstützt Sie bei der Einhaltung von Anforderungen an Datenspeicherung und Datenschutz.
• Transparente Arbeitsabläufe: Meeting-Aufzeichnungen, Transkripte und Zusammenfassungen schaffen einen nachvollziehbaren Pfad, den Sie bei internen Prüfungen vorlegen können.
• Datenschutzfreundliche Integrationen: Synchronisieren Sie Notizen und Ergebnisse mit Tools wie HubSpot , während Ihre Daten verschlüsselt in der EU verbleiben.
• Sprachen in großem Maßstab: Transkribieren Sie in über 80 Sprachen und übersetzen Sie in mehr als 30 – ideal für EU-Teams, die grenzüberschreitend arbeiten.

Sie möchten das Beste aus Ihren Meetings herausholen und dabei ein rechtskonformes KI-Tool nutzen? Testen Sie Noota jetzt kostenlos.