EU AI Act: Alles, was Sie wissen müssen

Wenn Ihr Unternehmen KI in Europa entwickelt, kauft oder nutzt, ist das EU-KI-Gesetz jetzt unerlässliche Lektüre.

Es gilt nicht nur für europäische Unternehmen, sondern auch für jede Organisation, deren KI den EU-Markt berührt.

In diesem Leitfaden erfahren Sie, was das EU-KI-Gesetz ist, wie seine Gesetzgebung strukturiert ist, welche konkreten Auswirkungen es auf Ihr Unternehmen hat und wie Sie seine Anforderungen in Ihre Arbeitsabläufe integrieren können.

Was ist das EU-KI-Gesetz

Das EU-KI-Gesetz ist das weltweit erste umfassende Gesetz für künstliche Intelligenz. Es legt harmonisierte Regeln für die Entwicklung, den Einsatz und die Überwachung von KI in der gesamten Europäischen Union fest.

Das Gesetz ist offiziell am 1. August 2024 nach Veröffentlichung im Amtsblatt der EU am 12. Juli 2024in Kraft getreten. Von da an werden seine Verpflichtungen schrittweise und nicht auf einmal eingeführt.

Sie werden das Gesetz als Verordnung (EU) 2024/1689bezeichnet sehen. Da es sich um eine Verordnung (und nicht um eine Richtlinie) handelt, gelten die Regeln in jedem Mitgliedstaat direkt, ohne dass eine nationale Umsetzung erforderlich ist.

Wenn Sie KI-Modelle für allgemeine Zwecke (GPAI)entwickeln oder integrieren, fügt das Gesetz zusätzliche Transparenz- und Governance-Pflichten hinzu. Eine EU KI-Büro innerhalb der Europäischen Kommission koordiniert diese Regeln, insbesondere für GPAI, und arbeitet mit nationalen Behörden bei der Durchsetzung zusammen.

Die Anforderungen des Gesetzes werden schrittweise eingeführt. Es ist heute in Kraft, wobei Verbote verbotener Praktiken zuerst angewendet werden, dann GPAI-Pflichten, und die meisten Hochrisikoverpflichtungen später folgen. Der offizielle Zeitplan hebt die Veröffentlichung im Amtsblatt (12. Juli 2024) und das Inkrafttreten (1. August 2024) hervor, gefolgt von einer gestaffelten Anwendbarkeit. Die Kommission hat außerdem bekräftigt, dass die Fristen trotz Forderungen der Industrie nach Verzögerungen bestehen bleiben.

EU-KI-Gesetz: Gesetzgebung und Regulierungsstruktur

Um zu verstehen, wie das EU-KI-Gesetz Ihre Pflichten prägt, beleuchten wir seine legislative Architektur, die wichtigsten Pflichten nach Risikostufe und wie die Durchsetzung integriert ist.

Verbotene KI-Praktiken (die „rote Linie“)

Einige KI-Anwendungen sind ausdrücklich verboten. Das Gesetz verbietet KI-Systeme, die:

• Subliminale oder manipulative Techniken verwenden, subliminale oder manipulative Techniken die das Verhalten ohne bewusste Wahrnehmung verzerren.
• Vulnerable Gruppen (aufgrund von Alter, Behinderung, sozialem Status) in einer Weise ausnutzen, die Schaden verursacht.
• Soziales Scoring oder eine verallgemeinerte Verhaltensklassifizierung durchführen, die zu diskriminierender oder ungerechter Behandlung führt.
• Biometrische Kategorisierung verwenden, um sensible Merkmale wie Rasse, Religion, sexuelle Orientierung abzuleiten (außer in streng regulierten Anwendungen der Strafverfolgung).

Fällt Ihr System in eine dieser Kategorien, ist es in der EU nicht zulässig.

Der risikobasierte Ansatz (was für Sie gilt)

Das Gesetz staffelt die Pflichten nach Risiko, damit Sie die Compliance für einfache Tools nicht übermäßig komplex gestalten und kritische Tools nicht unzureichend regulieren. So sind die Stufen zu verstehen und was Sie tun sollten.

Minimales oder vernachlässigbares Risiko.
Denken Sie an Spamfilter oder harmlose Automatisierungen. Sie haben keine schwerwiegenden rechtlichen Pflichten gemäß dem Gesetz. Machen Sie weiter, aber befolgen Sie gute technische Praktiken.

Begrenztes Risiko.
Wenn Nutzer direkt mit Ihrer KI interagieren – wie einem Chatbot oder einer Empfehlungsmaschine – müssen Sie transparent machen, dass sie mit einer KI interagieren. Machen Sie diese Offenlegung in Ihrer UX klar und zeitnah.

Hohes Risiko.
Dies betrifft KI, die in kritischen Bereichen wie Personalbeschaffung, Bildung, Gesundheitswesen, kritischer Infrastruktur und dem Zugang zu wesentlichen Dienstleistungen eingesetzt wird. Hierfür ist eine robuste Governance erforderlich: Risikomanagement, strenge Datenqualitätskontrollen, menschliche Aufsicht, technische Dokumentation, Genauigkeit und Robustheit, Audit-Protokolle und eine Konformitätsbewertung vor dem Inverkehrbringen. Wenn Sie ein Anbieter sind, erwarten Sie erhebliche Vorarbeiten vor der Markteinführung und eine kontinuierliche Überwachung danach.

Allzweck-KI (GPAI).
Wenn Sie ein breites Modell entwickeln oder bereitstellen, das andere nachgelagert anpassen werden, tragen Sie zusätzliche Transparenz- und Dokumentationspflichten. Möglicherweise müssen Sie eine Zusammenfassung der urheberrechtlich geschützten Trainingsdatenquellen veröffentlichen und Modellkarten sowie Transparenzberichte pflegen. Bei Modellen mit „systemischem Risiko“ sind tiefgreifendere Tests und Überprüfungen der adversariellen Robustheit zu erwarten.

Sie können sich auch für freiwillige Verhaltenskodizes entscheiden, wenn Sie außerhalb des Hochrisiko- oder GPAI-Bereichs agieren, was eine kluge Möglichkeit ist, Kunden und Aufsichtsbehörden gegenüber Rechenschaftspflicht zu demonstrieren.

Pflichten für Hochrisiko-KI-Systeme

Wenn Ihre KI als Hochrisiko, treten mehrere Verantwortlichkeiten in Kraft – insbesondere wenn Sie ein Anbietersind. Sie müssen:

• Einrichten und pflegen von Risikomanagementsystemen , um Risiken zu erkennen, zu bewerten und zu mindern.
• Sicherstellen der Datenqualität, des Bias-Managements, der Validierung und des Testens von Trainings- und Eingabedatensätzen.
• Erstellen und pflegen technische Dokumentation (Design, Architektur, Steuerungslogik, Einschränkungen).
• Implementieren menschliche Aufsicht, damit Menschen eingreifen oder Entscheidungen außer Kraft setzen können.
• Erfüllen Genauigkeit, Robustheit, Cybersicherheit, Zuverlässigkeit Anforderungen.
• Beibehalten Überwachung nach dem Inverkehrbringen und schwerwiegende Vorfälle oder Fehlfunktionen melden.
• Anbringen CE-Kennzeichnung / Konformitätsbewertung, oft über benannte Stellen in der EU.

Was ... betrifft, Bereitsteller (die KI-Systeme nutzen), sind ihre Pflichten geringer, aber dennoch bedeutsam: Nutzungsrichtlinien befolgen, den Betrieb im Kontext überwachen, Protokolle mindestens sechs Monate lang aufbewahren, Arbeitnehmer und Nutzer über Risiken informieren.

Besondere Regeln für KI-Systeme mit allgemeinem Verwendungszweck (GPAI)

GPAI-Modelle sind mehr als nur Werkzeuge – sie sind Infrastruktur. Deshalb behandelt das Gesetz sie besonders:

• Anbieter müssen veröffentlichen Zusammenfassungen der urheberrechtlich geschützten Daten die zum Training verwendet wurden.
• Sie müssen technische Dokumentationen, Modellkarten und Transparenzberichte pflegen.
• Das Modell muss so konzipiert sein, dass es die Generierung illegaler Inhalte (z. B. Hassrede, Desinformation) verhindert.
• Für GPAI-Modelle, die als „systemisches Risiko“ eingestuft werden, können zusätzliche Tests, Prüfungen der adversariellen Robustheit und Berichtspflichten gelten.

Schließlich können sich Nicht-Hochrisiko- oder Nicht-GPAI-Systeme weiterhin für freiwillige Verhaltenskodizes gemäß dem Gesetz (Titel III).

Governance, Durchsetzung & Strafen

Ein gutes Gesetz ist nur so stark wie sein Durchsetzungsmechanismus. Die Governance des EU-KI-Gesetzes ist vielschichtig.

Europäisches KI-Amt & Beratungsgremien

Das KI-Gesetz richtet ein KI-Amt innerhalb der Europäischen Kommission ein, um die EU-weite Einhaltung, insbesondere für GPAI, zu überwachen und die Durchsetzung zwischen den nationalen Behörden zu koordinieren. Zu den Beratungsgremien gehören der Europäische Ausschuss für künstliche Intelligenz, ein Wissenschaftliches Gremium und ein Beratungsforum.

Nationale Behörden & Marktüberwachung

Jeder EU-Mitgliedstaat muss nationale zuständige Behörden (Marktüberwachungsbehörden) benennen, um die Einhaltung zu überwachen, Inspektionen durchzuführen und Strafen durchzusetzen. Diese Behörden benennen auch benannte Stellen die Konformitätsbewertungen für Hochrisikosysteme durchführen.

Durchsetzungsbefugnisse und -grenzen

Nationale Behörden verfügen über Untersuchungsbefugnisse (Anforderungen von Dokumenten, Prüfungen) gemäß der Verordnung 2019/1020 über die Produktkonformität. Für GPAI hat das EU-KI-Büro die Befugnis zur direkten Aufsicht. Es gibt jedoch Verfahrensgarantien: Anfragen nach Dokumenten, die mit der internen Rechtsabteilung ausgetauscht wurden, sind geschützt, und Unternehmen haben das Recht, vor Entscheidungen angehört zu werden.

Sanktionen bei Nichteinhaltung

Verstöße werden nach Schweregrad gestaffelt. Die wichtigsten Bußgelder sind:

• Bis zu 40 Millionen Euro oder 7 % des weltweiten Umsatzes für verbotene Praktiken.
• Bei Verstößen gegen Transparenz-, Datengovernance- oder Informationspflichten: bis zu 20 Millionen Euro oder 4 % des Umsatzes.
• Sonstige Verstöße: bis zu 10 Millionen Euro oder 2 % des Umsatzes.

Öffentliche Stellen, Anwälte oder Bürger können Beschwerden bei nationalen Behörden einreichen. Regulierungsbehörden können Korrekturmaßnahmen anordnen, die Aussetzung von KI-Systemen verlangen oder Bußgelder verhängen.

Welche konkreten Auswirkungen hat die EU-KI-Verordnung auf Unternehmen

Die EU-KI-Verordnung ist keine abstrakte Vorschrift. Sie verändert Ihre Roadmap, Ihre Governance und wie Sie in Europa verkaufen. Hier ist, was Sie wissen müssen.

3.1 Wer ist betroffen

Die Verordnung gilt weitreichend. Sie bindet:

• Anbieter – Unternehmen, die KI entwickeln oder auf dem EU-Markt in Verkehr bringen
• Anwender – Unternehmen, die KI innerhalb der EU einsetzen
• Importeure und Vertreiber – Unternehmen, die KI-Systeme in die EU einführen oder weiterverkaufen

Es gilt auch extraterritorial: Wird Ihr System in der EU eingesetzt, fallen Sie in den Geltungsbereich, unabhängig davon, wo Sie es entwickelt oder hosten.

3.2 Fristen, die Sie beachten müssen

Das Gesetz trat am 1. August 2024in Kraft, aber die Pflichten werden schrittweise eingeführt:

• Februar 2025 → Verbote unzulässiger Praktiken und Pflichten zur KI-Kompetenz gelten
• August 2025 → Regeln für Allzweck-KI (GPAI) treten in Kraft
• August 2026 → der Großteil der Pflichten für die meisten Systeme gilt
• August 2027 → Hochrisiko-KI, die mit bestehenden EU-Produktsicherheitsvorschriften verknüpft ist, muss diesen entsprechen

Diese Fristen sind fix. Die Kommission hat bereits bestätigt, dass es keine pauschalen Verzögerungen geben wird.

3.3 Neue Pflichten, die Sie einplanen müssen

Für Hochrisiko-KI-Systeme, müssen Sie:

• Ein Risikomanagementsystem betreiben
• Hochwertige, auf Verzerrungen geprüfte Datensätze verwenden
• Detaillierte technische Dokumentation erstellen und pflegen
• Menschliche Aufsicht integrieren
• Anforderungen an Genauigkeit, Robustheit und Cybersicherheit erfüllen
• Prozesse zur Marktüberwachung und Vorfallsberichterstattung aufrechterhalten
• Konformitätsbewertung bestehen und CE-Kennzeichnung anbringen

Anbieter tragen die meisten dieser Pflichten, aber Betreiber müssen auch Nutzungsrichtlinien befolgen, Protokolle führen, Systeme in ihrem realen Kontext überwachen und betroffene Personen bei Bedarf informieren.

Für GPAI-Modellemüssen Anbieter:

• Zusammenfassungen urheberrechtlich geschützter Trainingsdaten veröffentlichen
• Transparenzberichte und technische Dokumentation erstellen
• Schutzmaßnahmen gegen illegale Inhalte konzipieren
• Adversarielles Testen durchführen, wenn Modelle als „systemisches Risiko“ eingestuft werden

Wenn Sie GPAI in Ihre Produkte integrieren, müssen Sie diese Pflichten weitergeben und sicherstellen, dass Ihre Anbieter die Vorschriften einhalten.

3.4 Am stärksten betroffene Geschäftsfunktionen

• Entwicklung & Produkt → CI/CD-Pipelines umfassen jetzt Datensatzvalidierung, Bias-Tests, Robustheitsprüfungen, Dokumentationsaktualisierungen und Protokolle zur Überwachung.
• Recht & Compliance → CE-Kennzeichnungsdateien, Konformitätsbewertungen, Vertragsklauseln für Anbieter und Playbooks für die Reaktion auf Regulierungsbehörden.
• Beschaffung & Lieferantenmanagement → neue Sorgfaltspflichten bei Lieferanten: Herkunft der Trainingsdaten, Transparenzberichte, Incident-Pfade.
• Vertrieb & Verkauf → Compliance wird zu einem Vertrauenssignal in Ausschreibungen. CE-Kennzeichnung und GPAI-Transparenzberichte können Sicherheitsüberprüfungen verkürzen.

3.5 Kosten und Risiken

Compliance ist nicht kostenlos. Rechnen Sie mit Budgetauswirkungen durch Audits, Dokumentation, Schulung neuer Mitarbeiter und potenzielle Systemneugestaltungen. Für kleinere Unternehmen erleichtern Vorlagen und Verhaltenskodizes die Last, aber eine Governance-Grundlage ist dennoch erforderlich.

Bußgelder steigen schnell an:

• Bis zu 40 Millionen Euro oder 7 % des weltweiten Jahresumsatzes für verbotene Praktiken
• Bis zu 20 Millionen Euro oder 4 % bei Verstößen gegen Transparenz und Governance
• Bis zu 10 Millionen Euro oder 2 % für sonstige Verstöße

Schon vor Bußgeldern können Untersuchungen und Korrekturanordnungen den Betrieb stören und den Ruf schädigen.

So integrieren Sie den EU AI Act in Ihre Prozesse

Sie brauchen keine juristische Abhandlung. Sie brauchen ein wiederholbares Playbook, das Sie jedes Quartal anwenden können. Hier ist eine praktische Abfolge, die Sie noch heute übernehmen können.

4.1 Erfassen Sie Ihren KI-Fußabdruck und Ihre Rollen

Listen Sie jedes System auf, das KI nutzt oder bereitstellt KI in Ihrem Produkt und Backoffice. Geben Sie für jedes System an, welche Rolle Sie innehaben: Anbieter, Betreiber, Importeur, oder Händler– denn die Pflichten ändern sich je nach Rolle. Betreiber müssen beispielsweise Systeme gemäß den Anweisungen nutzen, menschliche Aufsicht gewährleisten, Mitarbeiter informieren und Protokolle mindestens sechs Monate lang aufbewahren.

4.2 Risiken frühzeitig klassifizieren

Ordnen Sie jedes System den Risikostufen des Gesetzes zu. Prüfen Sie, ob es sich um ein Hochrisikosystem gemäß Artikel 6/Anhang III handelt (z. B. Einstellung, Bildung, kritische Dienste). Wenn ja, planen Sie strenge Kontrollen; wenn nein, beachten Sie etwaige Transparenzpflichten für Systeme mit begrenztem Risiko. Halten Sie dieses Inventar aktuell und überprüfen Sie es erneut, wenn sich Funktionen ändern.

4.3 Ein schlankes Qualitätsmanagementsystem (QMS) aufbauen

Für Hochrisikosysteme ist ein QMS für Anbieter obligatorisch. Integrieren Sie Verfahren für Risikomanagement, Datensatz-Governance, Tests, Dokumentation, menschliche Aufsicht, Vorfallbehandlung und CE-Kennzeichnung. Behandeln Sie es wie eine Produktdisziplin, nicht wie einen Aktenordner.

4.4 Menschliche Aufsicht in das UX-Design integrieren

Menschliche Aufsicht ist keine reine Formsache. Definieren Sie wer eingreifen kann, wann Alarme angezeigt werden, und wie sie das System übersteuern. Dokumentieren Sie vorhersehbaren Missbrauch und die Schutzmaßnahmen, die ihn reduzieren. Platzieren Sie diese Kontrollen dort, wo Benutzer tatsächlich arbeiten.

4.5 Prüfungssicher dokumentieren

Erstellen Sie fortlaufende technische Dokumentationen: Zweck, Einschränkungen, Architektur, Datenquellen, Bewertungspläne und bekannte Risiken. Führen Sie versionierte Protokolle und eine Änderungshistorie – Sie benötigen diese für die Überwachung nach dem Inverkehrbringen und, bei hohem Risiko, für die Konformitätsbewertung. Automatisieren Sie die Erfassung von Nachweisen so weit wie möglich.

4.6 Auf CE-Konformität vorbereiten (falls zutreffend)

Wenn Ihre KI hochriskant ist, planen Sie den Konformitätsbewertungs- pfad frühzeitig. Einige Kategorien nutzen interne Kontrollen; andere erfordern eine benannte Stelle. Überlassen Sie die Nachweiserfassung nicht der Veröffentlichungswoche – verknüpfen Sie sie mit Ihrem CI/CD. Bringen Sie das CE-Zeichen an, wenn Sie die Anforderungen erfüllen.

4.7 An harmonisierten Standards ausrichten

Verfolgen Sie CEN-CENELEC -Arbeiten an KI-Standards und übernehmen Sie relevante, sobald sie veröffentlicht werden. Harmonisierte Standards schaffen eine Vermutung der Konformität, reduzieren Unklarheiten und Audit-Reibung. Benennen Sie eine verantwortliche Person, die Normenaktualisierungen verfolgt und diese in Checklisten umsetzt.

4.8 Post-Market-Monitoring einrichten

Entscheiden Sie, wie Sie Probleme nach der Markteinführung erkennen werden: Telemetrie, Fehlerberichte, Benutzerfeedback und regelmäßige Bias-/Genauigkeitsprüfungen. Definieren Sie, wann Sie Behörden über einen schwerwiegenden Vorfall informieren müssen und wie schnell Sie Fakten zusammentragen können. Führen Sie jetzt einen Probelauf durch; erfinden Sie dies nicht erst in einer Krise.

4.9 Governance für GPAI (wenn Sie darauf aufbauen oder es bereitstellen)

Wenn Sie Allzweck-KIanbieten, erstellen Sie Zusammenfassungen von urheberrechtlich geschützten Trainingsinhalten und Transparenzberichten. Verfolgen Sie den GPAI-Verhaltenskodex der Kommission und die offizielle Vorlage für Trainingsdaten-Zusammenfassungen – deren Unterzeichnung und Nutzung kann Ihren Compliance-Aufwand reduzieren.

4.10 Eine regulatorisch vorbereitete Haltung einnehmen

Kennen Sie Ihre Regulierungsbehörden: Ihre nationale Behörde sowie das EU-KI-Büro (insbesondere für GPAI). Führen Sie eine einzige Quelle der Wahrheit für Dokumente und benennen Sie ein Reaktionsteam. Üben Sie „Table-Top“-Übungen, damit Sie schnell und kohärent Nachweise erbringen können.

4.11 Hygiene bei Anbietern und Verträgen

Wenn Sie KI kaufen , fordern Sie Risikoklassifizierung, Verwendungszweck, technische Dokumente, Modellkarten, Datenquellen-Zusammenfassungen (für GPAI) und Incident-SLAs an. Berücksichtigen Sie die Verantwortlichkeiten von Anbietern und Betreibern in Verträgen, damit Lücken nicht auf Sie zurückfallen. Bewerten Sie Anbieter bei jeder größeren Veröffentlichung neu.

4.12 Verknüpfen Sie es mit Ihrer Roadmap und Ihren Fristen

Richten Sie Ihren Plan an der EU-Zeitlinie aus: Das Gesetz ist in Kraft, mit breiter Anwendbarkeit ab dem 2. August 2026, und zusätzlichen Terminen für GPAI und andere Kapitel davor. Die Kommission hat bestätigt, dass es keine Pausegibt – ordnen Sie Ihre Lücken jetzt ein

Noota: EU-konformer KI-Notiz-Assistent

Noota verschlüsselt Ihre Daten Ende-zu-Ende und speichert sie in EU-Rechenzentren. Es entspricht den Anforderungen der DSGVO und Unternehmenssicherheitsstandards wie SOC 2 und ISO 27001, damit Ihr Rechtsteam aufatmen kann.

Das Produkt wurde speziell für professionelle Meetings entwickelt. Es zeichnet auf, transkribiert und fasst zusammen bei Videoanrufen, Telefoninterviews und persönlichen Gesprächen – so erfassen Sie jedes Detail, ohne zwischen Apps wechseln zu müssen.

• Sicherheit zuerst: In der EU gehosteter, verschlüsselter Speicher mit anerkannten Zertifizierungen hilft Ihnen, Anforderungen an Datenresidenz und Datenschutz zu erfüllen.
• Transparenter Workflow: Die Erfassung von Meetings, Transkripte und Zusammenfassungen erzeugen eine nachvollziehbare Spur, die Sie bei internen Überprüfungen vorlegen können.
• Datenschutzfreundliche Integrationen: Synchronisieren Sie Notizen und Ergebnisse mit Tools wie HubSpot während die Daten in der EU und verschlüsselt bleiben.
• Sprachen im großen Umfang: Transkribieren Sie in über 80 Sprachen und übersetzen Sie in über 30 – nützlich für EU-Teams, die grenzüberschreitend tätig sind.

Möchten Sie das Beste aus Ihrem Meeting mit einem konformen KI-Tool herausholen? Testen Sie Noota jetzt kostenlos.