KI-Verordnung

Die KI-Verordnung, englisch AI Act, ist die Verordnung (EU) 2024/1689 und regelt in der EU, wer künstliche Intelligenz anbieten und einsetzen darf und welche Pflichten dabei gelten. Sie teilt KI-Systeme nach ihrem Risiko ein und unterscheidet zwischen Anbietern und Betreibern. Auch wer ein Sprachmodell nur im Büroalltag nutzt, kann darunterfallen.

Kurz zusammengefasst:

• Seit dem 1. August 2024 in Kraft, die Regeln gelten gestaffelt.
• Vier Risikostufen: verboten, hohes Risiko, Transparenzrisiko, minimales Risiko.
• Die Digital-Omnibus-Verordnung (EU) 2026/1744 hat die Hochrisiko-Termine verschoben.
• In Deutschland ist die Bundesnetzagentur zentrale Aufsicht.
• Für kleine und mittlere Unternehmen gilt bei Geldbußen der niedrigere Höchstbetrag.

Die Risikostufen

Je größer das Risiko, desto strenger die Vorgaben. Die Europäische Kommission schreibt, dass die meisten KI-Systeme in der EU zur untersten Stufe gehören, Spamfilter zum Beispiel.

Anbieter oder Betreiber

Anbieter entwickeln ein KI-System oder lassen es entwickeln und bringen es unter eigenem Namen in der EU auf den Markt. Betreiber verwenden es in eigener Verantwortung, private Nutzung ausgenommen. Ein Betrieb, der ein Werkzeug wie ChatGPT beruflich nutzt, kann damit Betreiber sein. Welche Pflicht greift, hängt am konkreten Einsatz.

Eine Pflicht gilt unabhängig von der Risikostufe. Artikel 4 verlangt von Anbietern und Betreibern seit dem 2. Februar 2025 Maßnahmen zur KI-Kompetenz ihres Personals. Der Omnibus hat diesen Artikel gelockert: Maßnahmen sollen die Kompetenz unterstützen, ein bestimmtes Niveau muss niemand garantieren. Zertifikate oder einen KI-Beauftragten schreibt die Verordnung laut Bundesnetzagentur nicht vor. Die Behörde empfiehlt aber, die Maßnahmen festzuhalten. Laut Kommission sollte ein Betrieb, dessen Team etwa Werbetexte mit ChatGPT schreibt, über Risiken wie Halluzinationen informieren.

Die wichtigsten Termine

Die letzten beiden Termine lagen ursprünglich früher. Die Transparenzpflichten für Betreiber hat die Änderung nicht verschoben. Nur Anbieter von Systemen, die schon vor dem 2. August 2026 auf dem Markt waren, haben für die maschinenlesbare Markierung von KI-Ausgaben bis zum 2. Dezember 2026 Zeit.

Was das für deinen Betrieb und deine Website bedeutet

Im Betriebsalltag geht es meist um zwei Fragen. Die erste betrifft das Team: Wer nutzt welche KI, und weiß die Person, wo die Grenzen liegen? Die zweite betrifft alles, was nach außen geht: Ein Chatbot auf der Website, ein täuschend echtes Bild oder ein KI-Text zu einem Thema von öffentlichem Interesse können unter Artikel 50 fallen. Wofür sich der Einsatz wirtschaftlich lohnt, ist eine andere Frage, die unser Beitrag zu KI im Unternehmen aufgreift.

Für die wirtschaftliche Bewertung zählt der Rahmen: Verstöße gegen Pflichten wie Artikel 50 können nach Artikel 99 bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes kosten. Das sind Obergrenzen, bei kleinen und mittleren Unternehmen gilt der jeweils niedrigere Wert. Einen Einstieg bietet der KI-Service-Desk der Bundesnetzagentur, der sich laut Behörde besonders an kleine und mittlere Unternehmen richtet. Das Online-Werkzeug dort gibt eine erste Einschätzung zur Risikoklasse. Welche Pflicht im Einzelfall greift, kann das nicht abschließend klären, und manche Auslegung ist noch offen.

Diese Hinweise ersetzen keine Rechtsberatung.

Häufige Fragen

Gilt die KI-Verordnung auch für kleine Betriebe?

Eine allgemeine Ausnahme nach Betriebsgröße haben wir in den Unterlagen der Kommission nicht gefunden. Wer KI beruflich einsetzt, kann Betreiber sein. Für kleine und mittlere Unternehmen nennt die Kommission vereinfachte Wege bei einzelnen Pflichten und den niedrigeren Bußgeldrahmen.

Muss ich mein Team zu KI schulen?

Artikel 4 verlangt Maßnahmen, die KI-Kompetenz unterstützen, aber kein festes Format. Laut Bundesnetzagentur sind keine standardisierten Trainings vorgegeben. Nach Einsatz, Vorwissen und Risiko entscheidest du selbst, was passt.

Was hat sich durch den Digital Omnibus geändert?

Die Hochrisiko-Regeln wurden auf den 2. Dezember 2027 und den 2. August 2028 verschoben, Artikel 4 wurde gelockert, und ein weiteres Verbot kam hinzu. Die Transparenzpflichten für Betreiber gelten weiterhin seit dem 2. August 2026.

Wer überwacht die Einhaltung in Deutschland?

Seit dem 29. Juli 2026 gilt das KI-MIG. Die Bundesnetzagentur ist danach Marktüberwachungsbehörde, Anlaufstelle und Beschwerdestelle. In bestimmten Bereichen bleiben andere Behörden zuständig, etwa die BaFin im Finanzsektor.

Muss ich jeden KI-Text kennzeichnen?

Nein, nicht pauschal. Die Pflicht nach Artikel 50 betrifft KI-Texte, die die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informieren sollen, und entfällt, wenn ein Mensch den Inhalt geprüft hat und jemand die redaktionelle Verantwortung trägt.

Wo steckt auf deiner Website eigentlich KI?

Wir gehen gemeinsam durch, wo auf deiner Website KI im Spiel ist. Das macht die Fragen an deinen Rechtsbeistand konkreter.