Die EU-KI-Verordnung im Überblick.

Keine Rechtsberatung. Diese Seite fasst die Rechtslage allgemein und vereinfacht zusammen. Sie ersetzt nicht die Prüfung Ihres Einzelfalls durch eine Rechtsanwältin oder einen Rechtsanwalt. Stand: 22. Oktober 2026.

Was die Verordnung ist

Die Verordnung (EU) 2024/1689, kurz KI-Verordnung oder AI Act, ist das erste umfassende Gesetz der EU für künstliche Intelligenz. Sie gilt unmittelbar in allen Mitgliedstaaten. Pflichten haben vor allem Anbieter, die KI-Systeme entwickeln oder auf den Markt bringen, und Betreiber, die KI-Systeme in eigener Verantwortung beruflich einsetzen. Wie streng die Regeln sind, hängt vom Risiko eines Einsatzes ab.

Mit der Verordnung (EU) 2026/1744, dem „Digital Omnibus“ zur KI, wurde die KI-Verordnung im Juli 2026 geändert: Die Fristen für Hochrisiko-KI wurden verschoben, die Pflicht zur KI-Kompetenz neu gefasst und neue Verbote ergänzt.

Vier Risikostufen

• Unannehmbares Risiko – verboten (Art. 5): etwa Social Scoring, manipulative Techniken, die Menschen erheblich schaden, das ungezielte Sammeln von Gesichtsbildern aus dem Internet oder Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen. Ab dem 2. Dezember 2026 ist auch KI verboten, die ohne Einwilligung intime Darstellungen realer Personen oder Darstellungen sexuellen Kindesmissbrauchs erzeugt.
• Hohes Risiko (Art. 6, Anhänge I und III): KI in sensiblen Bereichen wie Personalauswahl, Bildung, Kreditwürdigkeitsprüfung oder kritischer Infrastruktur sowie KI in Produkten wie Maschinen oder Spielzeug. Hier gelten strenge Anforderungen an Risikomanagement, Daten, Dokumentation, Protokolle und menschliche Aufsicht.
• Transparenzpflichten (Art. 50): Chatbots müssen als KI erkennbar sein, KI-erzeugte Inhalte maschinenlesbar gekennzeichnet und Deepfakes offengelegt werden.
• Geringes oder kein Risiko: zum Beispiel Spamfilter oder KI in Videospielen. Dafür sieht die Verordnung keine besonderen Pflichten vor; die Pflicht zur KI-Kompetenz gilt aber beim Einsatz aller KI-Systeme.

Was das für Unternehmen bedeutet, die KI nutzen

Wer KI-Systeme in eigener Verantwortung beruflich einsetzt, ist nach der Verordnung Betreiber. Für die meisten Einsätze – Fragen beantworten, Texte entwerfen, Anfragen sortieren – sind diese Punkte am wichtigsten:

KI-Kompetenz (Art. 4)

Anbieter und Betreiber ergreifen Maßnahmen, um die KI-Kompetenz ihres Personals und anderer Personen zu fördern, die in ihrem Auftrag mit KI-Systemen arbeiten. Dabei zählen Vorwissen, Erfahrung und der Einsatzzweck. Seit der Neufassung durch den Digital Omnibus müssen sie kein bestimmtes Niveau garantieren; die Pflicht, Maßnahmen zu ergreifen, bleibt. Sinnvoll ist, Schulungen anzubieten und festzuhalten, wer was gelernt hat.

Transparenz bei Chatbots (Art. 50)

KI-Systeme, die direkt mit Menschen kommunizieren, müssen so gestaltet sein, dass die Menschen erfahren, dass sie mit einer KI interagieren – es sei denn, das ist offensichtlich. Der Hinweis muss spätestens bei der ersten Interaktion klar, eindeutig und barrierefrei erfolgen. Wer Deepfakes erzeugt oder KI-Texte zu Themen von öffentlichem Interesse veröffentlicht, muss das offenlegen; bei Texten entfällt das, wenn ein Mensch sie redaktionell geprüft hat und dafür verantwortlich ist.

Menschliche Aufsicht und Dokumentation

Für Hochrisiko-KI verlangt Art. 26 von Betreibern unter anderem: Einsatz nach Betriebsanleitung, menschliche Aufsicht durch Personen mit der nötigen Kompetenz und Befugnis, Überwachung des Betriebs und Aufbewahrung der automatisch erzeugten Protokolle für mindestens sechs Monate. Wer Hochrisiko-KI am Arbeitsplatz einsetzt, informiert vorher die Beschäftigten und ihre Vertretung. Diese Pflichten gelten ab dem 2. Dezember 2027. Auch außerhalb des Hochrisiko-Bereichs sind klare Zuständigkeiten, Freigaben durch Menschen und nachvollziehbare Protokolle gute Praxis.

Aufsicht in Deutschland

Seit dem 29. Juli 2026 gilt das KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG). Zuständige Marktüberwachungsbehörde ist grundsätzlich die Bundesnetzagentur. Sie ist auch zentrale Anlaufstelle und Beschwerdestelle und informiert Unternehmen über ihren KI-Service-Desk. Für KI-Systeme, die in direktem Zusammenhang mit regulierten Finanzdienstleistungen stehen und von beaufsichtigten Unternehmen eingesetzt werden, ist die BaFin zuständig.