Leitfaden
Was ist der EU AI Act?
Ein Leitfaden zur Verordnung (EU) 2024/1689 — dem ersten umfassenden KI-Gesetz der Welt — und was es für Ihr Unternehmen bedeutet.
Was ist der EU AI Act?
Der EU AI Act (offiziell Verordnung (EU) 2024/1689) ist das erste umfassende Gesetz der Europäischen Union zur Regulierung künstlicher Intelligenz. Betrachten Sie ihn als DSGVO für KI — einen rechtlichen Rahmen, der festlegt, wie KI-Systeme in der EU entwickelt, bereitgestellt und genutzt werden dürfen.
Er wurde vom Europäischen Parlament im März 2024 verabschiedet und trat im August 2024 in Kraft. Die Pflichten werden ab Februar 2025 schrittweise eingeführt, wobei die strengsten Regeln für Hochrisiko-KI-Systeme im Dezember 2027 vollständig gelten (durch den Digital Omnibus verschoben).
Warum gibt es ihn?
Der EU AI Act wurde geschaffen, um drei Kernprobleme zu lösen:
- Sicherheit. KI-Systeme können echten Schaden verursachen — voreingenommene Einstellungen, unsichere medizinische Entscheidungen, diskriminierende Kreditbewertungen. Das Gesetz verlangt von Anbietern, diese Risiken vor dem Einsatz zu bewerten und zu mindern.
- Vertrauen. Menschen müssen wissen, wann sie mit einer KI interagieren, wie Entscheidungen getroffen werden und dass sie diese anfechten können. Das Gesetz schreibt Transparenz und menschliche Aufsicht vor.
- Faire Wettbewerbsbedingungen. Ohne gemeinsame Regeln erhalten Unternehmen, die bei der Sicherheit Abstriche machen, einen Wettbewerbsvorteil. Das Gesetz legt einen einheitlichen Standard für alle 27 EU-Mitgliedstaaten fest.
Für wen gilt er?
Das Gesetz gilt für zwei Hauptgruppen:
- Anbieter — Organisationen, die KI-Systeme entwickeln oder auf dem EU-Markt bereitstellen, unabhängig von ihrem Standort. Wenn Ihr KI-System Menschen in der EU betrifft, fallen Sie in den Anwendungsbereich.
- Betreiber — Organisationen, die ein KI-System beruflich innerhalb der EU nutzen. Selbst wenn Sie das System von jemand anderem gekauft haben, haben Sie Compliance-Pflichten.
Es gibt begrenzte Ausnahmen für rein persönliche Nutzung, Forschung und nationale Sicherheit.
Die vier Risikostufen
Das Gesetz verwendet einen risikobasierten Ansatz. Es reguliert nicht alle KI gleichermaßen — die Pflichten steigen mit dem Schadenspotenzial.
Unannehmbares Risiko (verboten)
KI-Systeme, die eine klare Bedrohung für Sicherheit, Lebensgrundlagen oder Rechte darstellen, sind verboten. Dazu gehören Social Scoring durch Regierungen, Echtzeit-Biometrieüberwachung im öffentlichen Raum und KI, die gefährdete Gruppen manipuliert.
Hohes Risiko (reguliert)
Hier liegt der Großteil der Compliance-Pflichten. Hochrisiko umfasst KI in kritischer Infrastruktur, Bildung, Beschäftigung, Strafverfolgung, Migration, Zugang zu wesentlichen Dienstleistungen und Systeme zur Profilerstellung von Personen.
Begrenztes Risiko (Transparenz)
Systeme wie Chatbots und Deepfake-Generatoren müssen Nutzer darüber informieren, dass sie mit KI interagieren oder dass Inhalte KI-generiert wurden.
Minimales Risiko (unreguliert)
Die überwiegende Mehrheit der KI-Systeme — Spamfilter, Empfehlungsmaschinen, KI-gestützte Videospiele — ist nicht reguliert.
Was Sie tun müssen (Hochrisiko)
Wenn Ihr KI-System als hochriskant eingestuft ist, müssen Sie:
- Ein Risikomanagementsystem einrichten (Artikel 9) — Risiken während des gesamten Lebenszyklus identifizieren, bewerten und mindern.
- Technische Dokumentation erstellen (Artikel 11) — detaillierte Beschreibung des Systems, seines Designs, Entwicklungsprozesses, Trainingsdaten, Testergebnisse und Cybersicherheitsmaßnahmen.
- Transparenz gewährleisten (Artikel 13) — Nutzern mitteilen, was das System tut, seine Grenzen und wie sie Aufsicht ausüben können.
- Menschliche Aufsicht ermöglichen (Artikel 14) — das System so gestalten, dass Menschen es überwachen, übersteuern oder stoppen können.
- Ein Qualitätsmanagementsystem implementieren (Artikel 17) — Prozesse dokumentieren, Verantwortung zuweisen und Prüfpfade führen.
- In der EU-Datenbank registrieren — vor dem Inverkehrbringen.
- Eine EU-Konformitätserklärung ausstellen und die CE-Kennzeichnung anbringen.
Das ist viel Papierkram. Genau dafür wurde Evideva entwickelt — es generiert die benötigte Dokumentation aus einem geführten Fragebogen.
Fristen & Zeitplan
Digital Omnibus veröffentlicht. Die Verordnung (EU) 2026/1744 wurde am 24. Juli 2026 im Amtsblatt veröffentlicht und trat am 27. Juli 2026 in Kraft. Sie ändert den AI Act formell und verschiebt die Hochrisiko-Compliance-Frist von August 2026 auf Dezember 2027.
Was passiert bei Nichteinhaltung?
Die Bußgelder nach dem EU AI Act sind erheblich:
- Bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes — für Verstöße gegen verbotene KI-Praktiken.
- Bis zu 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes — für die Nichteinhaltung von Hochrisiko-Pflichten.
- Bis zu 7,5 Millionen Euro oder 1 % des weltweiten Jahresumsatzes — für die Übermittlung falscher Informationen an Behörden.
Die Bußgelder sind die Obergrenze. Nationale Regulierungsbehörden setzen die Regeln durch. Die Botschaft ist klar: Dies ist nicht optional.
Offizielle Ressourcen
- Volltext der Verordnung (EU) 2024/1689
Der offizielle Gesetzestext auf EUR-Lex. Alle 113 Artikel und 13 Anhänge.
- AI Act - Zusammenfassung
Eine lesbare, abschnittsweise Aufschlüsselung des Gesetzes mit Zeitleisten-Darstellungen.
- FAQ der Europäischen Kommission zum AI Act
Offizielle FAQ der Europäischen Kommission zu Anwendungsbereich, Pflichten und Durchsetzung.
- EU-Digitalstrategie - KI-Regulierungsrahmen
Die Politikseite der Kommission mit zusätzlichen Leitlinien und Updates.
Want to go deeper?
- Check your AI system's risk level — find out in 30 seconds whether your system is high-risk under the Act.
- See how Evideva works — generate all required compliance documentation from a guided questionnaire.
- View pricing — from free risk classification to enterprise compliance packages.
Bereit für die Compliance?
Evideva generiert die gesamte benötigte Dokumentation. Starten Sie mit einer kostenlosen Risikoprüfung — kein Konto erforderlich.