Das KI-Gesetz der EU: Was es ist, wie man sich darauf vorbereitet und wo man mehr darüber erfahren kann 

Einführung

Am 29. Juni 2026 haben die EU-Gesetzgeber eine Fristverlängerung beschlossen, die sich auf in der EU ansässige Unternehmen auswirkt, aber auch auf Organisationen, die in der EU geschäftlich tätig sind oder Daten von EU-Bürgern verarbeiten. In diesem Blogbeitrag erläutern wir, was sich geändert hat, was unverändert bleibt, sowie drei zeitkritische Maßnahmen, die im Vorfeld des Inkrafttretens des KI-Gesetzes der EU für viele Unternehmen weltweit zu ergreifen sind.

Was ist das KI-Gesetz der EU?

Die Verordnung (EU) 2024/1689 trat am 1. August 2024 als weltweit erstes umfassendes KI-Gesetz in Kraft. Es klassifiziert KI-Systeme nach ihrem Risiko in vier Stufen und legt die jeweiligen gesetzlichen Auflagen fest:

1. Inakzeptables Risiko (vollständig verboten)
2. Hohes Risiko (umfangreiche Dokumentations- und Überwachungsaufgaben)
3. Begrenztes Risiko (Transparenzpflichten)
4. Minimales Risiko (keine besonderen Pflichten)

Das Gesetz führt die Pflichten schrittweise über mehrere Jahre ein. Sie gelten je nach Zugehörigkeit zu folgenden Gruppen:

• Anbieter: Unternehmen, die KI-Systeme entwickeln.
• Bereitsteller: Jede Organisation, die ein KI-System im beruflichen Umfeld einsetzt.
• Importeur: Bringt das KI-System eines Anbieters aus einem Nicht-EU-Land auf den EU-Markt.
• Verteiler: Stellt ein KI-System in der EU zur Verfügung, ohne dessen Anbieter oder Importeur zu sein.
• Befugter Vertreter: Ein in der EU ansässiges Unternehmen, das von einem Anbieter außerhalb der EU damit beauftragt wurde, in dessen Namen die Konformität sicherzustellen.
• Produkthersteller: Wird ein KI-System mit hohem Risiko unter eigenem Namen in ein Produkt integriert, übernimmt der Hersteller die Anbieterpflichten.

Das Verbot verbotener Praktiken und die Pflicht zur KI-Kompetenz gelten seit dem 2. Februar 2025; die Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck (GPAI) gelten seit dem 2. August 2025.

Der Teil, der sich kürzlich geändert hat

Nach der Abstimmung des Europäischen Parlaments am 16. Juni wurde der Vorschlag für das Digital Omnibus on AI am 29. Juni 2026 zum Gesetz, was die Fristen für die Einhaltung der Vorschriften für Hochrisiko-Systeme neu ansetzt. Gemäß Anhang III haben eigenständige Hochrisikosysteme nun bis zum 2. Dezember 2027 Zeit, die Anforderungen zu erfüllen. Branchen, die bereits reguliert sind, wie beispielsweise das Gesundheitswesen, in dem risikoreiche KI in Medizinprodukten zum Einsatz kommt, haben bis zum 2. August 2028 Zeit, die Vorschriften zu erfüllen.

Der Teil, der sich nicht geändert hat

Kapitel IV: Transparenzpflichten für Anbieter und Betreiber bestimmter KI-Systeme, Artikel 50, der die Offenlegung von KI-Interaktionen und die Kennzeichnung von KI-generierten Inhalten vorschreibt, behält seine ursprüngliche Frist vom 2. August 2026 bei.

So gehen Sie vor: drei zeitlich festgelegte Maßnahmen

Artikel 50: Jetzt die Konformität bestätigen

Frist: 2. August 2026

Für Unternehmen könnte es schwierig sein, diesen Aspekt zu quantifizieren, da hier keine so klare Unterscheidung zwischen verschiedenen Klassifizierungen von KI-Systemen – wie beispielsweise „hohes“ oder „niedriges Risiko“ – getroffen wird. Insbesondere die Transparenzvorschriften gemäß Artikel 50 gelten für alle KI-Systeme und betreffen somit mehr Organisationen als andere Bestimmungen:

• Interagiert mit Menschen
• Erstellt/bearbeitet Inhalte
• Erkennt emotionale Signale
• Kategorisiert Benutzer anhand biometrischer Merkmale

Typische Beispiele für den Einsatz solcher KI-Systeme in Unternehmen:

• Chatbots
• Inhaltsgeneratoren
• Virtuelle Agenten

Wasserzeichen für Inhalte: Eine Übergangsfrist, kein Freibrief

Frist: 2. Dezember 2026

In Bezug auf generative KI (GenAI) fordert diese Bestimmung maschinenlesbare Wasserzeichen in generierten Inhalten. Für Systeme, die bis zum 2. August 2026 auf dem Markt sind, gilt eine viermonatige Übergangsfrist. Systeme, die nach dem 2. August 2026 auf den Markt kommen, müssen die Anforderungen ab dem Datum ihrer Markteinführung erfüllen.

Roadmap für Bereiche mit hohem Risiko: Neuausrichtung, nicht auf Eis legen

Frist: 2. Dezember 2027 (Pflichten für eigenständige Hochrisikosysteme nach Anhang III) und 2. August 2028 (Pflichten für produktintegrierte Hochrisikosysteme nach Anhang I)

Die für die Umsetzung der Anforderungen zur Konformität erforderlichen technischen Standards werden möglicherweise erst kurz vor Ablauf der neuen Fristen 2027/2028 endgültig festgelegt. Organisationen, die von diesen Fristen betroffen sind, wird dringend empfohlen, die gewonnene Zeit für die Bewertung, Erstellung der technischen Dokumentation und Aspekte der Konformität im Zusammenhang mit der menschlichen Aufsicht zu nutzen und dabei den KI-Checker für die Konformität einzusetzen, um sich entsprechend vorzubereiten.

Was dies für Schulen und Unternehmen bedeutet

Da der Schwerpunkt des Gesetzes auf Systemanbietern liegt, könnten einige IT- und Konformität-Verantwortliche zu der Annahme gelangen, dass ihr Unternehmen nicht unter dieses Gesetz fällt. Diese Annahme wird noch komplexer, wenn Stellen mehrere Rollen erfüllen.

Mehrere Rollen und die Vererbung von Pflichten

Stellen Sie sich einen Angestellten einer Schule vor, der mithilfe eines schuleigenen Geräts Schülerdaten an ein KI-System übermittelt. Dann gilt Folgendes: Wenn das KI-Tool von der Einrichtung genehmigt wurde, wechselt die Hauptrolle der Schule gemäß den Definitionen der Verpflichtungen im KI-Gesetz der EU von „Benutzer“ zu „Bereitsteller“. Dadurch sind Sie nun dafür verantwortlich, alle weiteren geltenden Pflichten zu erfüllen.

Kenntnisse im Bereich KI erforderlich

Eine Bestimmung, die für alle Organisationen gilt, deren Mitarbeiter, Auftragnehmer oder Anbieter mit KI-Systemen interagieren. Das Gesetz zur KI-Kompetenz ist gemäß Artikel 4 am 2. Februar 2025 in Kraft getreten. Es schreibt vor, dass Benutzer im Umgang mit KI durch Schulungen aufgeklärt werden müssen, wobei sie über Risiken und häufige Probleme wie Halluzinationen sowie über die Bedeutung der Überprüfung von Informationsquellen aufgeklärt werden müssen.

Wie bei Artikel 4 sind Bildung und Berufsbildung nach Anhang III ausdrücklich als Hochrisiko eingestuft. Da minderjährige Schüler und deren sensible Daten involviert sind, gelten strengere Dokumentations- und Transparenzregeln.

Schatten-KI

Zu den größten Risiken für viele Organisationen zählt die Nutzung von KI-Tools durch Mitarbeiter (oder Schüler) außerhalb der vom Unternehmen bzw. der Schule genehmigten Kanäle. Die Verwendung ungeprüfter Tools birgt Risiken für Unternehmen; das Gesetz verpflichtet diese, die Konformität mit den Vorschriften wie folgt nachzuweisen:

• Identifizierung von Assets und KI-Tools
• Risikobewertung und -management
• Durchsetzung der Daten-Governance
• Umsetzung von Transparenzvorschriften
• Verpflichtung der Beteiligten zur Teilnahme an KI-Schulungen

Die Lücken, die der „Schatten-KI“ Tür und Tor öffnen, bleiben nicht für immer unsichtbar: Auditoren, Cyber-Versicherer und Beschaffungsteams stellen – unabhängig von ihrer Zuständigkeit – Fragen, die sich auf die Bereitstellung beziehen und die Unternehmen aller Branchen für die Konformität kennen müssen.

Wo Sie mehr erfahren können

• KI-Gesetz der Europäischen Kommission: Hier erhalten Sie einen allgemeinen Überblick über das Gesetz, erfahren, warum es notwendig ist, und lernen die verschiedenen darin enthaltenen Komponenten kennen.
• Recht der Europäischen Union: Bekannt als EUR-Lex, enthält diese Website den vollständigen Text der EU-KI-Verordnung (neben anderen EU-Gesetzen).
• Rat der Europäischen Union: Offizielle Pressemitteilungen des EU-Rates, darunter Themen, die für das KI-Gesetz der EU von zentraler Bedeutung sind.

Das Wichtigste auf einen Blick: Drei Dinge, die sich dadurch heute für IT- und Verantwortliche für Konformität ändern

1. Transparenz: Ein Verbot allein bedeutet noch keine Einhaltung der Vorschriften. Sie benötigen Einblicke in Ihre verwaltete Flotte, um die Nutzung von KI-Tools zu steuern.
2. Kompetenz statt bloßer Richtlinien: Richtlinien zum Einsatz von KI ohne nachgewiesene Schulungen erfüllen nicht die von der EU bereits festgelegten Anforderungen.
3. Kontrolle der Datengrenzen: Der Kontext ist entscheidend für die Risikominimierung – Überwachung bedeutet, zu kontrollieren, wer auf welche Daten zugreifen darf und wann und wo diese genutzt werden dürfen.

Hinweis: Die oben genannten Termine dienen lediglich als Planungsgrundlage – sie stellen keine Rechtsberatung dar. Die hier dargestellten Informationen ersetzen nicht die Gespräche, die Organisationen mit ihren jeweiligen Rechts- und Compliance-Teams führen sollten, bevor sie eine Roadmap zur Konformität fertigstellen oder eine öffentliche Erklärung zum Status der Organisation im Rahmen des EU-KI-Gesetzes abgeben.