EU-KI-Verordnung Compliance: GPAI-Bußgelder gelten, Hochrisiko ab Dezember 2027

Die EU-KI-Verordnung (EU AI Act, Verordnung (EU) 2024/1689) ist die weltweit erste umfassende KI-Regulierung. Sie trat am 1. August 2024 in Kraft und gilt stufenweise: 2. Februar 2025 (KI-Alphabetisierung + verbotene Praktiken), 2. August 2025 (GPAI-Pflichten + Governance), 2. August 2026 (allgemeine Anwendung, Transparenz und Bußgelder gegen GPAI-Anbieter), 2. Dezember 2027 (Hochrisiko-KI nach Anhang III) und 2. August 2028 (in Anhang-I-Produkte integrierte Hochrisiko-KI). Die beiden letzten Daten hat die Verordnung (EU) 2026/1744 festgelegt. Sie gilt für jede Organisation, die KI im EU-Markt anbietet oder nutzt.

Sie gilt für jede Organisation, die KI-Systeme im EU-Markt entwickelt, anbietet oder nutzt, unabhängig davon, ob sie ihren Sitz in Europa hat. Sie unterscheidet nicht nach Branche oder Größe: ein KMU, das einen Chatbot nutzt, eine Bank mit Kreditscoring oder ein US-Unternehmen mit europäischen Kunden fallen alle darunter. Die konkreten Pflichten hängen von Ihrer Rolle (Anbieter oder Deployer) und dem Risikolevel des Systems ab, aber die KI-Alphabetisierung (Art. 4) gilt übergreifend.

Am 2. August 2026 wurden die Bußgelder gegen Anbieter von GPAI-Modellen anwendbar (deren Pflichten gelten seit dem 2. August 2025), ebenso die Transparenzpflichten nach Art. 50, etwa der Hinweis, dass man mit einer KI spricht. Die Anforderungen an Hochrisiko-KI nach Anhang III (Risikomanagement, Datenqualität, technische Dokumentation, menschliche Aufsicht und Robustheit), die für dieses Datum vorgesehen waren, hat die Verordnung (EU) 2026/1744 auf den 2. Dezember 2027 verschoben. Hochrisiko-KI in Produkten nach Anhang I folgt am 2. August 2028.

Die Bußgelder übersteigen die der DSGVO: bis 35 Mio. € oder 7% des weltweiten Jahresumsatzes (der höhere Betrag zählt) für verbotene Praktiken. Für die meisten übrigen Verstöße, einschließlich der Pflichten für Hochrisiko-Systeme und GPAI-Anbieter: bis 15 Mio. € oder 3%. Für falsche oder irreführende Angaben gegenüber Behörden: bis 7,5 Mio. € oder 1%. Für KMU und Start-ups gilt jeweils der niedrigere der beiden Beträge.

Es ist ein KI-System, das nach Anhang III die Sicherheit oder die Grundrechte von Personen beeinträchtigen kann. Dazu gehören KI in Auswahl und HR-Management (CV-Filterung, Leistungsbeurteilung), Kreditscoring und Versicherungen, Justizverwaltung, Grenzkontrolle, kritische Infrastrukturen, Bildung (Zulassungen, Bewertungen) und Gesundheit (Diagnose, Triage). Wenn Ihre KI Entscheidungen beeinflusst, die Rechte von Personen betreffen, ist sie wahrscheinlich Hochrisiko.

Ein KI-Modell mit allgemeinem Verwendungszweck (GPAI) ist ein groß angelegt trainiertes Modell, das für viele verschiedene Aufgaben dient, wie GPT, Claude oder Gemini. Seine Anbieter haben seit dem 2. August 2025 Pflichten (technische Dokumentation, Transparenz, Urheberrechtskonformität), und die zugehörigen Bußgelder sind seit dem 2. August 2026 anwendbar. Wenn Ihr Unternehmen eines dieser Modelle per API integriert, sind Sie Deployer und haben eigene Pflichten, auch wenn Sie nicht der Modellanbieter sind.

Auch wenn Sie nur Dritt-KI nutzen (ChatGPT, Copilot, ein Chatbot, ein HR-Tool), sind Sie Deployer und haben bereits Pflichten. Seit dem 2. Februar 2025 müssen Sie Maßnahmen zur KI-Alphabetisierung Ihres Teams ergreifen (Art. 4) und dürfen keine verbotenen Praktiken einsetzen. Ist das System Hochrisiko, kommen menschliche Aufsicht, Transparenz und Folgenabschätzung hinzu. Diese Pflichten können nicht an den Modellanbieter delegiert werden. Prüfen Sie in zwei Minuten, welche auf Sie zutreffen, mit unserem EU-AI-Act-Selbsttest.

Es ist die Pflicht, in Kraft seit dem 2. Februar 2025, dass jede Organisation, die KI-Systeme nutzt oder beaufsichtigt, Maßnahmen ergreift, damit ihr Personal KI versteht: was sie ist, wie sie funktioniert, ihre Risiken und ihr verantwortungsvoller Einsatz. Seit der Verordnung (EU) 2026/1744 ist sie eine Bemühenspflicht: Sie verlangt kein bestimmtes Niveau jeder Person und keine Dokumentation. Wir empfehlen trotzdem, die Schulung an die Rolle anzupassen und sie festzuhalten, damit Sie sie nachweisen können. Es ist die erste Pflicht, die praktisch jedes Unternehmen betrifft, ob es KI entwickelt oder nicht.

Beginnen Sie damit, zu wissen, was Sie haben: Unser EU-AI-Act-Selbsttest ordnet Sie in zwei Minuten ein, kostenlos. Für die vollständige Bestandsaufnahme: Unsere KI-Compliance-Diagnose inventarisiert alle Ihre KI-Systeme, klassifiziert sie nach Risikolevel gemäß der Verordnung, erkennt die Lücken gegenüber der Verordnung und liefert einen priorisierten Aktionsplan in 2-3 Wochen. Von da an wissen Sie genau, was zu tun ist und in welcher Reihenfolge, ohne verfrüht zu investieren. Wenn Sie tiefer in die Architektur einsteigen möchten, begleiten wir sie mit KI-Beratung.

Auf dieser Seite finden Sie den aktuellen Zeitplan mit den Fristen der Verordnung (EU) 2026/1744 und die Links zu den amtlichen Texten auf EUR-Lex. Welche Pflichten Sie betreffen, zeigt Ihnen unser EU-AI-Act-Selbsttest: zehn Fragen und ein unverbindliches Ergebnis. Wenn Sie es lieber auf Ihren eigenen Fall angewendet haben möchten, gibt Ihnen die KI-Compliance-Diagnose den realen Stand Ihrer Organisation gegenüber der Verordnung.