EU-KI-VerordnungCompliance:Abdem2.August2026greifendieGPAI-Bußgelder
Die EU-KI-Verordnung (EU AI Act, Verordnung (EU) 2024/1689) ist bereits verbindlich. Seit dem 2. Februar 2025 ist die KI-Alphabetisierungsschulung verpflichtend (Artikel 4) und inakzeptable KI-Praktiken sind verboten. Seit dem 2. August 2025 gelten die Pflichten für GPAI-Modelle und der Governance-Rahmen. Am 2. August 2026 greifen die Anforderungen für Hochrisiko-KI nach Anhang III und die Bußgelder gegen GPAI-Anbieter werden anwendbar: bis zu 35 Mio. € oder 7% des weltweiten Jahresumsatzes. Wir diagnostizieren Ihre Compliance in 2-3 Wochen.
Zeitplan der EU-KI-Verordnung: bereits geltende Fristen
Was jetzt gilt und was am 2. August 2026 kommt.
2. Februar 2025 (IN KRAFT): KI-Alphabetisierung verpflichtend für alle Mitarbeiter (Art. 4) und Verbot inakzeptabler KI-Praktiken (subliminale Manipulation, Social Scoring, biometrische Massenüberwachung). 2. August 2025 (IN KRAFT): Pflichten für KI-Modelle mit allgemeinem Verwendungszweck (GPAI), Governance-Rahmen und allgemeines Sanktionsregime. 2. August 2026 (NÄCHSTE FRIST): vollständige Anforderungen für Hochrisiko-KI-Systeme nach Anhang III (Risikomanagement, Datenqualität, Transparenz, menschliche Aufsicht, Robustheit) und die Bußgelder gegen Anbieter von GPAI-Modellen werden anwendbar. 2. August 2027: Pflichten für Hochrisiko-KI, die in regulierte Produkte nach Anhang I integriert ist (Maschinen, Medizinprodukte, Spielzeug), sowie für GPAI-Modelle, die vor dem 2. August 2025 in Verkehr gebracht wurden.
Was unser Service umfasst
Vom Inventar zur dokumentierten Konformität.
Private KI: der kürzeste Weg zur Compliance
Ihre Daten, Ihre KI. Unmöglich zu kopieren, leichter zu auditieren.
Die EU-KI-Verordnung zu erfüllen ist deutlich einfacher, wenn Sie das System kontrollieren. Eine private KI mit Ihren Daten auf Ihrer eigenen Infrastruktur (privates RAG, Modelle unter Ihrer Kontrolle) liefert genau das, was das Gesetz verlangt: Nachverfolgbarkeit von Entscheidungen, Daten-Governance, Transparenz und echte menschliche Aufsicht. Die Abhängigkeit von einem intransparenten Drittanbieter-SaaS entzieht Ihnen diese Pflichten, weil Sie nicht sehen, welche Daten eingehen, wie entschieden wird oder wo verarbeitet wird. Wir bauen Ihr Enterprise RAG auf Daten auf, die Ihre Kontrolle nicht verlassen, und begleiten es mit KI-Beratung, damit Architektur und Compliance gemeinsam vorankommen.
Executive Summary
Was Sie wissen müssen, um zu handeln.
Die EU-KI-Verordnung hat bereits zwei geltende Fristen: Seit dem 2. Februar 2025 ist die KI-Alphabetisierungsschulung verpflichtend (Art. 4) und inakzeptable KI-Praktiken sind verboten. Seit dem 2. August 2025 haben GPAI-Modelle Transparenz- und Governance-Pflichten. Der 2. August 2026 ist die Hauptfrist: Hochrisiko-KI-Systeme müssen vollständige Anforderungen an Risikomanagement, Datenqualität, Transparenz und menschliche Aufsicht erfüllen, und die Bußgelder gegen GPAI-Anbieter werden anwendbar.
Die Bußgelder übersteigen die der DSGVO: bis zu 35 Mio. € oder 7% des weltweiten Jahresumsatzes. Es ist ein kurzes Zeitfenster mit Budget dahinter: Wer die Frist mit fertiger Konformitätsakte erreicht, vermeidet Sanktionen und verschafft sich einen Vorsprung gegenüber Wettbewerbern, die noch nicht gehandelt haben. Der Ausgangspunkt ist die Diagnose: zu wissen, welche KI-Systeme Sie betreiben, ihr Risikolevel und was Ihnen fehlt.
Zusammenfassung für CTO / Tech-Team
Technische Anforderungen und Konformitäts-Framework.
Die EU-KI-Verordnung verlangt ein kontinuierliches Risikomanagementsystem für Hochrisiko-KI: Dokumentation des Trainingsdatensatzes (Herkunft, Qualität, Verzerrungen), Leistungs- und Fairness-Metriken, Logging automatisierter Entscheidungen, Mechanismen zur menschlichen Aufsicht (Human-in-the-Loop) und Robustheitstests gegen Adversarial Attacks, ein Feld, das wir mit unserem Service für Cybersicherheit teilen.
Für Chatbots und nutzersichtbare KI-Funktionalitäten verlangt das Gesetz klare Transparenz: Der Nutzer muss wissen, dass er mit KI interagiert, KI-generierte Inhalte müssen als solche gekennzeichnet werden (einschließlich Deepfakes), und es muss einen Mechanismus geben, um menschliche Intervention anzufordern. GPAI-Modelle benötigen vollständige technische Dokumentation einschließlich Model Cards.
Ist es für Sie geeignet?
Die EU-KI-Verordnung betrifft jede Organisation, die KI-Systeme im europäischen Markt nutzt oder entwickelt.
Für wen
- Unternehmen, die Chatbots, virtuelle Assistenten oder generative KI im Kundenservice nutzen.
- Organisationen, die KI für HR-Entscheidungen nutzen (Auswahl, Leistungsbeurteilung).
- Finanzunternehmen, die KI für Kreditscoring oder Betrugserkennung einsetzen.
- Jede Organisation, die KI nutzt und zur KI-Alphabetisierung verpflichtet ist (Art. 4).
- Softwareanbieter, die KI-Modelle in ihre Produkte integrieren.
- Gesundheitsunternehmen, die KI für Diagnose, Triage oder Behandlung einsetzen.
Für wen nicht
- KI-Systeme, die ausschließlich für wissenschaftliche Forschung genutzt werden (ausgenommen).
- Open-Source-KI mit minimalem Risiko und ohne direkte kommerzielle Nutzung.
- Rein militärische KI-Systeme oder Systeme der nationalen Verteidigung (außerhalb der EU-KI-Verordnung).
EU-KI-Verordnung Konformitätsservices
Pakete angepasst an jede Phase der Verordnung.
KI-Alphabetisierungsschulung
Bereits geltende Pflicht (Art. 4). Schulungsprogramm angepasst an die Rolle jedes Mitarbeiters: Was ist KI, wie funktioniert sie, Risiken, ethische Nutzung und rechtliche Pflichten. Format: Präsenzworkshop oder E-Learning. Teilnahmezertifikat zur Konformitätsdokumentation.
Inventar und Risikoklassifizierung
Vollständige Kartierung aller genutzten KI-Systeme (eigene und von Dritten). Klassifizierung nach Risikolevel gemäß Anhang III: inakzeptabel, hoch, begrenzt oder minimal. Identifizierung von Konformitätslücken und priorisierte Roadmap.
Folgenabschätzung und Dokumentation
Für Hochrisiko-Systeme: Folgenabschätzung bezüglich Grundrechte, technische Dokumentation gemäß Anhang IV (Trainingsdaten, Metriken, Verzerrungen, Minderungsmaßnahmen) und Vorbereitung der Konformitätsakte.
KI-Governance und Monitoring
Design und Implementierung eines KI-Governance-Programms: interne Richtlinien, AI Risk Registry, KI-Ethikkomitee, Genehmigungsworkflows für neue Systeme und kontinuierliches Monitoring von Leistung und Fairness.
Chatbot- und KI-Funktions-Konformität
Spezifisches Audit von Chatbots, virtuellen Assistenten und generativen KI-Funktionalitäten: Transparenz, Kennzeichnung von KI-generierten Inhalten, Mechanismus zur Anforderung menschlicher Intervention und Erfüllung der Pflichten für Systeme mit begrenztem Risiko.
KI-Compliance-Diagnose: Was Sie erhalten
Der Ausgangspunkt, lieferbar in 2-3 Wochen.
- Vollständiges Inventar der KI-Systeme (eigene und von Dritten)
- Risikoklassifizierung jedes Systems (Anhang III)
- Gap-Analyse gegenüber der EU-KI-Verordnung
- Verifizierung, dass kein System unter verbotene Praktiken fällt
- Stand der KI-Alphabetisierung (Art. 4) in Ihrem Team
- Priorisierter Aktionsplan mit Verantwortlichen und Fristen
- Ergebnissitzung mit Führung und Tech-Team
- Lieferung in 2-3 Wochen
Investition
Von der Diagnose zum vollständigen Konformitätsprogramm.
Referenzbereiche je nach Anzahl der KI-Systeme, ihrem Risikolevel und der Größe der Organisation. Immer weniger als ein Bußgeld von 7% des Umsatzes.
KI-Compliance-Diagnose
Der Ausgangspunkt. In 2-3 Wochen wissen Sie, welche Systeme Sie betreiben, ihr Risiko und was Ihnen fehlt.
- Inventar aller KI-Systeme (eigene und von Dritten)
- Risikoklassifizierung gemäß Anhang III
- Gap-Analyse gegenüber der EU-KI-Verordnung
- Priorisierter Aktionsplan mit Fristen
- Ergebnissitzung mit Ihrem Team
KI-Alphabetisierungsschulung
Die Pflicht nach Art. 4, bereits in Kraft. Programm angepasst an jede Rolle.
- Inhalte nach Profil (Führung, Technik, Nutzer)
- Präsenzworkshop oder E-Learning
- Teilnahmezertifikat
- Material abgestimmt mit dem Europäischen KI-Büro
Vollständiges Konformitätsprogramm
Um die Frist mit fertiger Konformitätsakte zu erreichen.
- Alles aus der Diagnose
- Technische Dokumentation (Anhang IV)
- Folgenabschätzung und KI-Governance
- Menschliche Aufsicht und Entscheidungs-Logging
- Vorbereitung auf Audit und Zertifizierung
Keine Bindung. Kündigung mit 30 Tagen Vorlauf.
Konformitätsprozess
Vom Inventar zur dokumentierten Konformität.
Inventar
Wir kartieren alle KI-Systeme in Ihrer Organisation: Chatbots, prädiktive Modelle, HR-Tools, Scoring, Automatisierungen. Einschließlich Dritt-KI (OpenAI-, Google-, Azure-AI-APIs), die Sie nutzen.
Klassifizierung
Wir klassifizieren jedes System nach Risikolevel gemäß Anhang III. Identifizierung spezifischer Pflichten: Transparenz für begrenztes Risiko, vollständige Anforderungen für Hochrisiko, und Verifizierung, dass kein System unter verbotene Praktiken fällt.
Remediation
Wir implementieren die notwendigen technischen und organisatorischen Maßnahmen: technische Dokumentation, Folgenabschätzung, Governance-Richtlinien, Teamschulung, menschliche Aufsichtsmechanismen und Entscheidungs-Logging.
Dokumentation und Monitoring
Wir erstellen die vollständige Konformitätsakte: technische Dokumentation (Anhang IV), Folgenabschätzung, Registrierung in der EU-Datenbank (für Hochrisiko) und kontinuierliches Post-Deployment-Monitoring-System.
Risiken, die wir mindern
Von der regulatorischen Exposition zur verifizierten Konformität.
Bußgelder wegen Nichtkonformität (bis 35 Mio. € / 7% Umsatz)
Vollständiges Konformitätsprogramm: Inventar, Klassifizierung, Dokumentation und Monitoring. Konformitätsakte bereit für regulatorische Inspektion.
Nichterfüllung der KI-Alphabetisierung (bereits geltende Pflicht)
An jede Rolle angepasstes Schulungsprogramm mit Teilnahmezertifizierung. Inhalte aktualisiert gemäß den Leitlinien des Europäischen KI-Büros.
Undokumentierte Hochrisiko-KI-Systeme
Umfassendes Inventar + technische Dokumentation gemäß Anhang IV: Trainingsdaten, Leistungsmetriken, Verzerrungsanalyse und Minderungsmaßnahmen.
Chatbots und generative KI ohne Transparenz
Audit aller KI-Schnittstellen: klare Kennzeichnung der KI-Interaktion, Markierung generierter Inhalte und Mechanismus zur Anforderung menschlicher Intervention.
Echte Erfahrung in angewandter KI und Konformität
Bei Kiwop entwickeln und integrieren wir seit Jahren KI-Lösungen für Unternehmen: intelligente Chatbots, Enterprise RAG, KI-Agenten und LLM-Integration. Diese technische Erfahrung aus erster Hand ermöglicht es uns, die Regulierung aus der Perspektive des Entwicklers zu verstehen, nicht nur des Rechtsberaters. Wir wissen, was Konformität bedeutet, weil wir die Systeme bauen, die konform sein müssen.
EU-KI-Verordnung vs DSGVO: was sich ändert und was sich addiert
Die EU-KI-Verordnung ersetzt die DSGVO nicht: Sie ergänzt sie.
Wenn Ihre Organisation bereits DSGVO-konform ist, haben Sie eine Basis, aber die EU-KI-Verordnung fügt spezifische Anforderungen für KI-Systeme hinzu, die die DSGVO nicht abdeckt: Risikoklassifizierung, technische Modelldokumentation, Bewertung algorithmischer Verzerrungen, verpflichtende menschliche Aufsicht und KI-spezifische Transparenz. Die Bußgelder der EU-KI-Verordnung übersteigen die DSGVO: bis zu 7% des weltweiten Umsatzes vs 4% der DSGVO. Beide Vorschriften gelten gleichzeitig: Ein Chatbot, der personenbezogene Daten verarbeitet, muss beide erfüllen. Unser Service für Privacy Engineering deckt die Datenschutzseite ab.
Häufig gestellte Fragen
Was Unternehmen über die EU-KI-Verordnung fragen.
Was ist die EU-KI-Verordnung (EU AI Act) und wann gilt sie?
Die EU-KI-Verordnung (EU AI Act, Verordnung (EU) 2024/1689) ist die weltweit erste umfassende KI-Regulierung. Sie trat am 1. August 2024 in Kraft und gilt stufenweise: 2. Februar 2025 (KI-Alphabetisierung + verbotene Praktiken), 2. August 2025 (GPAI-Pflichten + Governance), 2. August 2026 (Hochrisiko-KI nach Anhang III und Bußgelder gegen GPAI-Anbieter) und 2. August 2027 (in Anhang-I-Produkte integrierte Hochrisiko-KI). Sie gilt für jede Organisation, die KI im EU-Markt anbietet oder nutzt.
Für wen gilt die EU-KI-Verordnung?
Sie gilt für jede Organisation, die KI-Systeme im EU-Markt entwickelt, anbietet oder nutzt, unabhängig davon, ob sie ihren Sitz in Europa hat. Sie unterscheidet nicht nach Branche oder Größe: ein KMU, das einen Chatbot nutzt, eine Bank mit Kreditscoring oder ein US-Unternehmen mit europäischen Kunden fallen alle darunter. Die konkreten Pflichten hängen von Ihrer Rolle (Anbieter oder Deployer) und dem Risikolevel des Systems ab, aber die KI-Alphabetisierung (Art. 4) gilt übergreifend.
Was ändert sich am 2. August 2026?
Es gelten die vollständigen Anforderungen für Hochrisiko-KI-Systeme nach Anhang III: Risikomanagement, Datenqualität, technische Dokumentation, menschliche Aufsicht und Robustheit. Am selben Tag werden die Bußgelder gegen Anbieter von GPAI-Modellen anwendbar; deren Pflichten gelten bereits seit dem 2. August 2025. Für Hochrisiko-KI, die in regulierte Produkte nach Anhang I integriert ist, gilt der 2. August 2027.
Wie hoch sind die Bußgelder bei Verstoß gegen die EU-KI-Verordnung?
Die Bußgelder übersteigen die der DSGVO: bis 35 Mio. € oder 7% des weltweiten Jahresumsatzes (der höhere Betrag zählt) für verbotene Praktiken. Für die meisten übrigen Verstöße, einschließlich der Pflichten für Hochrisiko-Systeme und GPAI-Anbieter: bis 15 Mio. € oder 3%. Für falsche oder irreführende Angaben gegenüber Behörden: bis 7,5 Mio. € oder 1%. Für KMU und Start-ups gilt jeweils der niedrigere der beiden Beträge.
Was ist ein Hochrisiko-KI-System?
Es ist ein KI-System, das nach Anhang III die Sicherheit oder die Grundrechte von Personen beeinträchtigen kann. Dazu gehören KI in Auswahl und HR-Management (CV-Filterung, Leistungsbeurteilung), Kreditscoring und Versicherungen, Justizverwaltung, Grenzkontrolle, kritische Infrastrukturen, Bildung (Zulassungen, Bewertungen) und Gesundheit (Diagnose, Triage). Wenn Ihre KI Entscheidungen beeinflusst, die Rechte von Personen betreffen, ist sie wahrscheinlich Hochrisiko.
Was ist ein KI-Modell mit allgemeinem Verwendungszweck (GPAI)?
Ein KI-Modell mit allgemeinem Verwendungszweck (GPAI) ist ein groß angelegt trainiertes Modell, das für viele verschiedene Aufgaben dient, wie GPT, Claude oder Gemini. Seine Anbieter haben seit dem 2. August 2025 Pflichten (technische Dokumentation, Transparenz, Urheberrechtskonformität), und die zugehörigen Bußgelder werden am 2. August 2026 anwendbar. Wenn Ihr Unternehmen eines dieser Modelle per API integriert, sind Sie Deployer und haben eigene Pflichten, auch wenn Sie nicht der Modellanbieter sind.
Mein KMU nutzt KI, entwickelt sie aber nicht. Welche Pflichten habe ich?
Auch wenn Sie nur Dritt-KI nutzen (ChatGPT, Copilot, ein Chatbot, ein HR-Tool), sind Sie Deployer und haben bereits Pflichten. Seit dem 2. Februar 2025 müssen Sie die KI-Alphabetisierung Ihres Teams sicherstellen (Art. 4) und dürfen keine verbotenen Praktiken einsetzen. Ist das System Hochrisiko, kommen menschliche Aufsicht, Transparenz und Folgenabschätzung hinzu. Diese Pflichten können nicht an den Modellanbieter delegiert werden. Prüfen Sie in zwei Minuten, welche auf Sie zutreffen, mit unserem EU-AI-Act-Selbsttest.
Was ist die verpflichtende KI-Alphabetisierung (Art. 4)?
Es ist die Pflicht, in Kraft seit dem 2. Februar 2025, dass jede Organisation, die KI-Systeme nutzt oder beaufsichtigt, sicherstellt, dass ihr Personal ausreichende Kenntnisse über KI hat: was sie ist, wie sie funktioniert, ihre Risiken und ihr verantwortungsvoller Einsatz. Ein allgemeiner Vortrag reicht nicht: Er muss an die Rolle jeder Person angepasst und dokumentiert werden. Es ist die erste Pflicht, die praktisch jedes Unternehmen betrifft, ob es KI entwickelt oder nicht.
Wie fange ich an, die EU-KI-Verordnung zu erfüllen?
Beginnen Sie damit, zu wissen, was Sie haben: Unser EU-AI-Act-Selbsttest ordnet Sie in zwei Minuten ein, kostenlos. Für die vollständige Bestandsaufnahme: Unsere KI-Compliance-Diagnose inventarisiert alle Ihre KI-Systeme, klassifiziert sie nach Risikolevel (Anhang III), erkennt die Lücken gegenüber der Verordnung und liefert einen priorisierten Aktionsplan in 2-3 Wochen. Von da an wissen Sie genau, was zu tun ist und in welcher Reihenfolge, ohne verfrüht zu investieren. Wenn Sie tiefer in die Architektur einsteigen möchten, begleiten wir sie mit KI-Beratung.
Wo kann ich mehr über den AI Act lesen?
Wir haben einen vollständigen Leitfaden zur EU-KI-Verordnung für Unternehmen veröffentlicht, mit dem Anwendungszeitplan, den Risikostufen, den Pflichten je Rolle und den konkreten Schritten zur Vorbereitung. Wenn Sie es lieber auf Ihren eigenen Fall angewendet haben möchten, gibt Ihnen die KI-Compliance-Diagnose den realen Stand Ihrer Organisation gegenüber der Verordnung.
Ab dem 2. August 2026 greifen die GPAI-Bußgelder: erreichen Sie die Frist vorbereitet
Die KI-Alphabetisierung ist bereits Pflicht und die Hochrisiko-Frist steht vor der Tür. Beginnen Sie mit der KI-Compliance-Diagnose: In 2-3 Wochen wissen Sie, welche Systeme Sie betreiben, ihr Risiko und was Ihnen fehlt.
Compliance-Diagnose anfragen Technische
Erstberatung.
KI, Sicherheit und Performance. Diagnose mit phasenweisem Vorschlag.
Ihr erstes Meeting ist mit einem Solutions Architect, nicht mit einem Verkäufer.
Diagnose anfordern