EU-KI-Verordnung 2026: Der Vollständige Compliance-Leitfaden für Unternehmen

Die EU-KI-Verordnung (Verordnung (EU) 2024/1689), bekannt als AI Act, ist im August 2024 in Kraft getreten und ist die weltweit erste umfassende horizontale Regulierung künstlicher Intelligenz. Die Verbote für inakzeptable KI-Praktiken gelten seit Februar 2025. Die Pflichten für Hochrisiko-KI-Systeme greifen vollständig ab August 2026. Die Höchststrafen betragen 35 Mio. EUR oder 7 % des weltweiten Jahresumsatzes. Für Unternehmen ist der wichtigste erste Schritt, jedes KI-System, das sie entwickeln oder einsetzen, der richtigen Risikokategorie zuzuordnen.

Welche vier Risikokategorien gibt es in der EU-KI-Verordnung?

Die Verordnung teilt alle KI-Systeme in vier Stufen ein, je nach dem Risiko, das sie für Grundrechte und die öffentliche Sicherheit darstellen. Diese Klassifizierung bestimmt den gesamten Umfang der Compliance-Pflichten:

Welche KI-Praktiken sind seit Februar 2025 verboten?

Die folgenden Einsatzformen von KI wurden seit dem 2. Februar 2025 in der gesamten EU rechtswidrig. Jedes Unternehmen, das diese Systeme noch betreibt, riskiert unmittelbare Durchsetzungsmaßnahmen:

• Social-Scoring-Systeme von Behörden, die Bürger anhand ihres sozialen Verhaltens bewerten
• Biometrische Echtzeit-Fernidentifizierung in öffentlich zugänglichen Räumen (mit eng gefassten Ausnahmen für Strafverfolgungsbehörden)
• Unterschwellige Techniken oder bewusst täuschende Manipulation, die das Verhalten ohne Wissen des Nutzers verzerrt
• Ausnutzung von Schwachstellen bestimmter Gruppen (aufgrund von Alter, Behinderung, sozialer Lage)
• Predictive Policing, das ausschließlich auf Profiling ohne objektive, überprüfbare Anhaltspunkte für kriminelles Verhalten beruht
• Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen
• Erstellung von Gesichtserkennungsdatenbanken durch das Scrapen von Bildern aus dem Internet oder von Videoüberwachungsaufnahmen

Wie sieht der vollständige Zeitplan der EU-KI-Verordnung aus?

Welche Pflichten gelten für ein Unternehmen mit einem Hochrisiko-KI-System?

Wenn Ihr Unternehmen ein in Anhang III aufgeführtes KI-System entwickelt oder einsetzt (Recruiting, Kreditentscheidungen, Bildungsbewertung, kritische Infrastruktur, Strafverfolgung, Grenzkontrolle, Rechtspflege), müssen Sie ab August 2026 folgende Anforderungen erfüllen:

1. Ein dokumentiertes Risikomanagementsystem einrichten und kontinuierlich über den gesamten Lebenszyklus aktualisieren
2. Eine Konformitätsbewertung durchführen und die CE-Kennzeichnung anbringen
3. Das System vor der Markteinführung in der EU-KI-Datenbank registrieren
4. Vollständige technische Dokumentation erstellen (Systemspezifikation, Trainingsdaten, Leistungskennzahlen)
5. Einen aktiven Mechanismus zur menschlichen Aufsicht während des Einsatzes implementieren
6. Protokolle über Systementscheidungen zur Nachvollziehbarkeit und Prüfung führen
7. Ein Marktüberwachungssystem nach Markteinführung einrichten und schwerwiegende Vorfälle den Behörden melden

Compliance-Checkliste für die EU-KI-Verordnung für Unternehmen

1. Erfassen Sie alle KI-Systeme, die Ihr Unternehmen entwickelt oder einsetzt — einschließlich von Drittanbietern erworbener Tools
2. Klassifizieren Sie jedes System nach dem vierstufigen Risikorahmen (Anhang I und Anhang III)
3. Prüfen Sie, ob eines in die verbotene Kategorie fällt — stellen Sie den Betrieb in diesem Fall sofort ein
4. Für Hochrisiko-Systeme: Starten Sie das Konformitätsverfahren jetzt, um die Frist im August 2026 einzuhalten
5. Für Systeme mit begrenztem Risiko (Chatbots, Generatoren): implementieren Sie eine Transparenzhinweispflicht gegenüber Nutzern
6. Etablieren Sie eine KI-Governance-Richtlinie und benennen Sie einen internen KI-Compliance-Verantwortlichen
7. Aktualisieren Sie Verträge mit KI-Anbietern um Gewährleistungen zur Einhaltung der KI-Verordnung
8. Führen Sie ein internes KI-Register, das alle Systeme und ihre Klassifizierung dokumentiert

Häufig gestellte Fragen

Gilt die EU-KI-Verordnung auch für Unternehmen außerhalb der EU, die an europäische Kunden verkaufen?

Ja. Die KI-Verordnung hat extraterritoriale Wirkung: Sie gilt für jeden Anbieter, der KI-Systeme auf dem EU-Markt bereitstellt oder dessen Systeme in der EU genutzt werden, unabhängig davon, wo der Anbieter niedergelassen ist. Ein US-amerikanisches Startup, das ein Recruiting-Tool an europäische Unternehmen verkauft, muss die Vorgaben einhalten, wenn das System als Hochrisiko-System eingestuft wird.

Gilt ein Kundenservice-Chatbot als Hochrisiko-System?

In der Regel nicht. Ein Kundenservice-Chatbot fällt in die Kategorie mit begrenztem Risiko und unterliegt lediglich einer Transparenzpflicht: Nutzer müssen darüber informiert werden, dass sie mit einem KI-System und nicht mit einem Menschen interagieren. Trifft der Chatbot autonome Entscheidungen mit erheblicher Auswirkung auf Rechte — etwa die Ablehnung eines Kredits oder einer Versicherung —, steigt die Einstufung auf Hochrisiko.

Kann der Datenschutzbeauftragte die Rolle des KI-Beauftragten übernehmen?

Die KI-Verordnung schreibt keinen formalen "KI-Beauftragten" für alle Unternehmen vor (anders als den Datenschutzbeauftragten nach der DSGVO). Die Benennung eines internen Verantwortlichen für die Einhaltung der KI-Verordnung ist jedoch bewährte Praxis, insbesondere für Unternehmen, die Hochrisiko-Systeme entwickeln oder einsetzen. Der Datenschutzbeauftragte kann diese Rolle übernehmen, sofern er über die entsprechende Schulung im Bereich KI-Regulierung verfügt. Für Unternehmen, die sowohl der DSGVO als auch der KI-Verordnung unterliegen, kann die Zusammenlegung der Rollen effizient sein — beide Regelwerke überschneiden sich häufig im Bereich der Data Governance.

Was ist die EU-KI-Datenbank und wer muss sich registrieren?

Die EU-KI-Datenbank ist ein öffentliches Register von Hochrisiko-KI-Systemen, das von der Europäischen Kommission verwaltet wird. Anbieter von Hochrisiko-Systemen nach Anhang III müssen ihre Systeme registrieren, bevor sie diese auf dem Markt bereitstellen oder in Betrieb nehmen. Die Registrierung umfasst Angaben zum Anbieter, eine Systembeschreibung, den Anwendungsfall sowie Informationen zu den Trainingsdaten. Die Datenbank wird öffentlich durchsuchbar sein und schafft damit Transparenz für Aufsichtsbehörden, Vergabestellen und die Öffentlichkeit.

Wie verhält sich die KI-Verordnung zur DSGVO?

Die KI-Verordnung und die DSGVO überschneiden sich erheblich, wenn KI-Systeme personenbezogene Daten verarbeiten. Ein Hochrisiko-KI-System, das personenbezogene Daten verarbeitet (z. B. ein Recruiting-Tool), muss beide Regelwerke gleichzeitig einhalten. Die Anforderungen der KI-Verordnung an technische Dokumentation und Protokollierung ergänzen die Rechenschaftspflichten der DSGVO. Der Europäische Datenschutzausschuss hat Leitlinien zum Zusammenspiel beider Regelungen veröffentlicht. In Deutschland koordinieren die Landesdatenschutzbehörden gemeinsam mit der Bundesnetzagentur als KI-Marktüberwachungsbehörde die Aufsicht in Fällen, in denen sich beide Regelwerke überschneiden.

Sind IgeraFincas und IgeraLegal Hochrisiko-KI-Systeme?

Nein. IgeraFincas und IgeraLegal sind KI-Systeme mit begrenztem Risiko: Es handelt sich um Chatbots, die regulatorische Informationen bereitstellen und Anfragen von Eigentümern oder Nutzern beantworten. Sie treffen keine autonomen Entscheidungen mit erheblicher rechtlicher Wirkung. Sie erfüllen die Transparenzpflicht — Nutzer werden stets darüber informiert, dass sie mit einer KI interagieren — und jede Antwort verweist auf die exakte Rechtsquelle.

Artikel des Redaktionsteams von Igera Solutions. Basierend auf der Verordnung (EU) 2024/1689 (EU-KI-Verordnung) und den Leitlinien des European AI Office, aktualisiert im Juni 2026. Keine Rechtsberatung.