Wann welche Regelungen des AI Acts gelten

Die KI-Verordnung (AI Act) bildet den einheitlichen rechtlichen Rahmen für den Einsatz von Künstlicher Intelligenz in der Europäischen Union und ist seit dem 1. August 2024 in mehreren Stufen in Kraft getreten. Die komplexen Vorgaben sollen gewährleisten, dass KI-Systeme, die in der EU eingesetzt werden, sicher, transparent, nachvollziehbar, nicht diskriminierend und umweltfreundlich sind.

AI Act wird vereinfacht 

Bereits am 19. November 2025 schlug die EU-Kommission in einem digitalen Omnibus-Paket vor, das KI-Gesetz zu vereinfachen. Das Parlament beschloss die neuen Regelungen am 16. Juni 2026 – der Rat stimmte inzwischen ebenfalls zu. Damit steht fest, dass die zentralen Verpflichtungen für risikoreiche KI-Systeme nicht wie vorgesehen ab August 2026 umgesetzt werden müssen, sondern erst später. Andere Vorschriften treten wie geplant am 2. August 2026 in Kraft. Für Unternehmen relevant sind insbesondere die Transparenzpflichten, die in Artikel 50 des EU AI Act geregelt sind.  

Was ändert sich am AI Act durch das "Digital Omnibus"-Paket?

Die Vorschriften für Hochrisiko-KI-Systeme sollen erst dann gelten, wenn auch die nötigen Unterstützungsmittel – wie etwa die erforderlichen technischen Standards – bereitstehen. Dazu wird der Zeitplan für die Einführung der Regeln für Hochrisiko-Systeme entsprechend angepasst:

Die Vorschriften für KI-Systeme, die in bestimmten Hochrisiko-Bereichen eingesetzt werden – darunter Biometrie, kritische Infrastruktur, Bildung, Beschäftigung, Migration, Asyl und Grenzkontrolle – gelten ab dem 2. Dezember 2027. Für Hochrisiko-KI-Systeme, die in Produkte integriert sind, gelten die Vorschriften ab dem 2. August 2028. Damit haben Organisationen Zeit, ihre Systeme regelkonform anzupassen. 

Dazu gehören neben einer Risikoabschätzung oder Dokumentationspflichten für Anbieter auch die Pflicht, ihre KI-Systeme in der EU-Datenbank für Hochrisiko-Systeme zu registrieren, auch wenn sie meinen, dass ihr System nicht unter die Hochrisiko-Kategorie fällt.  

Zusätzlich eingeführt wird ein stärkerer Schutz für EU-Bürgerinnen und -Bürger in Bezug auf sexualisierte Deepfakes. Die Verordnung verbietet ab dem 2. Dezember 2026 gemäß Art. 5 KI-VO solche KI-Systeme, die nicht einvernehmliche sexuell explizite und intime Inhalte oder Darstellungen sexuellen Missbrauchs von Kindern erzeugen, wie KI-"Nudification"-Apps (KI-"Entblößungs"-Apps).

Insgesamt werden die Verfahren des KI-Gesetzes so angepasst, dass das Zusammenspiel mit anderen Gesetzen verdeutlicht und die Umsetzung und Funktionsweise insgesamt verbessert werden. Doppelregulierungen wie beispielsweise im Maschinenbau sollen vermieden werden. Für Unternehmen werden mit der Einigung einfachere Vorschriften und eine klarere Governance eingeführt. Für kleine und mittlere Unternehmen (KMU) und kleine Midcap-Unternehmen gelten geringere Anforderungen, insbesondere vereinfachte Anforderungen an die technische Dokumentation. Die Maßnahmen zur Unterstützung der Einhaltung der Vorschriften werden zudem ausgeweitet. 

Es sollen durch die zuständigen Behörden nationale KI-Labore eingerichtet werden, also mehr geschützte Testumgebungen entstehen, um EU-weite Praxistests zu ermöglichen. In Deutschland übernimmt das die Bundesnetzagentur. Die Frist wurde bis zum 2. August 2027 verlängert.

Die Befugnisse des bei der EU-Kommission ansässigen AI Office werden erweitert und die Aufsicht über KI-Systeme, die auf allgemeinen KI-Modellen basieren, zentralisiert. Damit soll eine einheitliche Kontrolle insbesondere für grenzüberschreitende KI-System ermöglicht werden. Dies betrifft besonders große Online-Plattformen oder Suchmaschinen.

Transparenzpflichten gelten laut KI-Verordnung ab dem 2. August 2026

Die KI-Verordnung sieht in Art. 50 Transparenzpflichten vor und knüpft sie an verschiedene Anwendungsfälle. Für Menschen soll erkennbar sein, wenn sie mit KI interagieren und ob Inhalte durch KI erzeugt oder verändert wurden. Zu unterscheiden ist, ob Unternehmen Anbieter oder Betreiber von KI-Systemen (nicht nur solche mit hohem Risiko) sind. Anbieter bringen Tools oder Chatbots unter eigenem Namen auf den Markt und tragen damit die Hauptverantwortung. Organisationen, die die entsprechende KI konkret im Arbeitsalltag einsetzen, sind Betreiber. Auch sie treffen Pflichten: 

Organisationen, die KI-Systeme einsetzen und verwenden, müssen offenlegen, wenn sie Deepfakes, also echt wirkende Bild-, Video- oder Tonaufnahmen künstlich generieren. Deepfake ist nach der KI-Verordnung ein durch KI erzeugter oder manipulierter Bild-, Ton- oder Videoinhalt, der wirklichen Personen, Gegenständen, Orten, Einrichtungen oder Ereignissen ähnelt und einer Person fälschlicherweise als echt oder wahrheitsgemäß erscheinen würde (Art. 3 Nr. 60 AI Act).

Auch wenn Unternehmen KI-Systeme einsetzen, mit denen Texte erstellt oder verändert werden, um öffentlich über Angelegenheiten von öffentlichem Interesse zu informieren, müssen sie dies offenlegen. Diese Pflicht entfällt nur in Ausnahmen, beispielsweise wenn die Inhalte einer tiefgehenden Überprüfung und redaktionellen Kontrolle durch Menschen unterzogen wurden, die Verantwortung für die Veröffentlichung tragen.

Anbieter von KI-Systemen, die dazu bestimmt sind, direkt mit Menschen zu interagieren, wie beispielsweise Chatbots, virtuelle Assistenten und automatisierte Telefonsysteme, haben die Pflicht, die Nutzer darüber zu informieren, dass sie mit einer KI interagieren. Sie müssen das System entsprechend gestalten, sodass der KI-Charakter offensichtlich wird. Auch hier gibt es Ausnahmen, beispielsweise für KI-Systeme, die zur Aufdeckung von Straftaten zugelassen sind.

Für die Anbieter von KI-Systemen (einschließlich KI-Modelle mit allgemeinem Verwendungszweck), sieht die KI-Verordnung die Pflicht zur Markierung des KI-generierten Inhalts in maschinenlesbarer Form vor. Unternehmen müssen sicherstellen, dass diese Inhalte maschinenlesbar markiert und als künstlich generiert erkennbar sind. Diese Pflicht wurden auf den 2. Dezember 2026 verschoben.  

Die EU-Kommission hat hierzu bereits einen freiwilligen Verhaltenskodex (Code of Practice) veröffentlicht, sowie Richtlinien, die Organisationen die Einhaltung der Transparenzpflichten des KI-Gesetzes erleichtern sollen. Außerdem stellt sie Icons zur Kennzeichnung KI-generierter Inhalte zur Verfügung. Weiterführende Informationen finden Sie hier.

Verbot von KI-Systemen mit unannehmbarem Risiko, KI-Schulungspflicht und Geldbußen

Was bereits gilt: Seit dem 2. Februar 2025 gilt das Verbot von KI-Systemen mit unannehmbarem Risiko. Ebenso müssen Arbeitgeber seither die KI-Kompetenz von Mitarbeitenden, die mit KI-Systemen arbeiten, sicherstellen.

Die Anpassungen der KI-Verordnung sehen auch eine Änderung bei dieser sogenannten KI-Schulungspflicht vor. Die Verantwortung für die Förderung von KI-Kompetenz soll künftig nicht mehr allein bei den Arbeitgebern liegen (Lesen Sie mehr in dieser News: Sicherstellung der KI-Kompetenz als neue Arbeitgeberpflicht). Stattdessen sollen die EU und die einzelnen Mitgliedstaaten anhand gezielter Programme mehr KI-Kompetenz aufbauen.

Seit dem 2. August 2025 ist vorgesehen, dass gegen Organisationen, die gegen bereits bestehende Verpflichtungen verstoßen, mit Geldbußen vorgegangen werden kann. Möglich sind Strafen in Höhe von bis zu 35 Millionen Euro oder sieben Prozent des gesamten Jahresumsatzes. Die Mitgliedstaaten sollten bis zu diesem Zeitpunkt eigene Vorschriften über Geldbußen festlegen und dabei die Situation von KMU einschließlich neu gegründeter Unternehmen besonders berücksichtigen.

Seit August 2025: Mitgliedstaaten müssen KI-Behörde stellen

Die Mitgliedstaaten waren zudem verpflichtet, bis zum 2. August 2025 die nationalen Aufsichtsbehörden zu etablieren. Dazu mussten sie mindestens eine Marktüberwachungsbehörde sowie eine notifizierende Behörde benennen. In Bezug auf die Struktur und Gestaltung haben sie einen großen Ermessensspielraum.

Dieser Zeitplan konnte nicht eingehalten werden. Erst am 11. Februar 2026 hat das Kabinett einen Gesetzentwurf zur Durchführung der KI-Verordnung verabschiedet, den der Bundestag im Juni 2026 mit leichten Änderungen angenommen hat. Das KI-Gesetz (KI-MIG) hat am 10. Juli den Bundesrat passiert und tritt in Kürze in Kraft. Es legt vor allem fest, dass die Bundesnetzagentur als Marktüberwachungsbehörde fungiert. Sie ist damit für die Einhaltung der KI-Verordnung zuständig und Ansprechpartner für europäische Institutionen. Dafür wird bei ihr ein Koordinierungs- und Kompetenzzentrum eingerichtet, das KI-Expertise zentral bündelt, anderen Behörden zur Verfügung stellt und Informationen für Organisationen anbietet. Fachaufsichten sollen erhalten bleiben.

AI Act: Pflichten gemäß Risikobewertung von KI-Systemen

Grundsätzlich relevant bleibt in der Praxis die Einordnung der KI-Systeme. Die KI-Verordnung legt Verpflichtungen für Anbieter und Nutzer fest, die sich nach dem jeweiligen Risiko, das von dem KI-System ausgeht, richten. Es wird unterschieden in KI-Systeme mit minimalem, hohem oder unannehmbarem Risiko.

KI-Systeme mit unannehmbarem Risiko

KI-Systeme mit einem unannehmbaren Risiko sind seit dem 2. Februar 2025 verboten. Als solche gelten KI-Systeme, die durch kognitive Verhaltensmanipulation von Personen oder bestimmten marginalisierten Gruppen Menschen gefährden. Verboten ist sogenanntes "Soziales Scoring", also die Klassifizierung von Menschen auf der Grundlage von Verhalten, sozioökonomischem Status und persönlichen Merkmalen. Auch biometrische Identifizierung und Kategorisierung natürlicher Personen sowie biometrische Echtzeit-Fernidentifizierungssysteme, wie zum Beispiel Gesichtserkennung, sind unzulässig. Ob sie möglicherweise zur Strafverfolgung zulässig sein dürfen, wird diskutiert, bisher gibt es keine Rechtsgrundlage in der Strafprozessordnung.

KI-Gesetz: Definition von Hochrisiko-KI-Systemen

KI-Systeme, die ein hohes Risiko für die Gesundheit und Sicherheit oder für die Grundrechte natürlicher Personen darstellen, unterliegen strengen Regeln. Für sie wird es ein verpflichtendes Risikomanagementsystem geben. Sie werden vor dem Inverkehrbringen und während ihres gesamten Lebenszyklus bewertet. Bürger haben das Recht, bei den zuständigen nationalen Behörden Beschwerden über KI-Systeme einzureichen. 

Ein KI-System ist eine Hochrisiko-KI, wenn es in den bestimmten Bereichen aus Annex III für einen dort bestimmten Anwendungsfall verwendet wird. Für die Einstufung eines KI-Systems als Hochrisiko-KI-System ist also sein Verwendungszweck entscheidend. 

Hierzu gehören KI-Systeme spezifischer Bereiche, die auch für HR relevant sind – darunter: die allgemeine und berufliche Bildung (Bewertung von Lernergebnissen, Steuerung des Lernprozesses und Überwachung von Prüfungsbetrug) oder der Bereich Beschäftigung, Verwaltung der Arbeitnehmer und Zugang zur Selbstständigkeit (z. B. Veröffentlichung gezielter Stellenanzeigen, Analyse und Filterung von Bewerbungen sowie Bewertung von Bewerberinnen und Bewerbern). Software, die im HR-Bereich verwendet wird, kann also häufig als Hochrisiko-System eingestuft werden. 

Weitere Einsatzbereiche dieser Systeme sind der Zugang zu und die Inanspruchnahme von wesentlichen privaten und öffentlichen Diensten und Leistungen, die Strafverfolgung, die Verwaltung von Migration, Asyl und Grenzkontrollen sowie die Unterstützung bei der Auslegung und Anwendung von Gesetzen. Ebenso gehören KI-Systeme, die in Produkten verwendet werden, die unter die Produktsicherheitsvorschriften der EU fallen, dazu. Hierzu zählen Spielzeug, Luftfahrt, Fahrzeuge, medizinische Geräte und Aufzüge. 

Die Compliance-Verpflichtungen zu den Hochrisiko-KI Systemen sollten ursprünglich im August 2026 in Kraft treten und werden jetzt aufgrund des "Digital Omnibus"-Pakets auf 2027 bzw. 2028 verschoben. Unternehmen haben aufgrund der verschobenen Fristen daher eine etwas längere Vorbereitungszeit. 

Begrenztes Risiko laut AI Act: Transparenzanforderungen erfüllen

Für KI-Systeme mit begrenztem Risiko gelten grundsätzlich nur wenige Anforderungen. Dazu zählen Generative-AI-Modelle zur allgemeinen Verwendung – also solche, die Text, Bilder, Videos oder Audioinhalte erzeugen – ebenso wie kommerzielle KI-Anwendungen wie Chatbots oder Empfehlungsalgorithmen. Anbieter und Betreiber müssen aber in den oben genannten Anwendungsfällen bereits ab dem 2. August 2026 die Transparenzpflichten gemäß Art. 50 der KI-Verordnung erfüllen sowie das EU-Urheberrecht beachten. Zudem müssen Anbieter bereits Informations- und Dokumentationspflichten erfüllen.

"Digital Omnibus" zum AI Act: Wie geht es weiter?

Die Änderungen werden in Kürze im Amtsblatt der Europäischen Union veröffentlicht und treten drei Tage später in Kraft.

Das könnte Sie zum Thema KI auch interessieren:

Was der KI-Omnibus für Arbeitgeber ändert

AI Act: Sicherstellung der KI-Kompetenz als neue Arbeitgeberpflicht

HR und KI: Wo die rechtlichen Fallen lauern

Wie KI-Agenten Arbeit und Führung verändern