EU AI Act für Organisationen: der Überblick

Was regelt der EU AI Act?

Die KI-Verordnung (Verordnung (EU) 2024/1689, englisch „AI Act“) gilt in allen EU-Staaten unmittelbar. Sie regelt nicht die Technik, sondern den Einsatz: Je höher das Risiko für Gesundheit, Sicherheit und Grundrechte, desto mehr Pflichten. Sie betrifft Unternehmen ebenso wie Behörden, Kliniken und Vereine.

Stufe	Beispiele	Was gilt
Verboten (Art. 5)	Social Scoring, Emotionserkennung am Arbeitsplatz, manipulative Techniken	darf nicht eingesetzt werden
Hochrisiko (Art. 6, Anhang I und III)	Auswahl von Bewerbungen, Entscheidung über Sozialleistungen, KI als Medizinprodukt	umfangreiche Pflichten für Anbieter und Betreiber
Transparenz (Art. 50)	Chatbots, erzeugte Bilder und Videos, veröffentlichte Texte zu Themen von öffentlichem Interesse	Hinweis- und Kennzeichnungspflichten
Übrige KI	Texte entwerfen, zusammenfassen, übersetzen, Fragen beantworten	KI-Kompetenz (Art. 4)

Welche Rolle hat Ihre Organisation?

Die Verordnung unterscheidet vor allem zwei Rollen:

• Anbieter (Art. 3 Nr. 3): entwickelt ein KI-System oder lässt es entwickeln und bringt es unter eigenem Namen in Verkehr oder nimmt es in Betrieb, auch für den eigenen Gebrauch.
• Betreiber (Art. 3 Nr. 4): verwendet ein KI-System in eigener Verantwortung, etwa ein Krankenhaus, das einen KI-Assistenten für Arztbriefe einsetzt.

Die meisten Organisationen sind Betreiber. Wer eigene KI-Anwendungen baut oder ein System für einen Hochrisiko-Zweck umwidmet, kann zum Anbieter werden. Das erklärt der Ratgeber Werden wir durch eigene KI-Apps zum Anbieter?.

Welche Fristen gelten nach dem Digital-Omnibus?

Mit der Verordnung (EU) 2026/1744 („Digital-Omnibus zur KI“), im Amtsblatt veröffentlicht am 24. Juli 2026 und in Kraft seit dem 27. Juli 2026, hat die EU mehrere Fristen verschoben. Stand 11. Oktober 2026 gilt:

Seit oder ab	Was gilt
2. Februar 2025	Verbote (Art. 5) und KI-Kompetenz (Art. 4)
2. August 2025	Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck, Sanktionen
27. Juli 2026	Art. 4 neu gefasst: Maßnahmen zur Förderung der KI-Kompetenz
2. August 2026	Transparenzpflichten (Art. 50)
2. Dezember 2026	neue Verbote zu sexualisierten Deepfakes; Kennzeichnung für Systeme, die vor dem 2. August 2026 auf dem Markt waren (Art. 111 Abs. 4)
2. Dezember 2027	Hochrisiko-KI nach Anhang III (Art. 113)
2. August 2028	Hochrisiko-KI nach Anhang I, etwa KI in Medizinprodukten
2. August 2030	Hochrisiko-Systeme von Behörden, die schon vorher im Einsatz waren (Art. 111 Abs. 2)

Die Kommission hat Leitlinien zur Einstufung als Hochrisiko im Mai 2026 als Entwurf veröffentlicht. Prüfen Sie vor wichtigen Entscheidungen, ob inzwischen die endgültige Fassung vorliegt.

Was müssen Sie heute schon tun?

1. KI-Systeme erfassen: Welche Systeme sind im Einsatz, wofür, mit welchen Daten?
2. KI-Kompetenz fördern: Schulung und Dokumentation nach Art. 4. Einzelheiten im Ratgeber KI-Kompetenz nach Art. 4.
3. Verbote ausschließen: Kein Einsatz, der unter Art. 5 fällt.
4. Transparenz prüfen: Chatbots für Bürgerinnen, Patienten oder Kunden, erzeugte Bilder, veröffentlichte Texte. Siehe Kennzeichnungspflicht nach Art. 50.
5. Hochrisiko-Einsätze erkennen: Bis Dezember 2027 bleibt Zeit, doch Beschaffung und Vorbereitung brauchen Vorlauf. Siehe Hochrisiko-KI erkennen.

Daneben gelten weiter die DSGVO, Berufsgeheimnisse und die Mitbestimmung durch Betriebs- oder Personalrat.

Welche Bußgelder drohen?

Art. 99 sieht bis zu 35 Mio. € oder 7 % des weltweiten Jahresumsatzes für verbotene Praktiken vor, bis zu 15 Mio. € oder 3 % für Verstöße gegen andere Pflichten, etwa die von Betreibern oder nach Art. 50. Für kleine und mittlere Unternehmen gilt jeweils der niedrigere Betrag. Ob und wie Behörden Bußgelder zahlen, regelt jeder Staat selbst: In Deutschland sind Behörden und öffentliche Stellen nach § 17 Abs. 2 KI-MIG ausgenommen. Für Art. 4 sieht die Verordnung kein eigenes Bußgeld vor.

Wie geht das mit basebox?

basebox ist eine Plattform, kein Hochrisikosystem. Welche Pflichten Sie haben, hängt vom Einsatz ab. Für den EU AI Act bekommen Sie Schulungen, Protokolle und ein Modellregister: Entwickler, Version und Lizenz jedes Modells sind dokumentiert, das Audit-Log hält fest, wer welchen Assistenten und welchen Konnektor genutzt hat, und schreibende Aktionen von Agenten brauchen die Freigabe eines Menschen. Gebuchte Schulungen decken die KI-Kompetenz nach Art. 4 mit ab. Einzelheiten auf Sicherheit.

Keine Rechtsberatung: Dieser Überblick gibt den Stand vom 11. Oktober 2026 wieder. Die KI-Verordnung wird durch Leitlinien, Normen und nationale Gesetze laufend ergänzt. Prüfen Sie Ihren Einsatz mit Ihrer Rechtsberatung oder Ihrem Datenschutzbeauftragten.