Was das EU-KI-Gesetz eigentlich ist

Das EU-KI-Gesetz (Verordnung (EU) 2024/1689) ist das erste umfassende Gesetz weltweit, das künstliche Intelligenz reguliert. Es trat am 1. August 2024 in Kraft und gilt unmittelbar in jedem Mitgliedstaat, auch in Deutschland und Österreich, ohne dass ein separates nationales Gesetz abgewartet werden muss. Nationale Durchführungsgesetze ergänzen nur die Aufsichtsstrukturen darüber.

Es reguliert KI nicht nach Technologie, sondern nach Risiko: wofür das System eingesetzt wird und wen es betreffen kann.

Die vier Risikostufen, einfach erklärt

Das Gesetz sortiert jede KI-Anwendung in eine von vier Stufen.

  • Unannehmbares Risiko (verboten). Praktiken wie Social Scoring durch Behörden, manipulative Systeme, die schutzbedürftige Menschen ausnutzen, und die meisten Formen biometrischer Echtzeit-Überwachung im öffentlichen Raum. Verboten seit dem 2. Februar 2025.
  • Hohes Risiko. KI in Personalauswahl, Personalmanagement, Kreditwürdigkeitsprüfung, wesentlichen Dienstleistungen, Medizinprodukten, kritischer Infrastruktur und Ähnlichem. Erlaubt, aber mit strengen Pflichten vor und nach dem Markteintritt.
  • Begrenztes Risiko. Chatbots, Voicebots und generierte Inhalte, die sich an Menschen richten. Die zentrale Pflicht hier ist Transparenz.
  • Minimales Risiko. Alles Übrige, vom Spamfilter bis zum internen Produktivitätstool. Keine verpflichtenden Auflagen über die grundlegende KI-Kompetenzpflicht im Team hinaus.

Die wichtigste Erkenntnis für ein normales Unternehmen: Ihre Risikostufe hängt vom Anwendungsfall ab, nicht vom Werkzeug. Dasselbe Sprachmodell ist in einem Support-Chatbot minimales Risiko und in einem System zur Vorauswahl von Bewerbungen hohes Risiko.

Wo ein typisches deutsches oder österreichisches Unternehmen landet

Die meisten Unternehmen, die heute KI einsetzen, betreiben Voicebots im Kundenservice, Chatbots auf der Website oder einen internen Assistenten, der aus Unternehmensdokumenten antwortet (RAG). In fast allen diesen Fällen liegen Sie im Bereich begrenztes oder minimales Risiko.

Das ist eine gute Nachricht. Es bedeutet, dass keine Konformitätsbewertung oder Registrierung ansteht. Aber begrenztes Risiko heißt nicht null Pflichten. Spricht Ihre KI mit Kunden oder erzeugt sie Inhalte, gelten die Transparenzregeln für Sie.

Hohes Risiko erreichen Sie nur, wenn die KI Entscheidungen über Menschen in sensiblen Bereichen trifft oder maßgeblich unterstützt: wer eingestellt wird, wer einen Kredit bekommt, wer Zugang zu einer wesentlichen Dienstleistung erhält. Trifft das auf Ihren Anwendungsfall zu, behandeln Sie ihn von Anfang an als Compliance-Projekt und ziehen Sie qualifizierte Rechtsberatung hinzu.

Die Transparenzpflichten, die die meisten Unternehmen treffen

Ab dem 2. August 2026 legt Artikel 50 Offenlegungspflichten fest, die normale Unternehmens-KI betreffen:

  • Sagen Sie den Menschen, dass sie mit KI sprechen. Interagiert ein Chatbot oder Voicebot mit einer Person, muss diese wissen, dass es sich um eine Maschine handelt, es sei denn, das ist offensichtlich.
  • Kennzeichnen Sie KI-generierte Inhalte. Synthetisches Audio, Bild, Video und Text, den Ihre Systeme erzeugen, sollte als künstlich erzeugt erkennbar sein.
  • Kennzeichnen Sie Deepfakes und generierte Texte, die zur Information der Öffentlichkeit veröffentlicht werden, mit engen Ausnahmen für Kunst, Satire und redaktionelle Bearbeitung.

Für ein Callcenter oder einen Website-Assistenten ist das unkompliziert. Ein kurzer gesprochener oder geschriebener Hinweis zu Beginn der Interaktion deckt das in der Regel ab. Wichtig ist, das bewusst zu tun, nicht zu verstecken.

Die Termine, auf die es ankommt

Das Gesetz kommt in Etappen. Die verifizierten Meilensteine:

  • 2. Februar 2025: Verbote für KI mit unannehmbarem Risiko und die KI-Kompetenzpflicht treten in Kraft.
  • 2. August 2025: Regeln für KI-Modelle mit allgemeinem Verwendungszweck, Governance und Sanktionen beginnen zu gelten.
  • 2. August 2026: die meisten verbleibenden Pflichten greifen, einschließlich der Hochrisiko-Pflichten nach Anhang III und der Transparenzregeln nach Artikel 50.
  • 2. August 2027: Hochrisiko-KI, die in regulierte Produkte eingebaut ist (Anhang I), sowie ältere KI-Modelle mit allgemeinem Verwendungszweck müssen vollständig konform sein.

Für die meisten Unternehmen ist der 2. August 2026 das Datum, auf das man sich einstellen sollte.

Was Verstöße kosten

Bußgelder staffeln sich nach Schwere des Verstoßes:

  • Bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes für verbotene Praktiken.
  • Bis zu 15 Millionen Euro oder 3 % für Verstöße gegen Hochrisiko-, Basismodell- oder Transparenzpflichten.
  • Bis zu 7,5 Millionen Euro oder 1 % für falsche oder irreführende Angaben gegenüber Behörden.

Es gilt jeweils der höhere der beiden Beträge.

Wer das Gesetz durchsetzt

Die Durchsetzung liegt bei den nationalen Marktüberwachungsbehörden, die jeder Mitgliedstaat benennt, koordiniert durch das neue europäische KI-Büro auf EU-Ebene. Deutschland und Österreich richten ihre jeweiligen Zuständigkeiten derzeit ein; welche konkrete Behörde in Ihrem Fall zuständig ist, hängt vom Sektor ab, etwa Finanzaufsicht bei Kreditentscheidungen oder Datenschutzaufsicht bei personenbezogenen Daten. Prüfen Sie den aktuellen Stand bei Ihrer für den Sektor zuständigen Aufsichtsbehörde oder Ihrem Datenschutzbeauftragten, bevor Sie sich auf eine bestimmte Zuständigkeit verlassen.

Wie Sie KI verantwortungsvoll nach dem Gesetz einsetzen

Sie brauchen keine Rechtsabteilung, um die Grundlagen richtig zu machen. Bauen Sie mit diesen Prinzipien:

  • Transparenz von Anfang an. KI in jedem kundenseitigen Assistenten von Beginn an offenlegen.
  • Mensch in der Schleife. Eine Person behält die Möglichkeit, zu prüfen, zu überstimmen und zu eskalieren, besonders bei sensiblen Fällen.
  • Grounding mit Quellenangaben. Aus Ihren eigenen Daten mit Quellen antworten, sodass Antworten überprüfbar sind und das Halluzinationsrisiko sinkt.
  • Audit-Logs. Protokollieren, was das System getan hat und warum, was das Hochrisiko-Regime erwartet und jeder ernsthafte Kunde ohnehin verlangt.
  • Rollenbasierter Zugriff und EU-Datenresidenz. Begrenzen, wer was sehen darf, und die Verarbeitung in der EU halten. Genau hier trifft das KI-Gesetz auf die DSGVO.

Wie Vandri das umsetzt

Wir verkaufen kein "KI-Gesetz-zertifiziert"-Abzeichen, denn so etwas gibt es für die meisten Unternehmenssysteme nicht. Was wir tun: so bauen, dass Ihre Konformität leichter nachweisbar ist.

Unsere Plattform vCore läuft mit EU-Datenresidenz und EU-Verarbeitung, mit Grounding und Quellenangaben zur Reduzierung von Halluzinationen, mit Audit-Logging, rollenbasiertem Zugriff, Mensch-in-der-Schleife-Kontrollen und klarer KI-Kennzeichnung, eingebaut in Voice- und Chat-Agenten. Wir folgen den Grundsätzen der DSGVO und ISO 27001 in jedem System. Fragt Ihre Rechts- oder Sicherheitsabteilung, wie ein Einsatz auf das Gesetz einzahlt, bekommen Sie klare Antworten, keinen Aufkleber.

Sprechen wir darüber

Planen Sie ein KI-Projekt und sind sich nicht sicher, in welche Risikostufe es fällt, sagen Sie uns den Anwendungsfall. Wir geben Ihnen eine ehrliche Einschätzung, wo er nach dem Gesetz steht und welche Sicherungen er braucht. Gespräch vereinbaren oder unsere Lösungen ansehen.

Dieser Artikel dient der allgemeinen Orientierung und ist keine Rechtsberatung. Lassen Sie die Einordnung und die Pflichten für Ihr konkretes Projekt von qualifizierter Rechtsberatung oder Ihrem Datenschutzbeauftragten bestätigen.