Governance und der EU AI Act: das Wichtigste im Überblick

2025 brachte ein Unternehmen ein KI-Tool auf den Markt, das Bewerber unter anderem anhand ihrer Mimik in Videointerviews bewertete. Nach dem EU AI Act ist diese Art von Emotionserkennung am Arbeitsplatz verboten. Nicht mit Bußgeld belegt. Verboten.

Der EU AI Act ist das weltweit erste große Gesetz, das kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →ünstliche Intelligenz direkt reguliert. Wenn Sie KI-Tools entwickeln, sie bei der Arbeit nutzen oder für Ihr Team einkaufen, müssen Sie das Wesentliche kennen. Sie müssen keine 100 Seiten Gesetzestext lesen. Sie brauchen die Grundstruktur des Gesetzes: was verboten ist, was streng kontrolliert wird und ab wann die Regeln greifen.

Was das Gesetz tatsächlich regelt

Der EU AI Act ordnet KI-Systeme in Risikostufen ein. Je höher das Risiko für die Rechte und die Sicherheit von Menschen, desto strenger die Regeln. Stellen Sie es sich als Ampelsystem mit vier Stufen vor.

• Unannehmbares Risiko: grundsätzlich verboten.
• Hohes Risiko: erlaubt, aber streng kontrolliert (Dokumentation, Tests, menschliche Aufsicht).
• Begrenztes Risiko: erlaubt, mit Transparenzpflichten (Sie müssen die Menschen informieren).
• Minimales Risiko: im Grunde frei nutzbar (Spamfilter, KI in Videospielen).

Ein zentraler Punkt: Das Gesetz gilt dort, wo die KI eingesetzt wird, nicht dort, wo das Unternehmen seinen Sitz hat. Ein US-Startup, dessen Chatbot Kunden in der EU bedient, steht in der Pflicht. Die DSGVODSGVOEU-Verordnung zur Erhebung, Speicherung und Nutzung personenbezogener Daten, mit Bußgeldern, die am weltweiten Umsatz bemessen werden.Vollständige Definition ansehen → (das europäische Datenschutzgesetz) hat dieselbe weite Reichweite, und genau diese Reichweite hat sie zu einem globalen Standard gemacht.

Zwei Definitionen. Ein „Anbieter“ ist, wer das KI-System entwickelt oder verkauft. Ein „Betreiber“ ist, wer es in seiner Organisation einsetzt. Beide haben Pflichten, wobei die Anbieter die größere Last tragen.

Stufe 1: Was verboten ist

Diese Anwendungen sind in der EU seit Februar 2025 ausgeschlossen. Konkrete Beispiele:

• Social Scoring: Menschen nach ihrer Vertrauenswürdigkeit einstufen und ihnen daraufhin Leistungen verweigern. (Denken Sie an einen nationalen Score für „gutes Verhalten“.)
• Emotionserkennung am Arbeitsplatz oder in Schulen, also Software, die angeblich anhand von Gesicht oder Stimme erkennt, ob Sie wütend sind, sich langweilen oder lügen.
• Ungezieltes Auslesen von Gesichtsbildern aus dem Internet oder aus Videoüberwachung, um Datenbanken für Gesichtserkennung aufzubauen.
• Manipulative KI, die Schwächen von Menschen (Alter, Behinderung) ausnutzt, um ihr Verhalten zu beeinflussen und ihnen zu schaden.
• Predictive Policing, das allein auf dem Profiling einer Person beruht, um vorherzusagen, dass sie eine Straftat begehen wird.
• Biometrische Kategorisierung, die auf sensible Merkmale wie ethnische Herkunft, sexuelle Orientierung oder politische Ansichten schließt.

Wenn Ihre Produktidee einen dieser Punkte berührt, stoppen Sie. Keine Compliance-Checkliste macht das in der EU legal.

Stufe 2: Was als hochriskant gilt

Mit dieser Stufe haben die meisten Fachleute tatsächlich zu tun. Hochriskant heißt nicht „böse“. Es heißt, dass die KI in einem Umfeld eingesetzt wird, in dem eine falsche Entscheidung das Leben eines Menschen erheblich beeinflusst. Beispiele:

• KI, die Lebensläufe sichtet oder Bewerber in eine Rangfolge bringt.
• Kreditscoring und Kreditentscheidungen.
• KI in Medizinprodukten und in der Diagnostik.
• Bewertung von Prüfungen und Zulassungen.
• Kritische Infrastruktur wie Stromnetze und Wasserversorgung.
• Bestimmte Anwendungen durch Strafverfolgung, Grenzkontrolle und Gerichte.

Wenn Sie ein Hochrisikosystem einsetzen, übernehmen Sie echte Pflichten. Sie müssen Menschen in die Entscheidungen einbinden, protokollieren, was das System tut, Daten guter Qualität verwenden, auf Bias überwachen und gegenüber den Betroffenen offen sein. Anbieter müssen diese Systeme vor dem Verkauf in einer EU-Datenbank registrieren.

Ein reales Szenario

Angenommen, Ihr HR-Team kauft ein KI-Tool zur Lebenslaufsichtung. Damit sind Sie Betreiber eines Hochrisikosystems. Zu Ihren Pflichten gehören:

• Eine Person benennen, die die Entscheidungen des Systems beaufsichtigt (und sie wirklich prüft, statt sie nur abzunicken).
• Protokolle über die Ergebnisse führen.
• Bewerber darüber informieren, dass KI Teil des Verfahrens ist.
• Prüfen, ob der Anbieter Ihnen eine ordentliche Gebrauchsanweisung und ein Risk Assessment geliefert hat.

„Wir haben es einfach von der Stange gekauft“ ist keine Ausrede. Wer Hochrisiko-KI kauft, ist dafür verantwortlich, wie er sie einsetzt.

Stufe 3: Begrenztes Risiko (die Transparenzstufe)

Bei allgemeiner Nutzung fallen Alltagstools wie ChatGPT, Claude und Gemini meist in diese Stufe. Die Kernregel ist einfach: Menschen sollen wissen, wann sie es mit KI zu tun haben.

• Chatbots müssen klarstellen, dass die Nutzer mit einer Maschine sprechen.
• KI-generierte oder stark bearbeitete Bilder, Audio- und Videoinhalte („Deepfakes“) müssen als künstlich gekennzeichnet werden.
• KI-generierte Inhalte sollen, wo technisch machbar, eine maschinenlesbare Kennzeichnung tragen.

Wenn Sie also einen Kundenservice-Chatbot einsetzen, bringt ein einzeiliger Hinweis wie „Sie chatten mit unserem KI-Assistenten“ schon viel.

General-Purpose AI: die Modelle hinter Ihren Tools

Die großen Modelle hinter ChatGPT, Claude und Gemini heißen General-Purpose AI (GPAI), also KI mit allgemeinem Verwendungszweck. Sie sind flexibel genug für viele Aufgaben. Das Gesetz legt den Unternehmen, die sie entwickeln, eigene Pflichten auf, die seit August 2025 gelten.

GPAI-Anbieter müssen Zusammenfassungen ihrer Trainingsdaten veröffentlichen, das EU-Urheberrecht einhalten und technische Dokumentation bereitstellen. Für die leistungsstärksten Modelle (solche mit „systemischem Risiko“) gelten zusätzliche Test- und Sicherheitsanforderungen. Die EU hat einen freiwilligen General-Purpose AI Code of Practice veröffentlicht, der Anbietern bei der Umsetzung hilft, und die meisten großen Modellhersteller haben ihn unterzeichnet.

Für Sie als Nutzer passiert das meiste davon vorgelagert. Deshalb sind auch die Dokumentation Ihres KI-Anbieters und seine „Model Cards“ wichtig: Sie existieren zum Teil, um diese Regeln zu erfüllen.

Der Zeitplan und warum ererDas Verhältnis von Interaktionen (Likes, Kommentare, Shares) zur Reichweite eines Inhalts. Zeigt, wie stark die Zielgruppe reagiert, gemessen an der Zahl der Personen, die den Inhalt gesehen haben.Vollständige Definition ansehen → sich verschoben hat

Das Gesetz ist im August 2024 in Kraft getreten, und die Regeln werden in Wellen wirksam. Der ursprüngliche Plan:

• Feb. 2025: verbotene Anwendungen untersagt, Pflichten zur KI-Kompetenz beginnen.
• Aug. 2025: Regeln für General-Purpose-AI-Modelle gelten.
• Aug. 2026: die meisten Hochrisiko- und Transparenzregeln gelten.
• Aug. 2027: Hochrisikoregeln für KI in regulierten Produkten (Medizinprodukte, Maschinen) gelten.

Die ersten beiden Termine wurden wie geplant eingehalten. Die Hochrisikotermine hielten nicht. Im November 2025 schlug die Europäische Kommission ein „Digital Omnibus“-Paket vor, unter anderem weil die technischen Normen, die Unternehmen für die Compliance brauchen, in Verzug waren. Es knüpft die Hochrisikoregeln an die Verfügbarkeit dieser Normen, mit Auffangterminen im Dezember 2027 für Anwendungen wie Recruiting, Kreditvergabe und Bildung sowie im August 2028 für KI in regulierten Produkten. Das Paket schlug außerdem Erleichterungen bei einigen Pflichten vor, darunter die Verlagerung der zentralen Pflicht zur KI-Kompetenz von den Unternehmen auf die Staaten.

Prüfen Sie den aktuellen Gesetzestext, bevor Sie mit einem Termin planen. Der Omnibus musste Parlament und Rat passieren, und einige Details haben sich unterwegs geändert. Die AI-Act-Seite der Kommission verfolgt den aktuellen Stand.

Die praktische Botschaft bleibt dieselbe. Die Verbote und die GPAI-Regeln gelten bereits. Die Hochrisikopflichten kommen, nur etwas später. Ein Aufschub gibt Ihnen Zeit, sich ordentlich vorzubereiten. Er erlaubt Ihnen nicht, die Arbeit auszulassen, und Käufer wie Aufsichtsbehörden fragen schon heute danach.

Sanktionen in Kürze

Die Bußgelder sind empfindlich. Verbotene Anwendungen können bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes kosten, je nachdem, welcher Betrag höher ist. Für andere Verstöße gelten niedrigere Obergrenzen. Die Beträge sind so angesetzt, dass Compliance günstiger ist, als das Gesetz zu ignorieren.

Eine einfache Methode, um Ihre Lage einzuschätzen

Für eine erste Triage brauchen Sie keinen Anwalt. Stellen Sie zu jedem KI-System, das Sie nutzen oder entwickeln, drei Fragen:

1. Ist die Anwendung verboten? (Social Scoring, Emotionserkennung am Arbeitsplatz und so weiter.) Wenn ja, stoppen Sie.
2. Ist sie hochriskant? (Recruiting, Kreditvergabe, Gesundheit, Bildung, Strafverfolgung.) Wenn ja, haben Sie echte Pflichten, auch wenn sich die Frist verschoben hat.
3. Kommuniziert sie mit Menschen oder erzeugt sie Inhalte für sie? Wenn ja, schulden Sie ihnen Transparenz.

Hier ist diese Triage als kleines Skript, das Sie für eine interne Checkliste anpassen können:

def classify_ai_use(use_case):
    prohibited = {"social_scoring", "workplace_emotion_recognition",
                  "untargeted_face_scraping", "predictive_policing"}
    high_risk = {"cv_screening", "credit_scoring", "medical_diagnosis",
                 "exam_scoring", "border_control"}

    if use_case in prohibited:
        return "PROHIBITED: do not deploy in the EU."
    if use_case in high_risk:
        return "HIGH-RISK: human oversight, logging, bias checks required."
    return "LIMITED/MINIMAL: add a clear 'this is AI' disclosure."

print(classify_ai_use("cv_screening"))
# HIGH-RISK: human oversight, logging, bias checks required.

Das ist ein erster Filter, keine Rechtsberatung. Er sorgt aber dafür, dass Sie jedes Mal die richtige erste Frage stellen.

Was das für Leser außerhalb der EU bedeutet

Auch wenn Sie in den USA, in Großbritannien oder anderswo sitzen, gibt es Gründe, sich damit zu befassen:

• Reichweite: Wenn einige Ihrer Nutzer in der EU sind, kann das Gesetz für Sie gelten.
• Vorbildwirkung: Wie die DSGVO prägt dieses Gesetz Regeln in anderen Ländern, und viele Unternehmen setzen lieber einen globalen Standard um, als mehrere parallel zu bedienen.
• Gute Praxis: Menschliche Aufsicht, Transparenz und Datenqualität sind solide KI-Hygiene, mit oder ohne Aufsichtsbehörde.

Key Takeaways

• Merken Sie sich die vier Stufen: verboten, hochriskant, begrenzt (Transparenz) und minimal. Die meiste alltägliche KI-Nutzung fällt unter „begrenzt“, was vor allem bedeutet, den Menschen zu sagen, dass es KI ist.
• Die Verbote gelten seit Februar 2025. Social Scoring, Emotionserkennung am Arbeitsplatz und in Schulen, ungezieltes Auslesen von Gesichtsbildern und Predictive Policing auf Basis von Profiling sind in der EU tabu.
• Die Regeln für GPAI-Modelle gelten seit August 2025. Die Dokumentation Ihres Anbieters gibt es zum Teil ihretwegen.
• Die Hochrisikofristen haben sich verschoben. Der Digital-Omnibus-Vorschlag hat sie Richtung Dezember 2027 (Recruiting, Kreditvergabe, Bildung) und August 2028 (regulierte Produkte) verlegt. Prüfen Sie den endgültigen Text und behandeln Sie KI in Recruiting, Kreditvergabe, Gesundheit und Bildung trotzdem schon jetzt als hochriskant.
• Wenden Sie die Triage mit drei Fragen (verboten? hochriskant? kommuniziert mit Menschen?) auf jedes KI-Tool an, bevor Sie es ausrollen.