Risikoklassen, Fristen bis 2027, Bußgelder bis 35 Millionen Euro: Was für ein kleines oder mittleres Unternehmen davon wirklich relevant ist — ohne 144 Artikel selbst lesen zu müssen.
Der EU AI Act (Verordnung (EU) 2024/1689) ist seit August 2024 in Kraft und wird gestaffelt bis 2027 wirksam. Anders als eine Richtlinie gilt er unmittelbar in jedem Mitgliedsstaat — kein nationales Umsetzungsgesetz nötig. Er betrifft nicht nur KI-Hersteller, sondern jedes Unternehmen, das KI-Systeme einsetzt, auch wenn es nur ChatGPT im Alltag nutzt.
Die Verordnung ordnet KI-Anwendungen vier Risikoklassen zu — von verboten bis minimal. Die Klasse entscheidet, welche Pflichten gelten. Für die meisten KMU liegt der Alltag in der Klasse „minimales Risiko", trotzdem greift seit Februar 2025 eine Pflicht, die alle betrifft: die KI-Kompetenz im Team.
Vier Stufen, vier völlig unterschiedliche Pflichtenkataloge — die meisten alltäglichen KI-Anwendungen im Mittelstand landen in den beiden unteren Klassen.
Social Scoring durch Behörden, manipulative Beeinflussungstechniken, ungezieltes Auslesen von Gesichtsbildern für Erkennungs-Datenbanken. Seit Februar 2025 EU-weit untersagt.
Etwa Bewerber-Vorauswahl ohne menschliche Kontrolle, Bonitätsprüfung oder KI in Medizinprodukten. Umfangreiche Pflichten: Risikomanagement, Dokumentation, menschliche Aufsicht.
Chatbots, Deepfakes, KI-generierte Inhalte. Nutzer müssen erkennen können, dass sie mit einem KI-System interagieren — Artikel 50, seit August 2025 in Kraft.
Die meisten internen Automatisierungen: Mail-Sortierung, Angebotsentwürfe, Reporting. Keine Zulassungspflicht — aber die KI-Kompetenzpflicht aus Artikel 4 gilt trotzdem.
Der EU AI Act tritt nicht auf einen Schlag in Kraft, sondern gestaffelt — bereits zwei Fristen sind heute schon aktiv.
Der EU AI Act wird EU-weit gültiges Recht — die konkreten Pflichten greifen ab hier gestaffelt in mehreren Wellen.
Verbotene Praktiken greifen EU-weit. Gleichzeitig verlangt Artikel 4: Wer KI-Systeme einsetzt, muss ausreichende KI-Kompetenz im Team sicherstellen — diese Frist ist bereits aktiv, nicht erst zukünftig relevant.
Kennzeichnungspflicht für Chatbots und KI-generierte Inhalte tritt in Kraft, ebenso spezifische Pflichten für Anbieter von General-Purpose-KI-Modellen wie große Sprachmodelle.
Die umfangreichen Anforderungen an Hochrisiko-KI-Systeme — Risikomanagement, Dokumentation, Konformitätsbewertung — werden für die meisten betroffenen Anwendungen verbindlich.
Für Hochrisiko-KI, die in bereits regulierte Produkte eingebettet ist — etwa Medizinprodukte oder Maschinen — endet die verlängerte Übergangsfrist, danach gelten auch dort die vollen Pflichten.
Kein Compliance-Projekt mit externer Kanzlei nötig — für die meisten KMU reicht dieser Fahrplan.
Bußgeldrahmen für verbotene Praktiken (Art. 5) — der jeweils höhere der beiden Beträge, bezogen auf den weltweiten Jahresumsatz.
Bußgeldrahmen für sonstige Pflichtverstöße, etwa fehlende Transparenz oder mangelhaftes Risikomanagement bei Hochrisiko-Systemen.
Bußgeldrahmen für falsche oder unvollständige Angaben gegenüber Behörden oder benannten Stellen.
Quelle: Artikel 99 der Verordnung (EU) 2024/1689. Wichtige Erleichterung für KMU und Start-ups: Bei ihnen gilt laut Artikel 99 Absatz 6 jeweils der niedrigere der beiden Beträge (Festsumme oder Prozentsatz) — bei allen anderen Unternehmen der höhere.
Die EU-Verordnung 2024/1689 zur Regulierung von KI-Systemen — seit August 2024 in Kraft, gestaffelt bis 2027 wirksam. Sie teilt KI-Anwendungen in vier Risikoklassen ein und legt je nach Klasse unterschiedliche Pflichten fest.
Ja. Seit dem 2. Februar 2025 gilt Artikel 4: ausreichende KI-Kompetenz im Team, auch bei einfacher ChatGPT-Nutzung. Eine dokumentierte interne Schulung reicht als Nachweis, eine förmliche Zertifizierung ist nicht vorgeschrieben. Mehr im KI-Glossar.
Unter anderem Social Scoring durch Behörden, manipulative KI-Techniken, biometrische Kategorisierung nach sensiblen Merkmalen und das ungezielte Auslesen von Gesichtsbildern für Erkennungs-Datenbanken.
Bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes für verbotene Praktiken, bis zu 15 Millionen Euro oder 3 Prozent für sonstige Pflichtverstöße. Für KMU und Start-ups gilt laut Artikel 99 Absatz 6 jeweils der niedrigere der beiden Beträge.
Ja, Artikel 50 schreibt das seit dem 2. August 2025 vor: Nutzer müssen erkennen können, dass sie mit einem KI-System interagieren, sofern das nicht ohnehin offensichtlich ist. Details und Beispieltext unter KI-Anwendungsfälle.
Grundsätzlich ab dem 2. August 2026, für bestimmte in regulierte Produkte eingebettete Hochrisiko-KI-Systeme verlängert sich die Frist bis zum 2. August 2027.
Im Erstgespräch ordnen wir Ihre tatsächlich genutzten KI-Tools den passenden Risikoklassen zu — ohne Juristendeutsch.
Sie bekommen eine ehrliche Einschätzung, welche der fünf Schritte bei Ihnen bereits erledigt sind — und welche noch fehlen.
Von der Einordnung zum Quick-Audit: In 30 Minuten zeigen wir drei KI-Hebel, die konkret zu Ihrem Betrieb passen.