Ist das EU-KI-Gesetz für Ihr Unternehmen von Bedeutung?

Am 2. August treten wichtige neue Bestimmungen des EU-KI-Gesetzes in Kraft. Anders als man auf den ersten Blick annehmen könnte, betreffen diese Bestimmungen nicht nur die Branchenriesen hinter den großen Sprachmodellen. Die EU definiert die Betreiber von KI-Systemen wesentlich weiter gefasst: „Der in dieser Verordnung verwendete Begriff ‚Betreiber‘ ist als jede natürliche oder juristische Person, einschließlich einer Behörde, einer Stelle oder einer anderen Einrichtung, zu verstehen, die ein KI-System unter ihrer Aufsicht nutzt, es sei denn, das KI-System wird im Rahmen einer persönlichen, nichtberuflichen Tätigkeit genutzt.“ KI-Gesetz, Erwägungsgrund (13). Jedes Unternehmen, das KI einsetzt, sollte sich daher gründlich mit der neuen Verordnung auseinandersetzen und prüfen, ob es davon betroffen sein könnte – zumal Geldbußen von bis zu 35 Millionen Euro verhängt werden können.

Wir haben einige wichtige Erkenntnisse zur neuen Verordnung zusammengestellt.

Hintergrund: Warum die EU das KI-Gesetz eingeführt hat

Das EU-KI-Gesetz (Verordnung (EU) 2024/1689) ist das weltweit erste umfassende KI-Gesetz, das darauf abzielt, Innovation und Regulierung in Einklang zu bringen. Europäische Entscheidungsträger sind der Ansicht, dass diese revolutionäre Technologie neue Herausforderungen mit sich bringt, die von bestehenden Gesetzen nicht abgedeckt werden, darunter negative Auswirkungen auf Persönlichkeitsrechte und die öffentliche Sicherheit. Um solche Folgen zu verhindern, hat die EU bestimmte KI-Anwendungen als mit einem inakzeptablen Risiko behaftet definiert und deren Nutzung ausdrücklich verboten. Darüber hinaus wurden die Kategorien „Hohes Risiko“, „Begrenztes Risiko“ und „Minimales Risiko“ definiert, die jeweils unterschiedlichen Stufen der Compliance-Anforderungen entsprechen. Mit der neuen Rahmenverordnung soll das Vertrauen der Bürger in die Technologie gestärkt werden. Darüber hinaus soll ein einheitlicher EU-Binnenmarkt für KI-Produkte und -Dienstleistungen geschaffen werden, um fairen Wettbewerb sowie die Einhaltung geltender EU-Standards zu gewährleisten.
.

Die vier Risikokategorien

Um festzustellen, ob und inwieweit ein Unternehmen vom KI-Gesetz betroffen ist, ist es hilfreich, zunächst die vier Risikokategorien zu betrachten:

	Beschreibung	Beispiele
Inakzeptables Risiko	KI-Systeme, die eine inakzeptable Gefahr für die Sicherheit oder die Grundrechte darstellen. Diese sind grundsätzlich verboten.	Soziales Scoring von Bürgern durch private Akteure oder Behörden KI, die Menschen durch irreführende oder ausbeuterische Techniken zu schädlichen Entscheidungen manipuliert Emotionserkennung am Arbeitsplatz oder in Schulen (mit wenigen Ausnahmen) Bestimmte Formen der biometrischen Echtzeit-Fernidentifizierung durch Strafverfolgungsbehörden im öffentlichen Raum (vorbehaltlich eng gefasster Ausnahmen)
Hohes Risiko	KI, die in Bereichen eingesetzt wird, in denen Fehler oder Voreingenommenheit das Leben von Menschen erheblich beeinträchtigen könnten. Diese Systeme sind zulässig, müssen jedoch strenge Anforderungen erfüllen.	KI, die zur Überprüfung von Bewerbern oder zur Bewertung von Mitarbeitern eingesetzt wird KI zur Feststellung der Berechtigung für Kredite oder Versicherungen KI zur Unterstützung der medizinischen Diagnose in medizinischen Geräten KI, die in kritischen Infrastrukturen (z. B. Stromnetzen) eingesetzt wird KI im Bildungswesen, z. B. bei der Benotung von Prüfungen oder bei Zulassungsentscheidungen KI im Einsatz bei Strafverfolgungsbehörden oder der Grenzkontrolle zur Risikobewertung
Mittleres Risiko	KI-Systeme, bei denen vor allem Transparenz erforderlich ist, damit die Nutzer wissen, dass sie mit KI interagieren.	Chatbots im Kundenservice KI-generierte Bilder, Audio- oder Videodateien (Deepfakes), die in vielen Fällen als KI-generiert gekennzeichnet werden müssen KI-Schreibassistenten Virtuelle Assistenten, die direkt mit den Nutzern interagieren
Geringes Risiko	KI-Anwendungen mit geringen oder keinen Auswirkungen auf die Sicherheit oder die Grundrechte. Für diese gelten im Rahmen des KI-Gesetzes, wenn überhaupt, nur wenige zusätzliche Verpflichtungen.	Spamfilter KI-gestützte Videospielcharaktere KI in Empfehlungssystemen für Musik oder Filme Grammatik- und Rechtschreibprüfungen KI zur Bildoptimierung

Was die Kategorien in der Praxis bedeuten

Unternehmen, deren Angebote in die ersten beiden Kategorien fallen, sind entweder bereits vom KI-Gesetz betroffen – da Beschränkungen für verbotene KI bereits seit Anfang 2025 in Kraft sind – oder sie sind in Branchen tätig, die bereits streng reguliert sind.

Die meisten Unternehmen der Privatwirtschaft werden wahrscheinlich in die Kategorien 3 und 4 fallen, wobei Kategorie 4 am wenigsten problematisch ist und praktisch keine zusätzlichen Anforderungen mit sich bringt (bestehende Vorschriften wie die DSGVO oder spezifische Branchenrichtlinien gelten natürlich weiterhin).

Derzeit stellen die in Art. 50 der im KI-Gesetz festgelegten Transparenzanforderungen für Kategorie 3 stellen eine große Herausforderung für viele KI-Anwendungsfälle dar. Es ist jedoch unklar, wie diese in der Praxis umgesetzt werden sollen. Aus diesem Grund hat das EU-KI-Büro einen Verhaltenskodex (Code of Practice, CoP)veröffentlicht. Dieses Dokument wurde von berechtigten Interessengruppen verfasst, die auf einen öffentlichen Aufruf reagiert hatten, und am 10. Juni 2026 veröffentlicht. Derzeit durchläuft der Kodex eine abschließende Bewertung durch die EU-Kommission und den KI-Rat.

👉 Eine Übersicht über die verschiedenen Transparenzanforderungen finden Sie in unserem kostenlosen Whitepaper.

Die Kosten bei Nichteinhaltung

Die Nichteinhaltung des KI-Gesetzes kann zu hohen Geldbußen führen. Die Verordnung räumt den Strafverfolgungsbehörden bei bestimmten verbotenen KI-Verstößen einen Ermessensspielraum von bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes ein.

Erfolgsgeschichten

Erfolgsgeschichten

Ist das EU-KI-Gesetz für Ihr Unternehmen von Bedeutung?

Hintergrund: Warum die EU das KI-Gesetz eingeführt hat

Die vier Risikokategorien

Was die Kategorien in der Praxis bedeuten

Die Kosten bei Nichteinhaltung

Latest Blog Articles

Does the EU AI Act matter for your...

4 critical to-dos to prepare for...

Digital administration: from the...

How to build e-ID readiness in five...