Verordnung (EU) 2024/1689
EU AI Act verstehen:
in 30 Sekunden Orientierung.
Der praxisnahe Leitfaden für Online-Unternehmer, Coaches, Agenturen, SaaS-Anbieter und Bildungseinrichtungen. Klärt Rolle, Pflichten und nächste Schritte ohne juristischen Ballast.
Überblick
Was ist der EU AI Act?
Der EU AI Act (Verordnung (EU) 2024/1689) ist das zentrale EU-Gesetz für den Einsatz von Künstlicher Intelligenz. Er gilt unmittelbar in allen Mitgliedstaaten und erfasst auch dich, sobald du KI-Systeme im EU-Markt einsetzt, anbietest oder vertreibst.
Was er regelt
Risikobasierte Regeln für Entwicklung, Bereitstellung und Nutzung von KI-Systemen in der EU.
Für wen er gilt
Provider, Deployer, Importeure und Distributoren, auch außerhalb der EU, sobald die KI im EU-Markt wirkt.
Wie er wirkt
Vier Risikoklassen, klare Pflichten, gestaffelte Fristen bis 2027.
Schnellcheck
Betrifft mich der EU AI Act?
Wähle die Situation, die deinem Alltag am nächsten kommt. Du siehst sofort, in welcher Rolle du wahrscheinlich bist und wo du weiterlesen solltest.
Ich nutze KI nur intern für Texte, Recherche oder Marketing
Meist minimales bis begrenztes Risiko. AI Literacy und interne Regeln werden Pflicht.
Ich setze Chatbots oder KI-Tools im Kundenkontakt ein
Begrenztes Risiko: Transparenzpflicht. Nutzer müssen erkennen, dass sie mit KI sprechen.
Ich verkaufe eigene KI-Software oder KI-Services
Du bist Provider. Je nach Anwendung Hochrisiko-Pflichten oder GPAI-Pflichten möglich.
Ich nutze KI in Bildung, Bewertung, Zulassung oder Prüfung
Sensibler Bereich. Häufig Hochrisiko nach Annex III. Genaue Prüfung empfohlen.
Ich importiere KI-Lösungen aus den USA oder UK in die EU
Du übernimmst Importeur-Pflichten: Konformität prüfen, Dokumentation sicherstellen.
Ich biete KI-Tools anderer Anbieter weiter an (Reseller, Plattform)
Distributor-Rolle: Du musst die Konformitätskennzeichnung der Anbieter prüfen.
Rollen
Welche Rolle hast du?
Der AI Act unterscheidet vier Rollen. Deine Pflichten hängen davon ab, was du mit der KI machst, nicht wie groß dein Unternehmen ist.
Provider
Wer ein KI-System entwickelt oder unter eigenem Namen in der EU bereitstellt.
Typische Beispiele
- EdTech-Startup mit eigener KI für Prüfungsbewertung
- SaaS-Anbieter mit KI-Analyse-Tool für Coaches
- Agentur, die ein eigenes KI-Produkt unter eigener Marke verkauft
Meist zu tun
- Konformitätsbewertung je nach Risikoklasse
- Technische Dokumentation und Transparenz
- Risikomanagement und Monitoring nach Markteintritt
Achtung: Wenn du ein fremdes KI-System unter deinem Namen anbietest oder wesentlich änderst, wirst du selbst zum Provider.
Deployer
Wer ein KI-System beruflich einsetzt. Häufigster Fall bei Online-Unternehmern.
Typische Beispiele
- Coach, der KI für Kundenanalyse oder Content nutzt
- Agentur, die GPT-basierte Tools im Kundenauftrag einsetzt
- Schule oder Hochschule, die KI in Bewertung oder Zulassung nutzt
Meist zu tun
- AI Literacy: Mitarbeitende müssen KI-Kompetenz aufbauen (Art. 4)
- Transparenz gegenüber Nutzern (z. B. Chatbots, Deepfakes)
- Bei Hochrisiko-KI: Aufsicht, Logging, Datenqualität sicherstellen
Achtung: Auch die rein interne Nutzung externer KI-Tools kann Deployer-Pflichten auslösen.
Importeur
Wer in der EU sitzt und ein KI-System aus einem Drittland in den EU-Markt bringt.
Typische Beispiele
- EU-Reseller eines US-amerikanischen KI-SaaS
- Distributor eines UK-Tools unter dortiger Marke
Meist zu tun
- Konformität des Systems prüfen vor Markteintritt
- Dokumentation und CE-Kennzeichnung sicherstellen
- Bei Mängeln Behörden und Provider informieren
Achtung: Importeur-Pflichten greifen auch dann, wenn das Produkt nur über deine Plattform verfügbar ist.
Distributor
Wer ein KI-System in der Lieferkette bereitstellt, ohne es selbst zu entwickeln oder zu importieren.
Typische Beispiele
- Marktplatz, der KI-Tools anderer Anbieter listet
- Reseller von KI-Plug-ins
Meist zu tun
- Sorgfaltspflicht: Konformitätskennzeichnung der Anbieter prüfen
- Bei Verdacht auf Nichtkonformität nicht weiter vertreiben
- Mitwirken bei Korrekturmaßnahmen
Achtung: Wenn du das Produkt veränderst oder umbenennst, kannst du zum Provider oder Importeur werden.
Sofortmaßnahmen
Was du jetzt konkret tun solltest
Eine schlanke 5-Schritte-Roadmap. Für die meisten kleinen Unternehmen reicht ein halber bis ganzer Arbeitstag, um diese Basis aufzusetzen.
- 1
Alle eingesetzten KI-Tools erfassen
Erstelle eine kurze Liste aller KI-Systeme im Unternehmen: ChatGPT, Midjourney, Chatbots, Analyse-Tools, integrierte KI-Funktionen.
Beispiel: Eine Agentur listet 7 Tools, davon 3 mit Kundenkontakt. Daraus ergibt sich der Prüfumfang.
- 2
Rolle im AI Act bestimmen
Pro Tool klären: Bist du Provider, Deployer, Importeur oder Distributor? Mehrfachrollen sind möglich.
Beispiel: Ein Coach ist Deployer für ChatGPT, aber Provider, sobald er einen eigenen GPT mit Branding verkauft.
- 3
Hochrisiko-Anwendungen identifizieren
Prüfe gegen Annex III, ob deine Nutzung in einem sensiblen Bereich liegt (Bildung, HR, Biometrie, Kreditvergabe).
Beispiel: Eine Schule, die KI in der Notenvergabe einsetzt, bewegt sich im Hochrisiko-Bereich.
- 4
Transparenzpflichten umsetzen
Chatbots klar kennzeichnen, KI-generierte Bilder und Texte sichtbar markieren, Deepfakes ausweisen.
Beispiel: Ein Service-Chatbot beginnt mit: Hinweis, dass die Antworten von einer KI stammen.
- 5
AI Literacy und interne Regeln dokumentieren
Schule Mitarbeitende und halte schriftlich fest: erlaubte Tools, Datenarten, Freigabewege, Verantwortliche.
Beispiel: Eine kompakte KI-Richtlinie auf zwei Seiten erfüllt die Dokumentationspflicht im KMU-Kontext.
Risikoklassen
Die 4 Risikostufen verständlich erklärt
Der AI Act bewertet KI nicht pauschal, sondern nach Anwendungsfall. Dieselbe Technologie kann je nach Einsatz in unterschiedliche Stufen fallen.
Unzulässig
Verbotene Praktiken nach Art. 5. Diese KI darf in der EU nicht eingesetzt werden.
- Social Scoring durch Behörden
- Manipulative KI, die Schwächen ausnutzt
- Ungerichtetes Auslesen von Gesichtsbildern aus dem Internet
In der Praxis: Bei biometrischer Echtzeit-Fernidentifizierung im öffentlichen Raum gelten enge gesetzliche Ausnahmen, vor allem für Strafverfolgung.
Hochrisiko
KI in sensiblen Bereichen nach Annex III oder als Sicherheitskomponente. Strenge Pflichten.
- KI in Recruiting und Bewerberauswahl
- Notenvergabe, Studienplatz-Vergabe, Prüfungsbewertung
- Kreditwürdigkeit, Sozialleistungen
In der Praxis: Bedeutet umfassende Dokumentation, Risikomanagement, Datenqualität und menschliche Aufsicht.
Begrenztes Risiko
KI mit direktem Nutzerkontakt. Transparenzpflichten, keine Zulassungspflicht.
- Service-Chatbots
- KI-generierte Texte oder Bilder im Marketing
- Deepfakes und synthetische Medien
In der Praxis: Klar kennzeichnen, dass Inhalte KI-generiert sind oder dass die Interaktion mit einer KI stattfindet.
Minimales Risiko
Die große Mehrheit der Alltags-KI. Keine spezifischen Pflichten, freiwillige Codes empfohlen.
- Spamfilter
- KI in Rechtschreibhilfen
- KI in Foto-Apps
In der Praxis: Auch hier gilt: AI Literacy aufbauen und interne Regeln definieren.
Warnbereiche
Hier solltest du besonders genau hinschauen
Diese vier Bereiche sind in der Praxis am häufigsten Quelle von Fehleinschätzungen. Eine genauere Prüfung lohnt sich.
Bildung und Prüfungen
Häufig HochrisikoKI in Zulassung, Bewertung, Notenvergabe oder Studienplatzvergabe ist in Annex III gelistet. Schulen und Hochschulen sind hier in der Regel Deployer.
Genauer prüfen, Sobald KI über Zugang, Bewertung oder Erfolg von Lernenden mitentscheidet.
HR, Recruiting, Bewerberbewertung
Häufig HochrisikoAutomatisierte Vorauswahl, Lebenslaufanalyse oder Bewertung von Bewerbenden gilt grundsätzlich als Hochrisiko-Anwendung.
Genauer prüfen, Sobald KI Personalentscheidungen vorbereitet oder beeinflusst.
Biometrie und Emotionserkennung
Verbots- oder HochrisikonäheEmotionserkennung am Arbeitsplatz oder in Bildung ist stark eingeschränkt. Biometrische Identifizierung unterliegt engen Ausnahmen.
Genauer prüfen, Sobald biometrische Daten verarbeitet oder Gefühlszustände abgeleitet werden.
Deepfakes, KI-Inhalte, Chatbots
TransparenzpflichtSynthetische Inhalte und KI-Chats müssen als solche erkennbar sein. Das gilt auch für Marketing-Visuals und Service-Bots.
Genauer prüfen, Sobald Nutzer den künstlichen Ursprung nicht ohne Weiteres erkennen.
Timeline
Wichtige Fristen im Überblick
Die Pflichten greifen in mehreren Stufen. Plane deine Umsetzung an diesen Daten entlang.
1. August 2024
Inkrafttreten
Die Verordnung (EU) 2024/1689 ist in Kraft. Die schrittweise Anwendbarkeit beginnt.
2. Februar 2025
Allgemeine Vorschriften, AI Literacy, verbotene Praktiken
Art. 1 bis 5 gelten: Definitionen, KI-Kompetenzpflicht (Art. 4) und Verbote (Art. 5).
2. August 2025
Regeln für General Purpose AI (GPAI)
Pflichten für Anbieter von Allzweck-KI-Modellen, Governance-Strukturen und Sanktionsrahmen.
2. August 2026
Zentrale Pflichten für Hochrisiko-KI
Die meisten Pflichten der Verordnung werden voll wirksam, insbesondere für Hochrisiko-Systeme nach Annex III.
2. August 2027
Weitere vollständige Anwendbarkeit
Reststufen, insbesondere für Hochrisiko-KI als Sicherheitskomponente regulierter Produkte.
Pflichten
Welche Pflichten sind für dich am wahrscheinlichsten relevant?
Orientierung statt juristische Vollständigkeit. Suche dir die Gruppe heraus, die deinem Alltag am nächsten kommt.
Nutzer externer KI-Tools
Häufige Pflichten
- AI Literacy im Team aufbauen
- Interne KI-Richtlinie
- Datenschutz: keine personenbezogenen Daten ohne Freigabe
Worauf achten
- Welche Tools sind freigegeben?
- Welche Daten dürfen verarbeitet werden?
Meist kein Thema
- Eigene Konformitätsbewertung
- CE-Kennzeichnung
Betreiber von Chatbots und KI-Inhalten
Häufige Pflichten
- Transparenz: Hinweis auf KI-Interaktion
- Kennzeichnung KI-generierter Inhalte
- Deepfake-Kennzeichnung
Worauf achten
- Werden Nutzer klar informiert?
- Sind Hinweise dauerhaft sichtbar?
Meist kein Thema
- Hochrisiko-Pflichten, sofern kein sensibler Anwendungsfall
Anbieter eigener KI-Lösungen
Häufige Pflichten
- Risikoklassifizierung des Systems
- Technische Dokumentation
- Konformität, Monitoring, ggf. GPAI-Pflichten
Worauf achten
- Wird das System wesentlich verändert?
- Klare Verantwortlichkeiten in der Lieferkette
Meist kein Thema
- Nichts pauschal, da Pflichten je nach Klasse erheblich variieren
Bildung, HR, Bewertungssysteme
Häufige Pflichten
- Prüfung auf Hochrisiko-Einstufung (Annex III)
- Menschliche Aufsicht und Erklärbarkeit
- Information der Betroffenen
Worauf achten
- Welche Entscheidungen werden KI-gestützt getroffen?
- Können Betroffene Einspruch einlegen?
Meist kein Thema
- Nur bei rein internen, nicht entscheidungsrelevanten Tools entfallen die meisten Pflichten
FAQ
Die häufigsten Fragen aus der Praxis
Kurze Antworten auf die Fragen, die uns am häufigsten begegnen.
Gilt der AI Act auch, wenn ich nur ChatGPT nutze?+
Ja, als Deployer. Du musst keine Konformität bewerten, aber AI Literacy aufbauen, interne Regeln definieren und gegebenenfalls Transparenz gegenüber Kunden sicherstellen.
Muss ich KI-generierte Inhalte kennzeichnen?+
Bei direktem Nutzerkontakt und bei Deepfakes oder klar synthetischen Medien ja. Bei rein internem Einsatz ohne Außenwirkung in der Regel nicht.
Wann bin ich Deployer und wann Provider?+
Wer KI beruflich einsetzt, ist Deployer. Wer ein KI-System entwickelt, unter eigenem Namen anbietet oder wesentlich verändert, wird Provider, mit deutlich höheren Pflichten.
Sind Coaches und Agenturen betroffen?+
Ja, sobald sie KI im Geschäftsbetrieb einsetzen. Meist als Deployer, mit überschaubaren Pflichten rund um AI Literacy, Transparenz und interne Regeln.
Was bedeutet AI Literacy konkret?+
Ein angemessenes Maß an KI-Kompetenz im Team: Was kann die KI, was nicht, welche Risiken gibt es, welche Regeln gelten intern. Schulungen und eine kurze Richtlinie reichen meist aus.
Ist jede KI in der Bildung automatisch Hochrisiko?+
Nein. Hochrisiko wird es dort, wo KI Zugang, Bewertung oder Erfolg von Lernenden mit beeinflusst. Reine Hilfsanwendungen ohne Entscheidungswirkung sind meist nicht Hochrisiko.
Muss ich meine Mitarbeitenden schulen?+
Ja. Art. 4 (AI Literacy) gilt seit dem 2. Februar 2025 und verpflichtet zu einem angemessenen Kompetenzaufbau aller Personen, die KI im Auftrag des Unternehmens nutzen.
Quiz
Wissenstest: 8 Fragen zum EU AI Act
Freiwilliger Selbstcheck. Nach dem Absenden bekommst du zu jeder Antwort eine kurze Erklärung.
Frage 1 von 8
Welche Verordnung regelt den EU AI Act?
Frage 2 von 8
Wie viele Risikoklassen kennt der AI Act?
Frage 3 von 8
Du nutzt als Agentur ein externes KI-Tool. Welche Rolle hast du typischerweise?
Frage 4 von 8
Ab wann gilt die AI-Literacy-Pflicht nach Art. 4?
Frage 5 von 8
Wann greifen die zentralen Pflichten für Hochrisiko-KI?
Frage 6 von 8
Welche Praktik ist nach dem AI Act grundsätzlich verboten?
Frage 7 von 8
Welche Pflicht trifft Chatbots im Kundenkontakt?
Frage 8 von 8
Wie sind Deepfakes zu behandeln?
Quellen und Hinweis
Offizielle Quellen und rechtlicher Hinweis
Diese Seite bietet eine praxisnahe Orientierung. Bei konkreten Einzelfällen ist eine vertiefte rechtliche Prüfung empfohlen.
Offizielle Quellen
Rechtlicher Hinweis
Diese Seite stellt keine Rechtsberatung dar. Inhalte spiegeln den allgemeinen Informationsstand zum Veröffentlichungszeitpunkt wider. Zuständigkeiten in Deutschland verteilen sich auf mehrere Behörden; die Bundesnetzagentur nimmt im Marktüberwachungskontext eine zentrale Rolle ein, abhängig vom konkreten Anwendungsbereich. Bei sensiblen Einzelfällen empfehlen wir eine spezialisierte rechtliche Prüfung.