Was ist das EU-KI-Gesetz? Ein verständlicher Leitfaden für KMU
Veröffentlicht 9. Juni 2026 · 5 Min. Lesezeit
Das EU-KI-Gesetz (Verordnung (EU) 2024/1689) ist das weltweit erste umfassende Gesetz zur künstlichen Intelligenz. Es verfolgt einen risikobasierten Ansatz: Je größer das Risiko, das ein KI-System für Gesundheit, Sicherheit oder Grundrechte darstellt, desto mehr Pflichten gelten. Es ist im August 2024 in Kraft getreten und wird schrittweise eingeführt.
Die vier Risikostufen
- Verbotene Praktiken (Artikel 5) — untersagte Anwendungen wie Social Scoring und das ungezielte Auslesen von Gesichtsbildern. In Kraft seit dem 2. Februar 2025.
- Hochrisiko (Anhang III / Anhang I) — z. B. Personalbeschaffung, Kreditwürdigkeitsprüfung und Medizinprodukte. Der umfangreichste Pflichtenkatalog.
- Begrenztes Risiko (Artikel 50) — Chatbots und generative KI, mit Transparenz- und Kennzeichnungspflichten.
- Minimales Risiko — alles Übrige; keine verpflichtenden Vorgaben.
Gilt der EU AI Act für mein Unternehmen?
Die meisten KMU sind in einer von drei Situationen: Sie stellen ein KI-System bereit (Sie entwickeln es oder vermarkten es unter eigener Marke), Sie betreiben eines (Sie nutzen ein Drittsystem im eigenen Betrieb), oder Sie stehen an anderer Stelle der Lieferkette. Die Pflichten folgen aus der Rolle und der Risikostufe des Systems — nicht aus der Unternehmensgröße. Für eine erste Einschätzung in zwei Minuten: der kostenlose Risk Checker; für die vollständige Analyse: ob der AI Act für Ihr Unternehmen gilt.
Hochrisiko-KI-Systeme (Anhang III)
Beim Hochrisiko konzentriert sich der Großteil der Compliance-Arbeit: Risikomanagement, Datengovernance, technische Dokumentation, Protokollierung, menschliche Aufsicht, Genauigkeit sowie Konformitätsbewertung für Anbieter. Anhang III listet die Anwendungsfälle — Beschäftigung, Kreditscoring, Bildung, wesentliche Dienste sowie bestimmte biometrische und Infrastruktur-Anwendungen. Vollständige Aufschlüsselung: Hochrisiko-Systeme erklärt (Anhang III).
Anhang IV: die technische Dokumentation
Anbieter von Hochrisiko-Systemen müssen die technische Dokumentation nach Anhang IV erstellen und aktuell halten — eine strukturierte Akte zu Zweck, Daten, Entwicklung, Risikomanagement und Leistung des Systems, auf Verlangen für Behörden verfügbar. Was hineingehört: die Anhang-IV-Akte erklärt.
KI mit allgemeinem Verwendungszweck (GPAI)
Wer Basismodelle entwickelt oder feinabstimmt, unterliegt einem eigenen Pflichtenkatalog — technische Dokumentation, Transparenz gegenüber nachgelagerten Anbietern, eine Urheberrechts-Policy und mehr für Modelle mit systemischem Risiko. Details: GPAI-Modellpflichten (Artikel 53 & 55).
Wichtige Termine
Verbotene Praktiken gelten seit Februar 2025 und die Pflichten für GPAI-Modelle seit August 2025. Infolge des Digital Omnibus zur KI gelten die Hochrisiko-Pflichten ab dem 2. Dezember 2027 (eigenständig, Anhang III) und dem 2. August 2028 (in Produkte eingebettet, Anhang I) — festgelegt durch die Verordnung (EU) 2026/1744, in Kraft seit dem 27. Juli 2026. Transparenzpflichten gelten ab dem 2. August 2026.
Sanktionen
Verstöße können bei verbotenen Praktiken bis zu 35 Millionen € oder 7 % des weltweiten Jahresumsatzes kosten, mit niedrigeren (aber weiterhin erheblichen) Obergrenzen für andere Verstöße.
Was KMU tun sollten
Beginnen Sie damit, jedes KI-System zu klassifizieren, das Sie entwickeln oder nutzen. Wenn Sie hochriskant sind, dauert die Dokumentations- und Konformitätsarbeit Monate — fangen Sie früh an. Probieren Sie unseren kostenlosen EU-AI-Act-Risikoprüfer, stöbern Sie in der Compliance nach Anwendungsfall, oder sehen Sie die Preise.
FAQ
Gilt der EU AI Act nur für Big Tech?
Nein. Er gilt nach Rolle und Risikostufe, nicht nach Unternehmensgröße — viele KMU sind Betreiber von Hochrisiko-KI, etwa bei HR-Screening-Tools.
Wurde die Frist gestrichen?
Nein. Einige Hochrisiko-Termine wurden über den Digital Omnibus angepasst, die Pflichten bleiben jedoch bestehen. Siehe die neuen Fristen erklärt.
Brauche ich die Anhang-IV-Dokumentation?
Wenn Sie ein Hochrisiko-System bereitstellen, in der Regel ja. Wenn Sie eines nur betreiben, gelten andere Pflichten — Nutzung, Aufsicht und Aufzeichnungen. Klären Sie zuerst Ihre Einstufung.
Wo fange ich an?
Inventarisieren Sie Ihre KI-Systeme und starten Sie dann den kostenlosen Risk Checker für eine erste Risikoeinschätzung in zwei Minuten.