Seit dem 2. August 2025 ist die nächste Stufe der europäischen KI-Verordnung (AI Act) verbindlich. Was bisher Theorie war, wird nun zur Pflicht – und Verstöße können Unternehmen sehr teuer zu stehen kommen.
Rückblick: Was gilt bereits seit Februar 2025?
Die KI-Verordnung schafft als weltweit erster Rechtsrahmen klare Vorgaben für den Einsatz Künstlicher Intelligenz in der EU. Schon seit Februar 2025 gelten zentrale Grundregeln:
- Verbotene KI-Praktiken: Tabu sind z. B. manipulative Systeme, Sozial-Scoring durch Behörden oder Unternehmen, Echtzeit-Biometrie in der Öffentlichkeit (mit engen Ausnahmen) sowie die gezielte Ausnutzung besonders Schutzbedürftiger.
- Klare Rollen und Verantwortlichkeiten: Anbieter, Betreiber, Importeure und Händler haben jeweils eigene Pflichten – je nach Position in der Wertschöpfungskette.
- Schulungspflichten: Mitarbeitende, die mit KI-Systemen arbeiten, müssen über Funktionsweise, Risiken und rechtliche Rahmenbedingungen informiert sein.
Seit August 2025: Sanktionen und neue Pflichten
Mit Inkrafttreten von Kapitel XII greifen nun auch die Sanktionsregelungen. Die Höhe der Bußgelder macht deutlich: KI-Compliance ist Chefsache.
- Schwerwiegende Verstöße: bis zu 35 Mio. € oder 7 % des weltweiten Jahresumsatzes (z. B. verbotene Praktiken).
- Verstöße im Hochrisiko-Bereich: bis zu 15 Mio. € oder 3 % Umsatz (z. B. Pflichtverletzungen bei Entwicklung oder Einsatz von Hochrisiko-KI).
- Falsche oder irreführende Angaben gegenüber Behörden: bis zu 7,5 Mio. € oder 1 % Umsatz.
Wie bei der DSGVO gilt: Maßgeblich ist der höhere Wert. Für KMU gelten Erleichterungen. Wichtig: DSGVO-Bußgelder können zusätzlich drohen, wenn personenbezogene Daten betroffen sind.
Governance-Pflichten für Hochrisiko-KI
Unternehmen, die Hochrisiko-KI-Systeme entwickeln oder einsetzen, müssen ein Risikomanagementsystem etablieren, das Folgendes umfasst:
- Systematische Identifizierung und Bewertung von Risiken (z. B. Diskriminierung, Fehlentscheidungen, Sicherheitslücken),
- klare Prozesse zur Risikominimierung,
- regelmäßige Überprüfung und Anpassung der Maßnahmen.
Ausblick: Weitere Pflichten ab 2026
Ab dem 2. August 2026 folgen zusätzliche Vorgaben, u. a.:
- Transparenzpflichten: Kennzeichnung von KI-Interaktionen, Deepfakes und Emotionserkennung.
- Volle Compliance-Anforderungen für Hochrisiko-KI: Konformitätsbewertungen, Registrierung in der EU-Datenbank und laufende Risikoanalysen.
Mein Rat: Jetzt handeln – konkrete Schritte für Unternehmen
Wer strukturiert vorgeht, vermeidet nicht nur Bußgelder, sondern gewinnt auch Vertrauen bei Kunden und Geschäftspartnern. Sinnvoll ist ein Fahrplan in neun Schritten:
- Bestandsaufnahme: Alle KI-Systeme im Unternehmen erfassen, kategorisieren und dokumentieren.
- Verbotene Praktiken ausschließen: Anwendungen auf Konformität prüfen und unzulässige Systeme sofort stoppen.
- Verantwortlichkeiten klären: Zuständigkeiten intern festlegen und Schnittstellen definieren.
- Mitarbeitende schulen: Zielgruppenbezogene Trainings zu Risiken und Pflichten einführen.
- Risikomanagement etablieren: Risikoanalyse, Maßnahmenplan und Dokumentation aufbauen.
- Transparenzpflichten vorbereiten: Klare Kennzeichnung von KI-Interaktionen planen.
- Externe Partner prüfen: Dienstleister und Lieferketten in die Compliance einbeziehen.
- Regelmäßige Überprüfung: Monitoring und Audits zur kontinuierlichen Einhaltung einführen.
- Notfallplan erstellen: Meldewege und Krisenkommunikation für den Ernstfall vorbereiten.
Fazit
Die KI-Verordnung ist längst keine Zukunftsmusik mehr – sie gilt jetzt. Unternehmen, die rechtzeitig handeln, schützen sich nicht nur vor hohen Bußgeldern, sondern stärken zugleich ihre Marktposition. Wer frühzeitig in Compliance investiert, verschafft sich einen klaren Wettbewerbsvorteil.
