Zusammenfassung des AI-Gesetzes auf hoher Ebene

Aktualisiert am 31. August 2026 gemäß den Änderungen des KI-Gesetzes, die im Rahmen des „Digital Omnibus“-Pakets zur KI verabschiedet wurden.

In diesem Artikel geben wir Ihnen eine Zusammenfassung des Gesetzes über künstliche Intelligenz, wobei wir die Teile ausgewählt haben, die für Sie am ehesten von Bedeutung sind, unabhängig davon, wer Sie sind. Dort, wo es relevant ist, geben wir Links zum Originaldokument an, damit Sie jederzeit auf den Gesetzestext zugreifen können.

Um den vollständigen Text des AI Act selbst zu erkunden, verwenden Sie unseren AI Act Explorer. Wenn Sie wissen möchten, welche Teile des Textes für Sie besonders relevant sind, können Sie auch unseren Compliance Checker verwenden.

Verbotene KI-Systeme(Kapitel II, Art. 5)

Die folgenden Arten von KI-Systemen sind nach dem KI-Gesetz "verboten".

KI-Systeme:

• der Einsatz unterschwelliger, manipulativer oder irreführender Techniken mit dem Ziel oder der Wirkung, das Verhalten zu verzerren, indem die Fähigkeit zur fundierten Entscheidungsfindung beeinträchtigt wird, wodurch erheblicher Schaden verursacht wird oder vernünftigerweise zu erwarten ist, dass erheblicher Schaden verursacht wird.
• die Ausnutzung von Schwachstellen im Zusammenhang mit Alter, Behinderung oder sozioökonomischen Umständen mit dem Ziel oder der Folge, das Verhalten zu verzerren und dadurch erheblichen Schaden zu verursachen oder mit hinreichender Wahrscheinlichkeit zu verursachen.
• biometrische Kategorisierungssysteme, die Rückschlüsse auf sensible Merkmale (Ethnie, politische Meinungen, Gewerkschaftszugehörigkeit, religiöse oder philosophische Überzeugungen, Sexualleben oder sexuelle Ausrichtung) zulassen, außer bei der Kennzeichnung oder Filterung rechtmäßig erworbener biometrischer Datensätze oder bei der Kategorisierung biometrischer Daten durch die Strafverfolgungsbehörden.
• die Erstellung von intimen Bildaufnahmen ohne Einwilligung und von Material über sexuellen Kindesmissbrauch (CSAM)
• Soziales Scoring, d. h. die Bewertung oder Einstufung von Einzelpersonen oder Gruppen auf der Grundlage ihres sozialen Verhaltens oder persönlicher Merkmale, was zu einer nachteiligen oder ungünstigen Behandlung dieser Personen in sozialen Kontexten führt, die in keinem Zusammenhang mit dem Kontext der Datenerhebung stehen, und/oder in denen die Auswirkungen unverhältnismäßig sind.
• die Bewertung des Risikos, dass eine Person Straftaten begeht, ausschließlich auf der Grundlage von Profilen oder Persönlichkeitsmerkmalen, es sei denn, sie wird zur Ergänzung menschlicher Bewertungen auf der Grundlage objektiver, überprüfbarer Fakten, die in direktem Zusammenhang mit kriminellen Aktivitäten stehen, verwendet.
• Aufbau von Gesichtserkennungsdatenbanken durch ungezieltes Auslesen von Gesichtsbildern aus dem Internet oder aus Videoüberwachungsaufnahmen.
• das Ableiten von Emotionen am Arbeitsplatz oder in Bildungseinrichtungen, außer aus medizinischen oder Sicherheitsgründen.
• „Echtzeit“-Fernidentifizierung mittels biometrischer Daten (RBI) in öffentlich zugänglichen Räumen zum Zwecke der Strafverfolgung, es sei denn, es liegt einer der folgenden Fälle vor:

• Suche nach vermissten Personen, Entführungsopfern und Menschen, die Opfer von Menschenhandel oder sexueller Ausbeutung geworden sind;
• zur Abwehr einer erheblichen und unmittelbar drohenden Gefahr für das Leben oder die körperliche Unversehrtheit natürlicher Personen oder eines absehbaren Terroranschlags; oder
• die Identifizierung von Verdächtigen bei schweren Straftaten (z. B. Mord, Vergewaltigung, bewaffneter Raubüberfall, illegaler Handel mit Betäubungsmitteln und Waffen, organisierte Kriminalität sowie Umweltkriminalität usw.).

Anmerkungen zur biometrischen Fernidentifizierung in Echtzeit:

Der Einsatz von KI-gestützter Echtzeit-RBI ist ausschließlich zur Identitätsfeststellung der konkret betroffenen Person zulässig und muss den Schaden, der durch den Verzicht auf die Nutzung des Systems entsteht, sowie die Rechte und Freiheiten der betroffenen Personen berücksichtigen.

Vor dem Einsatz muss die Polizei eine Folgenabschätzung für die Grundrechte durchführen und das System in der EU-Datenbank registrieren. In hinreichend begründeten dringenden Fällen kann der Einsatz jedoch auch ohne Registrierung erfolgen, sofern er später ohne unangemessene Verzögerung registriert wird.

Vor dem Einsatz müssen sie zudem die Genehmigung einer Justizbehörde oder einer unabhängigen Verwaltungsbehörde einholen[1]; in hinreichend begründeten dringenden Fällen kann der Einsatz jedoch ohne Genehmigung beginnen, sofern die Genehmigung unverzüglich und in jedem Fall innerhalb von 24 Stunden beantragt wird. Wird die Genehmigung verweigert, muss der Einsatz unverzüglich eingestellt und alle Daten, Ergebnisse und Ausgabedaten gelöscht werden.

↲ [1] Unabhängige Verwaltungsbehörden können einem stärkeren politischen Einfluss ausgesetzt sein als Justizbehörden (Hacker, 2024).

KI-Systeme mit hohem Risiko (Kapitel III)

Einige KI-Systeme gelten gemäß dem KI-Gesetz als „risikoreich“. Die Anbieter dieser Systeme unterliegen zusätzlichen Auflagen.

Klassifizierungsregeln für KI-Systeme mit hohem Risiko(Art. 6)

Zu den KI-Systemen mit hohem Risiko zählen:

• als Sicherheitsbauteil oder ein Produkt verwendet wird, das unter die EU-Rechtsvorschriften in Anhang I fällt UND einer Konformitätsbewertung durch einen Dritten gemäß diesen Anhang I-Rechtsvorschriften unterzogen werden muss; ODER
• aufgeführt unter Anhang III Anwendungsfälle (unten), außer wenn:
  • das KI-System führt eine enge prozedurale Aufgabe aus;
  • verbessert das Ergebnis einer zuvor durchgeführten menschlichen Tätigkeit;
  • Entscheidungsmuster oder Abweichungen von früheren Entscheidungsmustern aufdeckt und nicht dazu gedacht ist, die zuvor durchgeführte menschliche Bewertung ohne angemessene menschliche Überprüfung zu ersetzen oder zu beeinflussen; oder
  • führt eine vorbereitende Aufgabe für eine Bewertung durch, die für die in Anhang III aufgeführten Anwendungsfälle relevant ist.
• Die in Anhang III aufgeführten KI-Systeme gelten immer dann als risikoreich, wenn sie ein Profil von Personen erstellen, d. h. wenn sie personenbezogene Daten automatisiert verarbeiten, um verschiedene Aspekte des Lebens einer Person zu bewerten, z. B. Arbeitsleistung, wirtschaftliche Lage, Gesundheit, Vorlieben, Interessen, Zuverlässigkeit, Verhalten, Standort oder Bewegung.
• Anbieter, deren KI-System unter die Anwendungsfälle in Anhang III fällt, die aber der Ansicht sind, dass es kein hohes Risiko darstellt, müssen eine solche Bewertung dokumentieren, bevor sie es in Verkehr bringen oder in Betrieb nehmen.

Anforderungen an Anbieter von KI-Systemen mit hohem Risiko (Artikel8–21)

Anbieter von KI mit hohem Risiko müssen:

• Einführung eines Risikomanagementsystems über den gesamten Lebenszyklus des risikoreichen KI-Systems hinweg.
• Durchführung von Data Governance, um sicherzustellen, dass die Schulungs-, Validierungs- und Testdatensätze relevant, ausreichend repräsentativ und so weit wie möglich fehlerfrei und vollständig sind.
• Erstellen Sie technische Unterlagen, um die Konformität nachzuweisen und den Behörden die Informationen zur Beurteilung dieser Konformität zur Verfügung zu stellen, und bewahren Sie diese zusammen mit den Unterlagen zu den von den benannten Stellen genehmigten Änderungen sowie deren Entscheidungen und der EU-Konformitätserklärung auf. 
• Sie müssen ihr risikoreiches KI-System so konzipieren, dass während des gesamten Lebenszyklus des Systems Protokolle geführt werden, damit das System automatisch Ereignisse aufzeichnet, die für die Ermittlung von Risiken für die Gesundheit, die Sicherheit oder die Grundrechte durch das KI-System sowie für wesentliche Änderungen am KI-System relevant sind, um die Überwachung nach dem Inverkehrbringen sowie die Überwachung des Betriebs risikoreicher KI-Systeme zu erleichtern. Solange sich die Protokolle unter ihrer Kontrolle befinden, muss der Anbieter sie aufbewahren.
• Stellen Sie den Anwendern Gebrauchsanweisungen zur Verfügung, damit diese die Vorschriften einhalten können.
• Sie sollen ihr risikoreiches KI-System so konzipieren, dass die Betreiber eine menschliche Aufsicht gewährleisten können.
• Entwickeln Sie ihr KI-System mit hohem Risiko so, dass es ein angemessenes Maß an Genauigkeit, Robustheit und Cybersicherheit erreicht.
• Ein Qualitätsmanagementsystem einrichten, um die Einhaltung der Vorschriften sicherzustellen, und die dazugehörigen Unterlagen aufbewahren.
• Ihr hochrisikobehaftetes KI-System der entsprechenden Konformitätsbewertung unterziehen, eine EU-Konformitätserklärung erstellen und das System mit der CE-Kennzeichnung versehen. Auf Verlangen die Konformität ihres Systems mit dem Gesetz nachweisen. Sollte die Konformität nicht mehr gegeben sein, die erforderlichen Korrekturmaßnahmen ergreifen.
• Ihr KI-System mit hohem Risiko in der EU-Datenbank für KI-Systeme mit hohem Risiko registrieren.
• Stellen Sie sicher, dass ihr hochrisikobehaftetes KI-System die Anforderungen an die Barrierefreiheit erfüllt.

Allgemeine künstliche Intelligenz (GPAI)

Unter einem GPAI-Modell versteht man ein KI-Modell – einschließlich solcher, die unter Einsatz von Selbstüberwachung in großem Maßstab mit großen Datenmengen trainiert wurden –, das eine erhebliche Generalisierbarkeit aufweist und in der Lage ist, ein breites Spektrum unterschiedlicher Aufgaben kompetent auszuführen, unabhängig davon, wie das Modell in Verkehr gebracht wird, und das in eine Vielzahl von nachgelagerten Systemen oder Anwendungen integriert werden kann. Dies gilt nicht für KI-Modelle, die vor dem Inverkehrbringen für Forschungs-, Entwicklungs- und Prototyping-Aktivitäten verwendet werden.

Unter einem GPAI-System versteht man ein KI-System, das auf einem universellen KI-Modell basiert und für eine Vielzahl von Zwecken eingesetzt werden kann, sowohl für den direkten Einsatz als auch für die Integration in andere KI-Systeme.

GPAI-Systeme können als KI-Systeme mit hohem Risiko eingesetzt oder in solche integriert werden. Anbieter von GPAI-Systemen sollten mit den Anbietern solcher KI-Systeme mit hohem Risiko zusammenarbeiten, um letzteren die Einhaltung der Vorschriften zu ermöglichen.

Alle Anbieter von GPAI-Modellen müssen:

• Erstellen Sie technische Unterlagen, einschließlich der Schulungs- und Prüfverfahren sowie der Auswertungsergebnisse.
• Erstellen Sie Informationen und Unterlagen für nachgelagerte Anbieter, die beabsichtigen, das GPAI-Modell in ihr eigenes KI-System zu integrieren, damit diese die Fähigkeiten und Grenzen des Modells verstehen und die gesetzlichen Vorschriften einhalten können.
• Erstellen Sie eine Richtlinie zur Einhaltung der Urheberrechtsrichtlinie.
• Veröffentlichung einer hinreichend detaillierten Zusammenfassung der für das Training des GPAI-Modells verwendeten Inhalte.

GPAI-Modelle unter einer freien und quelloffenen Lizenz – deren Parameter, einschließlich Gewichte, Informationen zur Modellarchitektur und zur Modellnutzung öffentlich zugänglich sind, was den Zugriff, die Nutzung, die Änderung und die Verbreitung des Modells ermöglicht – müssen lediglich die beiden letztgenannten Verpflichtungen erfüllen, es sei denn, es handelt sich bei dem GPAI-Modell unter einer freien und quelloffenen Lizenz um ein GPAI-Modell mit systemischem Risiko.

GPAI-Modelle stellen systemische Risiken dar, wenn die kumulierte Rechenleistung, die für ihr Training aufgewendet wird, mehr als 10²⁵ Gleitkommaoperationen (FLOPs)beträgt. Anbieter müssen die Kommission unverzüglich, spätestens jedoch innerhalb von zwei Wochen, benachrichtigen, wenn ihr Modell dieses Kriterium erfüllt. Der Anbieter kann Argumente vorbringen, dass sein Modell trotz Erfüllung der Kriterien keine systemischen Risiken darstellt. Die Kommission kann zudem von sich aus oder nach einer begründeten Warnung durch das wissenschaftliche Gremium unabhängiger Experten entscheiden, dass ein Modell ein systemisches Risiko darstellt, auch wenn der Rechenleistungsschwellenwert nicht erreicht wird.

Zusätzlich zu den vier oben genannten Verpflichtungen müssen die Anbieter von GPAI-Modellen mit systemischem Risiko auch:

• Durchführung von Modellevaluierungen, einschließlich der Durchführung und Dokumentation gegnerischer Tests zur Ermittlung und Minderung von Systemrisiken.
• Bewertung und Abschwächung möglicher systemischer Risiken, einschließlich ihrer Quellen.
• Verfolgung, Dokumentation und Meldung schwerwiegender Vorfälle und möglicher Abhilfemaßnahmen an das AI-Büro und die jeweils zuständigen nationalen Behörden ohne unangemessene Verzögerung.
• Gewährleistung eines angemessenen Niveaus an Cybersicherheitsschutz.

Alle Anbieter von GPAI-Modellen können die Einhaltung ihrer Verpflichtungen nachweisen, wenn sie sich bis zur Veröffentlichung europäischer harmonisierter Normen freiwillig an den allgemeinen Verhaltenskodex halten. Anbieter, die sich nicht an den Verhaltenskodex halten, müssen alternative, angemessene Mittel zur Einhaltung der Vorschriften nachweisen.

Der allgemeine Verhaltenskodex

• Ein im Rahmen eines Multi-Stakeholder-Prozesses entwickeltes freiwilliges Instrument, mit dem Anbieter von GPAI-Modellen die Einhaltung der einschlägigen Verpflichtungen des KI-Gesetzes nachweisen können. 
• Veröffentlicht am 10. Juli 2025 und am 1. August 2025 von der Europäischen Kommission und dem KI-Beirat als angemessen erklärt. 
• Der Verhaltenskodex umfasst drei Kapitel, nämlich zu den Themen Transparenz, Urheberrecht sowie Sicherheit und Gefahrenabwehr, und regelt die Verpflichtungen aller Anbieter von GPAI-Modellen sowie die Verpflichtungen, die ausschließlich für Anbieter von GPAI-Modellen mit systemischem Risiko gelten.
• Bis August 2026 haben sich mehr als 20 Anbieter dem Verhaltenskodex angeschlossen. 
• Neben dem Verhaltenskodex orientieren sich die Anbieter auch an den Leitlinien der Kommission zum Umfang der Verpflichtungen für Anbieter von Allzweck-KI-Modellen gemäß dem KI-Gesetz.

Governance

Wie wird das KI-Gesetz umgesetzt?

• Das AI-Büro, das der Kommission angegliedert ist, überwacht die wirksame Umsetzung und Einhaltung der Vorschriften durch Anbieter von GPAI-Modellen sowie durch Anbieter von KI-Systemen, die auf einem vom selben Anbieter entwickelten GPAI-Modell basieren (sofern keine Ausnahme vorliegt), und von KI-Systemen, die eine sehr große Online-Plattform oder eine sehr große Online-Suchmaschine im Sinne des Gesetzes über digitale Dienste (DSA) darstellen oder in diese integriert sind.
• Nachgelagerte Anbieter können beim KI-Amt eine Beschwerde wegen eines Verstoßes gegen das KI-Gesetz durch vorgelagerte Anbieter (GPAI-Modell) einreichen.
• Das AI-Büro kann Bewertungen des GPAI-Modells durchführen, um:
  • die Einhaltung der Vorschriften zu prüfen, wenn die im Rahmen ihrer Befugnisse zur Einholung von Informationen gesammelten Angaben nicht ausreichen
  • systemische Risiken untersuchen, insbesondere nach einer mit Vorbehalt ausgesprochenen Warnung des wissenschaftlichen Gremiums unabhängiger Experten.

Zeitleisten

• Nach Inkrafttreten des KI-Gesetzes am 1. August 2024 wurde und wird die Anwendung der Bestimmungen des Gesetzes schrittweise eingeführt.
• Die meisten Verbote für KI-Systeme gelten seit dem 2. Februar 2025, wobei die Verbote für KI-Systeme, die intime Darstellungen ohne Einwilligung der betroffenen Person sowie Material über sexuellen Kindesmissbrauch (CSAM) erzeugen, am 2. Dezember 2026 in Kraft treten. 
• Die Verpflichtungen gemäß dem GPAI-Modell traten am 2. August 2025 in Kraft. Der allgemeine Verhaltenskodex wurde am 1. August 2025 für angemessen erklärt. 
• Die Aufsichts- und Durchsetzungsbefugnisse des AI Office können ab dem 2. August 2026 ausgeübt werden.
• Die Transparenzpflichten gemäß Artikel 50 gelten ab dem 2. August 2026. Für KI-Systeme, die vor diesem Datum in Verkehr gebracht wurden, gilt eine Übergangsfrist, sodass sie bis zum 2. Dezember 2026 Zeit haben, die Anforderungen gemäß Artikel 50 Absatz 2 zu erfüllen. 
• Die Verpflichtungen für KI-Systeme, die gemäß Artikel 6 Absatz 2 und Anhang III des KI-Gesetzes als risikoreich eingestuft werden, treten am 2. Dezember 2027 in Kraft.
• Die Verpflichtungen für KI-Systeme, die gemäß Artikel 6 Absatz 1 und Anhang I des KI-Gesetzes als risikoreich eingestuft werden, treten am 2. August 2028 in Kraft.

Sehen Sie sich unseren vollständigen Zeitplan für die Umsetzung an, der alle wichtigen Meilensteine im Zusammenhang mit der Umsetzung des KI-Gesetzes enthält.