EU-Leitlinien zur KI-Verordnung im Überblick
Rechtsanwalt
Zuletzt aktualisiert
• 8 Min Lesezeit
Das Wichtigste in Kürze
- Welche KI-Praktiken verbietet die EU-Verordnung?
- Seit Februar 2025 hat die EU-Kommission mehrere Leitlinien zur KI-Verordnung veröffentlicht, darunter Dokumente zur Definition von KI-Systemen und zu verbotenen Praktiken.
- Wie hoch sind die Bußgelder bei Verstößen?
- Betroffen sind alle Unternehmen, die KI-Systeme entwickeln oder einsetzen - bei Verstößen gegen die Verbote drohen Bußgelder bis 35 Millionen Euro.
- Ab wann müssen Hochrisiko-KI-Systeme regelkonform sein?
- Bis August 2026 müssen Hochrisiko-KI-Systeme vollständig regelkonform sein - wer jetzt klassifiziert und dokumentiert, vermeidet Sanktionen.
Individuelle Prüfung
Jeder Fall ist speziell. Lassen Sie uns Ihren Sachverhalt unverbindlich prüfen.
Dieser Beitrag erklärt:
- Welche Leitlinien die EU-Kommission bisher veröffentlicht hat und was sie regeln
- Welche konkreten Pflichten sich für Unternehmen aus den Leitlinien ergeben
- Welche Fristen bis August 2026 einzuhalten sind und welche Schritte jetzt anstehen
Welche Leitlinien hat die EU-Kommission veröffentlicht?
Die EU-Kommission hat bisher drei Leitlinienpakete zur praktischen Umsetzung der KI-Verordnung vorgelegt. Sie geben die offizielle Auslegungsposition der Kommission wieder und dienen nationalen Aufsichtsbehörden und Gerichten als Orientierung bei der Durchsetzung.
Die Verordnung (EU) 2024/1689 über künstliche Intelligenz wurde am 13. Juni 2024 vom Europäischen Parlament und dem Rat verabschiedet, am 12. Juli 2024 im Amtsblatt der Europäischen Union veröffentlicht und ist seit dem 1. August 2024 in Kraft.
| Leitlinienpaket | Veröffentlicht | Regelungsgegenstand |
|---|---|---|
| Verbotene KI-Praktiken (Art. 5) | Februar 2025 | Acht Kategorien verbotener KI-Anwendungen mit Praxisbeispielen |
| Definition von KI-Systemen (Art. 3) | Februar 2025 | Abgrenzung zwischen KI-Systemen und herkömmlicher Software |
| GPAI-Modelle (Kap. V) | Juli 2025 | Pflichten für Anbieter großer Sprachmodelle und Multimodalmodelle |
| Hochrisiko-KI-Systeme (Art. 6) | Fällig bis Februar 2026 | Klassifizierungskriterien und praktische Anwendungsbeispiele |
Die Leitlinien zu verbotenen Praktiken und zur KI-Definition waren die ersten beiden Pakete. Sie gelten seit dem 2. Februar 2025 und liegen seit Juli 2025 in allen EU-Amtssprachen vor. Besonders die Definitionsleitlinien sind für viele Unternehmen der erste Prüfschritt: Sie klären, ob ein Softwaresystem überhaupt als KI-System im Sinne der Verordnung gilt.
Für die grundlegende Einordnung der Risikostufen, Fristen und Rollen bietet unser Ratgeber zur AI-Act-KI-Verordnung eine vertiefte Übersicht.
Nach Art. 3 Nr. 1 der KI-Verordnung ist ein KI-System definiert als ein maschinengestütztes System, das für einen in unterschiedlichem Grade autonomen Betrieb ausgelegt ist, nach seiner Inbetriebnahme anpassungsfähig sein kann und aus den erhaltenen Eingaben ableitet, wie Ausgaben wie Vorhersagen, Inhalte, Empfehlungen oder Entscheidungen erstellt werden.
Die Leitlinien zu KI-Modellen mit allgemeinem Verwendungszweck folgten als Entwurf im Juli 2025 und präzisieren die Pflichten für Anbieter großer Sprachmodelle.
Die Leitlinien zur Klassifizierung von Hochrisiko-KI-Systemen waren bis Februar 2026 fällig und sollen Grenzfälle klären, in denen die Einordnung eines Systems nicht eindeutig ist.
Wenn Hochrisiko-Systeme zugleich kritische Prozesse oder IT-Sicherheitsstrukturen berühren, sollte auch der Bezug zur NIS2-Beratung mitgeprüft werden.
Rechtliche Einordnung der Leitlinien
Die Leitlinien der EU-Kommission sind nicht rechtsverbindlich. Die maßgebliche Auslegung der KI-Verordnung obliegt dem Gerichtshof der Europäischen Union. Gleichwohl orientieren sich nationale Aufsichtsbehörden - in Deutschland die Bundesnetzagentur als zuständige Marktüberwachungsbehörde - an diesen Leitlinien bei der Durchsetzung.
Was bedeuten die Leitlinien für Unternehmen?
Die praktischen Auswirkungen treffen Unternehmen auf mehreren Ebenen: Sie müssen prüfen, ob bestehende KI-Systeme unter ein Verbot fallen, ob große Sprachmodelle den neuen Transparenzpflichten unterliegen und ob Systeme als Hochrisiko gelten. Je nach Ergebnis greifen unterschiedlich intensive Compliance-Anforderungen.
Verbotene KI-Praktiken seit Februar 2025
Seit dem 2.
Nach Art. 5 der KI-Verordnung ist das Inverkehrbringen, die Inbetriebnahme und die Verwendung von KI-Systemen verboten, die unter anderem unterschwellige oder manipulative Techniken einsetzen, Schwachstellen von Personen ausnutzen, Social Scoring betreiben, rein profilbasierte Kriminalitätsprognosen erstellen, ungezielt Gesichtserkennungsdatenbanken aufbauen, Emotionen am Arbeitsplatz oder in Bildungseinrichtungen ableiten oder biometrische Kategorisierung nach sensiblen Merkmalen vornehmen.
Die Leitlinien machen deutlich, dass diese Verbote breit gefasst sind. Ein Algorithmus, der älteren Menschen gezielt überteuerte Versicherungen empfiehlt, fällt ebenso darunter wie ein Chatbot, der systematisch Fehlinformationen verbreitet.
Bei Verstößen gegen die Verbote nach Art. 5 der KI-Verordnung drohen Geldbußen von bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres, je nachdem, welcher Betrag höher ist.
Neue Regeln für große KI-Modelle
Die Leitlinien zu KI-Modellen mit allgemeinem Verwendungszweck betreffen vor allem Anbieter großer Sprachmodelle und Multimodalmodelle.
Nach Art. 51 Abs. 2 der KI-Verordnung wird ein KI-Modell mit allgemeinem Verwendungszweck automatisch als Modell mit systemischem Risiko eingestuft, wenn es mit einer kumulierten Rechenleistung von mehr als 10 hoch 25 Gleitkommaoperationen trainiert wurde.
Pflichten für Anbieter und Betreiber von KI-Systemen
Nach Art. 4 der KI-Verordnung müssen seit dem 2. Februar 2025 alle Anbieter und Betreiber sicherstellen, dass Personen, die mit dem Betrieb und der Nutzung von KI-Systemen befasst sind, über ein ausreichendes Maß an KI-Kompetenz verfügen.
| Pflicht | Anbieter | Betreiber |
|---|---|---|
| Risikomanagementsystem | Pflicht (lebenszyklusbegleitend) | Keine eigenständige Pflicht |
| Technische Dokumentation | Umfassend (Architektur, Trainingsdaten, Tests) | Nicht erforderlich |
| KI-Kompetenz | Pflicht seit Februar 2025 | Pflicht seit Februar 2025 |
| Menschliche Aufsicht | Systeme müssen Aufsicht ermöglichen | Aufsicht muss aufrechterhalten werden |
| Vorfallmeldung | An Marktüberwachungsbehörden | Zuerst an Anbieter, dann an Behörden nach Art. 73 Abs. 1, Art. 26 Abs. 5 KI-VO |
Welche Schritte sollten Unternehmen jetzt einleiten?
Der 2.
Nach Art. 6 der KI-Verordnung gilt ein KI-System als hochriskant, wenn es als Sicherheitsbauteil eines regulierten Produkts dient oder in einen der in Anhang III aufgeführten Anwendungsbereiche fällt. Dazu zählen unter anderem Biometrie, kritische Infrastruktur, Bildung und berufliche Ausbildung, Beschäftigung und Personalwirtschaft, Kreditwürdigkeitsprüfung, Strafverfolgung sowie Migration und Grenzkontrolle.
Die folgenden Schritte sind für die meisten Unternehmen sinnvoll - unabhängig davon, ob sie KI-Systeme selbst entwickeln oder ausschließlich einsetzen:
- KI-Inventar erstellen - alle genutzten und entwickelten KI-Systeme systematisch erfassen und dokumentieren, welche davon unter die Definition der KI-Verordnung fallen.
2. Rolle klären - für jedes System festlegen, ob das Unternehmen als Anbieter oder als Betreiber handelt, da sich daraus unterschiedliche Pflichten ergeben.
- Risikoklassifizierung durchführen - jedes KI-System anhand der Kriterien in Art. 6 und Anhang III prüfen und die Einstufung dokumentieren.
4. Verbots-Screening abschließen - bestehende Systeme gegen die acht Verbotskategorien des Art.5 abgleichen und betroffene Anwendungen abstellen.
- KI-Kompetenz sicherstellen - Schulungsprogramme für Mitarbeiter einführen, die KI-Systeme bedienen, überwachen oder deren Ergebnisse verwenden.
- Dokumentation und Governance aufbauen - technische Dokumentation, Risikomanagementsystem und Qualitätsmanagement für Hochrisiko-Systeme einrichten und Verantwortlichkeiten festlegen.
Stichtag für Hochrisiko-Systeme beachten
Ab dem 2. August 2026 müssen Hochrisiko-KI-Systeme nach Anhang III sämtliche Anforderungen der KI-Verordnung erfüllen. Unternehmen, die bis dahin keine Risikoklassifizierung durchgeführt und keine Dokumentation aufgebaut haben, riskieren Bußgelder bis 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes.
Wer sich einen Überblick über die regulatorischen Anforderungen im Bereich digitaler Geschäftsmodelle verschaffen möchte, findet auf unserer Seite zum IT-Recht weiterführende Informationen.
Fazit und Ausblick
Die Leitlinien der EU-Kommission schaffen erstmals Klarheit über die praktische Anwendung der neuen Regulierung. Für Unternehmen bedeutet das: Die Pflichten sind konkret, die Fristen laufen und die Aufsichtsbehörden bereiten sich auf die Durchsetzung vor. Wer seine Systeme jetzt klassifiziert und die erforderliche Dokumentation aufbaut, schafft die Grundlage für einen regelkonformen Betrieb.
In den kommenden Monaten werden weitere Konkretisierungen folgen - insbesondere zu den Verhaltenskodizes für große Sprachmodelle und zu den Anforderungen an regulierte Produkte mit eingebetteten KI-Komponenten. Unternehmen, die frühzeitig handeln, sichern nicht nur die Compliance, sondern auch das Vertrauen ihrer Kunden und Geschäftspartner. Wir begleiten unsere Mandanten bei der rechtssicheren Umsetzung der neuen Anforderungen.
Antworten auf einen Blick
Häufige Fragen
Die häufigsten Fragen zum Thema, kompakt beantwortet. Für die vollständige Einordnung bleiben die Abschnitte oben maßgeblich.
Was ist die KI-Verordnung und seit wann gilt sie?
Die KI-Verordnung (VO (EU) 2024/1689) ist das weltweit erste umfassende Gesetz, das verbindliche Regeln für künstliche Intelligenz aufstellt. Sie wurde am 13. Juni 2024 verabschiedet und ist seit dem 1. August 2024 in Kraft. Die Pflichten greifen gestaffelt: Seit dem 2. Februar 2025 gelten die Verbote bestimmter KI-Praktiken und die Pflicht zur KI-Kompetenz. Transparenzpflichten für GPAI-Modelle gelten seit August 2025. Ab dem 2. August 2026 müssen Hochrisiko-KI-Systeme sämtliche Anforderungen erfüllen. Die EU-Kommission hat begleitend mehrere Leitlinienpakete veröffentlicht, die die praktische Anwendung der Verordnung konkretisieren. In Deutschland ist die Bundesnetzagentur als zuständige Marktüberwachungsbehörde benannt.
Welche KI-Praktiken sind seit Februar 2025 verboten?
Art. 5 der KI-Verordnung verbietet seit dem 2. Februar 2025 acht Kategorien von KI-Anwendungen. Dazu gehören unterschwellige oder manipulative Techniken, die Ausnutzung von Schwachstellen vulnerabler Gruppen, Social Scoring durch Behörden, rein profilbasierte Kriminalitätsprognosen, der ungezielte Aufbau von Gesichtserkennungsdatenbanken, die Emotionserkennung am Arbeitsplatz oder in Bildungseinrichtungen sowie die biometrische Kategorisierung nach sensiblen Merkmalen. Die Verbote sind breit gefasst und erfassen auch mittelbare Anwendungen. Die EU-Kommission hat im Februar 2025 Leitlinien mit Praxisbeispielen veröffentlicht, die die einzelnen Verbotskategorien anhand konkreter Szenarien erläutern.
Welche Bußgelder drohen bei Verstößen gegen die KI-Verordnung?
Die Bußgelder sind nach Verstoßkategorie gestaffelt. Bei Verstößen gegen die Verbote nach Art. 5 drohen bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ist. Bei Verstößen gegen Hochrisiko-Anforderungen sind es bis zu 15 Millionen Euro oder 3 Prozent des Umsatzes. Für kleine und mittlere Unternehmen gelten reduzierte Obergrenzen: Es wird jeweils der niedrigere Betrag herangezogen. In Deutschland soll die Bundesnetzagentur als zentrales Koordinierungs- und Kompetenzzentrum sowie als eine zuständige Marktüberwachungsbehörde eingebunden werden; einzelne Aufgaben bleiben bei Fachbehörden. Nationale Aufsichtsbehörden können die unverbindlichen Leitlinien der EU-Kommission bei ihrer Aufsichtstätigkeit berücksichtigen; die konkrete Sanktionierung richtet sich nach den Zuständigkeiten der Mitgliedstaaten.
Was müssen Unternehmen bis August 2026 umsetzen?
Bis zum 2. August 2026 müssen alle Hochrisiko-KI-Systeme die vollständigen Anforderungen der Verordnung erfüllen. Unternehmen sollten jetzt ein KI-Inventar erstellen, ihre Rolle als Anbieter oder Betreiber klären, eine Risikoklassifizierung nach Art. 6 und Anhang III durchführen und bestehende Systeme gegen die acht Verbotskategorien abgleichen. Für Hochrisiko-Systeme ist ein Risikomanagementsystem mit technischer Dokumentation aufzubauen. Seit Februar 2025 muss zudem die KI-Kompetenz aller Mitarbeiter sichergestellt sein, die KI-Systeme bedienen, überwachen oder deren Ergebnisse verwenden. KMU erhalten Zugang zu vereinfachten Dokumentationspflichten und kostenlosen KI-Reallaboren der Mitgliedstaaten.
Ab wann gelten Pflichten für große Sprachmodelle wie ChatGPT?
Seit August 2025 gelten Transparenz- und Dokumentationspflichten für alle Anbieter von KI-Modellen mit allgemeinem Verwendungszweck (GPAI), einschließlich großer Sprachmodelle. Anbieter müssen eine technische Dokumentation bereitstellen, eine Zusammenfassung der Trainingsdaten veröffentlichen und die Einhaltung des Urheberrechts gewährleisten. Modelle mit systemischem Risiko – bei einer Trainingsrechenleistung über 10 hoch 25 FLOP automatisch vermutet – unterliegen zusätzlich erweiterten Sicherheits- und Meldepflichten gegenüber der EU-Kommission. Für vor August 2025 in Verkehr gebrachte Modelle gilt eine Übergangsfrist bis August 2027. Anbieter können die Einstufung anfechten, wenn sie nachweisen, dass ihr Modell trotz des Rechenaufwands kein systemisches Risiko darstellt.
Noch offene Fragen?
Wir prüfen, ob Ihre KI-Anwendungen den Anforderungen der KI-Verordnung entsprechen.
Weiterlesen
Aktuelle Beiträge
Rechtlicher Hinweis: Die Informationen auf dieser Seite dienen der allgemeinen Orientierung und stellen keine Rechtsberatung im Einzelfall dar. Für eine verbindliche Einschätzung Ihrer konkreten Situation kontaktieren Sie uns bitte direkt.