EU AI Act: Aufbau, Zeitplan, Adressaten

Lernziele

• Sie können den formellen Status des EU AI Act (Verordnung EU 2024/1689) und seine Stellung im europäischen Rechtsrahmen erläutern.
• Sie kennen die vier zentralen Stichtage des AI Act und können diese den jeweiligen Regelungsbereichen zuordnen.
• Sie verstehen den territorialen Anwendungsbereich des AI Act und können beurteilen, ob Ihr Unternehmen als Adressat gilt.
• Sie können die drei Adressatengruppen (Anbieter, Deployer, Importeure) definieren und voneinander abgrenzen.
• Sie sind in der Lage, die Auswirkungen des AI Act auf Ihre berufliche Praxis einzuschätzen.

Abbildung: Entscheidungsbaum zur Einordnung eines KI-Systems in die AI-Act-Risikoklassen.

Auf einen Blick

Worum geht es? — Der didaktische Einstieg

Am 1. August 2024 trat die Verordnung (EU) 2024/1689 — der EU AI Act — in Kraft. Es ist das weltweit erste umfassende Gesetz zur Regulierung von Künstlicher Intelligenz. Es ist keine Richtlinie, die nationale Umsetzung erfordert — es ist eine Verordnung, die in allen 27 EU-Mitgliedstaaten unmittelbar und einheitlich gilt. Für Unternehmen in Deutschland bedeutet das: kein Spielraum der Bundesregierung, kein Warten auf nationales Umsetzungsgesetz. Der AI Act gilt.

Warum ist das so bedeutsam? Weil der AI Act nicht nur für KI-Entwickler gilt. Er gilt auch für Unternehmen, die KI-Systeme einsetzen — also für fast jedes Unternehmen, das heute KI-Tools in seinen Prozessen nutzt. Diese Unternehmen werden im AI Act als „Deployer” bezeichnet. Und Deployer haben Pflichten: Governance, Schulung, Risikobewertung, Transparenz.

Der AI Act definiert einen risikobasierten Ansatz: Nicht jede KI-Anwendung wird gleich streng reguliert. Ein KI-Chatbot für Musikempfehlungen wird anders behandelt als ein KI-System, das über Kreditanträge oder Bewerbungen entscheidet. Das Gesetz unterscheidet vier Risikoklassen und ordnet jeder Klasse spezifische Anforderungen zu.

In dieser Einheit lernen Sie den Aufbau und die Zeitstruktur des AI Act kennen. Wer ist Adressat? Was sind die relevanten Stichtage? Und was bedeutet „territorialer Anwendungsbereich” für ein Unternehmen mit EU-Niederlassung?

Lerntext — Theorie und Konzepte

Formeller Status und Geltungsbereich

Der EU AI Act (Verordnung (EU) 2024/1689) wurde am 12. Juli 2024 im Amtsblatt der Europäischen Union veröffentlicht und trat am 1. August 2024 in Kraft. Als EU-Verordnung gilt er direkt und unmittelbar in allen EU-Mitgliedstaaten — keine nationale Umsetzung erforderlich. Er hat Vorrang vor widersprechendem nationalem Recht.

Der Anwendungsbereich ist weit: Der AI Act gilt für die Bereitstellung und Verwendung von KI-Systemen auf dem EU-Markt, unabhängig davon, wo der Anbieter seinen Sitz hat. Ein US-amerikanisches KI-Unternehmen, das seine Dienste europäischen Nutzern anbietet, unterliegt dem AI Act genauso wie ein deutsches Unternehmen. Dies entspricht dem Marktortprinzip, das aus der DSGVO bekannt ist.

Was ist ein „KI-System” im Sinne des AI Act? Art. 3 Nr. 1 definiert: Ein maschinengestütztes System, das für ein oder mehrere bestimmte Ziele konzipiert ist und — basierend auf expliziten oder impliziten Zielen — Ergebnisse generiert (z. B. Vorhersagen, Empfehlungen, Entscheidungen). Einfache Tabellenkalkulationen oder regelbasierte Systeme ohne maschinelles Lernen fallen in der Regel nicht darunter.

Merksatz

Der EU AI Act ist keine Empfehlung und keine nationale Regelung — er ist unmittelbar geltendes EU-Recht. Wer KI-Systeme in der EU einsetzt, ist Adressat des Gesetzes — unabhängig davon, wo das Tool entwickelt wurde oder wo der Anbieter seinen Sitz hat.

Die vier zentralen Stichtage

Der EU AI Act gilt nicht sofort vollständig — er tritt in vier Phasen in Kraft:

1. August 2024 — Inkrafttreten: Das Gesetz tritt formal in Kraft. Die erste Phase beginnt.

2. Februar 2025 — Verbotene Praktiken (Art. 5): Ab diesem Datum sind verbotene KI-Anwendungen verboten. Dazu gehören: manipulative KI-Systeme, Social Scoring durch Behörden, Echtzeit-Biometrie in öffentlichen Räumen (mit Ausnahmen), KI zur Ausnutzung von Schwächen bestimmter Personengruppen. Unternehmen müssen sicherstellen, dass sie keine verbotenen KI-Praktiken anwenden.

2. Februar 2025 — AI Literacy (Art. 4) und Hochrisiko-KI Abschnitt I (Art. 26 teilweise): Ab diesem Datum gilt die AI Literacy-Pflicht: Unternehmen müssen nachweisen, dass ihre KI-nutzenden Mitarbeitenden ausreichend geschult sind. Zudem beginnen erste Deployer-Pflichten für bestimmte Hochrisiko-KI-Kategorien.

2. August 2027 — Hochrisiko-KI vollständig (Anhang I+III): Ab diesem Datum gelten alle Anforderungen für Hochrisiko-KI-Systeme vollständig — einschließlich Konformitätsbewertung, CE-Kennzeichnung, technische Dokumentation und EU-Konformitätserklärung.

Abb. 15.1 — EU AI Act Zeitplan: Vier zentrale Stichtage für Deployer

Die drei Adressatengruppen

Anbieter (Provider): Unternehmen oder Einzelpersonen, die ein KI-System entwickeln oder entwickeln lassen und es auf dem EU-Markt in Verkehr bringen oder in Betrieb nehmen. Beispiele: OpenAI (ChatGPT), Google (Gemini), Microsoft (Copilot). Anbieter tragen die höchsten Pflichten des AI Act — Konformitätsbewertung, CE-Kennzeichnung, technische Dokumentation.

Deployer (Betreiber): Unternehmen oder Einzelpersonen, die ein KI-System in eigener Verantwortung einsetzen — nicht zur Abgabe an Dritte, sondern für eigene berufliche oder betriebliche Zwecke. Das ist die für die meisten Kursteilnehmenden relevante Kategorie. Wer ChatGPT, Copilot oder andere KI-Tools im Unternehmenskontext nutzt, ist Deployer. Deployer-Pflichten sind in Art. 26 geregelt (UE 17).

Importeure: Unternehmen in der EU, die KI-Systeme von außereuropäischen Anbietern in der EU in Verkehr bringen. Relevant z. B. für IT-Reseller, die nicht-europäische KI-Software vertreiben.

Territorialer Anwendungsbereich

Der AI Act gilt für KI-Systeme: - Die auf dem EU-Markt bereitgestellt werden, unabhängig vom Sitz des Anbieters; - Deren Outputs in der EU verwendet werden, auch wenn das System außerhalb der EU betrieben wird; - Die von Behörden in EU-Mitgliedstaaten eingesetzt werden.

Für die Praxis bedeutet das: Ein deutsches Unternehmen, das einen US-amerikanischen KI-Dienst (z. B. über API) in seinen Workflows nutzt, ist Deployer nach dem AI Act — auch wenn der KI-Dienst auf US-Servern läuft. Das schließt Compliance-Pflichten nach Art. 26 ein.

Merksatz

Der AI Act gilt nicht nur für KI-Entwickler — er gilt für jeden, der KI-Systeme im beruflichen oder organisatorischen Kontext einsetzt. Als Deployer sind Sie Adressat des Gesetzes, auch wenn Sie das KI-System nicht selbst entwickelt haben.

Verhältnis EU AI Act zur DSGVO

Der EU AI Act ergänzt die DSGVO, tritt aber nicht an ihre Stelle. Beide Regelwerke gelten parallel:

• DSGVO: Schutz personenbezogener Daten bei jeder Verarbeitung — auch durch KI
• EU AI Act: Sicherheit und Transparenz von KI-Systemen — unabhängig vom Datenpersonenbezug

In der Praxis bedeutet dies: Ein Hochrisiko-KI-System, das personenbezogene Daten verarbeitet, unterliegt beiden Regelwerken. Die strengere der beiden Anforderungen gilt.

Vertiefung — Globale KI-Regulierung und der AI Act im internationalen Kontext

Warum Europa reguliert und was andere machen

Der EU AI Act ist weltweit das erste umfassende KI-Gesetz — aber nicht das einzige. Ein Überblick über die internationale Regulierungslandschaft zeigt unterschiedliche Ansätze:

USA: Kein bundesweites KI-Gesetz (Stand: 2026). Executive Order on AI (Oktober 2023) setzt Richtlinien für Bundesbehörden. Sektorspezifische Regulierung (FDA für medizinische KI, FTC für verbraucherrelevante KI). Diskussion über umfassendes Bundesgesetz laufend.

China: Mehrere spezifische KI-Regulierungen seit 2021: Algorithmus-Regulierung (2021), Deep Synthesis Regulierung (2022), Generative AI Regulierung (2023). Fokus auf Kontrolle von Inhalten und Wahrung der gesellschaftlichen Stabilität.

Vereinigtes Königreich: Sektorbasierter Ansatz ohne umfassendes Gesetz (Stand: 2026). Bestehende Sektorregulatoren (FCA, ICO, CMA) wenden ihre bestehenden Regelwerke auf KI an. Diskussion über Pro-Innovation-Regulierung.

Kanada, Brasilien, Indien, Japan: Verschiedene Ansätze im Entwicklungsstadium. Tendenz zu weniger strengen Regelungen als EU.

Der EU-Ansatz setzt auf umfassende, risikobasierte Regulierung mit rechtsverbindlichen Anforderungen. Dieser „Brüsseler Effekt” — die Tendenz, dass EU-Regulierung global zum Standard wird, weil Unternehmen für den EU-Markt compliance-ready sein müssen — ist auch beim AI Act zu erwarten. Unternehmen, die AI-Act-konform sind, haben damit einen Vorteil: Sie sind auch für künftige Regulierungen in anderen Märkten gut vorbereitet.

Der AI Act als Teil des europäischen digitalen Rahmens

Der AI Act ist nicht isoliert — er ist Teil eines größeren europäischen digitalen Regulierungsrahmens:

• DSGVO (2018): Datenschutz und personenbezogene Daten
• Digital Services Act / DSA (2022): Verantwortung digitaler Plattformen
• Digital Markets Act / DMA (2022): Wettbewerb auf digitalen Märkten
• Data Governance Act / DGA (2022): Datenverfügbarkeit und Datensharing
• Data Act (2024): Zugang zu industriellen Daten
• EU AI Act (2024): Sicherheit und Vertrauenswürdigkeit von KI

Diese Regelwerke greifen ineinander. Ein Unternehmen, das KI-Dienste auf einer Plattform anbietet, unterliegt gleichzeitig DSA, DSGVO und AI Act. Das erfordert ein integriertes Compliance-Management, das alle Regelwerke gemeinsam berücksichtigt.

Branchen-Anwendungen

IT-Dienstleistung & Beratung

IT-Beratungsunternehmen befinden sich in einer doppelten Rolle: Sie sind selbst Deployer (für intern genutzte KI-Tools) und sie beraten Kunden beim AI-Act-Compliance (als externe Experten). Für die eigene Compliance-Rolle: Prüfen Sie systematisch, welche KI-Tools intern genutzt werden, ob Deployer-Pflichten nach Art. 26 greifen, und ob die Stichtage bereits relevant sind. Für die Beratungsrolle: Der EU AI Act ist ein neues Beratungsfeld. Kompetenz in diesem Bereich — die Sie in dieser Qualifizierungsmaßnahme aufbauen — ist ein Wettbewerbsvorteil.

Industrie & Fertigung

In der Industrie sind KI-Systeme in der Qualitätskontrolle, Predictive Maintenance und Produktionsplanung weit verbreitet. Für diese Systeme stellt sich oft die Frage: Handelt es sich um Hochrisiko-KI (Anhang III des AI Act)? Systeme, die in sicherheitskritischen Bereichen eingesetzt werden (z. B. Sicherheitskomponenten bei Maschinen, die unter die Maschinenrichtlinie fallen) können unter Anhang I des AI Act fallen — mit entsprechend strengen Anforderungen. Für Industrieunternehmen: Prüfen Sie Ihre KI-Systeme jetzt gegen Anhang I und III.

Finanzdienstleistung & Versicherung

Der AI Act benennt explizit Systeme zur Kreditwürdigkeitsprüfung natürlicher Personen als Hochrisiko (Anhang III Nr. 5). Das betrifft direkt viele Kernprozesse von Banken und Versicherungen. Bis August 2027 müssen diese Systeme alle Hochrisiko-Anforderungen erfüllen — Konformitätsbewertung, technische Dokumentation, menschliche Aufsicht. Für Finanzunternehmen: Starten Sie jetzt mit der Inventarisierung Ihrer KI-Systeme und der Zuordnung zu Risikoklassen.

Öffentliche Verwaltung

Behörden sind als Deployer besonders exponiert. Art. 5 des AI Act verbietet explizit Social Scoring durch öffentliche Behörden — ein klares Signal an staatliche Stellen. Gleichzeitig wird der Einsatz von Hochrisiko-KI (z. B. in der Strafverfolgung oder Sozialverwaltung) streng reguliert. Für öffentliche Verwaltungen: Klären Sie die Risikoklassen aller eingesetzten KI-Systeme, und starten Sie frühzeitig mit der Compliance-Planung für 2026 und 2027.

Die Entstehungsgeschichte des EU AI Act

Der EU AI Act hat eine längere Entstehungsgeschichte als viele andere EU-Verordnungen. Die Europäische Kommission startete erste Konsultationen zur KI-Regulierung bereits 2019. Im April 2021 legte sie den ersten Verordnungsvorschlag vor — zu einem Zeitpunkt, als GPT-3 gerade erschienen war und LLMs noch kein Massenphänomen darstellten.

Die Trilog-Verhandlungen zwischen Kommission, Parlament und Rat dauerten von 2022 bis Ende 2023 und wurden durch das Erscheinen von ChatGPT (November 2022) erheblich beeinflusst: Plötzlich war KI kein abstraktes Zukunftsthema mehr, sondern ein massentaugliches Produkt mit unmittelbaren gesellschaftlichen Auswirkungen. Dies führte zur Einführung des Kapitels zu General-Purpose AI Models (GPAI) in der endgültigen Fassung.

Die endgültige politische Einigung wurde im Dezember 2023 erzielt; die formale Verabschiedung erfolgte im Mai 2024, das Inkrafttreten am 1. August 2024.

Bedeutung der Entstehungsgeschichte: Der AI Act ist nicht als Antwort auf aktuelle LLMs entworfen worden — er wurde ursprünglich für risikobasierte KI-Systeme (Hochrisiko-Klassifikatoren, biometrische Systeme etc.) konzipiert. LLMs wie GPT-4 wurden erst nachträglich durch das GPAI-Kapitel (Artikel 51–56) adressiert. Diese historische Schicht erklärt, warum manche Bereiche des AI Acts besonders gut passen und andere noch Konkretisierungsbedarf haben.

Das AI Office und die Governance-Struktur

Der EU AI Act schafft eine neue Governance-Struktur:

Das AI Office (Artikel 64 ff.) wurde im Februar 2024 innerhalb der Europäischen Kommission eingerichtet und ist die zentrale Aufsichtsbehörde für GPAI-Modelle sowie Koordinationsstelle für die nationalen Behörden. Das AI Office veröffentlicht Leitlinien, Codes of Practice und technische Standards.

Nationale Behörden: Jeder Mitgliedstaat benennt eine oder mehrere nationale Behörden für die Marktaufsicht. In Deutschland sind dies voraussichtlich die Bundesnetzagentur (für Aufsicht) und das BSI (für Zertifizierung). Die genaue Zuständigkeitsverteilung ist noch in der finalen Abstimmung.

Der Europäische KI-Ausschuss (European AI Board): Ein Gremium aus Vertretern der nationalen Behörden, das die Kommission berät und die EU-weite Koordination sicherstellt.

Merksatz

Der EU AI Act ist eine lebende Rechtsordnung — er wird durch Delegierte Rechtsakte der Kommission, technische Standards der Normungsorganisationen (CEN/CENELEC, ETSI) und Leitlinien des AI Office kontinuierlich konkretisiert. Compliance bedeutet, nicht nur den Verordnungstext zu kennen, sondern auch die sich entwickelnden Sekundärquellen zu verfolgen.

Verhältnis zu anderen Rechtsgebieten

Der EU AI Act tritt nicht an die Stelle anderer Rechtsgebiete — er ergänzt sie. Das Verhältnis zu den wichtigsten anderen Rechtsgebieten:

DSGVO: Die DSGVO bleibt vollumfänglich anwendbar. Bei Konflikten zwischen DSGVO und AI Act gilt der strengere Standard. Behördenübergreifende Koordination zwischen DSBs und KI-Aufsichtsbehörden ist in Art. 77 geregelt.

Produkthaftungsrecht: Die neue EU-Produkthaftungsrichtlinie (2024) sieht vor, dass KI-Systeme als Produkte im Sinne der Haftungsregelung behandelt werden können. Dies ergänzt den AI Act und schafft zivilrechtliche Haftungsansprüche.

Sektorspezifische Regulierung: In regulierten Sektoren (Medizinprodukte, Finanzen, Luftfahrt) gelten zusätzlich sektorspezifische Anforderungen. Der AI Act enthält Koordinationsregeln für solche Überschneidungen.

Zeitplan des EU AI Act — Detailansicht und praktische Bedeutung

Der Zeitplan des EU AI Acts ist komplex und erfordert eine sorgfältige Planung für Unternehmen:

1. August 2024 — Inkrafttreten: Die Verordnung ist in Kraft getreten. Ab diesem Zeitpunkt gelten die allgemeinen Definitionen und Prinzipien. Für die meisten praktischen Anforderungen beginnt jedoch die Frist erst zu laufen.

2. Februar 2025 — Verbote (Art. 5): Die verbotenen KI-Praktiken sind ab dem 2. Februar 2025 rechtsverbindlich. Unternehmen, die KI-Systeme einsetzen, die unter Art. 5 fallen, müssen diese bis spätestens zu diesem Datum außer Betrieb gesetzt haben. Checkliste: Haben Sie ein KI-System, das Social Scoring, unterschwellige Manipulation, Echtzeit-Biometrie im öffentlichen Raum durch private Akteure oder andere verbotene Praktiken durchführt? Wenn ja: Sofortiger Handlungsbedarf.

3. 2. August 2025 — Governance (Art. 56, AI Office, nationale Behörden): Die Governance-Strukturen (AI Office, nationaler AI Board) sind vollständig operativ. Ab diesem Zeitpunkt können Aufsichtsbehörden vollständig handeln. Für Unternehmen: Ansprechpartner bei nationalen KI-Behörden sind ab jetzt erreichbar.

4. 2. August 2026 — Art. 4 (AI Literacy) und GPAI-Kapitel: Art. 4 (AI Literacy-Pflicht für Deployer) ist ab dem 2. August 2026 anwendbar. Diese Schulungsmaßnahme wurde entwickelt, um die Anforderungen von Art. 4 zu erfüllen. GPAI-Kapitel wird vollständig wirksam.

5. 2. August 2027 — Hochrisiko-KI vollständig: Alle Anforderungen für Hochrisiko-KI-Systeme nach Anhang III (Art. 8–30) sind vollständig anwendbar. Ab diesem Zeitpunkt müssen alle Hochrisiko-Systeme konform sein — keine Übergangsmöglichkeit mehr.

Planungsempfehlung für Deployer: - 2025: KI-Register erstellen, Risikoklassifizierung durchführen - 2025/2026: AI Literacy-Schulungen durchführen und dokumentieren - 2026: Art.-26-Compliance für alle Hochrisiko-Systeme abschließen - 2027: Vollständige Compliance-Bestätigung für alle Hochrisiko-Systeme

Verhältnis EU AI Act — Produktsicherheitsrecht

Der EU AI Act stellt sicher, dass KI-Systeme, die in Produkte integriert sind, nicht am Produktsicherheitsrecht vorbeikommen. Anhang I des AI Acts listet Produktkategorien auf, für die sektorspezifische Sicherheitsgesetze gelten — wenn ein KI-System eine Sicherheitskomponente in solchen Produkten ist, ist es automatisch Hochrisiko.

Betroffene Produktkategorien (Anhang I): - Maschinen (Maschinenverordnung) - Spielzeug (Spielzeugrichtlinie) - Wasserfahrzeuge - Luftfahrt - Kraftfahrzeuge - Medizinprodukte (MDR/IVDR) - Aufzüge - Explosionsgefährdete Bereiche - Funkanlagen - Druckbehälter

Für Industrieunternehmen, die KI in ihre Produkte integrieren: Die Kreuzung zwischen AI Act und Maschinenverordnung ist besonders komplex und erfordert eine sorgfältige rechtliche Analyse.

Übung 1 — Zeitstrahl analysieren

Aufgabe: Analysieren Sie die vier AI Act-Stichtage und ordnen Sie folgende Maßnahmen dem jeweils frühesten relevanten Stichtag zu: (a) Einführung eines unternehmensweiten KI-Schulungsprogramms, (b) Prüfung, ob eingesetzte KI-Systeme unter die verbotenen Praktiken fallen, (c) Vorbereitung der Konformitätsbewertung für ein eingesetztes Hochrisiko-KI-System, (d) Abschluss eines AVV mit KI-Tool-Anbietern. Begründen Sie je Zuordnung in einem Satz.

Zeitrahmen: 10 Minuten Einzelarbeit oder Partnerarbeit

Musterlösung Übung 1: (a) KI-Schulungsprogramm → 2. Februar 2025 (Art. 4 AI Literacy-Pflicht). (b) Verbotene Praktiken prüfen → 2. Februar 2025 (Art. 5 gilt ab diesem Tag — eigentlich sollte Prüfung bereits vor diesem Datum abgeschlossen sein). (c) Hochrisiko-KI Konformitätsbewertung → 2. August 2027 (volle Hochrisiko-Pflichten), aber Vorbereitung sollte 2025/2026 beginnen. (d) AVV mit KI-Tool-Anbietern → DSGVO-Pflicht, nicht AI Act — sollte bereits jetzt, unmittelbar erfüllt werden.

Übung 2 — Adressat bestimmen

Aufgabe: Bestimmen Sie für die folgenden Szenarien, ob das beschriebene Unternehmen Anbieter, Deployer oder Importeur nach dem AI Act ist: (a) Ein deutsches SaaS-Unternehmen entwickelt ein KI-gestütztes Buchhaltungstool und verkauft es an Steuerberater. (b) Eine Steuerberatungskanzlei nutzt das KI-Tool aus (a) für eigene Mandantenarbeit. (c) Ein IT-Reseller kauft ein US-KI-Tool ein und vertreibt es in Deutschland. Begründen Sie jede Einordnung.

Zeitrahmen: 10 Minuten Gruppenarbeit

Musterlösung Übung 2: (a) Anbieter — das Unternehmen entwickelt und vertreibt das KI-System. (b) Deployer — die Kanzlei setzt das System im eigenen Kontext für eigene berufliche Zwecke ein. (c) Importeur — das Unternehmen bringt ein Drittland-KI-System in den EU-Markt. Wichtig: Deployer und Importeur haben jeweils spezifische Pflichten nach AI Act — Deployer vor allem aus Art. 26, Importeure aus Art. 23 und 24.

General-Purpose AI Models (GPAI) — Kapitel IX EU AI Act

Mit der Einführung des GPAI-Kapitels (Artikel 51–56) wurde der AI Act um eine Kategorie erweitert, die ursprünglich nicht im Entwurf von 2021 enthalten war. GPAI-Modelle sind Modelle, die auf Basis großer Datenmengen trainiert wurden und für eine Vielzahl von Aufgaben genutzt werden können — also LLMs wie GPT-4, Gemini, Claude oder Mistral.

Regulierung auf zwei Ebenen:

Basisanforderungen für alle GPAI-Anbieter: - Technische Dokumentation - Informationspflichten gegenüber Downstream-Nutzern - Urheberrechts-Compliance (Art. 53 — Dokumentation der Trainingsdaten)

Zusätzliche Anforderungen für systemische GPAI-Modelle: Als „systemisch” gilt ein GPAI-Modell, wenn es mit mehr als 10^25 FLOPs trainiert wurde (Rechenaufwand-Schwelle). Für solche Modelle gelten zusätzlich: Modell-Evaluierungen (Adversarial Tests), Incident-Reporting-Pflichten, Cybersicherheitsmaßnahmen.

Bedeutung für Deployer: Die GPAI-Regulierung richtet sich primär an Anbieter (OpenAI, Google, etc.). Deployer profitieren indirekt: Anbieter müssen mehr Informationen zur Verfügung stellen, die Deployer für ihre eigene AI-Act-Compliance benötigen.

Bußgeld-Systematik des EU AI Act

Der EU AI Act sieht — ähnlich der DSGVO — eine gestaffelte Bußgeldsystematik vor:

• Höchste Stufe (Art. 99 Abs. 3): Verstöße gegen die verbotenen KI-Praktiken (Art. 5) → bis 35 Mio. € oder 7 % des weltweiten Jahresumsatzes
• Mittlere Stufe (Art. 99 Abs. 4): Verstöße gegen die meisten anderen Bestimmungen (Art. 26 Deployer-Pflichten, Art. 10 Datenanforderungen, etc.) → bis 15 Mio. € oder 3 % des weltweiten Jahresumsatzes
• Niedrigste Stufe (Art. 99 Abs. 5): Falsche oder irreführende Informationen gegenüber Behörden → bis 7,5 Mio. € oder 1 % des weltweiten Jahresumsatzes

Besonderheit für KMU: Für KMU (kleine und mittlere Unternehmen) gilt die umsatzbezogene Schwelle, wenn diese niedriger ist als der absolute Betrag. Dies schützt kleinere Unternehmen vor unverhältnismäßigen Strafen.

Merksatz

Die Bußgelder des EU AI Act sind erheblich niedriger als die der DSGVO in absoluten Zahlen — aber für große Unternehmen sind die prozentualen Schwellen vergleichbar. Bei simultanen Verstößen gegen DSGVO und AI Act können die Sanktionen kumuliert werden.

Warnung — Compliance-Risiko

Stichtage sind nicht verhandelbar

Der 2. Februar 2025 (Verbotene Praktiken) ist bereits verstrichen. Für Unternehmen, die zu diesem Zeitpunkt verbotene KI-Anwendungen (Art. 5) noch genutzt haben, besteht rückwirkend Bußgeldrisiko.

Der 2. Februar 2025 (AI Literacy-Pflicht) ist der nächste kritische Stichtag. Unternehmen, die bis zu diesem Datum kein Schulungsprogramm für KI-nutzende Mitarbeitende etabliert haben, sind nicht compliant.

Bußgelder nach Art. 99 EU AI Act: - Verbotene Praktiken (Art. 5): bis 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes - Verstöße gegen Hochrisiko-Anforderungen (Art. 26): bis 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes - Falsche Informationen gegenüber Behörden: bis 7,5 Millionen Euro oder 1,5 % des weltweiten Jahresumsatzes

Wichtige Botschaft für Deployer: Der AI Act gilt für Sie — auch wenn Sie kein KI entwickeln. Die Compliance-Pflicht beginnt mit der Nutzung. Warten Sie nicht auf eine Abmahnung.

Cheatsheet — EU AI Act: Aufbau und Adressaten

Vier Stichtage: - 1. Aug. 2024: Inkrafttreten - 2. Feb. 2025: Verbote (Art. 5) — bereits gültig - 2. Feb. 2026: AI Literacy (Art. 4) + erste Deployer-Pflichten - 2. Aug. 2027: Hochrisiko vollständig (Anhang I+III)

Drei Adressaten: - Anbieter: entwickelt und vertreibt KI → strengste Pflichten - Deployer: setzt KI ein → Art. 26 Pflichten - Importeur: bringt Drittland-KI in EU → Art. 23–24 Pflichten

Territorialer Geltungsbereich: Marktortprinzip — gilt für alle KI-Systeme, deren Outputs in der EU genutzt werden, unabhängig vom Sitz des Anbieters

AI Act + DSGVO: Beide gelten parallel. AI Act regelt KI-Sicherheit, DSGVO regelt Datenschutz. Bei Überschneidungen gilt die strengere Anforderung.

AI Act und Mittelstand — Spezifische Herausforderungen

Der EU AI Act wurde primär im Kontext großer Technologiekonzerne und kritischer Hochrisiko-Anwendungen diskutiert. Doch mittelständische Unternehmen sind als Deployer ebenfalls betroffen — und stehen vor spezifischen Herausforderungen:

Ressourcenmangel: Mittelständler haben oft keine dedizierten Legal- oder Compliance-Teams. Die Umsetzung der Art.-26-Anforderungen muss mit begrenzten Ressourcen bewältigt werden.

Komplexität des Regelwerks: Der AI Act ist komplex — Annex I, Annex III, zahlreiche Artikel mit Querbezügen. Für Nicht-Juristen ist der Einstieg schwierig. Verbände wie Bitkom und der VDMA haben Leitfäden für KMU entwickelt.

Anbieterabhängigkeit: KMU nutzen fast ausschließlich Standardsoftware großer Anbieter (Microsoft, SAP, Salesforce etc.). Die Konformitätserklärungen dieser Anbieter müssen auf Vollständigkeit geprüft werden — aber KMU haben selten die Verhandlungsmacht, individuelle Anpassungen zu verlangen.

Empfehlung: Schließen Sie sich Branchenverbänden an, die KI-Compliance-Ressourcen für KMU entwickeln. Der Bitkom-Leitfaden „KI und Recht für KMU” ist ein guter Einstieg.

Merksatz

KMU sind als Deployer vollumfänglich vom EU AI Act betroffen — es gibt keine KMU-Ausnahme von den Deployer-Pflichten. Die Bußgeld-Proportionalität schützt vor unverhältnismäßigen Strafen, aber nicht vor den Pflichten selbst.

Prompt-Beispiel: EU AI Act — Adressaten und Pflichten für eine Organisation bestimmen

Rolle: Sie sind ein erfahrener KI-Rechtsexperte mit fundiertem Kenntnisstand der Verordnung (EU) 2024/1689 (EU AI Act). Sie erläutern den Regelungsrahmen praxisnah, ohne Rechtsberatung im Sinne des RDG zu leisten.

Aufgabe: Analysieren Sie die folgende Organisationsbeschreibung und bestimmen Sie: (1) Ist die Organisation Anbieter, Deployer, Importeur oder Händler im Sinne des EU AI Act (Art. 3)? (2) Welche der vier zentralen Stichtage des AI Act sind für diese Organisation relevant? (3) Welche wesentlichen Pflichten entstehen aus der jeweiligen Rolle?

Kontext: Organisation: [Beschreiben Sie Ihre Organisation: Branche, Größe, welche KI-Systeme werden genutzt (zugekauft oder selbst entwickelt), in welchen Bereichen werden KI-Systeme eingesetzt, werden Entscheidungen über Personen getroffen?]

Format: Strukturierter Analyse-Bericht mit: (1) Rolleneinordnung mit Begründung (max. 100 Wörter), (2) Relevante Stichtage als Zeitstrahl-Liste mit je einer konkreten Maßnahme, (3) Top-5-Pflichten als nummerierte Liste mit kurzem Erläuterungstext. Sachlich, präzise, keine Rechtsberatung.

Branchen-Vignette — EU AI Act-Geltung für ein Steuerberatungsbüro

Ein mittelständisches Steuerberatungsbüro mit 25 Mitarbeitenden setzt seit 2024 ein KI-gestütztes Tool ein, das Steuerbescheide automatisch auf Einspruchswürdigkeit prüft und Empfehlungen an die Steuerberaterinnen und -berater ausgibt. Das Tool wird als SaaS-Dienst eines deutschen Anbieters bezogen.

Einordnung nach EU AI Act: Das Büro ist Deployer im Sinne von Art. 3 Nr. 4 AI Act. Das Tool könnte als Hochrisiko-KI nach Anhang III Nr. 5 (Verwaltung und Betrieb kritischer Infrastruktur) oder als Hochrisiko-KI in der Rechtspflege (Anhang III Nr. 8) einzuordnen sein — die genaue Klassifizierung hängt von der konkreten Funktionalität und dem Entscheidungsgewicht ab.

Konsequenz: Das Büro muss (a) die Risikoklassifizierung beim Anbieter anfragen und dokumentieren, (b) sicherstellen, dass menschliche Fachkräfte die KI-Empfehlungen stets prüfen und die letzte Entscheidung treffen (Art. 26 Abs. 1), (c) Mitarbeitende im Umgang mit dem System schulen (Art. 4, Art. 26 Abs. 5) und (d) eine interne Nutzungsrichtlinie erlassen. Die Frist für Deployer-Pflichten bei Hochrisiko-Systemen lief ab August 2026.

Vertiefung — Der EU AI Act im internationalen Vergleich

Der EU AI Act ist das weltweit erste umfassende KI-spezifische Gesetz — aber nicht das einzige. Ein kurzer Blick auf den internationalen Kontext hilft zu verstehen, was den AI Act auszeichnet und warum er global Maßstäbe setzt.

USA: Die USA haben bisher keinen umfassenden bundesgesetzlichen Rahmen für KI. Stattdessen existieren sektorspezifische Regelungen (FDA für Medizin-KI, CFPB für Kredit-KI) und ein Presidential Executive Order on AI (Oktober 2023), der Richtlinien für Bundesbehörden enthält. Die KI-Regulierung in den USA ist fragmentierter und stärker auf Selbstregulierung ausgerichtet.

China: China hat mehrere KI-spezifische Regelungen erlassen, darunter Vorschriften für generative KI (2023), Deep-Fakes und Empfehlungsalgorithmen. Chinas Ansatz ist stärker auf staatliche Kontrolle ausgerichtet und zeigt weniger Fokus auf individuelle Grundrechte.

Vereinigtes Königreich: Das UK hat nach dem Brexit einen adaptiven, prinzipienbasierten Ansatz gewählt — kein einheitliches KI-Gesetz, sondern sektorspezifische Anwendung bestehender Regulierung durch die jeweiligen Aufsichtsbehörden (FCA für Finanzsektor, ICO für Datenschutz usw.).

Fazit: Der EU AI Act zeichnet sich durch seinen risikobasierten Ansatz und den expliziten Fokus auf Grundrechtsschutz aus. Er dürfte — ähnlich wie die DSGVO — einen globalen „Brüssel-Effekt” entfalten: Unternehmen, die für den EU-Markt tätig sind, müssen seine Anforderungen erfüllen — unabhängig vom Sitz.

Vertiefung II — Gestaffelte Geltung des EU AI Act im Detail

Der EU AI Act (Verordnung EU 2024/1689) gilt nicht ab einem einzigen Stichtag, sondern in vier gestaffelten Phasen. Diese Staffelung ist bewusst gewählt, um Unternehmen schrittweise Vorbereitung zu ermöglichen.

Phase 1 (ab 2. August 2024 — Inkrafttreten): Die Verordnung trat formell in Kraft. Ab diesem Zeitpunkt begann die 24-monatige allgemeine Umsetzungsfrist.

Phase 2 (ab 2. Februar 2025 — 6 Monate nach Inkrafttreten): Verbote nach Art. 5 gelten. Verbotene KI-Praktiken (Social Scoring, manipulative Systeme, biometrische Echtzeit-Fernidentifizierung in öffentlichen Räumen durch Strafverfolgungsbehörden mit engen Ausnahmen) sind ab diesem Datum unzulässig. Außerdem: Verhaltenskodizes für GPAI-Modelle.

Phase 3 (ab 2. August 2025 — 12 Monate nach Inkrafttreten): Pflichten für Anbieter allgemeiner KI-Modelle (GPAI) nach Art. 51–56 gelten. Einrichtung des KI-Büros der EU-Kommission.

Phase 4 (ab 2. August 2026 — 24 Monate nach Inkrafttreten): Der Hauptteil der Verordnung gilt vollständig: Hochrisiko-KI-Anforderungen (Titel III), Transparenzanforderungen (Art. 50), nationale Aufsichtsbehörden müssen benannt sein. Dies ist der für die meisten Deployer entscheidende Stichtag.

Ausnahme Hochrisiko-KI in Anhang I (Safety Components): Für KI-Systeme, die als Sicherheitskomponenten regulierter Produkte (Anhang I-Produktsicherheitsrecht) eingesetzt werden, gelten ab dem 2. August 2027 zusätzliche Anforderungen (36 Monate).

Warnung

Stichtag 2. August 2026 ist bereits erreicht. Für die meisten Unternehmen gelten seit diesem Datum die vollständigen Deployer-Pflichten nach Art. 26 EU AI Act. Eine Vorbereitung „nach dem Inkrafttreten” ist nicht mehr möglich — die Pflichten sind bereits rechtsverbindlich. Wer jetzt noch keine Compliance-Maßnahmen ergriffen hat, handelt ordnungswidrig. Behördliche Geldbußen nach Art. 99 EU AI Act betragen bis zu 15 Mio. € oder 3 % des weltweiten Jahresumsatzes für Deployer-Verstöße.

Zusammenfassung UE 15

Der EU AI Act (Verordnung (EU) 2024/1689) ist am 1. August 2024 in Kraft getreten und entfaltet seine Wirkung schrittweise: Verbote (Art. 5) seit Februar 2025, AI-Literacy-Pflicht und GPAI-Kapitel ab August 2026, Hochrisiko-Vollkompliance ab August 2027. Adressaten sind Anbieter, Deployer, Importeure und Händler — das Marktortprinzip stellt sicher, dass alle Akteure, die KI-Systeme für EU-Nutzer anbieten, betroffen sind. Das AI Office koordiniert die Governance auf EU-Ebene; nationale Behörden übernehmen die Marktaufsicht. Bußgelder bis 35 Mio. € (7 % Umsatz) für Verbotsverstöße und bis 15 Mio. € (3 % Umsatz) für sonstige Verstöße schaffen erhebliche Compliance-Anreize. Der AI Act wird durch technische Normen (CEN/CENELEC) und Leitlinien des AI Office kontinuierlich konkretisiert.

Querverweise zu anderen UEs

UE 15 (AI Act Aufbau und Zeitplan) ist die strukturelle Grundlage für UE 16 (Risikoklassen), UE 17 (Deployer-Pflichten) und UE 18 (AI Literacy). Ohne das Verständnis des Gesamtrahmens — Inkrafttreten, Stichtage, Adressaten — können die spezifischen Pflichten nicht korrekt eingeordnet werden. Der Zeitplan schafft die Dringlichkeit; die Adressaten-Analyse klärt, wen welche Pflicht trifft.

Reflexionsfragen

1. Ist Ihre Organisation Anbieter, Deployer oder beides? Welche konkreten Pflichten entstehen daraus?
2. Welcher der vier AI-Act-Stichtage ist für Ihre Organisation am dringendsten — und warum?
3. Wie bewerten Sie den risikobasierten Ansatz des EU AI Act? Sehen Sie eher Chancen oder Risiken für Ihre Organisation?
4. Wie verändert der AI Act Ihrer Einschätzung nach die Rolle von IT-Verantwortlichen in Unternehmen?
5. Was würde es bedeuten, wenn Ihr Unternehmen bis Februar 2025 keine AI Literacy-Schulungen durchgeführt hat?
6. Der EU AI Act gilt nach dem Marktortprinzip — ähnlich wie die DSGVO. Welche Konsequenz hat das für ein nicht-europäisches Unternehmen, das ein KI-Tool an deutsche Organisationen vermarktet?
7. Welcher der vier zentralen AI Act-Stichtage hat für Ihre Organisation die größte praktische Relevanz — und was müsste bis dahin (bzw. was hätte bis dahin erledigt sein müssen) konkret umgesetzt werden?

Die Rolle der technischen Normen im AI Act

Der EU AI Act verweist an mehreren Stellen auf harmonisierte technische Normen, die von europäischen Normungsorganisationen (CEN/CENELEC, ETSI) entwickelt werden. Diese Normen konkretisieren die abstrakten gesetzlichen Anforderungen:

Was sind harmonisierte Normen? Normen, die im EU-Amtsblatt veröffentlicht werden und bei deren Anwendung eine Konformitätsvermutung entsteht — d. h., wer die Norm einhält, gilt als konform mit dem Gesetz.

Aktueller Stand (2025): CEN/CENELEC arbeitet an mehreren Normen für Hochrisiko-KI (Risikomanagementsysteme, Transparenz, Datanforderungen). Diese Normen sind noch in Entwicklung — erste Entwürfe werden 2025/2026 erwartet. Deployer sollten die Entwicklungen verfolgen, da die Normen die Compliance-Arbeit konkretisieren werden.

Praktische Relevanz: Bis harmonisierte Normen vorliegen, müssen Unternehmen die abstrakten Anforderungen des AI Acts eigenständig interpretieren und umsetzen. Die Guidance-Dokumente des AI Office (https://digital-strategy.ec.europa.eu/en/policies/ai-office) sind dabei die wichtigste Hilfsquelle.

Merksatz zu UE 15: Der EU AI Act ist in Kraft — aber er entfaltet seine volle Wirkung schrittweise. Nutzen Sie die Übergangsfristen aktiv für den Aufbau einer robusten KI-Governance-Struktur. Wer wartet, bis alle Fristen abgelaufen sind, hat keine Zeit mehr für strukturierte Compliance.

Quellen & Weiterlesen

Ergänzung: EU AI Act — Governance-Struktur und Aufsichtsbehörden

Das KI-Büro der EU-Kommission (AI Office): Zentrale EU-Instanz für die Überwachung allgemeiner KI-Modelle (GPAI) wie GPT-4 und Gemini. Erstellt Verhaltenskodizes und kann bei systemischen Risiken eingreifen.

Nationale Marktüberwachungsbehörden: Jeder EU-Mitgliedstaat benennt nationale Behörden. In Deutschland ist die Bundesnetzagentur (BNetzA) zuständig. Für Sektoren wie Finanzmarkt und Gesundheit bleiben BaFin und BfArM sektoral zuständig.

Sanktionssystem nach Art. 99 EU AI Act:

Für KMU gilt eine Verhältnismäßigkeitsregel — niedrigere Absolutbeträge sind möglich, wenn der prozentuale Anteil am Umsatz niedriger ist.

Verhältnis EU AI Act zu anderen Rechtsakten

Der EU AI Act existiert nicht isoliert. Er interagiert mit:

• DSGVO: Hochrisiko-KI löst häufig auch DPIA-Pflichten nach Art. 35 DSGVO aus. Beide Prüfungen sollten integriert durchgeführt werden.
• Produktsicherheitsrecht: KI-Systeme in Produkten (z. B. Medizinprodukte, Fahrzeuge) unterliegen zusätzlich dem sektorspezifischen Produktsicherheitsrecht. Der AI Act ergänzt diese Regelungen, ersetzt sie aber nicht.
• AGG: Hochrisiko-KI im HR-Bereich muss sowohl AI Act als auch AGG-Anforderungen erfüllen.
• BetrVG: Art. 26 Abs. 8 AI Act verweist explizit auf Mitbestimmungsrechte — ein Hinweis, dass beide Regelwerke komplementär anzuwenden sind.

EU AI Act und globale KI-Regulierung — Der internationale Kontext

Der EU AI Act ist weltweit die erste umfassende, rechtsverbindliche KI-Regulierung. Andere Länder und Regionen reagieren unterschiedlich:

USA: Kein umfassendes föderales KI-Gesetz (Stand 2025). Stattdessen: Sektorale Regulierung (Finanzaufsicht durch SEC, Gesundheit durch FDA), ein Exekutivorder von Präsident Biden zu KI-Sicherheit (Oktober 2023), und verschiedene State-Level-Gesetze (z. B. Colorado AI Act für Hochrisiko-Anwendungen).

UK: Post-Brexit verfolgt das UK einen „principles-based”, sektoral fragmentierten Ansatz — weniger regulatorisch als die EU. Der UK AI Safety Institute wurde als Forschungseinrichtung gegründet.

China: Das umfassendste KI-Regulierungspaket außerhalb der EU, mit spezifischen Regeln für Deepfakes (2022), Empfehlungsalgorithmen (2022) und generative KI (2023). Stärker staatszentriert als der EU-Ansatz.

Japan, Kanada, Australien: Moderatere, oft soft-law-basierte Ansätze, die auf Selbstregulierung und freiwillige Standards setzen.

Für international tätige Unternehmen: Der EU AI Act ist der strengste Standard und wird häufig als globaler Mindeststandard für EU-Marktzugang eingesetzt. DSGVO-ähnlich entsteht ein „Brüssel-Effekt” — globale Unternehmen richten sich nach dem EU-Standard, um Marktzugang zu sichern.

Compliance-Roadmap für Deployer — Zeitplan 2025–2027

Für Deployer, die jetzt mit der AI-Act-Compliance beginnen, empfiehlt sich folgender Zeitplan:

Sofortmaßnahmen (jetzt bis Ende 2025): - Verbotene KI-Praktiken (Art. 5) prüfen und ggf. abschalten - KI-Inventar erstellen - Risikoklassifizierung für alle bekannten Systeme durchführen - AI-Literacy-Schulungen für alle KI-nutzenden Mitarbeitenden starten (→ diese Maßnahme) - AVVs mit allen KI-Anbietern überprüfen und aktualisieren

Mittelfristig (2026): - Art.-26-Compliance für alle Hochrisiko-Systeme abschließen - DPIAs für alle relevanten Systeme fertigstellen - Betriebsrat einbinden und BV-KI verhandeln - Post-Market-Monitoring-Prozesse einrichten - KI-Governance-Struktur (CAIO oder Compliance-Komitee) etablieren

Langfristig (2027 und danach): - Vollständige Compliance für alle Hochrisiko-Systeme gemäß Anhang III bis August 2027 - Regelmäßige Compliance-Reviews (mindestens jährlich) - Verfolgung neuer technischer Normen und Leitlinien - Anpassung an neue regulatorische Entwicklungen

Dieser Zeitplan ist keine Garantie, sondern eine Orientierungshilfe. Die konkrete Priorisierung hängt von der Größe, Branche und dem KI-Portfolio der jeweiligen Organisation ab.

Praxishinweis: Abonnieren Sie den Newsletter des EU AI Office. Einmal im Monat erhalten Sie Zusammenfassungen neuer Leitlinien, Guidance-Dokumente und regulatorischer Entwicklungen, ohne selbst taeglich alle Quellen verfolgen zu muessen.

Trainerhinweise

Timing: 45 Minuten. Empfohlen: 15 Minuten Kerninhalt (Stichtage und Adressaten), 10 Minuten Übung 1 (Zeitstrahl), 10 Minuten Übung 2 (Adressaten), 10 Minuten Abschluss (WarnungBox, Cheatsheet, Reflexion).

Methodik: Der AI Act wird von Teilnehmenden oft als abstrakt und weit entfernt wahrgenommen. Verankern Sie die Relevanz durch die Frage: „Nutzen Sie heute beruflich ein KI-Tool?” — bei Bejahung: „Dann sind Sie Deployer nach dem EU AI Act. Das ist keine Theorie, das ist Ihr Status jetzt.” Dieser direkte Bezug schafft sofortige Relevanz.

Stolpersteine: (1) Viele Teilnehmende denken, der AI Act betrifft nur KI-Unternehmen — explizit klarstellen, dass Deployer (alle KI-nutzenden Unternehmen) eingeschlossen sind. (2) Stichtage können verwirren — nutzen Sie eine visuelle Zeitstrahl-Darstellung (Folie oder Flipchart). (3) Die Unterscheidung Anbieter/Deployer/Importeur wird oft nicht klar — verwenden Sie konkrete Unternehmensbeispiele aus der Lebenswelt der Teilnehmenden.

Diskussionsfragen: „Welche KI-Tools nutzen Sie heute beruflich — und welcher Stichtag ist für Sie am dringendsten?” „Was würde in Ihrer Organisation passieren, wenn ab Februar 2025 plötzlich alle KI-Tool-Nutzungen auf Compliance geprüft würden?”

Tafelbild: Zeitstrahl mit vier Stichtagen visuell darstellen. Teilnehmende können Pfeil setzen: „Wo stehe ich heute mit meiner Compliance-Vorbereitung?”

Materialliste: Zeitstrahl-Folie oder Handout, Übungsblätter für Adressaten-Zuordnung.

Übergang zu UE 16: „Sie wissen jetzt, wer Adressat des AI Act ist und wann die Pflichten gelten. In UE 16 schauen wir uns an, welche KI-Anwendungen wie stark reguliert werden: die vier Risikoklassen des AI Act.”

Branchenauswahl-Tipp: Finanzdienstleister: Anhang III explizit ansprechen — Kreditwürdigkeitsprüfung ist Hochrisiko. Öffentliche Verwaltung: Art. 5 verbotene Praktiken für Behörden besonders relevant (Social Scoring-Verbot).

AI Act — Rechtsmittel und Beschwerderechte

Der EU AI Act enthält Regelungen zu den Rechten von Betroffenen und Beschwerdemöglichkeiten:

Recht auf Erklärung (Art. 86): Personen, die von einem Hochrisiko-KI-System betroffen sind und eine individuelle Entscheidung getroffen wurde, haben das Recht auf eine klare und verständliche Erklärung dieser Entscheidung.

Beschwerderecht: Betroffene können Beschwerden bei der national zuständigen KI-Aufsichtsbehörde einreichen. Die Behörde ist verpflichtet, die Beschwerde zu prüfen.

Schadensersatz: Die neue EU-Produkthaftungsrichtlinie ergänzt den AI Act um zivilrechtliche Schadensersatzansprüche bei KI-verursachten Schäden.

Beweislasterleichterung: Ähnlich wie im AGG ist bei KI-Haftungsfragen eine Beweislasterleichterung für Geschädigte vorgesehen — bei Nachweis eines prima-facie-Schadens durch ein KI-System.

Diese Rechte schaffen Anreize für Deployer, ihre KI-Systeme sorgfältig zu gestalten und zu überwachen.

Quelle: KI-Wissensbasis von MindsMachines, Edition Juni 2026. Vollständige Fassung mit Anhängen und Musterlösungen: als PDF anfordern.