Häufige Fragen zum AI Act

Die KI-Verordnung - offiziell Verordnung (EU) 2024/1689, auch „AI Act" oder „AI-Act" genannt - ist das erste rechtsverbindliche EU-Regelwerk für Künstliche Intelligenz. Sie legt fest, welche KI-Systeme in der EU zulässig sind, in welche Risikoklassen sie fallen und welche Pflichten Anbieter und Betreiber haben. Sie gilt direkt in allen EU-Mitgliedstaaten ohne nationale Umsetzung.
Der AI Act ordnet KI-Systeme in vier Risikoklassen: unzulässig, Hochrisiko, begrenztes Risiko und minimales Risiko. Für jede Klasse gelten unterschiedliche Pflichten. Zusätzlich verlangt Artikel 4 von Anbietern und Betreibern, dass ihr Personal über ausreichende KI-Kompetenz verfügt. GPAI-Modelle (General Purpose AI) wie große Sprachmodelle unterliegen eigenen Transparenz-Regeln.
„Neue KI-Verordnung" bezeichnet die Verordnung (EU) 2024/1689 - umgangssprachlich AI Act. Sie wurde am 12. Juli 2024 im Amtsblatt der EU veröffentlicht und ist seit dem 1. August 2024 in Kraft. Die Pflichten gelten schrittweise bis August 2027. Vorher gab es kein vergleichbares EU-Regelwerk für KI.
Wer KI-Systeme beruflich einsetzt - auch ChatGPT, Microsoft Copilot oder ähnliche Werkzeuge - gilt als Betreiber im Sinne des AI Acts. Betreiber müssen KI-Kompetenz ihrer Mitarbeitenden sicherstellen (Artikel 4, ab 2. Februar 2026), den Risikoklassen-Status eingesetzter Systeme kennen und bei Hochrisiko-KI weitere Pflichten erfüllen (Transparenz, Aufsicht, Dokumentation).
Die KI-Verordnung regelt: Marktzugang für KI-Systeme in der EU, Risikoklassifikation mit gestuften Pflichten, verbotene KI-Praktiken (Artikel 5), Transparenz-Anforderungen (z. B. Kennzeichnung als KI), KI-Kompetenz-Pflicht (Artikel 4), Sanktionen bis zu 35 Mio. EUR oder 7 % des Weltjahresumsatzes. Sie ergänzt die DSGVO, ersetzt sie nicht.
„European AI Act" ist die englische Bezeichnung für die EU-KI-Verordnung (Verordnung [EU] 2024/1689). Die Begriffe AI Act, KI-Verordnung, KI-VO und European AI Act bezeichnen dasselbe Regelwerk. Es ist die erste umfassende KI-Regulierung weltweit auf Verordnungsebene und gilt als Modell für andere Gesetzgeber.
Der AI Act verfolgt vier Ziele: (1) Vertrauenswürdige KI in der EU durch klare Regeln fördern, (2) Grundrechte und Sicherheit der Menschen schützen, (3) einen einheitlichen europäischen Binnenmarkt für KI schaffen, (4) risikoreiche Anwendungen einschränken, ohne Innovation zu blockieren. Geringes Risiko bleibt weitgehend unreguliert.
Der AI Act ist seit dem 1. August 2024 in Kraft (Inkrafttreten = Veröffentlichung + 20 Tage). Die einzelnen Pflichten gelten jedoch gestaffelt. Vollständig anwendbar ist die Verordnung ab dem 2. August 2027. Schon ab dem 2. Februar 2026 gelten Verbote (Artikel 5) und die KI-Kompetenz-Pflicht (Artikel 4).
Der AI Act gilt als EU-Verordnung unmittelbar und direkt in allen 27 Mitgliedstaaten - auch in Deutschland. Es ist keine separate deutsche Umsetzung erforderlich. Für Deutschland gelten dieselben Stichtage wie EU-weit: Verbote ab 2. Februar 2026, GPAI ab 2. August 2026, Hochrisiko-Pflichten ab 2. August 2027.
Stufenplan des AI Acts: Ab 2. Februar 2026 gelten die Verbote (Artikel 5) und die KI-Kompetenz-Pflicht (Artikel 4). Ab 2. August 2026 gelten Regeln für GPAI-Modelle und KI-Allzweckmodelle. Ab 2. August 2027 gelten vollständig alle Hochrisiko-KI-Pflichten nach Anhang III (Konformitätsbewertung, CE-Kennzeichnung, technische Dokumentation).
Anwendbar im Sinne von „wird geprüft und sanktioniert" bedeutet: Verbote und KI-Kompetenz-Pflicht ab 2. Februar 2026; GPAI-Modell-Regeln ab 2. August 2026; Hochrisiko-Pflichten für bestehende Systeme nach Anhang I (Produktsicherheit) ab 2. August 2027. Neue Hochrisiko-Systeme nach Anhang III ab 2. August 2026.
Betroffen sind Anbieter (entwickeln und vertreiben KI-Systeme), Betreiber (setzen KI im beruflichen Kontext ein), Einführer (bringen Drittland-KI in die EU) und Händler. Entscheidend ist nicht der Unternehmenssitz, sondern ob das KI-System in der EU in Verkehr gebracht oder genutzt wird. Das betrifft auch KMU und Kleinstunternehmen als Betreiber.
Alle Unternehmen und Organisationen, die KI-Systeme in der EU anbieten oder nutzen - unabhängig von Größe oder Branche. Als Betreiber gilt bereits, wer ChatGPT im Büroalltag einsetzt. Ausnahmen gelten nur für rein private Nutzung und bestimmte Behörden-/Sicherheitsbereiche.
Praktisch alle Unternehmen, die KI nutzen oder anbieten. Als Betreiber zählt bereits ein Handwerksbetrieb, der ChatGPT für Angebotserstellung nutzt, oder eine Kanzlei, die KI für Textauswertung einsetzt. Die Tiefe der Pflichten richtet sich nach der Risikoklasse des eingesetzten Systems und der Unternehmensgröße.
Die KI-Verordnung gilt für: Anbieter (z. B. OpenAI, Anthropic, Google - entwickeln und vermarkten KI), Betreiber (Unternehmen, die KI im beruflichen Kontext nutzen - das sind Sie, wenn Sie KI einsetzen), Einführer (EU-Importeure von Drittland-KI), Händler (vertreiben KI-Produkte weiter). Anbieter tragen die umfangreichsten Pflichten; Betreiber haben gezielte Aufgaben wie Artikel-4-KI-Kompetenz.
Primär Anbieter: Sie müssen Konformitätsbewertung, technische Dokumentation, CE-Kennzeichnung und Registrierung in der EU-Datenbank sicherstellen. Sekundär Betreiber: Sie müssen KI-Kompetenz ihrer Mitarbeitenden nachweisen (Artikel 4), bei Hochrisiko-KI eine menschliche Aufsicht einrichten und Transparenz gegenüber Nutzern gewährleisten.
Artikel 5 des AI Acts verbietet ab dem 2. Februar 2026: Social-Scoring-Systeme durch öffentliche Stellen, biometrische Echtzeit-Fernidentifikation im öffentlichen Raum (mit engen Ausnahmen für Strafverfolgung), unterschwellige Manipulation von Verhalten (Nudging ohne Bewusstsein), Ausnutzung von Schwächen vulnerabler Gruppen, Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen (mit engen Ausnahmen) sowie KI-gestützte Vorhersage-Polizei auf Basis von Persönlichkeitsprofilen.
Der AI Act kennt vier Risikoklassen: (1) Unzulässig - verbotene Praktiken nach Artikel 5; (2) Hochrisiko - KI-Systeme nach Anhang III (z. B. Bewerberfilter, Kreditbewertung) mit Konformitätsbewertungspflicht und CE-Kennzeichnung; (3) Begrenztes Risiko - Transparenzpflicht (Nutzer muss wissen, dass er mit KI interagiert); (4) Minimales Risiko - keine spezifischen AI-Act-Pflichten, z. B. KI-Spam-Filter.
Hochrisiko-KI-Systeme sind in Anhang III des AI Acts aufgelistet. Dazu zählen: KI in kritischer Infrastruktur, KI-gestützte Bildungs- und Leistungsbewertung, Bewerberauswahl und Arbeitsplatzbewertung, Kreditwürdigkeitsbewertung, Sozialleistungs-Vergabe, biometrische Identifikation, Strafverfolgung und Justiz. Diese Systeme benötigen vor Inbetriebnahme eine Konformitätsbewertung, technische Dokumentation und CE-Kennzeichnung.
Typischerweise nein. Ein Unternehmens-Chatbot für Kundensupport fällt in der Regel in die Klasse „begrenztes Risiko" - mit der Pflicht, Nutzer zu informieren, dass sie mit einer KI kommunizieren. Nur wenn ein Chatbot für Entscheidungen in Hochrisiko-Bereichen (z. B. Kreditvergabe, Einstellungsprozesse) eingesetzt wird, kann er Hochrisiko-Status erhalten.
Artikel 4 des AI Acts verpflichtet Anbieter und Betreiber sicherzustellen, dass ihr Personal über ausreichende KI-Kompetenz verfügt, um KI-Systeme sachgemäß einzusetzen. Das bedeutet konkret: Schulungen durchführen, Schulungsnachweise dokumentieren, eingesetzte KI-Systeme und ihre Risiken kennen und eine Use-Case-Liste führen. Die Pflicht gilt seit dem 2. Februar 2026 - auch für KMU und Kleinstunternehmen.
Die KI-Kompetenz-Pflicht nach Artikel 4 gilt seit dem 2. Februar 2026 - für alle Anbieter und Betreiber von KI-Systemen, unabhängig von der Unternehmensgröße. Auch kleine Kanzleien, Handwerksbetriebe und Kleinstunternehmen sind betroffen, wenn sie KI beruflich nutzen.
Für den Nachweis von KI-Kompetenz nach Artikel 4 empfiehlt sich: schriftlicher Schulungsnachweis (Datum, Teilnehmerliste, Schulungsinhalte), dokumentierte Liste der eingesetzten KI-Tools und Use Cases sowie Prüfung bestehender Auftragsverarbeitungsverträge (AVV) auf KI-Abdeckung. Ein Halbtag-Workshop mit Protokoll erfüllt die Grundanforderung und kann gegenüber Aufsichtsbehörden vorgelegt werden.
Ein AVV ist bei personenbezogener Datenverarbeitung durch KI zwingend erforderlich - er deckt aber nur die DSGVO-Ebene ab. Der AI Act kommt unabhängig davon hinzu: Je nach Risikoklasse des KI-Systems gelten zusätzliche Pflichten (KI-Kompetenz, Transparenz, Hochrisiko-Dokumentation). Ein AVV allein reicht also nicht für AI-Act-Konformität.
KI ist nicht per se DSGVO-konform oder nicht - das hängt vom konkreten Einsatz ab. Entscheidend sind: Wo werden Daten verarbeitet (EU-Server oder Drittland)? Liegt ein AVV vor? Gibt es einen Verarbeitungsverzeichnis-Eintrag? Wurden Betroffenenrechte berücksichtigt? Bei US-Cloud-Diensten wie ChatGPT oder Microsoft Copilot ist der Datenpfad kritisch zu prüfen.
Ja. Steuerberater sind Betreiber im Sinne des AI Acts, wenn sie KI beruflich einsetzen. Zusätzlich zu den AI-Act-Pflichten gelten berufsrechtliche Vorgaben: § 57 StBerG (Verschwiegenheitspflicht), BStBK-Hinweise zur KI-Nutzung sowie Rundschreiben der Steuerberaterkammern. Mandantendaten dürfen nicht ohne AVV an externe KI-Dienste übermittelt werden. AI-Act für Steuerberater →
  • EU-Verordnung 2024/1689 (AI Act), EUR-Lex - Volltext
  • Europäische Kommission - AI Act Überblick
  • Bundesministerium für Digitales und Verkehr (BMDV) - KI-Verordnung
  • Bundessteuerberaterkammer (BStBK) - Berufsrecht & KI-Nutzung
  • Bitkom 2025 - KI-Nutzung im Mittelstand

Stand: Juni 2026. Die Antworten fassen öffentliche Verordnungstexte zusammen und ersetzen keine Rechtsberatung - bei konkreten Compliance-Fragen empfehlen wir die Rückkopplung mit einem Rechtsanwalt oder der zuständigen Kammer.

Noch Fragen offen?

Im Awareness-Workshop übersetzen wir den AI Act in Klartext für Ihren Betrieb - mit Schulungsprotokoll für den Artikel-4-Nachweis, DSGVO-konform gedacht, Workshop aus Reutlingen.

Viele Grüße aus Reutlingen - Jan Schulz und Stefan Schmitt.