Der EU AI Act. Was er ist, wen er betrifft, was er verlangt.
Ein verständlicher Leitfaden zu der Verordnung, die die Art und Weise, wie europäische Organisationen KI einsetzen, neu gestaltet.
Der erste umfassende Rechtsrahmen für KI.
Der EU AI Act wurde 2024 angenommen und trat am 1. August 2024 in Kraft. Er ist der erste umfassende Rechtsrahmen für künstliche Intelligenz weltweit. Die Verordnung gilt in allen 27 EU-Mitgliedstaaten und regelt, wie KI-Systeme entwickelt, eingesetzt und genutzt werden. Sie gilt für Organisationen innerhalb der EU und für Organisationen außerhalb der EU, deren KI-Systeme Personen innerhalb der EU betreffen. Das Gesetz verfolgt einen risikobasierten Ansatz: Je höher das Risiko eines KI-Systems, desto strenger die Anforderungen an die Organisation, die es bereitstellt oder nutzt.
Vier Risikostufen. Vier Pflichtstufen.
Das Gesetz klassifiziert jedes KI-System in eine von vier Risikostufen. Ihre Pflichten hängen davon ab, welche Stufe anwendbar ist.
| Risikostufe | Regulatorischer Status | Beispiele |
|---|---|---|
| Inakzeptabel | Verboten | Sozial-Scoring-Systeme, biometrische Echtzeit-Überwachung in öffentlichen Räumen, manipulative KI, die Schwachstellen ausnutzt |
| Hohes Risiko | Strenge Pflichten | KI in HR und Einstellung, Kredit-Scoring, Bildungsbewertung, kritische Infrastruktur, Strafverfolgung, Migrationskontrolle |
| Begrenztes Risiko | Transparenzpflichten | Chatbots, Deepfake-Generatoren, KI-generierte Inhaltssysteme |
| Minimales Risiko | Keine spezifischen Pflichten | Spamfilter, KI-gestützte Spiele, Bestandsoptimierung |
Hohes Risiko ist dort, wo der Großteil der Unternehmens-KI angesiedelt ist.
Die Kategorie hohes Risiko ist in der Praxis die größte. Die Europäische Kommission schätzt, dass 5–15 % der KI-Systeme darunter fallen. Anhang III des Gesetzes listet die spezifischen Anwendungsfälle auf, die als hohes Risiko gelten. Wenn Ihr KI-System in einem dieser Bereiche tätig ist, gilt die volle Last der Verordnung für Sie.
Beschäftigung und Personalmanagement
Rekrutierung, Lebenslaufprüfung, Leistungsbewertung, Aufgabenzuteilung, Beförderungs- oder Entlassungsentscheidungen.
Bildung und Berufsausbildung
Zulassungsentscheidungen, Prüfungsbewertung, Erkennung verbotenen Verhaltens, Bewertung von Lernergebnissen.
Zugang zu wesentlichen Diensten
Kredit-Scoring, Versicherungspreisgestaltung, Anspruchsbewertung für öffentliche Leistungen, Einsatz von Notfalldiensten.
Strafverfolgung
Predictive Policing, Polygraf- und Täuschungsanalyse, Beweisauswertung, Kriminalitätsanalyse.
Migration, Asyl, Grenzkontrolle
Visumsberechtigung, Risikobewertung von Einreisenden, Dokumentenprüfung, Personenidentifikation.
Rechtspflege
Unterstützung bei Rechtsrecherche, Hilfe bei gerichtlichen Entscheidungen, Auslegung von Tatsachen oder Recht.
Kritische Infrastruktur
Sicherheitskomponenten in Straßenverkehrs-, Wasser-, Gas-, Heizungs- und Stromversorgungssystemen.
Biometrische Identifizierung und Kategorisierung
Biometrische Fernidentifizierung, Kategorisierung nach sensiblen Merkmalen, Emotionserkennung außerhalb enger Ausnahmen.
Sechs Anforderungen an jedes KI-System mit hohem Risiko.
Wenn Ihr KI-System als hohes Risiko eingestuft ist, gelten diese sechs Pflichten. Bußgelder für Verstöße können bis zu 15 Mio. € oder 3 % des weltweiten Umsatzes betragen.
Risikomanagementsystem
Kontinuierlicher, systematischer Prozess zur Identifizierung, Analyse und Minderung von Risiken während des gesamten Lebenszyklus des KI-Systems. Gilt vor der Inbetriebnahme und während des gesamten Betriebs. Muss dokumentiert und aktuell gehalten werden.
Data Governance
Trainings- und Testdaten müssen relevant, repräsentativ, vollständig und frei von bekannten Fehlern sein. Datenverzerrungen müssen untersucht und gemindert werden. Gilt für personenbezogene und nicht-personenbezogene Daten.
Technische Dokumentation
Umfassende Dokumentation des KI-Systems: Architektur, Datenflüsse, Modellwahl, Leistungsmetriken, bekannte Einschränkungen. Muss für Regulierungsbehörden ausreichend sein, um die Konformität zu beurteilen.
Transparenz und Information für Betreiber
Klare Informationen über die Fähigkeiten, Einschränkungen, den beabsichtigten Zweck und das erwartete Genauigkeits- und Robustheitsniveau des KI-Systems. Benutzungshinweise müssen jedem Betreiber bereitgestellt werden.
Menschliche Aufsicht
Natürliche Personen müssen in der Lage sein, KI-Entscheidungen zu überwachen, zu interpretieren, einzugreifen und zu überschreiben. Schulung und Befugnis dazu müssen gewährleistet werden. Die Systemgestaltung muss eine wirksame menschliche Kontrolle ermöglichen.
Genauigkeit, Robustheit, Cybersicherheit
KI-Systeme müssen ein angemessenes Maß an Genauigkeit und Robustheit erreichen. Sie müssen widerstandsfähig gegen Fehler, Ausfälle und Versuche zur Manipulation ihrer Ausgaben sein. Dokumentation und Überwachung erforderlich.
Zeitplan und aktueller Status.
Die Bestimmungen der Verordnung gelten stufenweise. Der KI-Omnibus (Verfahren 2025/0359(COD)) wurde am 16. Juni 2026 vom Europäischen Parlament mit 423 Ja-Stimmen gebilligt und am 29. Juni 2026 vom Rat förmlich angenommen. Die neuen Fristen werden drei Tage nach der Veröffentlichung im Amtsblatt der EU rechtswirksam, die für Juli 2026 erwartet wird. Bis zu dieser Veröffentlichung bleibt die ursprüngliche Frist von August 2026 für Hochrisiko-KI-Systeme rechtlich maßgeblich.
Das Gesetz trat in die EU-Rechtsordnung ein. Die Pflichten wurden ab diesem Datum schrittweise eingeführt.
KI-Systeme mit inakzeptablem Risiko wurden illegal: Sozial-Scoring, manipulative KI und nicht zielgerichtetes biometrisches Scraping.
Anbieter von GPAI-Modellen wurden Transparenz-, Dokumentations- und Urheberrechts-Compliance-Pflichten unterworfen.
Die Transparenzpflichten nach Artikel 50 gelten wie ursprünglich geplant: Nutzer müssen informiert werden, wenn sie mit einem KI-System interagieren, und Betreiber müssen Deepfakes und KI-generierte Inhalte kennzeichnen. Vom Omnibus nicht verschoben.
Ursprüngliche Frist gemäß Verordnung 2024/1689. Ersetzt durch den KI-Omnibus, gebilligt vom Europäischen Parlament am 16. Juni 2026 und angenommen vom Rat am 29. Juni 2026; die neuen Fristen gelten ab Veröffentlichung des Omnibus im Amtsblatt.
KI-generierte Inhalte müssen maschinenlesbar gekennzeichnet werden. Dezember 2026 ist eine Übergangsfrist für Systeme, die vor dem 2. August 2026 bereits auf dem Markt waren; später in Verkehr gebrachte Systeme müssen ab Markteinführung konform sein. Das neue Verbot von KI-generierten nicht einvernehmlichen Intimdarstellungen und Darstellungen von Kindesmissbrauch tritt am selben Datum in Kraft.
Vollständige Pflichten gelten für eigenständige Hochrisiko-KI-Systeme (Artikel 6(2) und Anhang III). Ersetzt die ursprüngliche August-2026-Frist mit der Veröffentlichung des Omnibus im Amtsblatt.
KI-Systeme, die Sicherheitskomponenten von Produkten sind, die bereits unter EU-Harmonisierungsrecht fallen — darunter Medizinprodukte, Maschinen und Spielzeug — werden gemäß Artikel 6(1) den Hochrisiko-Pflichten unterworfen.
Wie DataWeavrs jede Anforderung abdeckt.
Jede EU AI Act-Pflicht für Hochrisikosysteme hat eine entsprechende Fähigkeit in WeavrCore oder unserer Liefermethodik. Nicht nachträglich hinzugefügt. Von Anfang an eingebaut.
| Anforderung | DataWeavrs-Kapazität |
|---|---|
| Risikomanagementsystem | Die Risikobewertung ist das erste Ergebnis von Schritt 01 unserer Methodik (Business-Value-Workshop). |
| Data Governance | Die dreistufige Klassifizierungs-Engine (Private / Enrichable / Public) setzt Datenverarbeitungsregeln bei jeder Interaktion durch. |
| Technische Dokumentation | WeavrCore generiert Systemdokumentation (Architektur, Datenflüsse, Modellwahl) als Nebenprodukt des Deployments. |
| Transparenz | Jede KI-Interaktion wird mit Quellzuordnung protokolliert und gemäß Ihrer Datenaufbewahrungsrichtlinie gespeichert. |
| Menschliche Aufsicht | Rollenbasierte Zugriffskontrollen umfassen menschliche Beteiligung bei Hochrisiko-Entscheidungen, anwendungsfallspezifisch konfigurierbar. |
| Genauigkeit & Robustheit | RAG mit verifizierter Quellzuordnung und Halluzinationsüberwachung bei jeder Antwort. |
Wissen Sie in weniger als 10 Minuten, wo Sie stehen.
Das DataWeavrs EU AI Act Readiness Assessment gibt Ihnen einen bewerteten Überblick über Ihre aktuelle Exposition sowie eine maßgeschneiderte Diagnose der größten Lücken. Keine Meetings. Kein Verkaufsgespräch. Ein PDF-Bericht in Ihrem Posteingang.
12 Fragen. Weniger als 10 Minuten. Ihre Antworten werden ausschließlich zur Erstellung Ihres Berichts verwendet.