Verbotene Praktiken
Art 5 · seit Feb. 2025Social ScoringScraping von GesichtsbildernEmotionserkennung am ArbeitsplatzHohes Risiko
Annex III · ab Dez. 2027Annex I · ab Aug. 2028Lebenslauf-ScreeningBonitätsbewertungPreisbildung bei VersicherungenTransparenz
Art 50ChatbotsDeepfakesKI-generierte InhalteMinimales Risiko
Keine neuen PflichtenSpamfilterKI in Videospielen
Sie bieten es in der EU an oder nutzen es dort, oder seine Ausgaben werden dort verwendet, unabhängig von Ihrem Sitz
Sie entwickeln ein KI-System oder ein KI-Modell mit allgemeinem Verwendungszweck oder lassen eines entwickeln und bieten es unter Ihrem Namen an oder nutzen es
Sie sind in der EU niedergelassen, oder die Ausgaben des Systems werden in der EU verwendet
Sie verwenden ein KI-System beruflich in eigener Verantwortung, etwa ein Tool zur Bewerberauswahl oder einen zugekauften Chatbot
Ihre Pflichten betreffen Hochrisiko-KI: Prüfen Sie zuerst CE-Kennzeichnung und Dokumentation
Sie bringen das KI-System eines Anbieters außerhalb der EU auf dem EU-Markt in Verkehr oder vertreiben ein KI-System in der Lieferkette weiter
Nach Artikel 25 gelten Sie dann als dessen Anbieter, mit allen Anbieterpflichten
Sie versehen ein Hochrisiko-KI-System mit Ihrem Namen, verändern eines wesentlich oder ändern die Zweckbestimmung eines KI-Systems so, dass es zum Hochrisiko-KI-System wird
Art. 9, 10 · Wenn Sie KI entwickeln
Richten Sie für ein Hochrisiko-System ein Risikomanagement ein, das von der Konzeption bis zum Einsatz reicht und regelmäßig überprüft wird, und regeln Sie die Governance der Trainings-, Validierungs- und Testdaten.
Art. 11 bis 15 · Wenn Sie KI entwickeln
Führen Sie eine technische Dokumentation, gestalten Sie das System so, dass es Ereignisse automatisch protokolliert, verfassen Sie eine klare Betriebsanleitung für Betreiber und sorgen Sie für menschliche Aufsicht, Genauigkeit und Cybersicherheit.
Art. 17, 43, 48, 49 · Wenn Sie KI entwickeln
Unterhalten Sie ein Qualitätsmanagementsystem, schließen Sie die Konformitätsbewertung ab und bringen Sie die CE-Kennzeichnung an. Bei Anwendungen nach Anhang III registrieren Sie das System zusätzlich in der EU-Datenbank.
Art. 72, 73 · Wenn Sie KI entwickeln
Richten Sie ein System zur Beobachtung nach dem Inverkehrbringen ein, das die Leistung der KI im Einsatz verfolgt, und melden Sie schwerwiegende Vorfälle den Behörden.
Art. 50 Abs. 1, 2 · Wenn Sie KI entwickeln
Gestalten Sie KI, die mit Menschen interagiert, so, dass diese wissen, dass sie es mit einer KI zu tun haben, und kennzeichnen Sie erzeugte Audio-, Bild-, Video- und Textinhalte als KI-generiert. Generatoren, die vor dem 2. August 2026 in Verkehr gebracht wurden, haben bis zum 2. Dezember 2026 Zeit.
Art. 53, 55 · Wenn Sie KI entwickeln
Führen Sie eine technische Dokumentation, legen Sie eine Strategie zur Einhaltung des Urheberrechts fest und veröffentlichen Sie eine Zusammenfassung der Trainingsinhalte. Modelle mit systemischem Risiko benötigen zusätzlich Evaluierungen, Angriffstests und Meldungen von Vorfällen.
Art. 4 · Wenn Sie KI nutzen
Ergreifen Sie Maßnahmen, um die KI-Kompetenz Ihres Personals und aller Personen, die in Ihrem Auftrag KI betreiben, passend zu ihrer Rolle zu fördern. Seit Juli 2026 müssen Sie kein ausreichendes Maß mehr sicherstellen. Auch Anbieter haben diese Pflicht.
Art. 5 · Wenn Sie KI nutzen
Einige Anwendungen sind seit dem 2. Februar 2025 verboten, für Anbieter wie Betreiber. Ab dem 2. Dezember 2026 gilt das auch für KI, die intime Deepfakes ohne Einwilligung oder Darstellungen sexuellen Kindesmissbrauchs erzeugt.
Art. 26 · Wenn Sie KI nutzen
Halten Sie sich an die Betriebsanleitung des Anbieters, übertragen Sie die Aufsicht geschulten Personen mit Handlungsbefugnis, prüfen Sie die Eingabedaten, die Sie kontrollieren, überwachen Sie den Betrieb, melden Sie Risiken und bewahren Sie die Protokolle mindestens sechs Monate auf.
Art. 26 Abs. 7, 27, 50 · Wenn Sie KI nutzen
Informieren Sie Beschäftigte, bevor Sie Hochrisiko-KI am Arbeitsplatz einsetzen, und legen Sie Deepfakes offen. Öffentliche Stellen, Erbringer öffentlicher Dienstleistungen und alle, die Kreditwürdigkeit bewerten oder Lebens- und Krankenversicherungen bepreisen, führen vorab eine Grundrechte-Folgenabschätzung durch.
Art. 99 Abs. 3
Bei verbotenen Praktiken, oder 7 % des weltweiten Jahresumsatzes, falls dieser Betrag höher ist
Art. 99 Abs. 4
Bei den meisten anderen Pflichten, darunter Pflichten von Anbietern und Betreibern sowie Transparenzpflichten
Art. 99 Abs. 5
Bei falschen, unvollständigen oder irreführenden Angaben gegenüber Behörden
Art. 99 Abs. 6, 6a
Für sie gilt die niedrigere Obergrenze. Seit dem Omnibus auch für kleine Unternehmen mittlerer Kapitalisierung, außer bei Verboten
Verschoben wurden vor allem die Hochrisiko-Fristen. Die Verbote und die KI-Kompetenz gelten seit Februar 2025, die Pflichten für KI-Modelle mit allgemeinem Verwendungszweck seit August 2025 und Artikel 50 seit August 2026. [1]
Betreiber von Hochrisiko-KI haben nach Artikel 26 eigene Pflichten, von der Aufsicht durch geschulte Personen bis zur Aufbewahrung von Protokollen für mindestens sechs Monate. Und kein Betreiber darf die nach Artikel 5 verbotenen Praktiken anwenden. [2]
Sie betreffen KI, die intime Deepfakes realer Personen ohne deren Einwilligung erzeugt, sowie Darstellungen sexuellen Kindesmissbrauchs. Die Kennzeichnung KI-generierter Inhalte ist eine eigene Pflicht nach Artikel 50 Absatz 2, die ältere Generatoren bis zum 2. Dezember 2026 erfüllen müssen. [1]
Gilt der EU AI Act für US-Unternehmen?
Das ist möglich. Die Verordnung erfasst Anbieter, die KI-Systeme oder KI-Modelle mit allgemeinem Verwendungszweck in der EU in Verkehr bringen, unabhängig von ihrem Sitz. Sie gilt auch für Anbieter und Betreiber außerhalb der EU, deren KI-Ausgaben in der EU verwendet werden. Ein US-Unternehmen, das KI an Kunden in der EU verkauft, fällt wahrscheinlich in den Anwendungsbereich, und eines, dessen KI-Ausgaben in der EU verwendet werden, möglicherweise ebenfalls. Prüfen Sie jedes System anhand von Artikel 2 Absatz 1.
Wurde der EU AI Act verschoben?
Teilweise. Der Digital-Omnibus, Verordnung (EU) 2026/1744, ist am 27. Juli 2026 in Kraft getreten. Er hat die Hochrisiko-Pflichten für die in Anhang III gelisteten Anwendungen wie Personalauswahl und Kreditwürdigkeitsprüfung auf den 2. Dezember 2027 verschoben und für KI in Produkten, die unter EU-Sicherheitsvorschriften fallen (Anhang I), auf den 2. August 2028. Die übrigen Termine bleiben weitgehend bestehen. Die Leitlinien der Kommission dazu, welche Systeme als hochriskant gelten, liegen noch als Entwurf vor; die endgültige Fassung wird bis Ende 2026 erwartet.
Wann wird ein Betreiber nach dem EU AI Act zum Anbieter?
Artikel 25 nennt drei Fälle. Sie versehen ein bereits in Verkehr gebrachtes Hochrisiko-KI-System mit Ihrem Namen oder Ihrer Handelsmarke. Sie nehmen daran eine wesentliche Veränderung vor, sodass es ein Hochrisiko-System bleibt. Oder Sie ändern die Zweckbestimmung eines KI-Systems, auch eines mit allgemeinem Verwendungszweck, sodass es zum Hochrisiko-System wird. Dann tragen Sie die Pflichten des Anbieters. Der ursprüngliche Anbieter muss Sie unterstützen. Seit dem Omnibus umfasst das ausdrücklich technische Dokumentation, bekannte Einschränkungen und Zugang für Tests, es sei denn, er hat festgelegt, dass das System nicht zu einem Hochrisiko-System gemacht werden darf.
Ist KI-Kompetenz nach dem EU AI Act noch verpflichtend?
Ja, in abgeschwächter Form. Seit Inkrafttreten des Digital-Omnibus im Juli 2026 verlangt Artikel 4 von Anbietern und Betreibern, Maßnahmen zu ergreifen, um die KI-Kompetenz ihres Personals und anderer Personen zu fördern, die in ihrem Auftrag KI betreiben. Ein ausreichendes Maß müssen sie nicht mehr sicherstellen, und für einzelne Personen muss kein bestimmtes Niveau garantiert werden. Die Kommission und die Mitgliedstaaten müssen dabei unterstützen, insbesondere kleinere Unternehmen. Rollengerechte Schulungen mit Nachweis bleiben ein sinnvoller Weg, um zu belegen, was Sie getan haben.
Welche neuen Verbote gelten nach dem EU AI Act ab Dezember 2026?
Ab dem 2. Dezember 2026 verbietet Artikel 5 auch KI, die realistische intime oder sexuelle Bilder, Videos oder Audioinhalte einer identifizierbaren Person ohne deren ausdrückliche Einwilligung erzeugt oder manipuliert, sowie KI, die Darstellungen sexuellen Kindesmissbrauchs erzeugt. Ein System darf nicht in Verkehr gebracht werden, wenn dies sein Zweck ist oder wenn es solches Material ohne angemessene Schutzvorkehrungen vorhersehbar erzeugen kann. Ein Betreiber verstößt nur dann gegen das Verbot, wenn er KI zu diesem Zweck verwendet.
Wie unterstützt Enzai bei der Compliance mit dem EU AI Act?
Wählen Sie ein KI-System aus Ihrem Inventar und bewerten Sie es anhand des EU AI Act. Wie Sie das System klassifizieren, bestimmt, welche Kontrollen erscheinen. Jede Kontrolle erhält einen Verantwortlichen, ein Fälligkeitsdatum und Nachweise, und jede Kontrolle wird freigegeben, bevor die Bewertung abgeschlossen ist. Risiken werden vor und nach der Behandlung bewertet. Wird das Framework aktualisiert, werden Sie informiert und entscheiden selbst, wann Sie umstellen. Ob Compliance besteht, beurteilen Ihre Prüfer und Aufsichtsbehörden. Enzai führt die Dokumentation.
Quellen · Stand: Okt. 2026
