Säulen-Leitfaden · Zuletzt aktualisiert am 29. Juli 2026
Die KI-Verordnung – einfach erklärt
Die KI-Verordnung ist das weltweit erste umfassende Gesetz zu künstlicher Intelligenz – ein risikobasiertes Regelwerk, das jedes KI-System als verboten, hochriskant, risikobegrenzt oder minimalriskant einstuft und jeder Kategorie entsprechende Pflichten zuordnet. Im Juli 2026 wurde der Digital Omnibus (Verordnung (EU) 2026/1744) formal verabschiedet und trat am 27. Juli 2026 in Kraft, wobei mehrere Umsetzungsfristen angepasst wurden. Hier erfahren Sie, wie der aktuelle Stand ist und welche nächsten Schritte anstehen.
Vertiefende Informationen
Wählen Sie Ihren nächsten Schritt
Diese Seite ist die Übersicht. Jede Karte unten ist ein vollständiger Leitfaden zu einer Frage – wählen Sie die aus, die Ihrem Bedarf entspricht.
Was gilt ab dem 2. August 2026
Transparenzpflichten nach Artikel 50, die Verschiebungen durch den Digital Omnibus und was weiterhin zum ursprünglichen Stichtag in Kraft tritt.
Leitfaden öffnenBin ich hochriskant? Anhang III & Anhang I
Interaktiver Entscheidungsbaum, Kategorieliste und die zehn Anbieterpflichten für Hochrisiko-KI-Systeme.
Leitfaden öffnenCompliance-Checkliste
Eine nummerierte, sofort umsetzbare Checkliste zu Governance, Inventarisierung, Transparenz, Hochrisiko-KI und Lieferantenangelegenheiten.
Leitfaden öffnenGlossar – 28 Schlüsselbegriffe
Einfach erklärte Definitionen von Anbieter, Nutzer, KI-Modell mit allgemeinem Verwendungszweck, Anhang III, Artikel 50, Konformitätsbewertung und mehr.
Leitfaden öffnenAktuelle Nachrichten zur KI-Verordnung
Entscheidungen zum Digital Omnibus, Leitlinien des KI-Büros, Benennungen nationaler Aufsichtsbehörden und Durchsetzungsmaßnahmen – mit Datum und Quellenangabe.
Leitfaden öffnenPersonalisierte Bereitschaftsbewertung
Beantworten Sie einige Fragen und erhalten Sie einen Bericht mit individuellen nächsten Schritten und Fristen.
Leitfaden öffnen- Verschobene Pflichten für Hochrisiko-KI-Systeme: Hochrisiko-KI-Systeme nach Anhang III gelten nun ab 2. Dezember 2027; nach Anhang I ab 2. August 2028.
- Es gilt die Transparenz gemäß Artikel 50: durch das Omnibus-Gesetz unverändert und in Kraft seit 2. August 2026.
- Neues Verbot von KI-generierten intimen Bildern ohne Einwilligung und von CSAM (Artikel 5), wirksam ab 2. Dezember 2026.
- Abschwächung der KI-Kompetenzanforderungen: Anbieter/Nutzer müssen die Entwicklung von Kompetenzen "unterstützen", statt ein bestimmtes Kompetenzniveau zu garantieren.
- In Kraft seit 27. Juli 2026: Verordnung (EU) 2026/1744, unterzeichnet am 8. Juli 2026 und veröffentlicht im Amtsblatt am 24. Juli 2026.
Aktualisierte Zeitachse der Pflichten
1. August 2024
In KraftDie KI-Verordnung tritt in Kraft.
2. Februar 2025
In KraftVerbotene KI-Praktiken werden untersagt. KI-Kompetenzpflichten treten in Kraft (durch den Digital Omnibus auf eine Pflicht zur „Unterstützung“ der Kompetenzentwicklung abgeschwächt).
2. August 2025
In KraftVerpflichtungen für KI-Modelle mit allgemeinem Verwendungszweck (GPAI) gelten. Das KI-Büro wird operativ.
2. Aug. 2026
In KraftTransparenzpflichten nach Artikel 50 gelten – Offenlegungspflicht für Chatbots, Kennzeichnung von Deepfakes und KI-generierten Inhalten, Hinweise zur Emotionserkennung.
Gilt ab dem 2. August 2026 – vom Omnibus-Gesetz unberührt.
2. Dezember 2026
NeuDie Übergangsfrist für Wasserzeichen nach Artikel 50(2) für bestehende Systeme endet. Neues Verbot nach Artikel 5 für „Nudifier“-Tools und KI-generierte Kinderpornografie (CSAM) tritt in Kraft.
2. August 2027
NeuMitgliedstaaten müssen KI-Regulierungssandboxes gemäß Artikel 57 eingerichtet haben.
2. Dez. 2027
Durch den Digital Omnibus verschobenVerpflichtungen für Hochrisiko-KI-Systeme nach Anhang III gelten – Personalwesen, Kreditbewertung, Bildung, Strafverfolgung, Biometrie, kritische Dienstleistungen.
Vom 2. August 2026 durch den Digital Omnibus auf KI verschoben.
2. Aug. 2028
Durch den Digital Omnibus verschobenVerpflichtungen für Hochrisiko-KI-Systeme nach Anhang I gelten – KI in regulierten Produkten (Medizinprodukte, Maschinen, Fahrzeuge, Spielzeug).
Vom 2. August 2027 verschoben.
Die vier Risikokategorien
Verbotene KI (Art. 5)
Soziale Bewertungssysteme, manipulative oder ausbeuterische Systeme, Echtzeit-Biometrie-Identifikation in öffentlichen Räumen (enge Ausnahmen) sowie – neu durch den Digital Omnibus – KI-generierte nicht-einvernehmliche intime Bilder und CSAM.
Hochrisiko-KI (Anhang III / Anhang I)
KI, die in den Bereichen Beschäftigung, Kreditvergabe, Bildung, kritische Infrastruktur, Biometrie, Strafverfolgung, Migration und Justiz eingesetzt wird oder in regulierte Produkte eingebettet ist. Umfangreiche Dokumentations-, Aufsichts- und Überwachungspflichten.
Begrenztes Risiko (Art. 50)
Chatbots, Deepfakes, generierte Inhalte, Emotionserkennung, biometrische Kategorisierung – vorbehaltlich der seit dem 2. August 2026 geltenden Transparenz- und Kennzeichnungspflichten.
Minimales Risiko
Die Mehrheit der KI-Systeme (Spam-Filter, Spiel-KI, Empfehlungssysteme). Keine spezifischen Pflichten nach der KI-VO, außer horizontalen Regelungen.
Was dies für Ihr Unternehmen bedeutet
Die KI-VO behandelt nicht jedes Unternehmen gleich. Ihre Pflichten hängen davon ab, wie Sie KI einsetzen, nicht nur davon, ob Sie sie einsetzen. Hier erfahren Sie, wie die gängigsten Profile betroffen sind.
Sie nutzen KI-Tools von Anbietern
Die meisten KMU, Unternehmen aus den Bereichen professionelle Dienstleistungen, Marketing, Personalwesen und Finanzen.
Auswirkungen: Sie sind ein „Einsatzbetreiber“. Ihre Pflichten sind geringer als die der Anbieter und richten sich danach, was Sie tatsächlich betreiben: Sie müssen Ihre Mitarbeiter stets dabei unterstützen, angemessene KI-Kompetenzen aufzubauen (Art. 4); bei Einsatz eines risikoreichen Systems sind menschliche Aufsicht und Überwachung erforderlich (Art. 26); sowie Offenlegungspflichten gemäß Artikel 50, wenn Sie einen Chatbot betreiben, KI-generierte Inhalte veröffentlichen oder Emotionserkennung oder biometrische Kategorisierung einsetzen.
Erster Schritt: Erfassen Sie Ihre KI-Tools, klassifizieren Sie jedes nach Risikostufe und dokumentieren Sie, wer intern verantwortlich ist.
Sie entwickeln oder optimieren KI-Produkte
Software-Anbieter, Agenturen und interne Produktteams, die KI-Funktionen ausliefern.
Auswirkungen: Sie könnten als 'Anbieter' gelten. Falls Ihr System unter Anhang III oder Anhang I fällt, tragen Sie die volle Verantwortung: technische Dokumentation (Anhang IV), Risiko- und Qualitätsmanagement, Konformitätsbewertung, CE-Kennzeichnung sowie Marktüberwachung nach dem Inverkehrbringen.
Erster Schritt: Legen Sie jetzt die Risikostufe fest, damit Ihre Roadmap für 2026–2028 nicht nur Funktionen, sondern auch Dokumentations- und Testarbeiten umfasst.
Sie sind in einem Hochrisikobereich tätig
HR-Tech, Kreditscoring, EdTech, MedTech, Biometrie, kritische Infrastruktur, Legal- & Migrationstech.
Auswirkungen: Die Pflichten aus Anhang III gelten ab dem 2. Dezember 2027, die aus Anhang I ab dem 2. August 2028 (aufgeschoben durch den Digital Omnibus). Erwarten Sie Grundrechte-Folgenabschätzungen, Pflichten zur Daten-Governance und die verpflichtende Registrierung in der EU-Datenbank.
Erster Schritt: Nutzen Sie die zusätzliche Zeit. Käufer fordern bereits KI-Verordnung-Konformität in Ausschreibungen – Vorbereitung ist ein Verkaufsvorteil, nicht nur eine rechtliche Pflicht.
Sie nutzen KI-Modelle mit allgemeinem Verwendungszweck (GPT, Gemini, Claude…)
Fast alle: interne Copilots, RAG-Anwendungen, benutzerdefinierte GPTs, Agenten.
Auswirkungen: Die GPAI-Verpflichtungen gelten bereits (seit dem 2. August 2025) für die Modellanbieter – einschließlich ihrer Urheberrechtsrichtlinie und der Zusammenfassung der Trainingsdaten; diese Pflichten verbleiben beim Modellanbieter. Als Betreiber sind Sie gemäß Artikel 4 zur Kompetenzförderung verpflichtet und gemäß Artikel 50 zur Offenlegung oder Kennzeichnung, wenn Sie KI-Interaktionen oder synthetische Inhalte Menschen präsentieren.
Erster Schritt: Legen Sie eine interne Richtlinie für den KI-Einsatz fest, protokollieren Sie Anwendungsfälle mit hoher Auswirkung und stellen Sie sicher, dass kundenorientierte Ausgaben als KI-generiert offengelegt werden.
Von Verwirrung zu Handlung
Vier Schritte zur KI-Verordnung-Bereitschaft
Die meisten Unternehmen benötigen kein Compliance-Heer – sie brauchen Klarheit, eine Bestandsaufnahme und einen Plan. Hier ist der kürzeste Weg, der tatsächlich funktioniert.
Ermitteln Sie Ihren KI-Fußabdruck
Erfassen Sie jedes KI-System, das Sie entwickeln, kaufen oder einbetten. Berücksichtigen Sie auch Schatten-IT-Tools, die Ihre Teams bereits nutzen.
Klassifizieren Sie die Risikostufe
Ordnen Sie jedes System den Kategorien verboten, hochriskant, risikobegrenzt oder risikoarm zu. Dies entscheidet über alles Weitere.
Schließen Sie die Lücken
Ergänzen Sie fehlende Dokumentation, menschliche Aufsicht, Offenlegungen und Vertragsklauseln mit Lieferanten – proportional zur Risikostufe.
Überwachen & nachweisen
Marktüberwachung nach dem Inverkehrbringen, Protokollierung von Vorfällen und regelmäßige Neubewertung. Compliance ist eine Gewohnheit, kein Projekt.
Häufige Mythen – aufgeklärt
"Der Digital Omnibus bedeutet, dass wir warten können."
Artikel 50 gilt seit dem 2. August 2026. Die verbotenen Praktiken, Artikel 4 und die Pflichten gemäß dem GPAI sind bereits in Kraft.
"Nur Big Tech ist betroffen."
Ein 20-köpfiges HR-Tech-Unternehmen, das KI-basiertes CV-Screening einsetzt, fällt eindeutig unter Anhang III.
"Wir nutzen nur ChatGPT – da gibt es nichts zu tun."
Als Verantwortlicher für die Einführung von KI sind Sie zu Transparenz verpflichtet, wenn Mitarbeiter mit KI oder synthetischen Inhalten in Berührung kommen, und Sie sollten Ihre Mitarbeiter dabei unterstützen, angemessene KI-Kompetenzen aufzubauen.
"Compliance erstickt Innovation."
KI-Verordnung-Bereitschaft wird schnell zu einer Beschaffungsanforderung – sie öffnet Türen, statt sie zu schließen.
Sie sind sich unsicher, wo Sie stehen?
Nehmen Sie unsere kostenlose Bereitschaftsbewertung vor – Sie erhalten einen personalisierten Bericht mit klaren nächsten Schritten.
Kostenlose Bewertung starten