Skip to main content

KI-Verordnung in Deutschland: Pflichten, Fristen und Aufsicht

Was die KI-Verordnung (EU AI Act) von Unternehmen in Deutschland verlangt: Risikostufen, Geltungstermine, Geldbußen und die zuständige Aufsichtsbehörde.

Anbieter, Betreiber, Einführer und Händler von KI-Systemen in der EU müssen die Verordnung (EU) 2024/1689 einhalten, in Deutschland KI-Verordnung genannt. Die meisten verbotenen Praktiken gelten seit dem 2. Februar 2025. Hochrisiko-Pflichten gelten ab dem 2. Dezember 2027 (Anhang III) und ab dem 2. August 2028 (Anhang I).

Die Verordnung erfasst KI-Systeme, die in der EU in Verkehr gebracht oder in Betrieb genommen werden. Artikel 2 nennt Ausnahmen. In Deutschland ist grundsätzlich die Bundesnetzagentur die Marktüberwachungsbehörde (§ 2 Absatz 1 KI-MIG). Geldbußen für verbotene Praktiken betragen bis zu 35 Mio. EUR oder 7 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist (Artikel 99 Absatz 3). Nächster Schritt: Ordnen Sie jedes KI-System einer Risikostufe zu.

Wichtige Termine

Inkrafttreten
1. August 2024
Verbotene Praktiken gelten (Artikel 5)
2. Februar 2025; Verbote bestimmter intimer und missbräuchlicher Inhalte: 2. Dezember 2026
Pflichten für KI-Modelle mit allgemeinem Verwendungszweck (Kapitel V)
2. August 2025; früher in Verkehr gebrachte Modelle: 2. August 2027
Transparenzpflichten (Artikel 50)
2. August 2026
Hochrisiko-Pflichten (Kapitel III Abschnitte 1 bis 3)
2. Dezember 2027 (Anhang III); 2. August 2028 (Anhang I)

Was für welches System gilt (unsere Gruppierung der Regeln der Verordnung)

  • Verbotene Praktiken (Artikel 5)

    Beispiele sind schädliche Manipulation, Social Scoring, das ungezielte Auslesen von Gesichtsbildern und die Ableitung von Emotionen am Arbeitsplatz und in Bildungseinrichtungen, außer aus medizinischen oder Sicherheitsgründen. Die meisten Verbote gelten seit dem 2. Februar 2025.

  • Hochrisiko-KI-Systeme (Artikel 6)

    Bereiche des Anhangs III wie Beschäftigung, Bildung, Kreditwürdigkeitsprüfung und Strafverfolgung. Außerdem Systeme, die Sicherheitsbauteil eines Produkts nach Rechtsvorschriften des Anhangs I sind oder selbst ein solches Produkt sind, das eine Konformitätsbewertung durch Dritte benötigt. Anbieter erfüllen die Artikel 9 bis 15 und Artikel 16; Betreiber erfüllen Artikel 26. Für Rechtsvorschriften des Anhangs I Abschnitt B gelten nur Artikel 6 Absatz 1, Artikel 60a und die Artikel 102 bis 112.

  • Transparenzpflichten (Artikel 50)

    Chatbots sagen den Menschen, dass sie mit KI interagieren, es sei denn, das ist offensichtlich. Anbieter kennzeichnen synthetische Inhalte maschinenlesbar, und Betreiber legen Deepfakes offen und informieren Personen, die Emotionserkennung oder biometrischer Kategorisierung ausgesetzt sind. Artikel 50 sieht Ausnahmen vor, zum Beispiel für Systeme, die gesetzlich zur Aufdeckung oder Verfolgung von Straftaten zugelassen sind.

  • KI-Modelle mit allgemeinem Verwendungszweck (Artikel 51 bis 55)

    Anbieter dokumentieren das Modell, führen eine Urheberrechtsstrategie ein und veröffentlichen eine Zusammenfassung der Trainingsinhalte. Anbieter freier und quelloffener Modelle sind von den Dokumentationspflichten ausgenommen, außer das Modell birgt ein systemisches Risiko (Artikel 53 Absatz 2). Modelle mit systemischem Risiko haben weitere Pflichten.

  • Alle übrigen KI-Systeme

    Über KI-Kompetenz (Artikel 4) und Transparenzpflichten, wo Artikel 50 gilt, hinaus stellt die Verordnung dafür keine besonderen Anforderungen. Verhaltenskodizes sind freiwillig (Artikel 95).

Drei vertiefende Leitfäden: Hochrisiko-Systeme, Checkliste und Anforderungen nach Rolle

Weitere Ressourcen: EU-KI-Verordnung und Risikoklassifizierung

Geldbußen: drei Stufen in Artikel 99

  • Bis zu 35 Mio. EUR oder 7 % des weltweiten Jahresumsatzes

    Je nachdem, welcher Betrag höher ist. Für verbotene Praktiken nach Artikel 5 (Artikel 99 Absatz 3).

  • Bis zu 15 Mio. EUR oder 3 % des weltweiten Jahresumsatzes

    Je nachdem, welcher Betrag höher ist. Für Verstöße gegen die Pflichten von Anbietern, Bevollmächtigten, Einführern, Händlern und Betreibern sowie gegen Artikel 50 (Artikel 99 Absatz 4). Die Kommission kann gegen Anbieter von KI-Modellen mit allgemeinem Verwendungszweck Geldbußen bis zu denselben Beträgen verhängen (Artikel 101).

  • Bis zu 7,5 Mio. EUR oder 1 % des weltweiten Jahresumsatzes

    Je nachdem, welcher Betrag höher ist. Für falsche, unvollständige oder irreführende Angaben gegenüber notifizierten Stellen oder Behörden (Artikel 99 Absatz 5).

In Deutschland regelt das KI-MIG die Bußgelder (§ 1).

Ausnahmen, ältere Systeme und Obergrenzen für Geldbußen

Die Verordnung gilt nicht für KI-Systeme, die ausschließlich für militärische Zwecke, Verteidigungszwecke oder Zwecke der nationalen Sicherheit verwendet werden (Artikel 2 Absatz 3). Sie gilt nicht für KI-Systeme, die eigens und allein für die wissenschaftliche Forschung und Entwicklung entwickelt und in Betrieb genommen werden (Artikel 2 Absatz 6), und nicht für Forschung, Tests und Entwicklung vor dem Inverkehrbringen oder der Inbetriebnahme, außer für Tests unter Realbedingungen (Artikel 2 Absatz 8). KI-Systeme unter freien und quelloffenen Lizenzen sind ausgenommen, außer wenn sie als Hochrisiko-KI-Systeme in Verkehr gebracht oder in Betrieb genommen werden oder unter Artikel 5 oder 50 fallen (Artikel 2 Absatz 12). Natürliche Personen, die ein System im Rahmen einer rein persönlichen und nicht beruflichen Tätigkeit verwenden, sind nicht als Betreiber gebunden (Artikel 2 Absatz 10). Für Hochrisiko-Systeme im Zusammenhang mit Produkten nach Rechtsvorschriften des Anhangs I Abschnitt B, etwa Kraftfahrzeugen, Luftfahrt, Eisenbahn, Schiffsausrüstung, land- und forstwirtschaftlichen Fahrzeugen und Maschinen, gelten nur Artikel 6 Absatz 1, Artikel 60a und die Artikel 102 bis 112. Die Artikel 57 bis 59 gelten nur, soweit diese Rechtsvorschriften die Anforderungen übernehmen (Artikel 2 Absatz 2).

Hochrisiko-Systeme, die vor dem Geltungstermin in Verkehr gebracht oder in Betrieb genommen wurden, erfasst die Verordnung erst nach erheblichen Konzeptionsänderungen. In jedem Fall treffen Anbieter und Betreiber von Hochrisiko-KI-Systemen, die bestimmungsgemäß von Behörden verwendet werden sollen, die erforderlichen Maßnahmen zur Einhaltung bis zum 2. August 2030 (Artikel 111 Absatz 2).

Bei KMU gilt für jede Geldbuße der niedrigere Prozentsatz oder Betrag als Obergrenze (Artikel 99 Absatz 6). Für kleine Midcap-Unternehmen (Artikel 3 Nummer 14b) gilt dieselbe Obergrenze für Geldbußen nach Artikel 99 Absätze 4 und 5 (Artikel 99 Absatz 6a). Die Stufe mit 15 Mio. EUR umfasst auch die Pflichten von Anbietern und Akteuren nach Artikel 25 Absätze 2 und 4 (Artikel 99 Absatz 4 Buchstabe da).

Scanara bereitet Nachweise aus Ihren Repositorien vor

Scanara liest Ihre verbundenen GitHub-Repositorien und führt regelbasierte Scans auf gängige KI- und Machine-Learning-Muster durch. Unübliche Codemuster kann es übersehen. Getrennt davon erzeugt es aus Vorlagen und Ihren Antworten in der Bewertung Dokumentationsentwürfe als Nachweise für Ihre Compliance-Arbeit. Die Einstufung entscheiden Sie.