Für wen gilt der EU AI Act? Die europäische KI-Verordnung (Verordnung (EU) 2024/1689) erfasst fast jedes Unternehmen, das KI-Systeme entwickelt, vertreibt oder beruflich nutzt. Branche und Unternehmensgröße spielen dafür keine Rolle. Entscheidend ist, welche Rolle Ihr Unternehmen gegenüber einem KI-System hat: Anbieter tragen die meisten Pflichten, Betreiber deutlich weniger.
Dieser Beitrag zeigt, wen Art. 2 KI-VO erfasst, wie Sie Ihre Rolle bestimmen, welche Ausnahmen es gibt und welche Fristen seit der Änderung durch den Digital-Omnibus im Juli 2026 gelten.
Das Wichtigste in Kürze
- Der AI Act gilt für Anbieter, Betreiber, Einführer, Händler, Produkthersteller und Bevollmächtigte. Auch Anbieter aus Drittländern sind erfasst, wenn ihre KI in der EU eingesetzt wird.
- Wer ein KI-System beruflich in eigener Verantwortung verwendet, etwa einen Chatbot, ist Betreiber.
- Für die Frage, ob ein Unternehmen betroffen ist, zählt die Größe nicht. Kleine und mittlere Unternehmen erhalten seit dem Digital-Omnibus aber Erleichterungen.
- Ausgenommen sind unter anderem rein private Nutzung, Forschung vor dem Inverkehrbringen, militärische Zwecke und viele Open-Source-Systeme.
- Die Anforderungen an Hochrisiko-KI gelten nach der Änderung ab dem 2. Dezember 2027 (Anhang III) bzw. ab dem 2. August 2028 (Anhang I).
Für wen gilt der EU AI Act? Die Akteure nach Art. 2
Art. 2 Abs. 1 KI-VO legt fest, für wen die Verordnung gilt. Erfasst sind:
- Anbieter, die KI-Systeme in der EU in Verkehr bringen oder in Betrieb nehmen oder KI-Modelle mit allgemeinem Verwendungszweck in Verkehr bringen, unabhängig davon, ob sie in der EU oder in einem Drittland niedergelassen sind
- Betreiber von KI-Systemen, die ihren Sitz in der EU haben oder sich in der EU befinden
- Anbieter und Betreiber aus Drittländern, wenn die Ausgabe des KI-Systems in der EU verwendet wird
- Einführer und Händler von KI-Systemen
- Produkthersteller, die KI-Systeme zusammen mit ihrem Produkt unter eigenem Namen oder eigener Marke in Verkehr bringen oder in Betrieb nehmen
- Bevollmächtigte von Anbietern, die nicht in der EU niedergelassen sind
- betroffene Personen, die sich in der EU befinden
Die Verordnung knüpft also an Tätigkeiten rund um ein KI-System an. Ein KI-System ist nach Art. 3 Nr. 1 KI-VO ein maschinengestütztes System, das mit unterschiedlichem Grad an Autonomie arbeitet und aus Eingaben Ausgaben wie Vorhersagen, Inhalte, Empfehlungen oder Entscheidungen ableitet. Viele Werkzeuge aus dem Büroalltag, etwa Chatbots, Übersetzungs- oder Transkriptionsdienste, erfüllen diese Merkmale.
Anbieter oder Betreiber: Welche Rolle hat Ihr Unternehmen?
Die Pflichten hängen an der Rolle. Art. 3 KI-VO definiert die Akteure so:
| Rolle | Definition (Art. 3 KI-VO) | Typisches Beispiel |
|---|---|---|
| Anbieter (Nr. 3) | entwickelt ein KI-System oder lässt es entwickeln und bringt es unter eigenem Namen oder eigener Marke in Verkehr oder nimmt es so in Betrieb, entgeltlich oder unentgeltlich | Softwarehaus mit eigener KI-Funktion, Unternehmen mit selbst entwickeltem KI-Assistenten für den Eigengebrauch |
| Betreiber (Nr. 4) | verwendet ein KI-System in eigener Verantwortung, außer im Rahmen einer persönlichen und nicht beruflichen Tätigkeit | Kanzlei mit KI-Übersetzungsdienst, Pflegedienst mit KI-gestützter Dokumentation |
| Einführer (Nr. 6) | in der EU niedergelassen, bringt ein KI-System mit Namen oder Marke eines Unternehmens aus einem Drittland in Verkehr | Vertriebspartner, der ein KI-Produkt eines US-Herstellers erstmals in der EU anbietet |
| Händler (Nr. 7) | stellt ein KI-System in der Lieferkette auf dem EU-Markt bereit, ohne Anbieter oder Einführer zu sein | IT-Systemhaus, das KI-Software weiterverkauft |
| Bevollmächtigter (Nr. 5) | in der EU ansässig, vom Anbieter schriftlich beauftragt, in dessen Namen Pflichten zu erfüllen | EU-Vertreter eines Anbieters aus einem Drittland |
Ein Unternehmen kann mehrere Rollen zugleich haben: Betreiber eines eingekauften Chatbots und Anbieter einer selbst entwickelten Anwendung. Deshalb lohnt sich die Einordnung pro System. Wie sich Anwendungen nach Architektur, Daten und Rolle ordnen lassen, zeigt unsere 8-Felder-Matrix für KI-Systeme.
Wann Betreiber zum Anbieter werden
Nach Art. 25 Abs. 1 KI-VO gelten Händler, Einführer, Betreiber oder sonstige Dritte als Anbieter eines Hochrisiko-KI-Systems, wenn sie
- ein bereits in Verkehr gebrachtes Hochrisiko-KI-System mit ihrem Namen oder ihrer Marke versehen,
- ein Hochrisiko-KI-System wesentlich verändern und es hochriskant bleibt oder
- die Zweckbestimmung eines KI-Systems, auch eines KI-Systems mit allgemeinem Verwendungszweck, so ändern, dass es zu einem Hochrisiko-KI-System wird.
Ein Beispiel: Anhang III nennt KI-Systeme, die Bewerbungen sichten oder filtern, als hochriskant. Wer einen allgemeinen KI-Assistenten gezielt für diese Aufgabe einrichtet, sollte deshalb prüfen, ob er damit selbst zum Anbieter wird.
Wer ist vom AI Act ausgenommen?
Art. 2 KI-VO nimmt einige Bereiche ausdrücklich aus:
- natürliche Personen, die KI ausschließlich im Rahmen einer persönlichen und nicht beruflichen Tätigkeit nutzen (Abs. 10)
- KI-Systeme, die ausschließlich für militärische Zwecke, Verteidigungszwecke oder Zwecke der nationalen Sicherheit eingesetzt werden (Abs. 3)
- KI-Systeme und -Modelle, die eigens für wissenschaftliche Forschung und Entwicklung entwickelt und in Betrieb genommen werden (Abs. 6)
- Forschungs-, Test- und Entwicklungstätigkeiten vor dem Inverkehrbringen oder der Inbetriebnahme; Tests unter Realbedingungen sind davon nicht ausgenommen (Abs. 8)
- KI-Systeme unter freien und quelloffenen Lizenzen, es sei denn, sie sind hochriskant oder fallen unter Art. 5 (verbotene Praktiken) oder Art. 50 (Transparenz) (Abs. 12)
Für Unternehmen ist vor allem die erste Ausnahme wichtig: Sobald KI für berufliche Aufgaben eingesetzt wird, greift sie nicht.
Gilt der AI Act auch für kleine Unternehmen?
Ja. Art. 2 KI-VO unterscheidet nicht nach Unternehmensgröße. Auch der Handwerksbetrieb, der ein KI-Tool für Angebote nutzt, ist in der Regel Betreiber. Die Pflicht zur KI-Kompetenz nach Art. 4 KI-VO gilt für alle Anbieter und Betreiber. Seit dem 27. Juli 2026 verlangt sie Maßnahmen, die die Entwicklung der KI-Kompetenz des Personals unterstützen.
Der Digital-Omnibus (Verordnung (EU) 2026/1744) hat Begriffe für KMU und kleine Midcap-Unternehmen in die KI-Verordnung aufgenommen und sieht für sie Erleichterungen vor. Dazu gehören:
- eine vereinfachte technische Dokumentation für Hochrisiko-KI-Systeme mit einem Formular der EU-Kommission
- ein vorrangiger Zugang zu KI-Reallaboren
- die Pflicht der Mitgliedstaaten, bei Sanktionen die Interessen und das wirtschaftliche Überleben dieser Unternehmen zu berücksichtigen
Seit wann gilt der EU AI Act? Fristen nach dem Omnibus
Die KI-Verordnung ist am 1. August 2024 in Kraft getreten. Ihre Pflichten gelten gestaffelt. Die Digital-Omnibus-Verordnung ist am 27. Juli 2026 in Kraft getreten und hat mehrere Termine verschoben:
| Ab | Was gilt |
|---|---|
| 2. Februar 2025 | Kapitel I und II: allgemeine Bestimmungen einschließlich KI-Kompetenz (Art. 4) und verbotene Praktiken (Art. 5) |
| 2. August 2025 | unter anderem Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck, Governance und Sanktionen |
| 27. Juli 2026 | geänderte Fassung von Art. 4 und weitere Änderungen durch den Digital-Omnibus |
| 2. August 2026 | allgemeiner Geltungsbeginn, unter anderem der Transparenzpflichten nach Art. 50 |
| 2. Dezember 2026 | neue Verbote für KI-Systeme, die intime oder sexuelle Darstellungen realer Personen ohne deren Zustimmung oder Missbrauchsdarstellungen von Kindern erzeugen; Kennzeichnung nach Art. 50 Abs. 2 für generative Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden |
| 2. Dezember 2027 | Anforderungen an Hochrisiko-KI nach Art. 6 Abs. 2 und Anhang III, zum Beispiel in Beschäftigung, Bildung und Biometrie |
| 2. August 2028 | Anforderungen an Hochrisiko-KI nach Art. 6 Abs. 1 und Anhang I, also KI in regulierten Produkten |
Was die Transparenzpflichten konkret für Chatbots und KI-generierte Inhalte bedeuten, erklärt unser Beitrag Transparenzpflichten für KI-Systeme.
So prüfen Sie in fünf Schritten, ob und wie Ihr Unternehmen betroffen ist
- KI-Inventar anlegen: Erfassen Sie alle KI-Systeme, die im Unternehmen genutzt, entwickelt oder vertrieben werden, auch kostenlose Tools und KI-Funktionen in bestehender Software.
- Rolle je System bestimmen: Sind Sie Anbieter, Betreiber, Einführer oder Händler?
- Rollenwechsel prüfen: Versehen Sie ein System mit Ihrem Namen, verändern Sie es wesentlich oder setzen Sie es für einen neuen Zweck ein (Art. 25)?
- Risiko einordnen: Handelt es sich um eine verbotene Praktik (Art. 5), um Hochrisiko-KI (Art. 6 mit Anhang I oder III), um ein System mit Transparenzpflichten (Art. 50) oder um ein System ohne besondere Anforderungen?
- Pflichten und Fristen zuordnen: Legen Sie Verantwortliche fest und planen Sie Maßnahmen zur KI-Kompetenz für alle Beschäftigten, die mit KI arbeiten.
Für die Prüfung einzelner Systeme eignet sich die AI Act & DSGVO Master-Checkliste für KI-Systeme bei ShapeMinds, unserem Schwesterunternehmen.
Häufige Fragen
Gilt der EU AI Act auch, wenn wir nur ChatGPT oder einen anderen Chatbot nutzen?
In der Regel ja. Wer ein KI-System beruflich in eigener Verantwortung verwendet, ist Betreiber. Dann gilt mindestens die Pflicht zur KI-Kompetenz nach Art. 4. Je nach Einsatz können Transparenzpflichten nach Art. 50 hinzukommen.
Gilt der AI Act für Unternehmen außerhalb der EU?
Ja, wenn sie KI-Systeme in der EU in Verkehr bringen oder in Betrieb nehmen oder wenn die Ausgabe ihres KI-Systems in der EU verwendet wird (Art. 2 Abs. 1 Buchst. a und c).
Sind Open-Source-KI-Systeme ausgenommen?
Grundsätzlich ja. Die Ausnahme gilt aber nicht, wenn das System hochriskant ist oder unter Art. 5 oder Art. 50 fällt.
Muss ein kleines Unternehmen den AI Act beachten?
Ja. Die Größe entscheidet nicht darüber, ob die Verordnung gilt. Seit dem Digital-Omnibus gibt es für KMU und kleine Midcap-Unternehmen aber Erleichterungen, etwa bei der technischen Dokumentation.
Quellen
- Verordnung (EU) 2024/1689 (KI-Verordnung), Amtsblatt der EU
- Verordnung (EU) 2026/1744 (Digital-Omnibus-Verordnung zur KI), Amtsblatt der EU
- AI Act Service Desk der EU-Kommission: Artikel 2
Stand: September 2026. Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung im Einzelfall.
Sie möchten wissen, welche Rolle Ihr Unternehmen bei den eingesetzten KI-Systemen hat und welche Pflichten daraus folgen? Vereinbaren Sie einen Termin – im Rahmen unserer KI-Beratung erstellen wir mit Ihnen das KI-Inventar und ordnen jedes System ein.
