AI Act Faktenblatt 2026

Die Verordnung (EU) 2024/1689 (AI Act) ist am 1. August 2024 in Kraft getreten.

Die KI-Kompetenzpflicht nach Art. 4 KI-VO gilt seit dem 2. Februar 2025 für alle Anbieter und Betreiber von KI-Systemen.

Die in Art. 5 KI-VO aufgelisteten verbotenen KI-Praktiken gelten seit dem 2. Februar 2025 EU-weit und unmittelbar.

Die Sanktionen nach Art. 99 KI-VO sind seit dem 2. August 2025 anwendbar.

Bei Verstoß gegen die in Art. 5 KI-VO genannten verbotenen KI-Praktiken drohen Bußgelder bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes – der jeweils höhere Betrag.

Bei Verstoß gegen Pflichten nach Art. 16, 22, 23, 24, 26 oder 50 KI-VO drohen Bußgelder bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes – der jeweils höhere Betrag.

Wer Behörden oder benannten Stellen falsche, unvollständige oder irreführende Informationen liefert, riskiert Bußgelder bis zu 7,5 Millionen Euro oder 1 Prozent des Jahresumsatzes – der jeweils höhere Betrag.

Für kleine und mittlere Unternehmen sowie Start-ups gilt nach Art. 99 Abs. 6 KI-VO der jeweils niedrigere der beiden Beträge – also entweder Festbetrag oder Prozentsatz, je nachdem welcher Wert kleiner ist. Dies unterscheidet die KI-VO von der DSGVO.

Anbieter nach Art. 3 Nr. 3 KI-VO ist, wer ein KI-System oder GPAI-Modell entwickelt oder entwickeln lässt und unter eigenem Namen oder Marke in Verkehr bringt – unabhängig davon, ob entgeltlich oder unentgeltlich.

Betreiber nach Art. 3 Nr. 4 KI-VO ist, wer ein KI-System unter eigener Autorität einsetzt – ausgenommen die rein persönliche, nicht-professionelle Nutzung. Die meisten KMU sind Betreiber.

Nach Art. 25 KI-VO wird ein Betreiber zum Anbieter, wenn er ein KI-System unter eigener Marke vertreibt, wesentliche Änderungen an einem Hochrisiko-System vornimmt oder die Zweckbestimmung eines KI-Systems so verändert, dass es zum Hochrisiko-System wird.

Betreiber müssen technische und organisatorische Maßnahmen ergreifen, damit Hochrisiko-KI-Systeme gemäß den beiliegenden Anweisungen verwendet werden.

Betreiber müssen die menschliche Aufsicht natürlichen Personen mit notwendiger Kompetenz, Schulung und Autorität übertragen. Die häufige Verwechslung mit Abs. 1 ist ein verbreiteter Fehler in Compliance-Vorlagen.

Betreiber müssen den Betrieb des Hochrisiko-Systems überwachen und schwere Vorfälle unverzüglich an Anbieter und Marktüberwachungsbehörde melden.

Betreiber müssen automatisch generierte Logs des Hochrisiko-KI-Systems mindestens sechs Monate aufbewahren, soweit diese Logs unter ihrer Kontrolle stehen.

Vor Inbetriebnahme eines Hochrisiko-Systems am Arbeitsplatz müssen Betreiber Beschäftigtenvertretungen und betroffene Beschäftigte informieren.

FRIA-Pflicht trifft nur öffentliche Stellen und private Anbieter öffentlicher Dienste sowie alle Betreiber von Hochrisiko-Systemen nach Annex III Nr. 5(b) und (c) — also Kreditwürdigkeitsprüfung und Risikobewertung in Lebens-/Krankenversicherung.