EU AI Act erklärt: Was er ist und wie er die KI-Tools betrifft, die du nutzt

Der EU AI Act ist das weltweit erste umfassende Gesetz zur künstlichen Intelligenz, offiziell die Verordnung (EU) 2024/1689, und er teilt jedes KI-System in vier Risikostufen ein, mit Bußgeldern von bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes. Er trat am 1. August 2024 in Kraft, und am 2. August 2026 begannen das KI-Büro der Europäischen Kommission und die nationalen Behörden mit der Durchsetzung. Der Großteil des Gesetzes, einschließlich der Transparenzregeln für Chatbots und KI-generierte Inhalte, gilt inzwischen.

Der Rollout verlief nicht reibungslos. Ein Vereinfachungspaket namens Digital Omnibus verschob die härtesten Hochrisiko-Fristen um ein bis zwei Jahre nach hinten und wurde am 27. Juli 2026 als Verordnung (EU) 2026/1744 Gesetz, sechs Tage bevor die Durchsetzung begann. Die Regeln betreffen die alltäglichen KI-Tools, die du bereits nutzt, von ChatGPT über Gemini bis Claude. Dieser Leitfaden erklärt, was der EU AI Act vorschreibt, wann welcher Teil greift, was der Omnibus geändert hat, und wie das Gesetz dich betrifft, egal ob du KI entwickelst, sie beruflich einsetzt oder einfach nur mit ihr chattest.

Die wichtigsten Punkte

• Der EU AI Act ist das erste große, umfassende KI-Gesetz der Welt, Verordnung (EU) 2024/1689.
• Er nutzt vier Risikostufen, von inakzeptabel (verboten) über hoch und begrenzt bis minimal.
• Die Höchststrafen liegen bei 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes, bei den meisten anderen Verstößen sind es 15 Millionen Euro oder 3 %.
• Die Durchsetzung begann am 2. August 2026, aber die Pflichten für Hochrisiko-Systeme wurden durch den Digital Omnibus, jetzt Verordnung (EU) 2026/1744, auf Dezember 2027 und August 2028 verschoben.
• Generative KI-Tools wie ChatGPT und Gemini fallen unter die Transparenzregeln, und KI-generierte Inhalte wie Deepfakes müssen gekennzeichnet werden.

Was ist der EU AI Act?

Der EU AI Act ist das weltweit erste umfassende Gesetz zur künstlichen Intelligenz, offiziell die Verordnung (EU) 2024/1689. Er teilt KI-Systeme in vier Risikostufen ein, inakzeptabel, hoch, begrenzt und minimal, und legt dann Regeln, Transparenzpflichten und Bußgelder je nach Risiko des jeweiligen Systems fest. Er gilt für alle, die KI in der Europäischen Union anbieten, auch für Unternehmen mit Sitz außerhalb der EU.

Das Ziel ist das, was Brüssel „vertrauenswürdige KI“ nennt. Statt die Technologie selbst zu regulieren, regelt das Gesetz, wie KI eingesetzt wird, und welchen Schaden sie anrichten könnte. Ein Spamfilter und ein Algorithmus zur Personalauswahl sind beide KI, aber nur einer kann still darüber entscheiden, ob du einen Job bekommst, deshalb gelten für sie sehr unterschiedliche Regeln.

Das Gesetz wurde 2021 vorgeschlagen, 2024 von den EU-Institutionen vereinbart und im Juli 2024 im Amtsblatt veröffentlicht. Da es sich um eine Verordnung und nicht um eine Richtlinie handelt, gilt es direkt in allen 27 Mitgliedstaaten, ohne dass jedes Land eine eigene Fassung verabschieden muss.

Die vier Risikostufen erklärt

Das gesamte Gesetz basiert auf einem risikobasierten Ansatz. Je höher der mögliche Schaden, desto strenger die Regeln. Die meiste KI, die du täglich nutzt, liegt in der untersten Stufe und unterliegt fast keinen Pflichten.

Die überwiegende Mehrheit der heute auf dem Markt verfügbaren KI-Anwendungen fällt in die Kategorie minimales Risiko und bringt keine neuen Pflichten mit sich. Das eigentliche Gewicht des Gesetzes liegt auf Hochrisiko-Systemen, die vor Markteintritt Konformitätsbewertungen bestehen müssen.

Zeitplan des EU AI Act: die wichtigsten Termine

Der EU AI Act tritt nicht auf einen Schlag in Kraft. Er wird über mehrere Jahre hinweg stufenweise eingeführt, und der Digital Omnibus von 2026 hat einige der späteren Fristen neu geordnet.

Wenn du also die kurze Antwort darauf willst, wann der EU AI Act in Kraft tritt: Das wichtigste Datum ist der 2. August 2026, und dieses Datum liegt inzwischen in der Vergangenheit. Die strengsten Hochrisiko-Regeln kommen später, 2027 und 2028, im Rahmen der Digital-Omnibus-Änderungen, die am 27. Juli 2026 in Kraft getreten sind.

Neueste Updates (August 2026): Der Digital Omnibus ist jetzt Gesetz

Die größte Änderung am Gesetz seit seiner Verabschiedung ist der Digital Omnibus zu KI, und er ist abgeschlossen. Die Unterhändler erzielten am 7. Mai 2026 eine vorläufige Einigung, das Europäische Parlament nahm den Text am 16. Juni 2026 mit 423 zu 57 Stimmen an, und der Rat gab am 29. Juni 2026 sein endgültiges grünes Licht.

Der Digital Omnibus ist Gesetz. Er wurde am 8. Juli 2026 als Verordnung (EU) 2026/1744 unterzeichnet, am 24. Juli 2026 im Amtsblatt veröffentlicht und trat am 27. Juli 2026 in Kraft, sechs Tage bevor die Kommission mit der Durchsetzung des AI Act begann. Den Text findest du bei EUR-Lex.

So sieht die Änderung durch das Paket aus. Hochrisiko-Systeme nach Anhang III, die Recruiting, Bonitätsprüfung, Strafverfolgung, Bildung und Grenzkontrolle abdecken, wurden von August 2026 auf den 2. Dezember 2027 verschoben. Hochrisiko-KI in regulierten Produkten nach Anhang I wurde auf den 2. August 2028 verschoben. Die Frist für Mitgliedstaaten, mindestens eine KI-Regulierungs-Sandbox zu betreiben, verschob sich um ein Jahr auf den 2. August 2027.

Der Omnibus bringt nicht nur Erleichterungen. Er fügt der Verbotsliste zwei neue Verbote hinzu, für KI, die nicht einvernehmliche intime Bilder erzeugt, sogenannte „Nudifier“-Apps, sowie für Missbrauchsdarstellungen von Kindern. Beide gelten ab dem 2. Dezember 2026, eine direkte Reaktion auf Fälle wie Grok, das genutzt wurde, um Frauen auf X ohne ihre Zustimmung zu entkleiden. Dasselbe Datum ist die Frist, ab der bereits am Markt befindliche generative Systeme ihre Ausgaben kennzeichnen müssen, eine Übergangsfrist, die der Omnibus von sechs auf drei Monate gekürzt hat.

Was der Omnibus nicht angetastet hat, ist genauso wichtig. Die Transparenzregeln nach Artikel 50, die im Februar 2025 in Kraft getretenen Verbote und die GPAI-Pflichten ab August 2025 behielten alle ihre ursprünglichen Termine. Diese Transparenzpflichten sind der Teil, der normale Nutzer betrifft, und sie gelten bereits.

Wie der EU AI Act die KI-Tools betrifft, die du nutzt

Für die meisten Leser ist die praktische Frage einfach. Was bedeutet das für ChatGPT, Gemini, Claude und die anderen Tools, die du jeden Tag öffnest? Die Antwort führt über eine Kategorie, die das Gesetz KI mit allgemeinem Verwendungszweck nennt, kurz GPAI.

Transparenz für Chatbots und generative KI

Modelle wie GPT, Gemini und Claude gelten als KI mit allgemeinem Verwendungszweck. Sie sind nicht automatisch „hochriskant“, aber ihre Hersteller unterliegen Transparenzpflichten, darunter technische Dokumentation und eine Zusammenfassung der Trainingsdaten, dazu die Einhaltung des EU-Urheberrechts. Wenn du mit einer KI chattest, muss der Anbieter klarmachen, dass du mit einer Maschine sprichst, nicht mit einem Menschen.

Deepfakes und KI-generierte Inhalte müssen gekennzeichnet werden

Nach den Transparenzregeln für begrenztes Risiko müssen KI-generierte Bilder, Audio und Video als künstlich gekennzeichnet werden. Das betrifft Deepfakes und synthetische Medien, die mit den Tools erstellt wurden, über die wir oft berichten. Wenn du solche Inhalte selbst erkennen willst, zeigt dir unser Leitfaden wie du KI-Deepfakes erkennst die verräterischen Anzeichen.

Die strengsten Regeln treffen die größten Modelle

Die leistungsstärksten Modelle unterliegen einer zusätzlichen Ebene. Ein GPAI-Modell wird als systemisches Risiko eingestuft, wenn die für das Training verwendete Rechenleistung 10^25 Gleitkommaoperationen (FLOPs) übersteigt, ein Schwellenwert, den nur eine Handvoll Frontier-Modelle erreicht. Diese Anbieter müssen Adversarial Testing durchführen, systemische Risiken bewerten und mindern, und schwerwiegende Vorfälle an das neue KI-Büro der EU melden. In den USA gibt es dazu noch kein Äquivalent, auch wenn ein im Juli 2026 eingebrachter überparteilicher Gesetzentwurf Bundesbehörden eine Abschaltbefugnis geben würde. Wir berichten über den US AI Kill Switch Act und was dazu geführt hat.

Um guten Willen zu zeigen, unterzeichneten die großen KI-Labore 2025 einen freiwilligen GPAI Code of Practice. OpenAI, Google, Anthropic, Microsoft, Amazon und IBM unterschrieben, während Meta ablehnte und xAI nur das Kapitel zu Sicherheit unterzeichnete. Wer unterschreibt, erhält eine „Konformitätsvermutung“, was später leichtere Prüfungen bedeutet. Wenn du abwägen willst, wie sehr du diesen Tools vertrauen kannst, ordnet unser Beitrag zu der Zukunft der KI, ihren Chancen und Risiken die Regulierung ein.

Für wen gilt der EU AI Act?

Das Gesetz reicht weiter, als viele erwarten. Es gilt basierend auf dem EU-Markt, nicht danach, wo dein Unternehmen seinen Sitz hat, also fällt auch eine US-amerikanische oder asiatische Firma, die KI für europäische Nutzer anbietet, eindeutig in den Anwendungsbereich.

Du bist wahrscheinlich betroffen, wenn eines der folgenden Kriterien auf dich zutrifft.

• Du bist Anbieter und entwickelst ein KI-System oder bringst es auf den EU-Markt.
• Du bist Betreiber und nutzt ein KI-System in einem beruflichen Kontext innerhalb der EU.
• Du bist außerhalb der EU ansässig, aber die Ausgaben deiner KI werden in der EU genutzt.
• Du importierst oder vertreibst KI-Systeme auf dem europäischen Markt.

Normale Nutzer, die mit KI chatten, müssen nichts „einhalten“. Die Pflichten liegen bei den Unternehmen, die diese Systeme bauen und einsetzen. Trotzdem ist das Gesetz der Grund, warum du immer öfter Hinweise wie „dieser Inhalt wurde KI-generiert“ und klarere Kennzeichnungen siehst. Einen umfassenderen Blick auf deinen eigenen Schutz bietet unser Leitfaden zu wie du KI nutzt, ohne deine Privatsphäre aufzugeben.

Strafen bei Verstößen gegen den EU AI Act

Die Bußgelder sollen selbst die größten Unternehmen spürbar treffen. Sie richten sich nach der Schwere des Verstoßes und werden entweder als fester Betrag oder als Prozentsatz des weltweiten Jahresumsatzes berechnet, je nachdem, was höher ausfällt.

Die Durchsetzung läuft über die nationalen zuständigen Behörden jedes Mitgliedstaats, koordiniert vom KI-Büro der Europäischen Kommission für KI mit allgemeinem Verwendungszweck, und sie begann am 2. August 2026. Die Kommission bestätigte das Datum in ihrer Ankündigung zur Durchsetzung und wies darauf hin, dass die Transparenzpflichten auch für bestehende Systeme gelten, nicht nur für solche, die nach diesem Datum eingeführt wurden. Kleinere Unternehmen und Start-ups unterliegen anteilig gedeckelten Bußgeldern, ein Zugeständnis an die Sorge, dass strenge Regeln die europäische Innovation ausbremsen könnten.

Wie du den EU AI Act einhältst

Compliance beginnt damit, zu wissen, in welche Stufe deine KI fällt. Wenn du nur Tools mit minimalem Risiko nutzt, musst du kaum mehr tun als grundlegende KI-Kompetenz bei deinen Mitarbeitern sicherzustellen. Von dort an steigt der Aufwand deutlich.

Ein praktischer erster Schritt sieht so aus: Erfasse jedes KI-System, das du entwickelst oder nutzt, ordne jedes einer Risikostufe zu, und kläre, ob du als Anbieter oder als Betreiber auftrittst. Hochrisiko-Systeme brauchen dann Risikomanagement, hochwertige Daten, technische Dokumentation, menschliche Aufsicht und vor dem Start eine Konformitätsbewertung. Bei generativer KI liegt die Priorität auf Transparenz, also der Kennzeichnung von KI-Ausgaben und der Dokumentation der Trainingsdaten.

Fazit

Der EU AI Act ist bisher der ambitionierteste Versuch, künstlicher Intelligenz Leitplanken zu geben, und seit dem 2. August 2026 ist er von der Theorie zur Durchsetzung übergegangen. Die vier Risikostufen, dieses Durchsetzungsdatum und Bußgelder bis zu 35 Millionen Euro oder 7 % des Umsatzes sind die Fakten, die man sich merken sollte, während die Verzögerungen durch den Digital Omnibus Entwicklern von Hochrisiko-Systemen bis 2027 und 2028 Luft verschaffen.

Wenn du KI-Tools nutzt, statt sie zu entwickeln, ist das Fazit beruhigend. Die Last liegt bei den Unternehmen, und das sichtbare Ergebnis für dich sind mehr Transparenz, klarere Kennzeichnungen und stärkere Grenzen für die schädlichsten Anwendungen. Das nächste Datum, das du im Blick behalten solltest, ist der 2. Dezember 2026, wenn die neuen Verbote greifen und ältere generative Systeme ihre Übergangsfrist bei der Kennzeichnung verlieren.

FAQ