Die europäische Verordnung über künstliche Intelligenz regelt schrittweise KI-Systeme, einschließlich solcher, die bereits in Ihre alltäglichen Werkzeuge integriert sind (zum Beispiel Microsoft 365 Copilot). SYAGA hilft Ihnen, Ihre tatsächliche Nutzung zu erfassen, die für Sie geltenden Pflichten zu verstehen und einen Aktionsplan zu erstellen - ohne Fachjargon und ohne unbestätigte Zahlenversprechen.
Eine europäische Verordnung, die bereits gilt - oft ohne dass das Unternehmen es bemerkt hat
Die Verordnung (EU) 2024/1689 (Quelle: EUR-Lex) regelt die Governance von Systemen künstlicher Intelligenz innerhalb der Europäischen Union. Ihr Inkrafttreten erfolgt stufenweise, je nach Art der betroffenen Pflicht.
Funktionen künstlicher Intelligenz sind bereits in weit verbreitete Bürosoftware-Suiten integriert, wie zum Beispiel Microsoft 365 Copilot. Viele Organisationen nutzen sie, ohne diesen Bereich formal erfasst zu haben.
Zwischen Tools von Anbietern, internen Entwicklungen und automatisierten Agenten, die auf bestehenden Plattformen eingesetzt werden, ist der tatsächliche Umfang der genutzten KI-Systeme selten zentral dokumentiert.
Wie bei jeder neuen Regulierung ist es besser, den eigenen Anwendungsbereich frühzeitig zu klären, als eine Pflicht erst bei einer Kontrolle oder einer Anfrage eines Kunden, Versicherers oder Partners zu entdecken.
Eine Begleitung in 5 Schritten, gemeinsam mit Ihnen abgestimmt auf Ihren tatsächlichen Umfang an KI-Systemen
Verständnis des Kontexts, der bereits vorhandenen Tools sowie laufender oder geplanter KI-Projekte. Ziel: einen realistischen Analyseumfang festlegen, keine theoretische Liste.
Anbieter-Tools (einschließlich bereits in Ihren Bürosoftware-Suiten enthaltener KI-Funktionen), interne Entwicklungen, Automatisierungen und auf Ihren bestehenden Plattformen eingesetzte Agenten.
Für jedes identifizierte System bestimmen, inwieweit Sie im Sinne der Verordnung Anbieter oder Betreiber sind, und welche allgemeinen Pflichten sich daraus für Ihre Organisation ergeben.
Ein strukturierter, nach Risiko und Aufwand priorisierter Aktionsplan, ohne Versprechen eines rechtlichen Ergebnisses: sensible Punkte werden zur Prüfung durch spezialisierten Rechtsbeistand markiert.
Übergabe der Kartierungsunterlagen und des Aktionsplans, mit Zeit für einen Austausch zur Beantwortung der Fragen Ihrer Teams.
Konkrete Arbeitsdokumente, angepasst an Ihren tatsächlichen Umfang
Strukturiertes Verzeichnis der bei Abgrenzung und Kartierung identifizierten Nutzungen.
Ein verständlich formuliertes Dokument, das jedes identifizierte System mit den wichtigsten Pflichtenkategorien der Verordnung verknüpft.
Ein operativer Fahrplan für Ihre Organisation.
Der AI Act steht nicht für sich allein: er greift ineinander mit Texten, die Sie bereits kennen
Referenztext zur Governance von Systemen künstlicher Intelligenz innerhalb der Europäischen Union. Quelle: EUR-Lex.
Sobald ein KI-System personenbezogene Daten verarbeitet, bleiben die DSGVO-Pflichten (Verordnung (EU) 2016/679) neben den spezifischen Pflichten des AI Act anwendbar.
Die Kartierung der KI-Nutzung fügt sich natürlich in einen umfassenderen IT-Governance-Ansatz ein (Sicherheitsrichtlinie, Risikomanagement), insbesondere wenn Ihre Organisation bereits von NIS2 oder einem ISO-27001-Prozess betroffen ist.
Funktionen wie Copilot bringen KI in bereits täglich genutzte Tools. Ihre Nutzung fällt in den zu kartierenden Bereich, auch ohne "sichtbares" KI-Projekt.
Der Umfang einer AI-Act-Diagnose variiert je nach Anzahl und Art der genutzten KI-Systeme zu stark, um einen generischen Preis anzubieten. Wir erstellen ein Angebot nach der Abgrenzungsphase.
Umfang gemeinsam mit Ihnen ab der Abgrenzungsphase festgelegt
Was der europäische Text zur KI wirklich sagt, einfach erklärt. Jeder Punkt verweist auf seine offizielle Quelle (Europäische Kommission, EUR-Lex). Informationen erfasst am 17.07.2026.
Es handelt sich um eine europäische Verordnung (den "AI Act", Text 2024/1689), veröffentlicht am 12. Juli 2024 und bereits
"in Kraft". Sie legt gemeinsame Regeln für künstliche Intelligenz in der gesamten Europäischen
Union fest, unabhängig von Ihrer Branche.
offizielle Quelle →
Die Verordnung gilt stufenweise: Die Verbote sind seit dem 2. Februar 2025 in Kraft;
die Governance-Regeln und die Pflichten für KI-Systeme mit allgemeinem Verwendungszweck seit dem 2. August 2025; die
Mehrheit der übrigen Pflichten (darunter "Hochrisiko"-KI) tritt am 2. August 2026 in Kraft.
Zu beachten: Die Kommission hat am 19. November 2025 vorgeschlagen, einige dieser Fristen anzupassen, sodass
sich diese Daten noch leicht verschieben können.
offizielle Quelle →
Der Text ordnet KI-Anwendungen in 4 Kategorien ein: unannehmbares Risiko (verboten), hohes
Risiko (streng reglementiert), begrenztes Risiko (Informationspflicht) und minimales Risiko - die
überwiegende Mehrheit der heutigen Anwendungen (zum Beispiel ein Spamfilter oder ein Videospiel), die
von keinen neuen Regeln betroffen sind.
offizielle Quelle →
Bestimmte Anwendungen sind nun überall in Europa untersagt: Menschen durch KI manipulieren oder
täuschen, die Schwächen einer Person ausnutzen, Bürger wie bei einem "Sozial-Scoring" bewerten,
vorhersagen, dass eine Person aufgrund ihres Profils eine Straftat begehen wird, massenhaft
Fotos aus dem Web oder von Videoüberwachung sammeln, um Datenbanken zur Gesichtserkennung zu erstellen,
Emotionen am Arbeitsplatz oder in der Schule analysieren, oder Biometrie nutzen, um Herkunft,
Religion oder Orientierung abzuleiten.
offizielle Quelle →
Von der Kommission genannte Beispiele: ein Tool, das Lebensläufe filtert, das den Zugang zu einem
Kredit verwaltet, oder das als Sicherheitskomponente in einem Transportmittel dient. In diesem Fall
müssen Risiken bewertet und begrenzt, qualitativ hochwertige Daten verwendet, Aktivitätsprotokolle
geführt, das System dokumentiert, Nutzer klar informiert, eine menschliche Aufsicht vorgesehen und
ein gutes Niveau an Robustheit und Cybersicherheit gewährleistet werden.
offizielle Quelle →
Für verbotene Anwendungen: bis zu 35 Millionen Euro oder 7 % des weltweiten Umsatzes
(der jeweils höhere Betrag). Für sonstige Verstöße gegen die Verordnung: bis zu 15
Millionen oder 3 %. Für irreführende Angaben gegenüber den Behörden: bis zu 7,5 Millionen
oder 1 %. Für KMU und Start-ups gilt jeweils der NIEDRIGERE der beiden Beträge
(siehe sourciertes Detail weiter unten unter "Die Sanktionen des AI Act, klar erklärt").
offizielle Quelle →
Innerhalb der Europäischen Kommission wurde ein "Europäisches Büro für Künstliche Intelligenz" (über 125
Mitarbeiter) geschaffen, das eine kohärente Anwendung der Verordnung sicherstellt, unterstützt
von einem Ausschuss mit je einem Vertreter jedes Mitgliedstaats. Jedes Land muss zudem seine eigenen
nationalen Aufsichtsbehörden benennen.
offizielle Quelle →
Die Kommission bietet eine freiwillige Selbstverpflichtung an, den "AI Pact", um die Einhaltung der
Vorschriften vor den gesetzlichen Fristen vorzubereiten. Mehr als 230 Unternehmen (Großkonzerne und
KMU) haben ihn bereits unterzeichnet. Diese Selbstverpflichtungen sind rechtlich nicht bindend.
offizielle Quelle →
Anders als die DSGVO oder NIS2 legt der AI Act keine einfache Schwelle nach Mitarbeiterzahl oder Umsatz fest. Ausschlaggebend für die Pflichten sind Ihre Rolle (Anbieter oder Betreiber) und die Risikostufe des betroffenen KI-Systems. Informationen erfasst am 18.07.2026, offizielle Quellen: Europäische Kommission und EUR-Lex.
Der offizielle Text ist eindeutig: Die Verordnung gilt "to both public and private
actors inside and outside the EU, who place an AI system or general-purpose AI model
on the EU market, or put an AI system into service or use it in the EU". Konkret kann
ein Unternehmen außerhalb der EU betroffen sein, sobald die Ausgabe seines
KI-Systems zur Nutzung in der Union bestimmt ist.
offizielle Quelle →
Wer das KI-System entwickelt oder in Verkehr bringt. Von der Europäischen Kommission
genanntes Beispiel: "a developer of a CV-screening tool" (der Entwickler eines
Lebenslauf-Filtertools). Auch Anbieter von KI-Modellen mit allgemeinem Verwendungszweck sind betroffen.
offizielle Quelle →
Wer das System in seiner beruflichen Tätigkeit einsetzt. Von der Kommission genanntes
Beispiel: "a bank using this screening tool" (die Bank, die das Lebenslauf-Filtertool
nutzt). Eine rein private, nicht berufliche Nutzung ist von dieser
Definition ausgeschlossen.
offizielle Quelle →
offizielle Quelle (EUR-Lex) → · offizielle Quelle (FAQ Kommission) →
KMU und Start-ups bleiben im Anwendungsbereich der Verordnung, profitieren aber
von verhältnismäßigen Bußgeldern entsprechend ihrer Größe, von erleichterten
Pflichten zur technischen Dokumentation (Einigung "AI Omnibus") und von
"regulatorischen Sandkästen", um ihre KI-Projekte unter kontrollierten Bedingungen zu testen.
offizielle Quelle →
Die Verordnung ordnet alle Anwendungen in 4 Risikostufen ein (unannehmbar, hoch,
begrenzt, minimal). Diese Stufe, bestimmt durch die Art des Systems und seine Nutzung,
löst Pflichten aus (oder nicht), unabhängig von der Mitarbeiterzahl oder dem
Umsatz der einsetzenden Organisation.
offizielle Quelle →
Indikative Liste der großen Anwendungsfamilien, die als "hochriskant" gelten können, so wie sie von der Europäischen Kommission dargestellt werden:
Kein Juristenjargon: 8 konkrete Fragen, eine einfache Antwort, und die offizielle Quelle (Europäische Kommission, EUR-Lex) hinter jeder Antwort.
Klicken Sie auf eine Frage, um die Antwort und ihre Quelle zu sehen.
In der überwiegenden Mehrheit der Fälle nicht, jedenfalls nicht durch spezifische Pflichten. Einen handelsüblichen Chatbot oder Copiloten zu nutzen, ohne ihn zu integrieren oder in ein Produkt umzuwandeln, bleibt außerhalb des Kerns der Verordnung, solange es sich nicht um ein "hochriskantes" KI-System handelt. Sie bleiben jedoch "Betreiber" des Tools: Sie müssen es gemäß seiner Gebrauchsanweisung nutzen.
Das ist eine in der Verordnung vorgesehene Pflicht (Artikel 4, "KI-Kompetenz"), in Kraft seit dem 2. Februar 2025. Die Idee: Ihren Teams - denjenigen, die ein KI-System bereitstellen, nutzen oder davon betroffen sind - die notwendigen Kenntnisse zu vermitteln, um im Umgang mit diesen Werkzeugen fundierte Entscheidungen zu treffen. Die Kommission hat eine Sammlung von Praxisbeispielen ("living repository") veröffentlicht, um Unternehmen bei der Organisation zu unterstützen, ohne ein einheitliches Schulungsformat vorzuschreiben.
Ja, ab dem 2. August 2026 (Artikel 50 der Verordnung). Eine Person, die mit einem Chatbot kommuniziert, muss erkennen können, dass sie mit einer Maschine spricht. Von KI erzeugte Inhalte (Text, Bild, Video) müssen als solche erkennbar bleiben, und "Deepfakes" oder von KI erstellte Texte zu Themen von öffentlichem Interesse müssen klar und sichtbar gekennzeichnet werden. Ein freiwilliger Verhaltenskodex zur Kennzeichnung solcher Inhalte wurde am 10. Juni 2026 veröffentlicht, um Unternehmen anzuleiten.
Nur wenn Sie Anbieter eines "hochriskanten" KI-Systems sind: In diesem Fall ist die Eintragung in eine öffentliche europäische Datenbank verpflichtend. Öffentliche Behörden, die ein hochriskantes System einsetzen, müssen sich ebenfalls eintragen, außer bei kritischen Infrastrukturen. Die alltägliche Nutzung handelsüblicher KI-Tools ist von diesem Register nicht betroffen.
Nein. Die Verordnung legt 3 Sanktionsstufen fest (bis zu 35 Mio. € oder 7 % des weltweiten Umsatzes für verbotene Praktiken; 15 Mio. € oder 3 % für sonstige Verstöße; 7,5 Mio. € oder 1 % für Falschangaben gegenüber den Behörden), wobei jeweils der höhere der beiden Beträge herangezogen wird. Für KMU und Start-ups kehrt sich die Regel um: Es gilt der NIEDRIGERE Betrag jeder Stufe, nie der höhere. Vollständiges, sourciertes Detail im Abschnitt "Die Sanktionen des AI Act, klar erklärt".
Ja. Die Kommission hat einen "AI Act Service Desk" eingerichtet, der eine FAQ, ein Tool "Compliance Checker" zur Bewertung Ihrer eigenen Pflichten, einen "AI Act Explorer" zum artikelweisen Navigieren im Text und ein Formular bietet, um direkt einem Expertenteam eine Frage zu stellen.
Ja, das sind typische Anwendungen, die von der Verordnung als "hochriskant" eingestuft werden. Als Betreiber müssen Sie insbesondere eine menschliche Aufsicht durch "ausreichend qualifiziertes und befugtes" Personal sicherstellen, Ihre Mitarbeiter VOR dem Einsatz eines solchen Systems an ihrem Arbeitsplatz informieren und jede Person informieren, sobald eine KI an einer sie betreffenden Entscheidung beteiligt ist (zum Beispiel bei der Filterung einer Bewerbung). Die Verordnung schreibt für diese Anwendungen zudem Transparenz, technische Dokumentation und Protokollführung vor.
Ja, genau das ist die Rolle der "regulatorischen Sandkästen" (regulatory sandboxes) und der von der Verordnung vorgesehenen Tests unter Realbedingungen, konzipiert für KMU und Start-ups. Eine Änderung vom 7. Mai 2026 hat den Zugang zu diesem Instrument noch erweitert: Mehr Innovatoren können nun darauf zugreifen, auch über einen Sandkasten auf europäischer Ebene, und die Berechtigung wurde auf "small mid-cap" (kleine Unternehmen mittlerer Größe) ausgeweitet.
Die europäische KI-Verordnung gilt nicht auf einen Schlag: Sie tritt stufenweise zwischen 2024 und 2028 in Kraft. Hier die wichtigsten Daten, was bereits gilt und was noch kommt, jeweils mit offizieller Quelle. Informationen erfasst am 18.07.2026.
Der europäische Text zur künstlichen Intelligenz wird offiziell zu einer geltenden
Verordnung in der gesamten Europäischen Union. Das ist der Ausgangspunkt: Alle folgenden
Fristen werden ab diesem Datum berechnet.
offizielle Quelle →
Manipulation von Personen, Sozial-Scoring, massenhafte Gesichtserkennung... die
gefährlichsten Praktiken sind nun überall in Europa verboten (Detail im Abschnitt
"Regulatorische Beobachtung" oben). Auch die Regeln zur KI-Sensibilisierung in
Organisationen gelten seit diesem Datum.
offizielle Quelle →
Die im Text vorgesehenen Aufsichtsbehörden (darunter das Europäische Büro für KI) sind
offiziell eingerichtet, und Anbieter großer generativer KI-Modelle (Typ
konversationeller Assistent) müssen Transparenz- und technische
Dokumentationspflichten erfüllen.
offizielle Quelle →
Das ist das Datum, das der ursprüngliche Text für die allgemeine Anwendung festlegte (24 Monate
nach Inkrafttreten): Pflicht zur Information der Nutzer gegenüber einer KI, sowie die
Mehrheit der eigenständig genutzten "hochriskanten" KI-Systeme. Ein Teil des Hochrisikobereichs wurde
jedoch zwischenzeitlich verschoben (siehe die beiden folgenden Etappen).
offizielle Quelle →
Am 19. November 2025 schlug die Europäische Kommission vor, bestimmte Fristen der
Verordnung zu vereinfachen und zu verschieben, bis die nötigen technischen Normen
fertig sind. Das Europäische Parlament und der Rat erzielten am
7. Mai 2026 eine politische Einigung zu diesem Text. Konkrete Folge: Zwei Fristen zum
"Hochrisiko"-Bereich wurden verschoben (die beiden nächsten Etappen unten). Zum Zeitpunkt
dieser Seite ist diese politische Einigung noch nicht in endgültiger Form im Amtsblatt der EU
veröffentlicht.
offizielle Quelle →
Neue Frist für hochriskante KI-Systeme, die insbesondere in Biometrie,
kritischen Infrastrukturen, Bildung, Beschäftigung oder Migration/Asyl/Grenzkontrolle eingesetzt
werden. Diese Pflichten, die ursprünglich ab August 2026 gelten sollten, werden auf dieses
Datum verschoben, um Zeit für die Fertigstellung der technischen Normen zu lassen.
offizielle Quelle →
Für KI-Systeme, die Sicherheitskomponenten in bereits anderweitig regulierten Produkten
sind (Aufzüge, Spielzeug, Medizinprodukte...), war die Frist im ursprünglichen Text auf August
2027 festgelegt (36 Monate nach Inkrafttreten). Sie wird nun auf dieses Datum
verschoben.
offizielle Quelle →
Die Verbote und Governance-Regeln gelten bereits seit 2025; die allgemeine Frist der Verordnung fällt in den kommenden Tagen (2. August 2026); und zwei Familien hochriskanter Systeme (sensible Branchen, regulierte Produkte) profitieren von einer zusätzlichen Frist bis Ende 2027 bzw. Mitte 2028, bis die technischen Normen fertig sind.
Keine Panik, keine Schockzahlen: Hier steht genau, was der europäische Text zu den Bußgeldern sagt, wer sie verhängt, und seit wann sie tatsächlich gelten. Jeder Betrag steht wortwörtlich in der Verordnung (EU) 2024/1689, Artikel 99 bis 101.
Es gilt der höhere der beiden Beträge. Sie betrifft ausschließlich die 8 durch Artikel 5 verbotenen Anwendungen: Manipulation oder Täuschung durch KI, Ausnutzung der Schwächen einer Person, Sozial-Scoring, Vorhersage eines Straftatrisikos allein aufgrund von Profiling, massenhafte Erfassung von Gesichtern zur Erstellung einer Gesichtserkennungsdatenbank, Emotionserkennung am Arbeitsplatz oder in der Schule, biometrische Kategorisierung geschützter Merkmale, und biometrische Echtzeit-Identifizierung durch Strafverfolgungsbehörden im öffentlichen Raum.
Verordnung (EU) 2024/1689, Artikel 99§3 →Diese Stufe betrifft am direktesten Unternehmen, die ein KI-Tool nutzen: Pflichten der Anbieter (Artikel 16), der Bevollmächtigten (22), der Einführer (23), der Händler (24), der Betreiber, also der Unternehmen, die ein hochriskantes KI-System nutzen (Artikel 26), der notifizierten Stellen, und der Transparenzpflichten gegenüber Nutzern (Artikel 50 - zum Beispiel die Kennzeichnung eines Chatbots als KI).
Verordnung (EU) 2024/1689, Artikel 99§4 →Gilt, wenn ein Unternehmen einer notifizierten Stelle oder einer zuständigen nationalen Behörde auf deren offizielle Anfrage falsche, unvollständige oder irreführende Informationen liefert.
Verordnung (EU) 2024/1689, Artikel 99§5 →Ausdrückliche Regel des Textes: Für KMU und Start-ups ist jedes Bußgeld auf den niedrigeren der beiden Werte begrenzt (Prozentsatz oder feste Summe), nie auf den höheren. Konkret ersetzt ein Bußgeld auf Basis eines Prozentsatzes Ihres tatsächlichen Umsatzes fast immer die in Millionen Euro gedachte Obergrenze für multinationale Konzerne.
Verordnung (EU) 2024/1689, Artikel 99§6 →Der Text verpflichtet die Behörde, vor der Festlegung eines Betrags Folgendes zu berücksichtigen: die Schwere und Dauer des Verstoßes, die Zahl der betroffenen Personen, die Größe und den Umsatz des Unternehmens, ob vorsätzlich oder fahrlässig gehandelt wurde, den Grad der Zusammenarbeit mit der Behörde, sowie die bereits ergriffenen Maßnahmen zur Behebung des Problems.
Verordnung (EU) 2024/1689, Artikel 99§7 →Jeder Mitgliedstaat muss mindestens eine nationale "Marktüberwachungsbehörde" benennen, die für die Durchsetzung der Verordnung auf seinem Hoheitsgebiet zuständig ist. Auf europäischer Ebene koordiniert das Europäische Büro für KI das Ganze. Bis heute erlaubt keine konsultierte offizielle Quelle, den Namen der für Frankreich endgültig benannten Behörde zu bestätigen - wir erfinden ihn daher nicht.
Verordnung (EU) 2024/1689, Artikel 70 →Die Verbote aus Artikel 5 (und ihre Bußgelder bis zu 35 Mio. €) gelten seit dem 2. Februar 2025. Das gesamte Sanktionsregime (Kapitel XII, Artikel 99) ist seit dem 2. August 2025 in Anwendung. Es handelt sich also nicht um eine ferne Frist: Der Bußgeldrahmen ist bereits heute aktiv.
Verordnung (EU) 2024/1689, Artikel 113 →Anbieter großer KI-Modelle mit allgemeinem Verwendungszweck (die "Grundlagen" hinter Werkzeugen wie KI-Assistenten) unterliegen einem eigenen Regime: Es ist die Europäische Kommission selbst, die ihnen ein Bußgeld von bis zu 15 Mio. € oder 3 % ihres weltweiten Umsatzes auferlegen kann. Dieses Regime richtet sich an den Herausgeber des Modells, nicht an das Unternehmen, das es im Alltag nutzt.
Verordnung (EU) 2024/1689, Artikel 101 →Die Verordnung sieht vor, dass jeder Mitgliedstaat der Kommission jährlich einen Bericht über die tatsächlich verhängten Bußgelder übermittelt. Bis heute wurde in den konsultierten offiziellen Quellen keine erste Ausgabe dieses Berichts identifiziert - wir zitieren daher keinen konkreten Fall und keinen tatsächlich verhängten Betrag, solange dieser nicht offiziell veröffentlicht ist.
Verordnung (EU) 2024/1689, Artikel 99§11 →In Europa hat jedes Land seine eigenen Behörden. Hier finden Sie für die 30 Länder des Europäischen Wirtschaftsraums die Datenschutzbehörde (Ihr Ansprechpartner für die DSGVO) und die nationale Cybersicherheitsbehörde. Jeder Name verweist auf die offizielle Website.
Quellen: offizielle Websites der Behörden und Mitgliederliste des EDSA (edpb.europa.eu), abgerufen am 18. Juli 2026. Bestätigte Datenschutzbehörden: 30/30. Bestätigte Cybersicherheitsbehörden: 28/30. Die Hinweise „zu bestätigen" kennzeichnen eine bislang nicht gefestigte offizielle Quelle.
Schreiben Sie uns für ein erstes Gespräch und ein individuelles Angebot.
Kostenlos: Ihr Score + Ihre Lücken. Der ausführliche Bericht und die Attestierung: 499 EUR netto, nur wenn Sie es entscheiden.
contact@syaga.eu