EU-KI-Verordnung — Häufig gestellte Fragen

Die EU-KI-Verordnung (Verordnung (EU) 2024/1689) ist der weltweit erste umfassende Rechtsrahmen für künstliche Intelligenz. Sie klassifiziert KI-Systeme nach Risikograd und legt Governance-, Dokumentations- und Aufsichtsanforderungen für Unternehmen fest, die in der Europäischen Union tätig sind. Sie ist am 1. August 2024 in Kraft getreten und gilt vollständig ab dem 2. August 2026.

Die EU-KI-Verordnung gilt für jedes Unternehmen, das KI-Systeme entwickelt, einsetzt oder verwendet, die Nutzer in der EU betreffen — unabhängig davon, wo das Unternehmen seinen Hauptsitz hat. Das gilt für Startups, KMU und Großunternehmen in Europa und weltweit.

Bußgelder reichen von 7,5 Millionen Euro (oder 1,5 % des weltweiten Jahresumsatzes) für geringfügige Verstöße bis zu 35 Millionen Euro (oder 7 % des weltweiten Jahresumsatzes) für die schwerwiegendsten Verstöße, einschließlich der Nutzung verbotener KI-Praktiken.

Die EU-KI-Verordnung klassifiziert KI-Systeme in vier Kategorien: (1) Verboten — vollständig untersagt, wie Social-Scoring-Systeme; (2) Hohes Risiko — unterliegt strengen Pflichten einschließlich technischer Dokumentation und Konformitätsbewertung; (3) Begrenztes Risiko — nur Transparenzpflichten; (4) Minimales Risiko — keine verbindlichen Anforderungen.

KI-Systeme mit hohem Risiko umfassen solche, die bei Recruiting- und HR-Entscheidungen, Kreditbewertung und Finanzdienstleistungen, medizinischer Diagnose, biometrischer Identifikation und in kritischer Infrastruktur eingesetzt werden. Die vollständige Liste ist in Artikel 6 und Anhang III der EU-KI-Verordnung definiert.

Die vollständige Verordnung gilt ab dem 2. August 2026. Verbote für KI mit unannehmbarem Risiko (Artikel 5) gelten seit dem 2. Februar 2025. KI-Systeme, die bereits vor dem 2. August 2026 auf dem Markt waren, müssen bis zum 2. August 2027 compliant sein.

Ja. Wenn Ihr Unternehmen eine KI-gestützte Funktion oder ein Produkt für EU-Nutzer bereitstellt, sind Sie gemäß der EU-KI-Verordnung der Betreiber — unabhängig davon, ob das zugrunde liegende Modell von einem Drittanbieter stammt. Ihre Compliance-Pflichten basieren auf der Risikokategorie Ihres Anwendungsfalls, nicht auf der eingesetzten Technologie.

Verumt liefert prüfungsbereite Compliance in 12 Wochen. Traditionelle Anwaltskanzleien benötigen typischerweise 6 bis 18 Monate für vergleichbare Arbeit. Der Zeitrahmen hängt von der Anzahl der KI-Systeme und ihrer Risikoklassifizierung ab.

Verumts Compliance-Pakete beginnen bei €2.500 für ein einzelnes KI-System (Starter-Plan) und €5.900 für bis zu fünf KI-Systeme (Professional-Plan). Traditionelle Anwaltskanzleien berechnen €50.000 oder mehr für vergleichbaren Umfang.

Ja. Artikel 55 der EU-KI-Verordnung enthält spezifische Bestimmungen für KMU und Startups, einschließlich vorrangigem Zugang zu regulatorischen Sandboxes und reduzierten Konformitätsbewertungsgebühren. Die grundlegenden Compliance-Pflichten gelten jedoch weiterhin — die Erleichterungen reduzieren Kosten und Aufwand, nicht die eigentlichen Anforderungen.

Die Konformitätsbewertung ist der Prozess, durch den ein Unternehmen verifiziert, dass ein KI-System mit hohem Risiko die Anforderungen der EU-KI-Verordnung erfüllt. Für die meisten KI-Systeme mit hohem Risiko handelt es sich um eine Selbstbewertung, die in der technischen Dokumentation festgehalten wird. Einige Kategorien — wie Echtzeit-Biometrie-Identifikation — erfordern eine Drittpartei-Bewertung durch eine Benannte Stelle.

Die DSGVO regelt, wie personenbezogene Daten erhoben, gespeichert und verarbeitet werden. Die EU-KI-Verordnung regelt, wie KI-Systeme konzipiert, getestet, dokumentiert und beaufsichtigt werden. Beide Regelwerke überschneiden sich erheblich für KI-Systeme, die personenbezogene Daten verarbeiten, und Compliance-Programme sollten beide gleichzeitig adressieren.