Artikel 50 der KI-Verordnung gilt seit dem 2. August 2026, Artikel 4 seit dem 2. Februar 2025. Die Marktüberwachung nach Kapitel IX greift seit dem 2. August 2026. Zwei Pflichten gelten bereits, während alle über die reden, die noch nicht gelten.
Die Verordnung (EU) 2026/1744, die Digital-Omnibus-Verordnung zur KI, wurde am 24. Juli 2026 im Amtsblatt der Europäischen Union veröffentlicht und ist am 27. Juli 2026 in Kraft getreten. Sie hat den Geltungsbeginn für eigenständige Hochrisiko-KI-Systeme nach Anhang III auf den 2. Dezember 2027 verschoben, für Hochrisiko-KI in Produkten nach Anhang I auf den 2. August 2028. Artikel 5, Artikel 4, Artikel 50 und Kapitel IX hat sie nicht verschoben. Artikel 50 gilt seit dem 2. August 2026, Artikel 4 seit dem 2. Februar 2025. Wer in der Geschäftsleitung die Verschiebung als allgemeinen Aufschub versteht, plant an Pflichten vorbei, die bereits gelten.
Den Einwand „Wir arbeiten daran“ gibt es nicht. Das ist durchsetzbares Marktzugangsrecht, und das Risiko liegt auf Ebene der Geschäftsleitung.
Die DSGVO regelt den Umgang mit Daten. Der EU AI Act (KI-Verordnung, Verordnung (EU) 2024/1689) regelt, ob Ihre KI-Systeme auf dem EU-Markt überhaupt zulässig sind. Das ist ein grundlegend anderes Risikoprofil.
Jede Sanktionsstufe wird für sich angewandt, und Geldbußen bemessen sich am weltweiten Umsatz, nicht am EU-Umsatz. Doch Geldbußen sind nur ein Teil des Risikos. Ist KI in zentrale Produktlinien eingebettet, bedeutet eine Aussetzung operativen Stillstand.
35 Mio. €
oder 7 % des weltweiten Jahresumsatzes
Nur verbotene Praktiken im KI-Bereich nach Art. 5
15 Mio. €
oder 3 % des weltweiten Jahresumsatzes
Die meisten Pflichten der Akteure nach Art. 99 Abs. 4, darunter die Hochrisiko-Pflichten, Art. 50 und die Pflichten der Betreiber nach Art. 26
7,5 Mio. €
oder 1 % des weltweiten Jahresumsatzes
Falsche oder irreführende Auskünfte an Behörden nach Art. 99 Abs. 5
Ob ein System als hochriskant eingestuft wird, entscheidet seine Zweckbestimmung, nicht die Sprache des Marketings. Eine Fehleinstufung ist ein Governance-Versagen.
Der EU AI Act gilt, wenn
Ein Unternehmen mit Sitz außerhalb der EU fällt in den Anwendungsbereich, wenn die Ausgabe, die sein System hervorbringt, in der Union verwendet wird. Das ist kein reines EU-Binnenthema.
Der EU AI Act begründet weltweite Compliance-Pflichten, mit direkten Folgen für den Marktzugang überall dort, wo die Ausgabe eines KI-Systems in der Union verwendet wird.
Ist ein System als hochriskant eingestuft, verlangt die Compliance eine strukturelle Umsetzung in zehn verpflichtenden Bereichen.
Ein dokumentiertes Rahmenwerk über den gesamten Lebenszyklus, mit dem KI-Risiken ermittelt, bewertet und gemindert werden, muss vor dem Inverkehrbringen funktionsfähig sein. Ohne dieses Rahmenwerk fehlt jeder anderen Compliance-Aussage die Beweisgrundlage.
Trainings-, Validierungs- und Testdatensätze müssen dokumentierte Qualitätskriterien erfüllen. Verzerrungen (Bias) müssen erkannt und gemindert werden. Aufsichtsbehörden und Großkunden werden diesen Nachweis verlangen. Fehlt er, ist das ein strukturelles Governance-Versagen.
Eine vollständige technische Dokumentation zu Systemdesign, Architektur, Trainingsmethodik und Leistung muss geführt werden und den zuständigen Behörden auf Anfrage zur Verfügung stehen. Unvollständige Dokumentation ist ein Grund für die Rücknahme vom Markt.
Der Betrieb des Systems muss automatisch protokolliert werden, damit sich KI-Entscheidungen nachträglich rekonstruieren lassen. Lässt sich in einer behördlichen Untersuchung eine Entscheidung nicht rekonstruieren, ist schon das ein Beleg für Nichtkonformität.
Betreiber müssen ausreichende Informationen erhalten, um Leistungsfähigkeit, Grenzen und angemessene Verwendung des Systems zu verstehen. Transparenzverstöße sind nach Artikel 99 Absatz 4 mit Geldbußen von bis zu 15 Mio. € oder 3 % des weltweiten Jahresumsatzes bedroht.
Operative Mechanismen für menschliches Eingreifen, Übersteuern und Überwachen müssen in das System eingebaut sein. Die Geschäftsleitung kann diese Pflicht nicht allein an die Entwicklungsteams delegieren. Gefragt ist Verantwortung auf Leitungsebene.
Messbare Leistungsschwellen, Ergebnisse von Resilienztests und Schutzmaßnahmen für die Cybersicherheit müssen dokumentiert und validiert sein. Leistungsversprechen ohne Belege lassen sich bei einer behördlichen Prüfung rechtlich nicht verteidigen.
Ein strukturiertes Qualitätsmanagement, das alle Compliance-Pflichten abdeckt, muss eingeführt und aufrechterhalten werden. Es ist der operative Rahmen, in dem alle übrigen Anforderungen greifen.
Vor dem Inverkehrbringen muss das System entweder eine interne Selbstbewertung (Anhang VI) oder eine Bewertung durch eine akkreditierte notifizierte Stelle (Anhang VII) durchlaufen. Keine Konformitätsbewertung. Keine CE-Kennzeichnung. Kein rechtmäßiger Zugang zum EU-Markt.
Hochrisiko-KI-Systeme nach Anhang III müssen vor dem Inverkehrbringen in der EU-Datenbank registriert werden (Artikel 49 Absatz 1), ebenso ein System nach Anhang III, bei dem der Anbieter nach Artikel 6 Absatz 3 zu dem Schluss gelangt ist, dass es nicht hochriskant ist (Artikel 49 Absatz 2). Systeme für kritische Infrastruktur nach Anhang III Nummer 2 werden stattdessen auf nationaler Ebene registriert. Die meisten Einträge sind öffentlich einsehbar; Einträge aus Strafverfolgung, Migration, Asyl und Grenzkontrolle liegen nach Artikel 49 Absatz 4 in einem sicheren nicht öffentlichen Teil der Datenbank. Eine unterlassene Registrierung ist ein eigenständiger Anlass für Durchsetzungsmaßnahmen.
Das ist keine Richtlinienarbeit. Das ist Governance-Infrastruktur.
Zum vollständigen Umsetzungssystem für die Konformitätsbewertung nach dem EU AI ActVor dem Inverkehrbringen müssen Hochrisiko-KI-Systeme eine Konformitätsbewertung durchlaufen.
Der Anbieter prüft selbst, behält aber die volle Haftung. Kann 3 bis 6 Monate dauern.
In bestimmten Fällen vorgeschrieben, unter Beteiligung akkreditierter notifizierter Stellen. Kann sich wegen Terminengpässen bei den notifizierten Stellen auf 9 bis 10 Monate ausdehnen.
Compliance wird vom Rechtsthema zum Wettbewerbsfilter. Nicht konforme Lieferanten verlieren still und leise Aufträge, noch bevor ihnen Geldbußen drohen.
Wir gehen durch, was Sie einsetzen, welche Pflichten dafür gelten und was noch offen ist. Unverbindlich, und die Ergebnisse behalten Sie in jedem Fall.
Analyse buchen