Die KI-Verordnung, Verordnung (EU) 2024/1689 in der Fassung der Verordnung (EU) 2026/1744: gelesen im Wortlaut des Amtsblatts, nicht in der Zusammenfassung eines Dritten.
Die Verordnung fragt nicht, wie Ihre KI funktioniert, sondern was sie mit dem Menschen macht, der ihr gegenübersteht.
Sie müssen nichts selbst entwickeln. Wer ein Tool kauft und es bei seinen Kunden einsetzt, fällt bereits in den Anwendungsbereich.
Ein Unternehmen mit Sitz außerhalb der EU fällt in den Anwendungsbereich, wenn die Ausgabe seines Systems in der Union verwendet wird.
Sie bringen ein System unter Ihrem eigenen Namen oder Ihrer Marke in Verkehr. Das gilt auch für eines, das Sie für sich entwickeln ließen, und für eines, das Sie bei einem Hersteller lizenziert und mit Ihrem Namen versehen haben.
Sie nutzen das System eines anderen für Ihre eigene Arbeit. Das ist die Rolle der meisten Organisationen, und sie halten sich deshalb für ausgenommen.
Verschiedene Systeme, verschiedene Rollen. Kaum jemand hat schriftlich festgehalten, welche Rolle wo gilt.
Kaufen Sie einen Chatbot ein und versehen ihn mit Ihrem eigenen Namen, sind Sie nicht mehr Betreiber. Artikel 3 Nummer 3 macht Sie zum Anbieter, mit den Pflichten eines Anbieters.
Gilt bereits
Acht Praktiken sind schlichtweg verboten. Zwei weitere ab dem 2. Dezember 2026.
Maßnahmen ergreifen, die die Entwicklung der KI-Kompetenz Ihres Personals unterstützen.
Menschen darauf hinweisen, dass sie es mit KI oder mit KI-erzeugten Inhalten zu tun haben.
Marktüberwachung. Der Durchsetzungsapparat selbst.
Noch nicht
2. Dezember 2027
2. August 2028
35 Mio. €
oder 7 % des weltweiten Jahresumsatzes
Art. 5, verbotene Praktiken. Art. 99 Abs. 3.
15 Mio. €
oder 3 % des weltweiten Jahresumsatzes
Art. 50, Transparenz. Art. 99 Abs. 4.
National festgelegt
jeder Mitgliedstaat entscheidet
Art. 4, KI-Kompetenz. Art. 99 Abs. 1.
Es gilt der höhere der beiden Beträge, mit zwei Ausnahmen. Für KMU und Start-ups kehrt Artikel 99 Absatz 6 die Regel um: Maßgeblich ist der niedrigere Betrag. Für kleine Midcap-Unternehmen gilt dasselbe nach Artikel 99 Absatz 6a, allerdings nur für die Stufen von 15 Mio. € und 7,5 Mio. €, nicht für die Stufe nach Artikel 5. Die Stufe nach Artikel 5 gilt allein für Artikel 5 und wird nie mit einer anderen kombiniert.
Die meisten Organisationen unterstehen ihrer nationalen Marktüberwachungsbehörde: demselben Regime, das unsichere Produkte aus den Regalen holt und am 2. August 2026 auf KI-Systeme ausgeweitet wurde.
Haben Sie Ihr System auf Ihrem eigenen KI-Modell mit allgemeinem Verwendungszweck aufgebaut oder ist es in eine sehr große Online-Plattform oder Online-Suchmaschine eingebunden, ist stattdessen das Büro für Künstliche Intelligenz in Brüssel für Sie zuständig. Das ist eine enge Kategorie, und die meisten Unternehmen haben sich diese Frage noch nie gestellt.
Die Standardbefugnisse des Produktsicherheitsrechts, die jeder Mitgliedstaat seiner Marktüberwachungsbehörde einräumen muss. Seit dem 2. August 2026 erstrecken sie sich auf KI-Systeme.
Die Befugnis zu unangekündigten Inspektionen vor Ort steht in der Marktüberwachungsverordnung.
Alle Räumlichkeiten, Grundstücke oder Fahrzeuge, die Sie für Ihr Geschäft nutzen, um Nichtkonformität festzustellen und Beweismittel zu sichern.
Und es überprüfen und per Reverse Engineering analysieren, um Beweismaterial zu sichern. Verordnung (EU) 2019/1020, Artikel 14 Absatz 4 Buchstabe j.
Ist das Risiko ernst genug, kann die Behörde anordnen, dass Inhalte von Ihrer Website entfernt werden oder Ihren Nutzern ein Warnhinweis angezeigt wird. Kommen Sie dem nicht nach, kann sie Ihren Hosting-Dienstleister anweisen, den Zugang dazu einzuschränken.
Die Behörden brauchen keine Beschwerde. Ermittlungen können sie aus eigener Initiative einleiten.
Und gehören Sie zu den Organisationen, für die stattdessen das Büro für Künstliche Intelligenz zuständig ist, kann es Ihre Räume und Unterlagen versiegeln, Aussagen Ihrer Beschäftigten zu Protokoll nehmen, Ihnen die vollen Kosten seiner eigenen Ermittlung auferlegen und Zwangsgelder verhängen, die jeden Tag anfallen, bis Sie die Vorgaben erfüllen.
Es gibt keine Vorwarnung und keine Erinnerung. Und ist das Büro für Künstliche Intelligenz zuständig, beginnt bei einem andauernden Verstoß (etwa einem Chatbot ohne KI-Hinweis, der weiter ohne Hinweis läuft) die fünfjährige Verjährungsfrist erst an dem Tag, an dem Sie den Verstoß beenden.
Am 27. Juli 2026 vollständig ersetzt. Die Pflicht wurde leichter, die Beweisführung schwieriger: Am Ende einer Bemühenspflicht steht kein Zertifikat, nur der Nachweis.
Zur SeiteVier Pflichten, verteilt auf diejenigen, die ein System bauen, und diejenigen, die eines nutzen. Genau bei dieser Aufteilung liegen die meisten Organisationen falsch.
Zur SeiteEine Compliance-Analyse. Wir gehen durch, was Sie einsetzen, welche Pflichten dafür gelten und was noch offen ist. Unverbindlich, und die Ergebnisse behalten Sie in jedem Fall.
Analyse buchen