EU AI Act: Der EU AI Act (Verordnung (EU) 2024/1689, deutsch KI-Verordnung) ist das weltweit erste umfassende KI-Gesetz. Er teilt KI-Systeme in vier Risikoklassen ein und gilt gestuft seit Februar 2025 — für Anbieter ebenso wie für Unternehmen, die KI nur einsetzen.
Die Verordnung gilt in allen EU-Mitgliedstaaten unmittelbar, ohne nationales Umsetzungsgesetz. Ihr Kern ist der risikobasierte Ansatz:
| Risikoklasse | Beispiele | Rechtsfolge |
|---|---|---|
| Unannehmbares Risiko | Social Scoring, manipulative Techniken | Verboten (seit 02.02.2025) |
| Hohes Risiko | KI in Personalauswahl, Kreditvergabe, Medizinprodukten | Strenge Pflichten, Konformitätsbewertung |
| Begrenztes Risiko | Chatbots, Deepfakes, KI-generierte Inhalte | Transparenzpflichten (Art. 50) |
| Minimales Risiko | Spamfilter, Rechtschreibkorrektur | Keine besonderen Pflichten |
Der Zeitplan wurde 2026 angepasst: Die Änderungsverordnung „Digital Omnibus on AI“ (Verordnung (EU) 2026/1744, in Kraft seit 27. Juli 2026) verschiebt die Pflichten für Hochrisiko-KI. Es gelten damit (Stand: September 2026): seit 2. Februar 2025 die Verbote und die KI-Kompetenzpflicht (Art. 4), seit 2. August 2025 die Regeln für GPAI-Modelle, seit 2. August 2026 die Transparenzpflichten des Art. 50. Hochrisiko-Pflichten für eigenständige Systeme nach Anhang III folgen am 2. Dezember 2027, für in regulierte Produkte eingebettete KI nach Anhang I am 2. August 2028.
Die Bußgelder reichen bis 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes bei verbotenen Praktiken. In Deutschland ist seit Juli 2026 die Bundesnetzagentur zentrale Marktüberwachungsbehörde (KI-MIG).
Relevanz für die Zertifizierung
Fast jedes Unternehmen, das KI-Werkzeuge einsetzt, ist Betreiber im Sinne der Verordnung — und muss mindestens KI-Kompetenz sicherstellen und Transparenzpflichten prüfen. Ein KI-Managementsystem nach ISO/IEC 42001 schafft die Strukturen dafür: Inventar, Risikobewertung, Schulungen, Verantwortlichkeiten. Ein ISO-42001-Zertifikat, etwa von KCERT im nicht akkreditierten Bereich, ist allerdings kein Konformitätsnachweis nach der KI-Verordnung — es dokumentiert das Managementsystem, nicht die Rechtskonformität einzelner KI-Systeme.
Häufige Fragen zu EU AI Act
Ja. Die Verordnung kennt keine generelle KMU-Ausnahme. Wer KI-Systeme beruflich einsetzt, ist Betreiber und muss seit Februar 2025 die KI-Kompetenz des Personals sicherstellen (Art. 4) und seit August 2026 die Transparenzpflichten beachten — etwa Deepfakes kennzeichnen. Die schärfsten Pflichten treffen aber Anbieter von Hochrisiko-KI. Wer nur Standardwerkzeuge wie Textassistenten nutzt, hat überschaubare Pflichten, sollte sie aber dokumentiert erfüllen.
Stand September 2026: Verbote und KI-Kompetenz gelten seit 2. Februar 2025, GPAI-Pflichten seit 2. August 2025, Transparenzpflichten nach Art. 50 seit 2. August 2026. Die Hochrisiko-Pflichten wurden durch die Verordnung (EU) 2026/1744 verschoben: auf den 2. Dezember 2027 für Anhang-III-Systeme (etwa HR- oder Kredit-KI) und auf den 2. August 2028 für KI in regulierten Produkten nach Anhang I. Verschoben heißt nicht gestrichen — die Anforderungen bleiben inhaltlich bestehen.
Nein. Die Konformität nach der KI-Verordnung wird je nach Risikoklasse über eigene Verfahren nachgewiesen, bei Hochrisiko-KI etwa über Konformitätsbewertung und CE-Kennzeichnung. ISO/IEC 42001 ist eine freiwillige Managementsystemnorm: Sie organisiert Prozesse wie Risikobewertung, Schulung und Überwachung und erleichtert so die Umsetzung der gesetzlichen Pflichten erheblich — ersetzt sie aber nicht. Seriöse Zertifizierungsstellen kommunizieren diesen Unterschied offen.