Seit Anfang August 2026 gelten europaweit verschärfte Gesetze im Umgang mit KI. Dennoch agieren viele Firmen und User sorglos wie zuvor. Grund genug, um die wichtigsten Regeln zu erläutern und mit einigen Mythen über den EU AI Act aufzuräumen. Ein Leitfaden.

Von Dr. Hubert Iral und Markus Lempa

Brüssel, den 11.09.2026. Kaum ein europäisches Gesetz wird derzeit so leidenschaftlich diskutiert. Und kaum eines so häufig verkürzt dargestellt. Nach manchen Social Media Beiträgen muss künftig jeder mit ChatGPT, Claude oder anderen KI-Lösungen formulierte Text gekennzeichnet werden. Andere behaupten, Unternehmen dürften KI nur noch nach vorheriger behördlicher Genehmigung einsetzen. Wieder andere sehen im EU AI Act bereits den regulatorischen Untergang des Abendlandes.

EU AI Act: Die Wirklichkeit ist weniger spektakulär, aber deutlich anspruchsvoller.
Die Verordnung (EU) 2024/1689 verbietet KI nicht. Sie versucht vielmehr, zwischen alltäglichen Anwendungen, besonderen Transparenzrisiken, Hochrisiko-Systemen und einigen inakzeptablen Praktiken zu unterscheiden. Entscheidend ist daher meist nicht, ob KI verwendet wird, sondern wofür, von wem und mit welchen möglichen Folgen. Die EU folgt dabei dem Leitgedanken, dass KI-Systeme sicher, transparent, nachvollziehbar, nicht diskriminierend und nicht umweltschädigend sind.

Was die EU eigentlich reguliert
Der AI Act folgt einem risikobasierten Ansatz. Eine Rechtschreibkorrektur, ein internes Recherchetool oder eine KI-gestützte Übersetzung sind rechtlich etwas anderes als ein System, das über Bewerber vorsortiert, die Kreditwürdigkeit bewertet oder medizinische Entscheidungen unterstützt.

Die meisten KI-Anwendungen werden deshalb nicht automatisch zu Hochrisiko-Systemen. Die Einstufung hängt vom konkreten Verwendungszweck und von den gesetzlichen Kriterien ab. Auch innerhalb sensibler Bereiche wie Personal, Bildung, Gesundheit oder kritischer Infrastruktur fällt nicht jede Software pauschal in die höchste Risikokategorie. Der AI Act reguliert keine Technologieklasse unterschiedslos. Er reguliert konkrete Anwendungen und Verantwortlichkeiten entlang der Wertschöpfungskette.

Um den Nutzen der Verordnung besser zu verstehen, hilft ein Vergleich mit dem alltäglichen Leben. Wir alle begegnen laufend Risiken. Einige davon sind unannehmbar oder stellen ein ungerechtfertigt hohes Risiko dar, so dass hierfür zusätzliche Schutzmaßnahmen ergriffen werden müssen. Und dies gilt auch und insbesondere für Künstliche Intelligenz.

In der EU verbotene KI-Anwendungen

Die Europäische Union verbietet unabhängig von den Risikokategorien grundsätzlich folgende KI-basierte Anwendungen

• kognitive Verhaltensmanipulation von Personen oder bestimmten gefährdeten Gruppen, zum Beispiel sprachgesteuertes Spielzeug, das gefährliches Verhalten bei Kindern fördert;
• KI-Anwendungen für soziales Scoring: Klassifizierung von Menschen auf der Grundlage von Verhalten, sozioökonomischem Status und persönlichen Merkmalen;
• biometrische Identifizierung und Kategorisierung natürlicher Personen;
• biometrischen Echtzeit-Fernidentifizierungssystemen, zum Beispiel Gesichtserkennung im öffentlichen Raum

Die EU hat hierzu in der Verordnung neben Ausnahmen auch klare Grenzen postuliert. Insbesondere zum Zwecke der Strafverfolgung. D.h.: Biometrische Echtzeit-Fernidentifizierungssysteme sind nur in einer eng begrenzten Anzahl und bei schwerwiegenden Fällen erlaubt, wenn z.B. eine Identifizierung der Täter nur mit einer erheblichen Verzögerung erfolgen könnte.

Hochrisiko-KI-Systeme
KI-Systeme, die ein hohes Risiko für die Gesundheit und Sicherheit oder für die Grundrechte natürlicher Personen mit sich bringen, stuft die EU als als hochriskant ein. In der Verordnung werden sie zwei Hauptkategorien unterteilt.

• KI-Systeme, die in Produkten verwendet werden, die unter die Produktsicherheitsvorschriften der EU fallen. Dazu gehören Spielzeug, Luftfahrt, Fahrzeuge, medizinische Geräte und Aufzüge.
• KI-Systeme, die in spezifische Bereiche fallen, und die in einer EU-Datenbank registriert werden müssen, das sind:

1. Verwaltung und Betrieb von kritischen Infrastrukturen;
2. allgemeine und berufliche Bildung;
3. Beschäftigung, Verwaltung der Arbeitnehmer und Zugang zur Selbstständigkeit;
4. Zugang zu und Inanspruchnahme von wesentlichen privaten und öffentlichen Diensten und Leistungen;
5. Einfache Strafverfolgung;
6. Verwaltung von Migration, Asyl und Grenzkontrollen;
7. Unterstützung bei der Auslegung und Anwendung von Gesetzen.

Alle KI-Systeme mit hohem Risiko werden vor der Markteinführung und während ihres gesamten Lebenszyklus auf ihren Gefährdungsfaktor hin bewertet. 

Die Bürger haben in diesem Rahmen das Recht, bei den zuständigen nationalen Behörden Beschwerden über KI-Systeme einzureichen.

Der eigentliche politische Hintergrund des EU AI Act
Der AI Act ist zugleich Grundrechtsschutz, Produktsicherheitsrecht, Marktordnung und Industriepolitik. Europa möchte einen gemeinsamen Binnenmarkt für vertrauenswürdige KI schaffen. Unternehmen sollen Künstliche Intelligenz nicht in jedem Mitgliedstaat nach komplett anderen Regeln entwickeln und einsetzen müssen. Gleichzeitig sollen Anwendungen begrenzt werden, wenn sie Menschen manipulieren, diskriminieren, täuschen oder in besonders sensible Lebensbereiche eingreifen.

Damit verfolgt die EU einen strategischen Gedanken: Vertrauen soll nicht erst nach dem ersten großen KI-Skandal entstehen, sondern möglichst vorher abgesichert werden. Man kann das für zu bürokratisch halten. Man sollte es aber nicht mit einem generellen Technologieverbot verwechseln.

Was tatsächlich verboten ist
Wie bereits dargestellt, verbietet der AI Act einige besonders problematische Praktiken. Dazu gehören unter bestimmten Voraussetzungen manipulative oder täuschende Systeme, die Menschen erheblich schädigen können, die Ausnutzung besonderer Schutzbedürftigkeit, bestimmte Formen des Social Scoring sowie eng definierte biometrische Anwendungen.

Auch hier wird im Netz häufig übertrieben. Nicht jede personalisierte Empfehlung ist Manipulation. Nicht jede Bewertung ist Social Scoring. Nicht jede Gesichtserkennung ist ausnahmslos verboten. Die gesetzlichen Tatbestände enthalten konkrete Voraussetzungen, Einschränkungen und teilweise Ausnahmen.
Ebenso ungenau ist die Behauptung, die EU verbiete bereits die bloße Entwicklung sämtlicher solcher Technologien. Forschung, Entwicklung und Tests können unter bestimmten Voraussetzungen außerhalb des vollen Anwendungsbereichs liegen, solange ein System noch nicht auf den Markt gebracht oder real eingesetzt wird. Entscheidend bleibt jedoch immer der konkrete Fall.

Kennzeichnungspflicht: Muss jetzt jeder KI-Text ein Etikett tragen?
Die Antwort lautet: Nein. Artikel 50 führt keine pauschale Kennzeichnungspflicht für jeden Inhalt ein, bei dessen Erstellung KI beteiligt war. Die Transparenzpflichten gelten ab dem 2. August 2026 und betreffen bestimmte Fallgruppen. Dazu gehören insbesondere:

• Systeme, die unmittelbar mit Menschen interagieren, sofern nicht ohnehin offensichtlich ist, dass es sich um KI handelt;
• maschinenlesbare Markierungen durch Anbieter generativer KI-Systeme;
• Deepfakes von Bildern, Audios und Videos realer Personen;
• der Einsatz von Emotionserkennung oder biometrischer Kategorisierung;
• bestimmte KI-generierte oder manipulierte Texte über Angelegenheiten von öffentlichem Interesse.

Bei Texten ist die Einschränkung besonders wichtig: Eine Kennzeichnung ist grundsätzlich dann relevant, wenn der Text veröffentlicht wird, die Öffentlichkeit informieren soll und ein Thema von öffentlichem Interesse betrifft. Wurde der Inhalt fachlich durch einen Menschen geprüft oder unter tatsächlicher redaktioneller Kontrolle veröffentlicht und übernimmt jemand die redaktionelle Verantwortung, kann die Kennzeichnungspflicht entfallen. Eine bloße Rechtschreibkontrolle genügt dafür allerdings nicht.

Ein mit KI vorbereiteter und anschließend verantwortungsvoll geprüfter Geschäftsbericht, Fachbeitrag oder Newsletter ist daher nicht automatisch mit dem Hinweis „KI-generiert“ zu versehen.

Generative KI-Modelle wie z. B. ChatGPT werden zwar nicht als hoch-risikoreich eingestuft, müssen aber Transparenzanforderungen und das EU-Urheberrecht erfüllen:

• Offenlegung, dass der Inhalt durch KI generiert wurde, fälschungssichere Gestaltung des Modells, um zu verhindern, dass es illegale Inhalte erzeugt,
• Veröffentlichung von Zusammenfassungen urheberrechtlich geschützter Daten, die für das Training verwendet wurden.

Die größten Mythen über den AI Act

Mythos 1: „Ab August muss jeder KI-generierte Text gekennzeichnet werden.“
Falsch. Die Pflicht ist weder pauschal noch auf jede berufliche KI-Nutzung anwendbar. Sie betrifft insbesondere Deepfakes sowie bestimmte Inhalte von öffentlichem Interesse ohne ausreichende menschliche Prüfung oder redaktionelle Kontrolle. Private, nicht berufliche Tätigkeiten sind grundsätzlich nicht in gleicher Weise erfasst.

Inhalte, die mit Hilfe von KI erzeugt oder verändert wurden (Bilder, Audio- oder Videodateien (zum Beispiel Deepfakes), müssen eindeutig als KI-generiert gekennzeichnet werden, damit die Nutzer erkennen, wenn sie auf solche Inhalte stoßen. Bei solchen Inhalten ist der Offenlegungsumfang besonders wichtig: Eine KI-Kennzeichnung ist grundsätzlich dann relevant, wenn diese Inhalte publiziert werden sollen.

Eingeschränkt Kennzeichnung
Wurde der Inhalt fachlich durch einen Menschen geprüft oder unter tatsächlicher redaktioneller Kontrolle veröffentlicht und übernimmt jemand die redaktionelle Verantwortung, kann die Kennzeichnungspflicht entfallen. Eine bloße Rechtschreibkontrolle genügt dafür allerdings nicht.Ein mit KI vorbereiteter und anschließend verantwortungsvoll geprüfter Geschäftsbericht, Fachbeitrag oder Newsletter ist daher nicht automatisch mit dem Hinweis „KI-generiert“ zu versehen

Mythos 2: „Jede Firma, die ChatGPT verwendet, wird zum Anbieter eines KI-Systems.“
Nein. Anbieter ist typischerweise, wer ein KI-System entwickelt oder entwickeln lässt und es unter eigenem Namen oder eigener Marke auf den Markt bringt beziehungsweise in Betrieb nimmt. Ein Unternehmen, das ein vorhandenes System im eigenen Geschäftsbetrieb verwendet, ist regelmäßig Betreiber beziehungsweise „Deployer“ mit anderen, meist geringeren Pflichten.

Anders kann es aussehen, wenn ein Unternehmen ein fremdes System wesentlich verändert, in ein eigenes Produkt integriert oder unter eigener Marke anbietet.

Mythos 3: „Jede KI im Personalwesen, in der Medizin oder im Bildungsbereich ist automatisch Hochrisiko-KI.“
Zu pauschal. Der konkrete Zweck, die Wirkung auf Entscheidungen und die gesetzlichen Ausnahmen sind entscheidend. Eine KI, die lediglich Termine koordiniert, ist anders zu bewerten als ein System, das Bewerber aussortiert oder den Zugang zu Ausbildung beeinflusst.

Mythos 4: „Der AI Act verbietet ChatGPT und andere Sprachmodelle.“
Nein. Für General-Purpose-AI-Modelle gelten eigene Pflichten. Anbieter müssen unter anderem technische Dokumentationen erstellen, eine Strategie zur Einhaltung des europäischen Urheberrechts vorsehen und eine Zusammenfassung der Trainingsinhalte veröffentlichen. Für besonders leistungsfähige Modelle mit systemischem Risiko kommen Risikoanalysen, Vorfallsmeldungen und Cybersicherheitsmaßnahmen hinzu. Diese Pflichten richten sich primär an die Anbieter der Modelle, nicht automatisch an jedes Unternehmen, das ein solches Modell nutzt.

Mythos 5: „Open Source ist vollständig ausgenommen vom EU AI Act“
Auch das stimmt nicht pauschal. Für bestimmte offen lizenzierte Modelle bestehen Erleichterungen, aber keine universelle Befreiung. Insbesondere bei Modellen mit systemischem Risiko können wesentliche Pflichten bestehen bleiben.

Mythos 6: „Unternehmen brauchen eine offizielle KI-Zertifizierung für jede Anwendung.“
Nein. Eine förmliche Konformitätsbewertung ist vor allem für bestimmte Hochrisiko-Systeme relevant. Viele alltägliche Anwendungen benötigen weder eine behördliche Vorabgenehmigung noch ein CE-Verfahren nach dem AI Act.

Mythos 7: „Seit Februar 2025 muss jedes Unternehmen alle Beschäftigten zu KI-Experten ausbilden.“
Artikel 4 verlangt Maßnahmen zur Förderung von KI-Kompetenz bei Personen, die mit KI-Systemen arbeiten. Die Verordnung schreibt aber kein einheitliches Seminar, keinen EU-Führerschein und keine feste Zahl von Schulungsstunden vor. Umfang und Inhalt müssen zum Wissen der Beschäftigten, zum Nutzungskontext und zu den Risiken passen. Die EU-Kommission betont ausdrücklich, dass kein bestimmtes „ausreichendes“ Kompetenzniveau pauschal vorgeschrieben wird.

Mythos 8: „Bei jedem Fehler drohen sofort 35 Millionen Euro Bußgeld.“
Die oft zitierten Höchstbeträge sind keine Standardstrafe. Bis zu 35 Millionen Euro oder sieben Prozent des weltweiten Jahresumsatzes sind für besonders schwere Verstöße vorgesehen, etwa gegen Verbote bestimmter Praktiken. Für andere Verstöße gelten niedrigere Obergrenzen. Sanktionen müssen verhältnismäßig sein; bei kleinen und mittleren Unternehmen gelten zudem besondere Berechnungsregeln.

Was bedeutet der EU AI Act für Verbraucher?

Für Verbraucher soll die Verordnung vor allem mehr Orientierung und Schutz schaffen. Menschen sollen sofort erkennen können, ob sie mit einem Chatbot statt mit einem Mitarbeiter sprechen. Sie sollen nicht ohne Weiteres täuschend echten Deepfakes, manipulativen Systemen oder undurchsichtigen automatisierten Entscheidungen ausgesetzt sein. Bei Hochrisiko-Anwendungen sollen Dokumentation, menschliche Aufsicht und Qualitätskontrollen dazu beitragen, dass Fehler und Diskriminierungen früher erkannt werden.

Der EU AI Act garantiert allerdings keine fehlerfreie KI. Auch ein regelkonformes System kann falsche Ergebnisse liefern. Verbraucher sollten deshalb weiterhin kritisch prüfen:

• Wer betreibt das System?
• Wird eine Entscheidung vollständig automatisiert?
• Welche Daten werden verarbeitet?
• Kann ein Mensch die Entscheidung überprüfen?
• Gibt es eine Beschwerde- oder Korrekturmöglichkeit?
• Transparenz ersetzt kein eigenes Urteilsvermögen.

Was Unternehmen jetzt tun sollten

Für die meisten Unternehmen beginnt die Umsetzung nicht mit einer juristischen Detailprüfung, sondern mit einer Bestandsaufnahme:
1. KI-Inventar erstellen
Welche KI-Systeme werden bereits genutzt – offiziell oder informell? Dazu gehören nicht nur generative Systeme, sondern auch Recruitingsoftware, Prognosemodelle, Chatbots, Betrugserkennung, Kameraanalysen und automatisierte Bewertungssysteme.
2. Rollen klären
Ist das Unternehmen Anbieter, Importeur, Händler oder Betreiber? Diese Einordnung entscheidet darüber, welche Pflichten tatsächlich gelten.
3. Anwendungen nach Risiko priorisieren
Nicht jedes Tool benötigt ein Großprojekt. Besonders aufmerksam geprüft werden sollten Systeme, die Menschen bewerten, über Zugangschancen entscheiden, sensible Daten verwenden oder öffentlichkeitswirksame Inhalte erzeugen.
4. Menschliche Verantwortung dokumentieren
Wer prüft Ergebnisse? Wer darf eine Entscheidung korrigieren? Wer trägt die fachliche und redaktionelle Verantwortung? Ein Satz wie „Die KI hat das entschieden“ ist weder rechtlich noch kommunikativ tragfähig.
5. KI-Kompetenz praxisnah aufbauen
Ein allgemeines Webinar für alle reicht nicht immer. Recruiting, Kommunikation, IT-Sicherheit, Recht, Einkauf und Produktentwicklung benötigen unterschiedliche Schulungen.
6. Beschaffung und Verträge überprüfen
Unternehmen sollten von Anbietern Informationen über Zweck, Funktionsweise, Datenverarbeitung, Sicherheitsmaßnahmen, Dokumentation und Support verlangen. Bei externen Modellen muss geklärt sein, wer welche Pflichten entlang der Wertschöpfungskette erfüllt.
7. Kommunikationsregeln festlegen
Wann wird KI-Nutzung gekennzeichnet? Wie geht das Unternehmen mit Deepfakes, synthetischen Stimmen oder KI-generierten Personen um? Wer reagiert, wenn ein gefälschtes CEO-Video kursiert? Gerade hier ist der AI Act auch ein Thema der Krisenvorsorge.

Die unterschätzte strategische Folge
Der AI Act wird nicht nur Rechts- und Compliance-Abteilungen beschäftigen. Er verändert Produktentwicklung, Einkauf, Personalwesen, Kommunikation und Governance.

Unternehmen werden künftig genauer unterscheiden müssen zwischen:

• technischer Automatisierung,
• unterstützender KI,
• automatisierter Entscheidung,
• menschlich verantworteter Entscheidung.

Diese Unterscheidung kann zunächst bürokratisch wirken. Sie zwingt Organisationen aber auch dazu, Verantwortung sichtbar zu machen. Wer entscheidet? Wer kontrolliert? Wer greift ein, wenn das System irrt?

Damit wird KI-Governance zunehmend zu einem Qualitätsmerkmal. Ein Unternehmen, das seine Systeme kennt, Risiken differenziert bewertet und Verantwortung klar zuordnet, dürfte nicht nur rechtlich besser aufgestellt sein. Es wird KI meist auch effizienter einsetzen können.

Fazit: Kein Untergang des Abendlandes, aber auch kein Gesetz zum Abhaken
Der EU AI Act ist weder das Ende europäischer Innovationsfähigkeit noch ein universeller Schutzschild gegen alle Risiken der KI. Er verlangt nicht, jedes KI-gestützte Dokument mit einem Warnhinweis zu versehen. Er verbietet nicht pauschal Chatbots, Sprachmodelle oder Automatisierung. Und er macht nicht jede KI-Anwendung zum Hochrisikoprodukt.

Er schafft jedoch verbindliche Grenzen für besonders problematische Praktiken, Transparenzpflichten bei konkreten Täuschungsrisiken und umfangreiche Anforderungen dort, wo KI tief in Sicherheit, Grundrechte oder Lebenschancen eingreifen kann.

Ob daraus ein Wettbewerbsvorteil oder ein Bürokratiemonster wird, hängt auch von der Umsetzung ab. Unternehmen sollten den AI Act deshalb weder dramatisieren noch unterschätzen. Die klügste Reaktion lautet nicht: „Wie verhindern wir KI?“ Stattdessen lautet ab sofort die Schlüsselfrage: Wo setzen wir KI ein, welches Risiko entsteht dabei und welcher Mensch übernimmt dafür die Verantwortung?

Der Europarechtler und Politikwissenschaftler Dr. Hubert Iral (Law of Europe) und der Wirtschaftswissenschaftler Markus Lempa (MEMOCINE) haben gemeinsam das Projekt Futura Fabrica gegründet: die Zukunftswerkstatt Europa. Ziel ist es, komplexe Zusammenhänge in der EU aus Politik, Recht, Wirtschaft, Wissenschaft, Medien und Umwelt verständlich zu erklären. Daraus können Unternehmen wie auch Verbraucher die sich hieraus für sie ergebenden Chancen wie Risiken in Europa schneller erkennen und für eigene Initiativen bzw. Aktionen nutzen.

Weitere Trends und strategische Entwicklungen in der EU werden in dem regelmäßig erscheinenden Futura Fabrica Newsletter vorgestellt. Bei Spezialfragen wenden Sie sich bitte an die Autoren. Darüber hinaus sind alle Europa-Experten wie auch Europa-Unterstützer herzlich eingeladen an der Gestaltung von Futura Fabrica mitzuwirken.