Die EU-KI-Verordnung

Die EU-KI-Verordnung ordnet KI-Anwendungen vier Risikostufen zu und verpflichtet Arbeitgeber, die KI-Kompetenz ihrer Beschäftigten zu fördern.

5 Min. Lesezeit
Aktualisiert am 3. November 2026
5 Quellen

In 30 Sekunden

Wo es vorkommt: In jeder Organisation, die ein KI-System bereitstellt oder nutzt, auch in einem einfachen Assistenten zum Schreiben oder Übersetzen⁴.
Was der Text vorsieht: Vier Risikostufen, von den verbotenen Praktiken bis zum minimalen Risiko, für das es keine Regeln gibt¹.
Der Reflex: Sich über die Risiken des verwendeten Werkzeugs informieren lassen, etwa über erfundene Antworten⁴, und beim Arbeitgeber nachfragen, welche KI-Schulung vorgesehen ist.
Wenn es nicht geschehen ist: Die Pflicht aus Artikel 4 gilt seit dem 2. Februar 2025, die Kontrolle seit dem 2. August 2026⁴.

Worum es geht

Die EU-KI-Verordnung (Verordnung (EU) 2024/1689) ist nach Angaben der Europäischen Kommission der weltweit erste umfassende Rechtsrahmen für KI². Sie legt je nach den Risiken einzelner KI-Anwendungen unterschiedliche Regeln fest².

Für Beschäftigte hat Artikel 4 die unmittelbarste Folge: Unternehmen, die KI-Systeme bereitstellen oder nutzen, müssen Maßnahmen ergreifen, um die KI-Kompetenz ihres Personals zu fördern⁴.

Direkte Fragen

Welche vier Risikostufen gibt es?

Die Verordnung unterscheidet zwischen unannehmbarem Risiko, hohem Risiko, Transparenzrisiko und minimalem Risiko².

An der Spitze stehen die verbotenen Praktiken. Die Kommission zählt neun, darunter das Social Scoring, die Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen sowie schädliche Manipulation und Täuschung auf Grundlage von KI².

Auf der zweiten Stufe steht das hohe Risiko: Anwendungsfälle, die ernste Risiken für Gesundheit, Sicherheit oder Grundrechte bergen können. Die Kommission nennt insbesondere KI-Werkzeuge für Beschäftigung und Personalverwaltung, etwa eine Software zur Vorauswahl von Lebensläufen bei der Einstellung².

Auf der dritten Stufe geht es um Transparenz. Ein Chatbot muss angeben, dass man mit einer Maschine spricht, und manche KI-generierten Inhalte, etwa Deepfakes, müssen klar und sichtbar gekennzeichnet werden².

Am Fuß steht das minimale Risiko: Die Kommission nennt Spamfilter und KI-fähige Videospiele, für die keine Pflichten gelten¹².

Was sagt Artikel 4?

Artikel 4 Absatz 1 verpflichtet Anbieter und Betreiber von KI-Systemen, Maßnahmen zu ergreifen, um die KI-Kompetenz ihres Personals und anderer Personen zu fördern, die in ihrem Auftrag diese Systeme nutzen. Diese Maßnahmen berücksichtigen die technischen Kenntnisse, die Erfahrung, die Ausbildung und die Schulung der jeweiligen Person sowie den Kontext der Nutzung⁴.

Ist eine Schulung mit Zertifikat Pflicht?

Die Kommission antwortet, dass keine strikte Schulungspflicht besteht und es kein einheitliches Format gibt⁴. Ein Zertifikat ist nicht nötig: Die Organisation kann intern ein Verzeichnis der Schulungen oder anderer Maßnahmen führen⁴. Auch eine bestimmte Governance-Struktur ist nicht vorgeschrieben⁴.

Muss der Arbeitgeber den Kenntnisstand der Beschäftigten messen?

Nein. Artikel 4 verpflichtet nicht dazu, die KI-Kenntnisse der Beschäftigten zu messen, und verlangt auch nicht, jeder Person ein bestimmtes Niveau zu garantieren⁴.

1Was sich für Beschäftigte ändert1 min

Nach Angaben der Kommission muss eine beschäftigte Person, die ChatGPT nutzt, um einen Werbetext zu verfassen oder zu übersetzen, über die Risiken des Werkzeugs informiert werden, zum Beispiel über Halluzinationen⁴. Die Anleitung eines Systems zu lesen, reicht möglicherweise nicht aus: In vielen Fällen könnte es wirkungslos sein, das Personal nur zur Lektüre aufzufordern⁴.

Die Pflicht betrifft auch Personen, die für die Organisation arbeiten, ohne Beschäftigte zu sein, zum Beispiel Dienstleister⁴. Bei einem Schaden kann der Anbieter eines KI-Systems nach nationalem Recht belangt werden; die Kommission stellt klar, dass die Verordnung weder einen Straftatbestand noch einen Entschädigungsanspruch schafft⁴.

Für Hochrisiko-Systeme kommt ein eigener Punkt hinzu: Betreiber müssen dafür sorgen, dass das Personal, das sie nutzt, für die menschliche Aufsicht geschult ist⁴. Bei einem solchen System können zusätzliche Maßnahmen sinnvoll sein, damit die Beschäftigten wissen, wie sie damit umgehen⁴. Die Regeln für Hochrisiko-Systeme nach Anhang III gelten erst ab dem 2. Dezember 2027².

2Was sich für die Geschäftsleitung ändertGeschäftsleitung1 min

Eine Organisation, die KI-Systeme einsetzt, sollte ihre Rolle (Anbieter oder Betreiber) und das Risiko der betroffenen Systeme prüfen. Die Kommission empfiehlt mindestens die folgenden Schritte und Fragen, hier vier: was KI ist und welche KI die Organisation einsetzt, ihre Rolle, das Risiko der Systeme, danach die Wissenslücken des Personals und der Nutzungskontext⁴.

Eine Person mit Abschluss in KI-Entwicklung gilt normalerweise als geschult, doch die Organisation muss prüfen, ob sie die Systeme des Unternehmens und deren Risiken kennt⁴. Mehrere Schulungsstufen können nebeneinander bestehen⁴.

Die Pflichten aus Artikel 4 wurden durch das digitale Omnibus-Paket zur KI geändert: KI-Kompetenz bleibt eine Pflicht, ohne dass ein bestimmtes Niveau vorgeschrieben wird, und die Kommission und die Mitgliedstaaten müssen die Organisationen weiter unterstützen, unter anderem durch Beispiele für die Einhaltung, die auf der zentralen Informationsplattform veröffentlicht werden⁴. Wer die Praktiken aus dem Verzeichnis der Kommission nachahmt, erhält dadurch nicht automatisch die Vermutung der Konformität mit Artikel 4⁴.

3Was der Text sagtAmtlicher Text1 min

Die Verordnung wurde im April 2021 von der Kommission vorgeschlagen und im Dezember 2023 zwischen dem Europäischen Parlament und dem Rat vereinbart¹. Sie ist am 1. August 2024 in Kraft getreten¹.

Für Hochrisiko-Systeme gelten ab dem 2. Dezember 2027 (Anhang III) strenge Pflichten vor dem Inverkehrbringen: Risikobewertung und Risikominderung, Daten von hoher Qualität, Protokollierung, Dokumentation, Information des Betreibers, menschliche Aufsicht, Robustheit, Cybersicherheit und Genauigkeit².

KI-Modelle mit allgemeinem Verwendungszweck, etwa große Sprachmodelle, bilden eine eigene Kategorie, mit Pflichten, die von minimaler Transparenz bis zur Bewertung systemischer Risiken reichen³. Die Verordnung ersetzt die DSGVO nicht, sondern ergänzt sie³.

4Stand der Umsetzung2 min

Nach Angaben der Kommission ist die Verordnung am 2. August 2026 anwendbar geworden, mit Ausnahmen². Die CNIL beschreibt die Etappen des überarbeiteten Zeitplans³:

Am 2. Februar 2025: Verbote, ausgenommen das Verbot von Inhalten zum sexuellen Missbrauch von Kindern und von sexuellen Deepfakes (für die Kommission die Verbote 1 bis 8 und die Pflichten zur KI-Kompetenz)²³.
Am 2. August 2025: Regeln für KI-Modelle mit allgemeinem Verwendungszweck und Benennung der zuständigen Behörden³.
Am 2. August 2026: Transparenzpflichten für bestimmte Systeme³.
Am 2. Dezember 2026: Verbot von Systemen, die Inhalte zum sexuellen Missbrauch von Kindern und sexuelle Deepfakes erzeugen³.
Am 2. Dezember 2027: Regeln für Hochrisiko-Systeme nach Anhang III, darunter die Beschäftigung²³.
Am 2. August 2028: Regeln für Hochrisiko-Systeme nach Anhang I (Spielzeug, Medizinprodukte usw.)²³.

Diese Verschiebungen gehen auf das KI-Omnibus-Paket zurück. Die Kommission schreibt, dass am 7. Mai 2026 eine politische Einigung erzielt wurde und der Text am 27. Juli 2026 in Kraft getreten ist². Die CNIL gibt an, dass die geänderte Fassung am 24. Juli 2026 angenommen wurde³.

Bei der Kontrolle wird Artikel 4 nicht vom KI-Büro überwacht, sondern von den nationalen Marktüberwachungsbehörden, die seit dem 2. August 2026 kontrollieren⁴. Diese Behörden könnten Sanktionen auf Grundlage des nationalen Rechts verhängen, angemessen nach Art und Schwere des Verstoßes; das wäre bei einem Vorfall wegen fehlender Schulung wahrscheinlicher⁴. Jeder Mitgliedstaat wählt die Struktur dieser Behörden, und eine von ihnen dient als nationale Anlaufstelle, wenn mehrere benannt sind³.

Das KI-Büro, das innerhalb der Kommission geschaffen wurde, beaufsichtigt KI-Modelle mit allgemeinem Verwendungszweck. Es kann Untersuchungen durchführen, Abhilfemaßnahmen verlangen und Geldbußen verhängen⁵. Es unterstützt den Europäischen KI-Ausschuss, in dem Vertreter jedes Mitgliedstaats zusammenkommen³⁵.

Merkblatt

Kennung: CP-368
Flügel: 6. Governance und GRC
Brain-Kompetenz: Verantwortungsvoller Einsatz (use_responsibly)
Brain-Reflex: air-051
Schema: G3 · Anatomischer Schnitt
Sprachen: de, en, fr
Quellen: 5 Quellen geprüft am 3. November 2026

Quellen5 Quellen

Commission européenne, „AI Act enters into force“, 1. August 2024. https://commission.europa.eu/news-and-media/news/ai-act-enters-force-2024-08-01_en (abgerufen am 3. November 2026)
Commission européenne, „Législation sur l’IA“. https://digital-strategy.ec.europa.eu/fr/policies/regulatory-framework-ai (abgerufen am 3. November 2026)
CNIL, „Entrée en vigueur du règlement européen sur l’IA : les premières questions-réponses de la CNIL“, 12. Juli 2024. https://www.cnil.fr/fr/entree-en-vigueur-du-reglement-europeen-sur-lia-les-premieres-questions-reponses-de-la-cnil (abgerufen am 3. November 2026)
Commission européenne, „AI Literacy - Questions & Answers“. https://digital-strategy.ec.europa.eu/en/faqs/ai-literacy-questions-answers (abgerufen am 3. November 2026)
Commission européenne, „Bureau européen de l’IA“. https://digital-strategy.ec.europa.eu/fr/policies/ai-office (abgerufen am 3. November 2026)

Diesen Artikel zitieren

Brain, „Die EU-KI-Verordnung“, Cyberpedia, 2026. https://startbrain.io/cyberpedia/de/articles/eu-ki-verordnung-ai-act/

BibTeX

@misc{brain_cp368_de_2026,
  author = {Brain},
  title = {Die EU-KI-Verordnung},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/de/articles/eu-ki-verordnung-ai-act/},
  note = {CC BY 4.0}
}

Lizenz CC BY 4.0