Die Zukunft der KI-Regulierung in Europa

Der EU AI Act, die KI-Verordnung der Europäischen Union, ist in Kraft. Wie er in der Praxis funktioniert, wird sich aber erst durch harmonisierte Normen, Praxisleitfäden, Aufsichtsbehörden, Gerichtsurteile und Überarbeitungen entscheiden, und eine Novelle von 2026 hat die Regeln für Hochrisiko-KI-Systeme bereits auf 2027 und 2028 verschoben.

Ein gestaffelter Start

Der AI Act, die Verordnung (EU) 2024/1689, ist am 1. August 2024 in Kraft getreten und gilt stufenweise. Die Verbote von Praktiken wie Social Scoring und Emotionserkennung am Arbeitsplatz und in Schulen gelten seit dem 2. Februar 2025, die Pflichten für KI-Modelle mit allgemeinem Verwendungszweck seit dem 2. August 2025. Die meisten Pflichten für Hochrisiko-Systeme sollten ursprünglich ab dem 2. August 2026 gelten, für KI in regulierten Produkten später.

Die Termine haben sich seither verschoben. Im November 2025 schlug die Europäische Kommission Änderungen vor, den sogenannten Digital-Omnibus; Parlament und Rat nahmen sie Mitte 2026 als Verordnung (EU) 2026/1744 an, die seit dem 27. Juli 2026 in Kraft ist. Die Pflichten für die gelisteten Hochrisiko-Anwendungen gelten nun ab dem 2. Dezember 2027, für KI in regulierten Produkten ab dem 2. August 2028. Die Änderung hat außerdem zwei Verbote eingeführt, die ab dem 2. Dezember 2026 gelten: Sie betreffen KI, die ohne Einwilligung der dargestellten Person intime Inhalte erzeugt, und KI, die Darstellungen sexuellen Missbrauchs von Kindern erzeugt. Die Struktur selbst ist unverändert.

Die Hochrisiko-Liste umfasst Anwendungen in Bereichen wie Beschäftigung, Bildung, grundlegende Dienste, Strafverfolgung und Migration. Anbieter müssen Risikomanagement, Daten-Governance, Dokumentation und menschliche Aufsicht einrichten und eine Konformitätsbewertung durchführen, in der Regel eine Selbstbewertung. Öffentliche Stellen und einige private Betreiber, etwa solche, die öffentliche Dienste erbringen oder die Kreditwürdigkeit bewerten, müssen zuvor die Auswirkungen auf die Grundrechte abschätzen.

Normen und Praxisleitfäden: wo die Details geschrieben werden

Die Verordnung formuliert ihre Anforderungen allgemein; was angemessene Daten-Governance oder ausreichende menschliche Aufsicht bedeutet, wird weitgehend in harmonisierten Normen ausgearbeitet, die die Normungsorganisationen CEN und CENELEC im Auftrag der Kommission erstellen. Wer eine im Amtsblatt veröffentlichte Norm befolgt, genießt eine Konformitätsvermutung; andere Wege sind zulässig, doch dann muss der Anbieter nachweisen, dass sein Ansatz die Anforderungen erfüllt.

Normung begünstigt diejenigen, die sich die Mitarbeit leisten können, vor allem große Unternehmen. Die Ausarbeitung dauert Jahre, und wenn Normen hinter gesetzlichen Fristen zurückbleiben, wächst der Druck, die Fristen zu verschieben: Verspätete Normen waren ein zentrales Argument für den Aufschub von 2026. Die Verordnung erlaubt die Verwendung sensibler personenbezogener Daten zur Bias-Erkennung nur dort, wo synthetische oder anonymisierte Daten nicht ausreichen würden, eine Erlaubnis, die die Novelle von 2026 über Hochrisiko-Systeme hinaus ausgeweitet hat; der technische Bericht der Stiftung zur Bias-Erkennung nach dem EU AI Act untersucht, wann solche Daten genügen.

Für Modelle mit allgemeinem Verwendungszweck gibt es einen schnelleren Weg: Der Praxisleitfaden für KI mit allgemeinem Verwendungszweck (General-Purpose AI Code of Practice), im Juli 2025 unter Federführung des Büros für Künstliche Intelligenz der EU (AI Office) veröffentlicht, behandelt Transparenz, Urheberrecht sowie Sicherheit (Safety und Security) bei Modellen mit systemischem Risiko. Die Einhaltung ist freiwillig, wird aber als Weg anerkannt, die Konformität nachzuweisen, solange es noch keine Normen gibt.

Durchsetzung: Institutionen und Kapazitäten

Das EU AI Office beaufsichtigt KI-Modelle mit allgemeinem Verwendungszweck direkt. Nationale Marktüberwachungsbehörden beaufsichtigen die KI-Systeme in ihrem Hoheitsgebiet. Bußgelder können bei verbotenen Praktiken bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes erreichen, je nachdem, welcher Betrag höher ist, und bei den meisten anderen Verstößen 15 Millionen Euro oder 3 Prozent.

Die schwierigere Frage ist die der Kapazitäten. Um zu prüfen, ob eine Software zur Personalauswahl auf Bias getestet wurde, braucht es Menschen, die sowohl Recht als auch maschinelles Lernen verstehen, und die sind in der öffentlichen Verwaltung rar. Jeder Mitgliedstaat muss zudem bis zum 2. August 2027, ein Jahr später als zunächst geplant, ein KI-Reallabor betreiben, in dem Anbieter ihre Systeme vor der Markteinführung unter Aufsicht testen.

Überarbeitung: ein Regelwerk, das auf Veränderung angelegt ist

Die Verordnung kann sich von innen heraus verändern. Die Kommission darf die Liste der Hochrisiko-Anwendungsfälle per delegiertem Rechtsakt ändern, innerhalb der vom Gesetzgeber festgelegten Bereiche, und sie darf den Schwellenwert für die Rechenleistung anpassen, ab dem bei einem Modell mit allgemeinem Verwendungszweck ein systemisches Risiko vermutet wird.

Das letzte Wort über Begriffe wie „KI-System“ und „wesentliche Änderung“ hat der Gerichtshof der Europäischen Union. In seinem SCHUFA-Urteil vom Dezember 2023 entschied er, dass bereits die Erstellung eines Bonitätsscores eine automatisierte Entscheidung im Sinne der DSGVO sein kann, wenn sich ein Kreditgeber maßgeblich darauf stützt, und zog damit die praktischen Grenzen dieser Regel neu.

Die Haftung ist noch nicht abschließend geregelt. Im Jahr 2025 zog die Kommission ihren Vorschlag für eine KI-Haftungsrichtlinie zurück; der Ersatz von Schäden, die durch KI verursacht werden, richtet sich daher nach nationalem Recht und nach der überarbeiteten Produkthaftungsrichtlinie von 2024, die Software, einschließlich KI-Systemen, als Produkt behandelt und ab Dezember 2026 gilt.

Europa im internationalen Umfeld

Das Rahmenübereinkommen des Europarats über künstliche Intelligenz, im September 2024 zur Unterzeichnung aufgelegt, ist der erste völkerrechtlich verbindliche Vertrag zur KI; die EU hat es im September 2024 unterzeichnet, im Mai 2026 ratifiziert und wird es vor allem über den AI Act umsetzen. Die KI-Grundsätze der OECD, das AI Risk Management Framework des NIST und die Norm ISO/IEC 42001 liefern ein gemeinsames Vokabular und Managementinstrumente.

Wer Systeme weltweit anbietet, wird sie entweder nach dem strengsten Regelwerk bauen, der sogenannte Brüssel-Effekt, oder unterschiedliche Produkte für unterschiedliche Märkte ausliefern; und weil Europa von Rechenleistung, Modellen und Cloud-Diensten abhängt, die anderswo entstehen, verbindet die EU-Politik ihre Regeln inzwischen mit öffentlichen Investitionen in Rechenkapazität.

Was Entwickler sowie Bürgerinnen und Bürger erwarten können

Für Entwickler ist das Dauerhafte an der Verordnung die Disziplin, nicht der Zeitplan:

• Die Risikokategorie jedes Systems kennen und die Einstufung begründet dokumentieren.
• Datenquellen, Designentscheidungen und bekannte Grenzen festhalten.
• Auf Bias, Genauigkeit und Robustheit testen und die Nachweise aufbewahren.
• Dafür sorgen, dass ein Mensch das System verstehen, übersteuern und anhalten kann.

Das überdauert jede Fristverschiebung; Normentwürfe und Leitlinien des AI Office zeigen bereits, welche Nachweise erwartet werden, und ein Inventar der Systeme und ihrer Zwecke ist der günstigste erste Schritt.

Für Bürgerinnen und Bürger schafft die Verordnung zusätzliche Rechte: darüber informiert zu werden, wenn sie mit einem KI-System interagieren oder ihnen ein Deepfake gezeigt wird; sich bei einer nationalen Behörde zu beschweren; und, sobald die Hochrisiko-Regeln gelten, eine klare Erklärung zu erhalten, welche Rolle das System bei einer Entscheidung gespielt hat, die sie erheblich betrifft, ergänzend zu Artikel 22 der DSGVO. Diese Rechte wirken nur, wenn Menschen sie nutzen; der erste Schritt ist herauszufinden, welche nationale Behörde zuständig ist. Die Stiftung erforscht, wie solche Regeln in der Praxis funktionieren und welche Nachweise sie verlangen, und veröffentlicht ihre Ergebnisse als technische Berichte.

Kurz gesagt

Der EU AI Act, die KI-Verordnung der EU, ist in Kraft. Wie er in der Praxis wirkt, entscheidet sich aber durch harmonisierte Normen, Praxisleitfäden, Aufsichtsbehörden, Gerichtsurteile und Überarbeitungen. Eine Novelle von 2026, die Verordnung (EU) 2026/1744, hat die Pflichten für die gelisteten Hochrisiko-Anwendungen bereits auf den 2. Dezember 2027 und für KI in regulierten Produkten auf den 2. August 2028 verschoben.

Häufige Fragen

Ab wann gelten die Hochrisiko-Pflichten des EU AI Act?

Die Pflichten für die gelisteten Hochrisiko-Anwendungen gelten nun ab dem 2. Dezember 2027, für KI in regulierten Produkten ab dem 2. August 2028. Die meisten sollten ursprünglich ab dem 2. August 2026 gelten, doch die Verordnung (EU) 2026/1744, die seit dem 27. Juli 2026 in Kraft ist, hat die Termine verschoben.

Wie hoch sind die Bußgelder nach dem EU AI Act?

Nach dem EU AI Act können Bußgelder bei verbotenen Praktiken bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes erreichen, je nachdem, welcher Betrag höher ist. Bei den meisten anderen Verstößen liegt die Obergrenze bei 15 Millionen Euro oder 3 Prozent.

Wer setzt den EU AI Act durch?

Das EU AI Office beaufsichtigt KI-Modelle mit allgemeinem Verwendungszweck direkt, nationale Marktüberwachungsbehörden beaufsichtigen die KI-Systeme in ihrem Hoheitsgebiet. Die schwierigere Frage ist die Kapazität, denn Menschen, die sowohl Recht als auch maschinelles Lernen verstehen, sind in der öffentlichen Verwaltung rar.

Was sind harmonisierte Normen im EU AI Act?

Harmonisierte Normen werden im Auftrag der Kommission von den Normungsorganisationen CEN und CENELEC erstellt und legen im Detail aus, was die allgemein gehaltenen Anforderungen der Verordnung bedeuten. Wer eine im Amtsblatt veröffentlichte Norm befolgt, genießt eine Konformitätsvermutung, andere Wege sind aber zulässig.

Welche Rechte haben Bürgerinnen und Bürger nach dem EU AI Act?

Die Verordnung gibt Menschen das Recht, darüber informiert zu werden, wenn sie mit einem KI-System interagieren oder ihnen ein Deepfake gezeigt wird, und sich bei einer nationalen Behörde zu beschweren. Sobald die Hochrisiko-Regeln gelten, haben sie auch das Recht auf eine klare Erklärung, welche Rolle das System bei einer Entscheidung gespielt hat, die sie erheblich betrifft.

Zitiervorschlag LASTHUMAN-Stiftung. (2026, 3. November). Die Zukunft der KI-Regulierung in Europa. https://lasthuman.today/de/insights/future-of-ai-regulation-in-europe.html