KI-Verordnung: Was du 2026 wissen musst

Die KI-Verordnung der EU ist da, und sie betrifft mehr Unternehmen, als du denkst. Wenn ihr KI im Marketing, im Recruiting oder im Kundenservice einsetzt, seid ihr wahrscheinlich schon in der Pflicht. Kein Grund zur Panik, aber ein Grund, jetzt Klarheit zu schaffen. In diesem Artikel bekommst du den Überblick: Was die KI-Verordnung regelt, ab wann welche Fristen greifen, wen sie betrifft und was das konkret für dein Unternehmen bedeutet. Ohne Juristendeutsch, dafür mit echten Datumsangaben und Beispielen, die du auf deinen Alltag übertragen kannst.

Was ist die KI-Verordnung der EU?

Die KI-Verordnung (englisch: EU AI Act) ist das erste umfassende Gesetz weltweit, das den Einsatz von Künstlicher Intelligenz einheitlich reguliert. Sie gilt in allen EU-Mitgliedstaaten direkt, ohne dass ein nationales Gesetz nötig ist.

Das Ziel: KI soll sicher, transparent und nachvollziehbar sein. Die EU will verhindern, dass KI-Systeme Grundrechte verletzen, Menschen diskriminieren oder unkontrolliert Entscheidungen treffen. Gleichzeitig soll Innovation nicht abgewürgt werden.

Der Kern der Verordnung ist ein risikobasierter Ansatz. Je höher das Risiko eines KI-Systems für Menschen und Gesellschaft, desto strenger die Regeln. Ein simpler Spam-Filter wird anders behandelt als eine KI, die über Kreditwürdigkeit oder Jobzusagen entscheidet.

Für dich als Marketing- oder Unternehmensverantwortliche heißt das: Nicht jedes Tool, das ihr nutzt, löst die gleichen Pflichten aus. Aber ihr müsst wissen, in welche Kategorie eure Systeme fallen.

Wann gilt die KI-Verordnung? Zeitplan und Übergangsfristen

Die KI-Verordnung ist am 1. August 2024 in Kraft getreten. Sie greift aber nicht auf einen Schlag, sondern gestuft über mehrere Jahre. Das gibt Unternehmen Zeit, sich vorzubereiten.

Hier der Fahrplan im Überblick:

• Ab 2. Februar 2025: Die Verbote für inakzeptable KI-Praktiken gelten. Systeme wie Social Scoring sind seitdem untersagt.
• Ab 2. August 2025: Regeln für KI-Modelle mit allgemeinem Verwendungszweck (General Purpose AI, etwa große Sprachmodelle) treten in Kraft.
• Ab 2. August 2026: Die meisten übrigen Pflichten greifen, darunter zentrale Vorgaben für Hochrisiko-Systeme und Transparenzpflichten.
• Ab 2. August 2027: Die letzten Übergangsfristen laufen aus, insbesondere für bestimmte Hochrisiko-Systeme in regulierten Produkten.

Stand August 2026 seid ihr also mitten in der heißen Phase. Ein großer Teil der Pflichten ist gerade aktiv geworden. Wer jetzt noch keine Bestandsaufnahme gemacht hat, sollte das schnell nachholen.

Prüfe die exakten Fristen bitte an der Primärquelle: offizieller Text der KI-Verordnung.

Wen betrifft die KI-Verordnung?

Kurz gesagt: fast jeden, der mit KI zu tun hat. Die Verordnung unterscheidet mehrere Rollen, und je nach Rolle gelten unterschiedliche Pflichten.

• Anbieter (Provider): Wer ein KI-System entwickelt und unter eigenem Namen auf den Markt bringt. Sie tragen die meisten Pflichten.
• Betreiber (Deployer): Wer ein KI-System beruflich einsetzt. Das seid im Zweifel ihr, wenn ihr fremde KI-Tools im Unternehmen nutzt.
• Importeure und Händler: Wer KI-Systeme aus dem Ausland einführt oder in der EU vertreibt.

Wichtig für die Praxis: Auch wenn ihr KI nur einsetzt statt entwickelt, seid ihr Betreiber und habt Verantwortung. Nutzt ihr etwa ein KI-Tool zur Vorauswahl von Bewerbungen, greift ein ganzes Pflichtenpaket.

Und der Geltungsbereich reicht über die EU hinaus. Ein US-Anbieter, dessen KI-Produkt Menschen in der EU betrifft, fällt ebenfalls unter die Verordnung. Dazu später mehr im FAQ.

Auch KMU sind betroffen. Es gibt Erleichterungen, aber keine pauschale Ausnahme.

Der risikobasierte Ansatz: Vier Risikostufen im Überblick

Das Herzstück der KI-Verordnung sind vier Risikoklassen. Sie entscheiden, wie streng ein System reguliert wird.

1. Inakzeptables Risiko: Verboten. Diese Systeme dürfen in der EU nicht eingesetzt werden.
2. Hochrisiko: Erlaubt, aber mit strengen Auflagen. Dokumentation, Risikomanagement, menschliche Aufsicht.
3. Begrenztes Risiko: Transparenzpflichten. Nutzer müssen wissen, dass sie mit KI interagieren.
4. Minimales Risiko: Keine besonderen Pflichten. Hierunter fällt der Großteil alltäglicher KI, etwa Spam-Filter oder KI in Videospielen.

Ein Beispiel aus dem Marketing-Alltag: Ein KI-Chatbot auf eurer Website fällt in der Regel unter begrenztes Risiko. Ihr müsst offenlegen, dass Nutzer mit einer Maschine schreiben, nicht mit einem Menschen. Nutzt ihr KI dagegen im Recruiting zur Bewertung von Kandidaten, landet ihr schnell im Hochrisiko-Bereich.

Die meisten Marketing-Tools bewegen sich im minimalen oder begrenzten Bereich. Das ist die gute Nachricht.

Verbotene KI-Praktiken: Was ist künftig nicht mehr erlaubt?

Einige KI-Anwendungen sind seit Februar 2025 komplett untersagt. Sie gelten als zu gefährlich für Grundrechte und Demokratie.

Dazu zählen unter anderem:

• Social Scoring durch Behörden, also die Bewertung von Menschen nach ihrem Verhalten
• KI, die Menschen manipuliert oder ihre Schwächen gezielt ausnutzt
• Ungezielte Sammlung von Gesichtsbildern aus dem Internet zum Aufbau von Erkennungsdatenbanken
• Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen (mit engen Ausnahmen)
• Bestimmte Formen biometrischer Echtzeit-Fernidentifizierung im öffentlichen Raum

Für normale B2B-Anwendungen sind diese Verbote selten relevant. Trotzdem lohnt der Blick: Wer etwa Emotionsanalyse in Bewerbungsgesprächen erwägt, sollte hier genau hinschauen. Die vollständige Liste steht in Artikel 5 der KI-Verordnung.

Hochrisiko-KI: Welche Systeme fallen darunter?

Hochrisiko-KI trifft Entscheidungen, die das Leben von Menschen stark beeinflussen. Genau deshalb gelten hier die härtesten Auflagen.

Typische Beispiele:

• Bewerbermanagement: KI, die Lebensläufe sortiert oder Kandidaten bewertet
• Kreditwürdigkeitsprüfung: Systeme, die über Kredite oder Konditionen entscheiden
• Medizinische Diagnostik: KI als Teil von Medizinprodukten
• KI in kritischer Infrastruktur, etwa in der Energie- oder Wasserversorgung

Wer solche Systeme betreibt, muss einiges leisten: ein Risikomanagementsystem, saubere Datenqualität, technische Dokumentation, menschliche Aufsicht und Protokollierung. Anbieter brauchen zusätzlich eine Konformitätsbewertung.

Für dich als Betreiber heißt das konkret: Prüfe, ob ihr irgendwo KI im Recruiting oder in kundenkritischen Entscheidungen einsetzt. Genau diese Fälle rutschen leicht in die Hochrisiko-Klasse, ohne dass es jemandem bewusst ist.

Transparenzpflichten und CE-Kennzeichnung

Bei KI mit direktem Nutzerkontakt gilt eine klare Regel: Menschen müssen erkennen, dass sie mit KI zu tun haben.

Das betrifft vor allem:

• Chatbots: Nutzer müssen wissen, dass sie mit einer KI schreiben.
• KI-generierte Inhalte: Texte, Bilder, Audio oder Video müssen als künstlich erzeugt markiert sein, besonders bei Deepfakes.
• Emotionserkennung und biometrische Kategorisierung: Betroffene müssen informiert werden.

Für Marketing-Teams ist das direkt relevant. Wenn ihr KI-Content produziert oder einen Chatbot auf der Website betreibt, gehört ein deutlicher Hinweis dazu. Das ist kein Nice-to-have, sondern Pflicht.

Die CE-Kennzeichnung kommt bei Hochrisiko-Systemen ins Spiel. Sie zeigt, dass ein System die Anforderungen der Verordnung erfüllt, ähnlich wie bei Produktsicherheit. Für reine Betreiber von Standard-Marketing-Tools ist das meist kein Thema. Für Anbieter und Entwickler dagegen schon.

Was bedeutet die KI-Verordnung konkret für dein Unternehmen?

Kein Blindflug, keine Panik. Aber Klarheit. Hier sind die ersten Schritte, die für die meisten B2B-Unternehmen sinnvoll sind:

1. Bestandsaufnahme machen. Listet auf, welche KI-Systeme ihr nutzt. Vom Chatbot über KI-Texttools bis zur Recruiting-Software. Oft ist mehr im Einsatz, als man denkt.
2. Risikoklasse zuordnen. Ordnet jedes System einer der vier Stufen zu. Das zeigt euch sofort, wo Handlungsbedarf besteht.
3. Zuständigkeiten klären. Legt fest, wer im Team für KI-Compliance verantwortlich ist. Ohne klare Rolle bleibt es liegen.
4. KI-Kompetenz aufbauen. Die Verordnung verlangt, dass Mitarbeitende ausreichend KI-Kompetenz haben. Schulungen sind hier ein direkter Hebel.
5. Dokumentation und Prozesse aufsetzen. Besonders für Systeme im begrenzten oder Hochrisiko-Bereich.

Genau an diesem Punkt setzt der Enablement-Ansatz von sign:up an. Statt euch dauerhaft abhängig zu machen, befähigen wir eure Teams durch Workshops und Coaching, KI-Themen selbst zu verstehen und zu steuern. Ihr baut internes Wissen auf, das bleibt. Wenn ihr euer Website- und Marketing-System sauber aufstellen wollt, samt Tracking, Automation und klarer Kennzeichnung, findet ihr hier den Rahmen: Leistung Marketing Beratung und Enablement.

Die KI-Verordnung ist kein Bremsklotz. Sie ist ein Anlass, eure Prozesse endlich sauber aufzustellen.

KI-Verordnung und DSGVO: Wie hängt beides zusammen?

Kurz: Beide Regelwerke ergänzen sich, ersetzen sich aber nicht. Die DSGVO schützt personenbezogene Daten. Die KI-Verordnung reguliert KI-Systeme als solche, unabhängig davon, ob Daten personenbezogen sind.

Wo überschneiden sie sich? Immer dann, wenn eine KI mit personenbezogenen Daten arbeitet. Ein Recruiting-Tool verarbeitet Bewerberdaten (DSGVO) und ist zugleich potenziell Hochrisiko-KI (KI-Verordnung). Beide Gesetze greifen parallel.

Die gute Nachricht: Wenn ihr eure DSGVO-Hausaufgaben gemacht habt, seid ihr nicht bei null. Viele Strukturen lassen sich nutzen:

• Ein bestehendes Verzeichnis von Verarbeitungstätigkeiten hilft bei der KI-Bestandsaufnahme.
• Prozesse für Datenqualität und Dokumentation greifen ineinander.
• Eure Datenschutzverantwortlichen sind gute Ansprechpartner für KI-Compliance.

Der Unterschied: Die KI-Verordnung geht über Datenschutz hinaus. Sie fordert etwa menschliche Aufsicht, Risikomanagement und Transparenz über die Funktionsweise. Das sind neue Pflichten, die die DSGVO so nicht kennt. Mehr zum Datenschutz-Fundament findet ihr im Leitfaden DSGVO.

Häufige Fragen zur KI-Verordnung (FAQ)

Ab wann gilt die KI-Verordnung verbindlich?

Die KI-Verordnung gilt gestuft: Sie trat am 1. August 2024 in Kraft, die Verbote greifen seit 2. Februar 2025, Regeln für allgemeine KI-Modelle seit 2. August 2025. Die meisten weiteren Pflichten gelten ab 2. August 2026, letzte Fristen laufen bis 2. August 2027.

Gilt die KI-Verordnung auch für Unternehmen außerhalb der EU?

Ja. Die KI-Verordnung gilt auch für Anbieter und Betreiber außerhalb der EU, sobald ihre KI-Systeme im EU-Markt eingesetzt werden oder ihre Ergebnisse in der EU verwendet werden. Ein US-Anbieter mit KI-Produkten für EU-Kunden fällt damit unter die Regeln.

Was passiert bei Verstößen gegen die KI-Verordnung?

Verstöße können teuer werden. Bei verbotenen KI-Praktiken drohen Bußgelder von bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Für andere Verstöße gelten gestaffelt niedrigere, aber weiterhin empfindliche Summen.

Welche KI-Systeme sind von der KI-Verordnung ausgenommen?

Ausgenommen sind unter anderem KI-Systeme für rein militärische oder verteidigungsbezogene Zwecke, reine Forschung und Entwicklung sowie KI zur ausschließlich privaten Nutzung. Für bestimmte freie und quelloffene Modelle gelten Erleichterungen, sofern sie nicht als Hochrisiko- oder verbotene Systeme eingesetzt werden.

Muss ich als kleines Unternehmen die KI-Verordnung beachten?

Ja, auch KMU müssen die KI-Verordnung beachten. Es gibt zwar Erleichterungen, etwa vereinfachte Dokumentation und bevorzugten Zugang zu Reallaboren, aber keine pauschale Ausnahme. Sobald ihr KI im Hochrisiko-Bereich betreibt oder Transparenzpflichten auslöst, seid auch ihr in der Pflicht.

Dein nächster Schritt

Die KI-Verordnung ist kein Grund für Aktionismus, aber ein Grund, dein Marketing-System sauber aufzustellen. Wer heute weiß, welche KI-Tools im Einsatz sind und wie sie eingeordnet werden, spart sich später Stress und Nachbesserung.

Genau das ist unser Job: kein isoliertes Webdesign, sondern ein integriertes System aus Website, SEO, Ads, Automation und internem Enablement, mit dem euer Team selbst steuern kann. Mit 24 Jahren B2B-Erfahrung wissen wir, wie man Compliance und planbare Anfragen zusammenbringt, statt sie gegeneinander auszuspielen.

Willst du wissen, wo dein Marketing-Setup steht? Erstgespräch buchen und wir schauen gemeinsam drauf. Kein Bauchgefühl, kein Blindflug.

Hinweis: Dieser Artikel ist eine allgemeine Orientierung und ersetzt keine Rechtsberatung. Für verbindliche Auskünfte zur KI-Verordnung wende dich an eine Fachanwältin oder einen Fachanwalt.

Dieser Inhalt ist in Zusammenarbeit zwischen KI (generiert und modifiziert) und Mensch entstanden.