EU AI Act & KomplAI — häufige Fragen

Die EU-KI-Verordnung (Verordnung (EU) 2024/1689, „AI Act“) ist das erste umfassende KI-Gesetz der EU. Sie stuft KI-Systeme nach Risiko ein — von verboten über hochriskant und transparenzpflichtig bis minimal — und knüpft daran gestaffelte Pflichten. Sie ist am 1. August 2024 in Kraft getreten und gilt schrittweise.

Er gilt extraterritorial: Betroffen ist jedes Unternehmen, das KI-Systeme entwickelt (Anbieter) oder einsetzt (Betreiber), wenn deren Ergebnisse Menschen in der EU betreffen — unabhängig vom Unternehmenssitz. Auch Einführer und Händler haben Pflichten.

Vier: verbotene Praktiken (z. B. Social Scoring), Hochrisiko-Systeme (Anhang III, z. B. Bewerberauswahl oder Kreditvergabe), Systeme mit Transparenzpflichten (z. B. Chatbots) und minimales Risiko (z. B. Spamfilter). Je höher das Risiko, desto strenger die Pflichten.

In der Regel ja — meist als transparenzpflichtiges System: Nutzer müssen erkennen können, dass sie mit einer KI interagieren (Art. 50). Wird der Chatbot aber in einem Hochrisiko-Bereich nach Anhang III eingesetzt (etwa in der Personalauswahl oder Kreditvergabe), kann er selbst zum Hochrisiko-System werden. Die Stufe hängt vom Einsatzzweck ab.

Gestaffelt: Verbote und KI-Kompetenzpflichten gelten seit dem 2. Februar 2025; Pflichten für KI-Modelle mit allgemeinem Verwendungszweck (GPAI) seit dem 2. August 2025; die meisten Hochrisiko- und Transparenzpflichten ab dem 2. August 2026; Hochrisiko-Systeme in regulierten Produkten (Anhang I) ab dem 2. August 2027.

Bis zu 35 Mio. € oder 7 % des weltweiten Jahresumsatzes bei verbotenen Praktiken; bis zu 15 Mio. € oder 3 % bei Verstößen gegen die meisten anderen Pflichten; bis zu 7,5 Mio. € oder 1 % bei falschen Angaben gegenüber Behörden. Es gilt jeweils der höhere Betrag.

Hochriskant sind vor allem KI-Systeme in den von Anhang III genannten Bereichen — etwa Beschäftigung, Bildung, Kreditwürdigkeit, Strafverfolgung, Migration oder kritische Infrastruktur — sowie KI als Sicherheitskomponente in regulierten Produkten (Anhang I). Für sie gelten u. a. Risikomanagement, Daten-Governance, technische Dokumentation und menschliche Aufsicht.

Nutzer müssen informiert werden, wenn sie mit einer KI interagieren (z. B. Chatbots), und KI-erzeugte oder -manipulierte Inhalte (etwa Deepfakes) müssen als solche gekennzeichnet werden. Diese Pflichten gelten zusätzlich — auch für Systeme, die sonst nur „begrenztes Risiko“ tragen.

Sie gelten nebeneinander. Der AI Act regelt Sicherheit und Konformität von KI-Systemen, die DSGVO den Schutz personenbezogener Daten (relevant, sobald KI solche Daten verarbeitet) und DORA die digitale operationale Resilienz im Finanzsektor. KomplAI prüft gegen alle drei Regelwerke.

KomplAI prüft Ihre Dokumente und Ihren Quellcode gegen EU AI Act, DORA und DSGVO. Jeder Normverweis wird maschinell gegen die amtlichen EUR-Lex-Texte belegt; ein optionaler Verifikations-Pass prüft die Befunde ein zweites Mal. Ergebnis sind nachvollziehbare, mandantenfertige Berichte mit Risikoeinstufung und Pflichtenabgleich — in Minuten.

Nein. KomplAI liefert fachliche Hilfsergebnisse, die eine menschliche Prüfung vorbereiten, aber keine Rechtsberatung ersetzen. Optional können die Befunde vor einer Entscheidung von einem Datenschutzexperten mit über 10 Jahren Erfahrung durchgesehen werden.

Starten Sie mit dem kostenlosen Risiko-Check: In unter zwei Minuten erfahren Sie, in welche Risikoklasse Ihr KI-System fällt — ohne Anmeldung. Danach können Sie mit einem kostenlosen Analyse-Credit einen vollständigen Bericht erstellen.