Zeitplan im Überblick

Die europäische Verordnung über künstliche Intelligenz (KI-Verordnung), seit dem 1. August 2024 in Kraft, gilt stufenweise. Der 2. August 2026 bildet eine weitere Stufe mit drei Schwerpunkten: Nutzer darüber zu informieren, dass sie es mit einer KI zu tun haben; von solchen Werkzeugen erzeugte oder veränderte Inhalte nachvollziehbar zu machen; und der Europäischen Kommission unmittelbare Kontrollbefugnisse gegenüber großen Allzweckmodellen einzuräumen. Die weitreichendsten Pflichten – jene für Hochrisikosysteme – wurden verschoben.

Bereits geltendes Recht
Seit dem 2. Februar 2025 sind mehrere Anwendungen untersagt: manipulative Techniken, die Ausnutzung schutzbedürftiger Personen, Social Scoring, das massenhafte Zusammentragen von Gesichtsbildern sowie bestimmte Formen der Emotionserkennung und der biometrischen Kategorisierung. Die biometrische Echtzeit-Identifizierung im öffentlichen Raum ist nur in eng umgrenzten Fällen zulässig. Arbeitgeber müssen zudem sicherstellen, dass ihre Beschäftigten Funktionsweise, Grenzen und Risiken der eingesetzten KI-Werkzeuge verstehen. Seit dem 2. August 2025 gelten die Regelungen zu Allzweckmodellen, zur Governance und zum allgemeinen Sanktionsrahmen. DSGVO, Arbeitsrecht, Urheberrecht, Verbraucherschutz und Diskriminierungsverbot bleiben selbstverständlich daneben anwendbar.

Neu ab dem 2. August 2026

Dialogsysteme — Nutzer müssen darauf hingewiesen werden, dass sie mit einer Maschine sprechen, sofern dies nicht offensichtlich ist. Der Hinweis muss verständlich und zum richtigen Zeitpunkt erfolgen; verpflichtet ist der Anbieter des Chatbots.

Kennzeichnung von Inhalten — von automatisierten Systemen erzeugte Bilder, Videos, Töne und Texte müssen eine technische Spur tragen: Metadaten, Herkunftsangaben oder ein Wasserzeichen. Die Kennzeichnung richtet sich an Prüfwerkzeuge, nicht zwingend an das Publikum: ein durchgängig sichtbarer Hinweis „KI-generiert” ist somit nicht vorgeschrieben. Sie muss geringfügige Bearbeitungen überdauern (Beschnitt, Helligkeitskorrektur, Formatänderung). Die Pflicht trifft die Anbieter; wer den Inhalt anschließend weiterverwendet oder verändert, ist nicht ausdrücklich zur Erhaltung der Markierung verpflichtet. Ab dem 2. August 2026 in Verkehr gebrachte Systeme müssen die Vorgaben sogleich erfüllen; bereits im Umlauf befindliche haben Zeit bis zum 2. Dezember 2026.

Deepfakes — hier gilt ein strengerer Maßstab: über die technische Kennzeichnung hinaus ist das Publikum ausdrücklich über den künstlichen Charakter des Inhalts zu unterrichten, sobald eine identifizierbare Person dargestellt wird. Die Pflicht betrifft allein Betreiber im beruflichen Kontext; rein privater Gebrauch bleibt ausgenommen. Bei künstlerischen, satirischen oder fiktionalen Werken genügt ein dezenter Hinweis – etwa im Abspann –, um die Wirkung des Werks nicht zu zerstören.

KI-erzeugte Texte — eine Kennzeichnungspflicht besteht nicht durchweg. Sie greift bei Informationsveröffentlichungen von allgemeinem Interesse – politisches Leben, Wahlergebnisse, öffentliche Gesundheit, Sicherheit, Wirtschaft und Finanzen, Umwelt, Justiz, öffentliche Dienstleistungen, bedeutende wissenschaftliche oder kulturelle Debatten –, wenn der Text ohne wirksame menschliche Prüfung von einer KI erzeugt oder tiefgreifend umgearbeitet wurde. Ziel ist nicht, KI beim Schreiben zu verbieten, sondern dem Leser eine Einschätzung ihres Anteils zu ermöglichen.

Emotionen und Biometrie — diese Technologien sind als solche nicht verboten. Ein Unternehmen, das sie einsetzt, muss künftig die betroffenen Personen informieren. Untersagt bleibt ihr Einsatz allerdings seit 2025 am Arbeitsplatz und in Bildungseinrichtungen, außer aus medizinischen oder Sicherheitsgründen: ein Arbeitgeber darf so nicht die Motivation seiner Beschäftigten bewerten, eine Schule nicht die Aufmerksamkeit ihrer Schüler. Das Entsperren eines Telefons per Gesicht oder eine Zugangskontrolle im rechtlichen Rahmen bleiben zulässig, vorbehaltlich der DSGVO und der Vorschriften zum Schutz der Privatsphäre.

Allzweckmodelle — die Europäische Kommission wird zusätzliche Auskünfte verlangen, die Einhaltung der Vorgaben überprüfen und Geldbußen verhängen können. Erfasst sind Modelle, die nach dem 2. August 2025 in Verkehr gebracht wurden; frühere Generationen haben bis zum 2. August 2027 Zeit. Diese Pflichten treffen die Modellanbieter, nicht die Unternehmen, die sie einbinden.

Hochrisikosysteme: Verschiebung
Aufgrund der im Juni 2026 beschlossenen Verschiebung greifen die wesentlichen Pflichten für Hochrisikosysteme – Bewerberauswahl, Schulzulassung, Kreditwürdigkeitsprüfung, Steuerung von Migrationsbewegungen – erst am 2. Dezember 2027. Systeme, die als Sicherheitsbauteile in regulierten Produkten dienen (Medizinprodukte, Spielzeug, Aufzüge), werden ab dem 2. August 2028 erfasst.

Sanktionen
Der allgemeine Rahmen gilt seit dem 2. August 2025: die nationalen Behörden können verbotene Praktiken mit bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes ahnden. Ab dem 2. August 2026 können Verstöße gegen die Transparenzpflichten – nicht ausgewiesener Chatbot, nicht gekennzeichneter Deepfake, fehlender Hinweis auf generierte Inhalte – Geldbußen von bis zu 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes nach sich ziehen. Die nationalen Behörden überwachen Entwickler, Händler und Nutzer von KI-Systemen; die Kommission geht unmittelbar gegen Anbieter von Allzweckmodellen vor, insbesondere bei Weigerung, Informationen zu übermitteln oder sich einer Bewertung zu unterziehen.