Die Verordnung errichtet vier Hauptstufen: verbotene Praktiken, streng geregelte Hochrisikosysteme, Anwendungen mit begrenztem Risiko, die Transparenzpflichten auslösen, und Modelle mit allgemeinem Verwendungszweck (GPAI). Die Anwendung ist gestuft; die Verbote und die KI-Kompetenz gelten seit Anfang 2025, die GPAI-Regeln seit August 2025. Mit dem Digital-Omnibus (2026) wurden die Hochrisikopflichten des Anhangs III auf den 2. Dezember 2027 und die des Anhangs I auf den 2. August 2028 verschoben; die Transparenzpflichten des Artikels 50 beginnen am 2. August 2026.
Unternehmen, die KI entwickeln
Als Anbieter tragen sie Pflichten zu technischer Dokumentation, Risikomanagement und Konformitätsbewertung.
Unternehmen, die KI einsetzen
Als Betreiber entstehen Pflichten zum weisungsgemäßen Einsatz, zur menschlichen Aufsicht und zur Protokollierung.
Verkauf aus der Türkei in die EU
Bei Systemen, deren Ausgabe in der Union verwendet wird, sind auch türkische Anbieter Adressaten der Verordnung; ein Bevollmächtigter kann erforderlich sein.
- 01Bestandsaufnahme und Einstufung der Systeme vornehmen; für jedes System die Risikoklasse und die eigene Rolle bestimmen.
- 02Qualitätsmanagement im Hochrisikobereich einrichten: Daten-Governance, technische Dokumentation, Protokollierung, menschliche Aufsicht, Genauigkeit und Cybersicherheit.
- 03Transparenzkennzeichnungen umsetzen; Information der betroffenen Personen bei Chatbots und generierten Inhalten.
- 04KI-Kompetenz sicherstellen; ausreichende Schulung des Personals, das mit den Systemen arbeitet.
Überblick
Die EU-KI-Verordnung — international unter der Bezeichnung AI Act geführt — ist die Regelung, die der künstlichen Intelligenz den ersten umfassenden und verbindlichen Rahmen gibt. Rechtsgrundlage ist die Verordnung (EU) 2024/1689 (ABl. L vom 12.07.2024); sie ist am 01.08.2024 in Kraft getreten und wird gestuft anwendbar. Ihr Ansatz ist risikobasiert: Maßgeblich ist nicht, was ein System technisch ist, sondern in welchem Zusammenhang und mit welchem Risiko es eingesetzt wird. Die Pflichten sind auf die Rollen des Anbieters, des Einführers, des Händlers und des Betreibers verteilt.
Risikostufen
Anwendungen mit unannehmbarem Risiko — etwa bestimmte Formen des Social Scoring und manipulative Techniken — sind verboten. Hochrisiko-KI-Systeme in den Bereichen des Anhangs III, also unter anderem Beschäftigung, Kreditvergabe, Bildung und kritische Infrastruktur, unterliegen strengen Anforderungen. Für Einsatzformen wie Chatbots und generierte Inhalte gelten Transparenzpflichten; für Modelle mit allgemeinem Verwendungszweck greift mit dem GPAI-Regime ein eigener Pflichtenkreis.
Gestufter Zeitplan
| Datum | Was wirksam wird |
|---|---|
| 02.02.2025 | Verbotene Praktiken und KI-Kompetenz (Art. 4) |
| 02.08.2025 | GPAI-Pflichten, Governance und Sanktionsrahmen |
| 02.08.2026 | Transparenzpflichten des Art. 50 (für bereits im Verkehr befindliche Systeme Kennzeichnung bis 02.12.2026) |
| 02.12.2027 | Hauptpflichten für Hochrisikosysteme des Anhangs III — durch den Digital-Omnibus verschoben |
| 02.08.2028 | Hochrisikosysteme, die in Produktvorschriften eingebettet sind (Anhang I) |
Worauf es auf der türkischen Seite ankommt
Die Verordnung reicht räumlich weit: Der Anwendungsbereich kann bereits dann eröffnet sein, wenn die Ausgabe eines Systems eines in der Türkei ansässigen Unternehmens in der Union verwendet wird. Bei Produkten, die auf den EU-Markt zielen, ist die Bestimmung der eigenen Rolle und der Risikoklasse deshalb der erste Schritt.
Fahrplan
Die von uns empfohlene Reihenfolge: Bestandsaufnahme der eingesetzten Systeme sowie Bestimmung von Rolle und Risikoklasse; Prüfung auf verbotene Praktiken; eine Nutzungsrichtlinie und festgelegte Schwellen für die menschliche Aufsicht; Aufnahme von Compliance-Zusagen in die Beschaffungsverträge; und bei Kandidaten für die Hochrisikoeinstufung eine Planung der technischen Dokumentation, die den verschobenen Termin im Dezember 2027 nicht abwartet. Wer diese Arbeit in einem Rahmen zusammen mit der Compliance nach dem türkischen Datenschutzgesetz (KVKK, Nr. 6698) und nach der DSGVO führt, vermeidet doppelten Aufwand.
Sanktionen
Der Sanktionsrahmen ist dreistufig: bei verbotenen Praktiken bis zu 35 Mio. Euro oder 7 % des weltweiten Jahresumsatzes; bei sonstigen Pflichtverstößen bis zu 15 Mio. Euro oder 3 %; bei irreführenden Angaben gegenüber den Behörden bis zu 7,5 Mio. Euro oder 1 %. Maßgeblich ist jeweils der höhere Betrag. Für kleine und mittlere Unternehmen werden die Beträge in der für sie günstigeren Weise angewandt.
Verwandte Inhalte
Für einen Umsetzungsplan sehen Sie unseren Fahrplan zum AI Act, für den rechtlichen Gesamtrahmen unseren Schwerpunkt Künstliche Intelligenz. Die Datenseite ist zusammen mit den Einträgen zur DSGVO und zum türkischen Datenschutzgesetz (KVKK) zu lesen.
Inkrafttreten & Änderungshistorie
- 02.12.2027
Hauptpflichten für Hochrisikosysteme (Anhang III)
Die durch den Digital-Omnibus vom 02.08.2026 verschobenen Hauptpflichten des Anhangs III werden anwendbar; für Hochrisikosysteme, die in Produktvorschriften eingebettet sind (Anhang I), gilt der 02.08.2028.
- 02.08.2026
Transparenzpflichten des Art. 50
Die Transparenz- und Kennzeichnungsregeln für Chatbots und generierte Inhalte beginnen; für bereits im Verkehr befindliche Systeme wurde für die Kennzeichnung Zeit bis zum 02.12.2026 eingeräumt.
- 02.08.2025
GPAI-Regeln
Für Modelle mit allgemeinem Verwendungszweck gelten Pflichten zu Transparenz, zur Urheberrechtspolitik und zu einer Zusammenfassung der Trainingsdaten.
- 02.02.2025
Verbote und KI-Kompetenz
Praktiken mit unannehmbarem Risiko wurden verboten; die grundlegende Pflicht zur KI-Kompetenz begann.
Amtliche Quellen
Verordnungstext · EUR-Lex AI ActBüro für Künstliche Intelligenz · Europäische Kommission ec.europa.eu
