Was die KI-Ver­ord­nung verlangt

Kapitel 01 klärt, was ein KI-System im Sinne des Gesetzes ist, und sagt dann einen Satz, der offenbleibt: An der Bestimmung hängen Pflichten, und welche gelten, richtet sich nach der Risikoklasse. Welche Klassen es gibt, steht dort nicht. Dieses Kapitel nennt sie.

Vorweg, was hier nicht steht: Das ist eine Einordnung und keine Rechtsberatung. Wer eine verbindliche Auskunft für den eigenen Fall braucht, holt sie sich bei jemandem, der dafür haftet.

Vier Stufen, und die Technik entscheidet keine davon

Die Kommission fasst den Aufbau auf ihrer Übersichtsseite (externe Seite, digital-strategy.ec.europa.eu) in einem Satz zusammen: Die Verordnung kennt vier Risikostufen für KI-Systeme. Von oben nach unten sind das: unannehmbares Risiko, hohes Risiko, Transparenzrisiko, minimales Risiko.

Zwischen den Stufen entscheidet die Verwendung. Das Verfahren bleibt dabei außer Betracht: Dasselbe Modell kann in einer Anwendung minimal und in der nächsten hochriskant sein.

Die oberste Stufe ist ein Verbot. Laut der Übersicht der Kommission (externe Seite, digital-strategy.ec.europa.eu) sind alle KI-Systeme verboten, die als klare Bedrohung für die Sicherheit, den Lebensunterhalt und die Rechte von Menschen gelten, und die Verordnung untersagt neun Praktiken.

Acht davon gelten seit Februar 2025. Die neunte hat die Ände­rungs­ver­ord­nung vom Sommer 2026 eingefügt, in zwei Buchstaben: Systeme, die intime Darstellungen einer bestimmbaren Person ohne deren ausdrückliche Zustimmung erzeugen, und Systeme, die Miss­brauchs­dar­stel­lungen von Kindern erzeugen. Beide gelten ab dem 2. Dezember 2026 (Beleg (externe Seite, eur-lex.europa.eu), Artikel 5 und 113). Welche Verbote die biometrischen Verfahren betreffen, steht in Kapitel 05.

Die zweite Stufe ist die, an der die eigentliche Arbeit hängt. Als hochriskant gelten nach der Übersicht der Kommission (externe Seite, digital-strategy.ec.europa.eu) Anwendungsfälle, die ernste Risiken für Gesundheit, Sicherheit oder Grundrechte bergen können.

Auch hier ist von Anwendungsfällen die Rede. Technik kommt darin nicht vor. Wie eine solche Einstufung im Einzelfall aussieht, zeigt Kapitel 04 an einem Klassifikator.

Die dritte Stufe verlangt, dass Menschen erkennen können, womit sie es zu tun haben. Sie steht ausführlich in Conversational AI, Kapitel 09. Wie ein erzeugtes Bild dafür gekennzeichnet wird, zeigt Grundkurs, Kapitel 14.

Die unterste Stufe ist die größte

Der Satz, der am seltensten genannt wird, steht auf derselben Übersichtsseite (externe Seite, digital-strategy.ec.europa.eu): Für KI mit minimalem oder keinem Risiko führt die Verordnung keine Regeln ein, und in diese Kategorie fällt die große Mehrheit der KI-Systeme, die derzeit in der EU genutzt werden.

Für die meisten Anwendungen endet die Prüfung damit. Ein Recht­schreib­pro­gramm, ein Spamfilter, eine Empfehlung im Warenkorb: keine Stufe, keine Pflicht aus dieser Verordnung, kein Artikel, den jemand aufschlagen muss.

Das ist die nützlichste Auskunft dieses Kapitels für den Alltag. Wer prüft, prüft von unten: Fällt der Fall in eine der oberen drei Stufen? Meistens ist die Antwort nein.

Die eine Pflicht, die alle trifft

Eine Regel steht quer zu den Stufen und gilt unabhängig davon, wo ein System einsortiert ist: Artikel 4, die KI-Kompetenz. Betreiber ist, wer ein KI-System einsetzt. Das trifft also jedes Unternehmen, in dem jemand ein Sprachmodell für die Arbeit benutzt, und es gilt seit dem 2. Februar 2025. Die Kommission zählt die Regel in ihren Leitlinien zur Begriffs­be­stim­mung (externe Seite, digital-strategy.ec.europa.eu) zu den ersten, die überhaupt anwendbar wurden, neben der Bestimmung des Begriffs KI-System und einer sehr kleinen Zahl verbotener Anwendungen mit unannehmbarem Risiko.

Der Wortlaut ist seit dem 27. Juli 2026 ein anderer. In der ursprünglichen Fassung (externe Seite, eur-lex.europa.eu) verlangte der Artikel von Anbietern und Betreibern Maßnahmen, mit denen sie nach besten Kräften dafür sorgen, dass die eigenen Beschäftigten und alle, die im Auftrag des Hauses KI-Systeme betreiben oder nutzen, genügend KI-Kompetenz besitzen.

Die Ände­rungs­ver­ord­nung hat ihn neu gefasst. Nach der geltenden Fassung (externe Seite, eur-lex.europa.eu) sollen Anbieter und Betreiber ihr Personal und die übrigen Personen in ihrem Auftrag dabei unterstützen, KI-Kompetenz aufzubauen.

Der Artikel sagt außerdem ausdrücklich, was er nicht verlangt: Anbieter und Betreiber müssen niemandem ein festgelegtes Niveau an KI-Kompetenz garantieren.

Die Umstände, die dabei zählen, stehen weiter im Text: Vorkenntnisse, Ausbildung, der Zusammenhang, in dem die Systeme eingesetzt werden, und seither auch die Personen, bei denen sie eingesetzt werden. Wie man die Pflicht erfüllt, will die Kommission an Beispielen zeigen: Laut dem neuen Artikel 4 (externe Seite, eur-lex.europa.eu) stellt sie dazu Praxisbeispiele auf die zentrale Infor­ma­ti­ons­platt­form, die Artikel 62 Absatz 3 Buchstabe b vorsieht.

Wer die Pflicht nach einer Darstellung von vor dem Sommer 2026 einschätzt, schätzt sie strenger ein, als sie heute im Gesetz steht.

Sieben Daten, und keines davon steht für die ganze Verordnung

Wer sagt, die KI-Verordnung gelte seit einem bestimmten Tag, sagt die halbe Sache: Sie wird gestaffelt anwendbar, und seit der Ände­rungs­ver­ord­nung vom Sommer 2026 in mehr Schritten als davor.

Die Frist für die Kennzeichnung steht in Artikel 111 (externe Seite, eur-lex.europa.eu). Wer ein KI-System anbietet, das synthetische Inhalte erzeugt (Ton, Bild, Video oder Text), und es vor dem 2. August 2026 auf den Markt gebracht hat, muss bis zum 2. Dezember 2026 die Kenn­zeich­nungs­pflicht aus Artikel 50 Absatz 2 erfüllen. Das gilt auch für Systeme mit allgemeinem Verwendungszweck.

Die beiden Hochrisiko-Termine stehen in Artikel 113 (externe Seite, eur-lex.europa.eu), und es sind zwei, weil die Verordnung zwei Wege in die Hochrisiko-Stufe kennt: über die Liste der Bereiche und über ein Produkt, das ohnehin einer Prüfung unterliegt. Systeme, die über die Bereichsliste hochriskant sind (Artikel 6 Absatz 2 mit Anhang III), trifft die Pflicht ab dem 2. Dezember 2027. Systeme, die als Teil eines Produkts hochriskant sind (Artikel 6 Absatz 1 mit Anhang I), trifft sie ab dem 2. August 2028.

Die Kommission nennt auf ihrer Übersichtsseite (externe Seite, digital-strategy.ec.europa.eu) den ersten davon: Ab dem 2. Dezember 2027 müssen Hochrisiko-Systeme strenge Pflichten erfüllen, bevor sie auf den Markt dürfen. Dort steht auch der Termin für die Modelle: Die Regeln für Modelle mit allgemeinem Verwendungszweck (GPAI) gelten seit August 2025.

Die beiden letzten Termine sind nicht die ursprünglichen. Die Ände­rungs­ver­ord­nung hat den Zeitplan gestreckt (Beleg (externe Seite, eur-lex.europa.eu)), und sie hat mit Artikel 4 zugleich eine Pflicht abgeschwächt, die schon galt. Wer ein Datum oder einen Wortlaut aus einer älteren Darstellung übernimmt, übernimmt möglicherweise den Stand davor.

Was in dieser Verordnung nicht steht

Sie regelt, unter welchen Bedingungen ein KI-System in der Union in Verkehr gebracht und betrieben werden darf. Drei Fragen beantwortet sie nicht:

Ob Sie diese Daten verarbeiten dürfen. Das entscheidet das Datenschutzrecht, und es gilt daneben weiter.

Wem gehört, was ein Modell aus fremdem Material gelernt hat. Das Urheberrecht ist ein eigenes Gebiet.

Wer haftet, wenn etwas schiefgeht. Auch das steht anderswo.

Die KI-Verordnung ersetzt keines dieser Gebiete. Sie kommt dazu.

Woran Sie Ihre Stufe festmachen

Fragen Sie nach der Verwendung, nicht nach der Technik. Die Stufe hängt daran, wofür ein System eingesetzt wird und wen die Entscheidung trifft.

Prüfen Sie von unten. Die überwiegende Mehrheit der Anwendungen liegt in der untersten Stufe, und dort führt die Verordnung keine Regeln ein.

Klären Sie Ihre Rolle. Anbieter und Betreiber haben verschiedene Pflichten, und wer ein zugekauftes System verändert, kann selbst zum Anbieter werden.

Nennen Sie zu jedem Datum, was an ihm greift. Ein Termin ohne die zugehörige Pflicht ist eine halbe Auskunft, und der Zeitplan ist schon einmal verschoben worden. Dasselbe gilt für einen Wortlaut: Artikel 4 hat seit dem Sommer 2026 einen anderen.

Die vier Stufen aus dem Überblick sind die Ordnung, nach der die Verordnung gebaut ist. Wer sie anwenden will, braucht drei weitere Dinge: woran die Einstufung im Einzelfall hängt, was an einer Stufe konkret hängt, und welche Regeln quer dazu stehen.

Die Einstufung hängt an der Zweckbestimmung

Dieselbe Technik landet in verschiedenen Stufen, je nachdem, wofür sie eingesetzt wird. Ein Sprachmodell, das Pro­dukt­be­schrei­bungen formuliert, liegt in der untersten Stufe. Dasselbe Modell, das Bewerbungen vorsortiert, liegt in der Hochrisiko-Stufe, weil der Bereich Beschäftigung dazugehört.

Das ist der Grund, warum in den Rechtstexten von Anwendungsfällen die Rede ist. Verfahren stehen dort nicht. Die Verordnung teilt KI-Systeme in Risikostufen ein, von verboten über hochriskant bis zu solchen mit Trans­pa­renz­pflichten (Beleg (externe Seite, digital-strategy.ec.europa.eu)). Die Zuordnung ergibt sich aus der Verwendung.

Für den Alltag folgt daraus eine Reihenfolge beim Prüfen. Zuerst die Frage, was das System im eigenen Haus tut, dann die Frage, wer von seinen Ausgaben betroffen ist, und erst dann der Blick in die Liste der Bereiche.

Was an einem Hochrisiko-System hängt

Hier liegt die Zusage, die Kapitel 01 gibt und offenlässt. Die Anforderungen, die ab Dezember 2027 und für Systeme in Produkten ab August 2028 vor dem Inverkehrbringen erfüllt sein müssen, sind sieben:

Ein Risikomanagement, das über die Lebensdauer des Systems läuft.

Datenqualität. Die Kommission verlangt in ihrer Anforderungsliste (externe Seite, digital-strategy.ec.europa.eu) hochwertige Datensätze für das System, damit das Risiko diskriminierender Ergebnisse möglichst klein bleibt. Was daran schwierig ist, steht in Kapitel 04: Verzerrungen im Material übernimmt das Verfahren.

Protokollierung, also eine Aufzeichnung der Vorgänge (externe Seite, digital-strategy.ec.europa.eu), damit sich Ergebnisse zurückverfolgen lassen. Nach­voll­zieh­bar­keit meint hier die Aufzeichnung des Betriebs. Die Erklärbarkeit einer einzelnen Ausgabe ist eine andere Frage, und warum, steht in Kapitel 03.

Technische Unterlagen, aus denen eine Behörde die Einhaltung beurteilen kann.

Information an den Betreiber, damit er das System bestimmungsgemäß einsetzen kann.

Menschliche Aufsicht durch angemessene Vorkehrungen (externe Seite, digital-strategy.ec.europa.eu), mit denen Menschen das System überwachen.

Genauigkeit, Robustheit und Cybersicherheit auf hohem Niveau.

Vier dieser sieben stehen wörtlich in der Zusage aus dem Nachbarkapitel: Daten, Protokollierung, Aufsicht und Kennzeichnung. Die Kennzeichnung gehört dabei zur dritten Stufe und trifft auch Systeme, die keine Hochrisiko-Systeme sind. Wer etwa einen Chatbot benutzt, soll nach der Übersicht der Kommission (externe Seite, digital-strategy.ec.europa.eu) erfahren, dass er mit einer Maschine zu tun hat, damit er informiert entscheiden kann.

Konformitätsbewertung, und das Zeichen an der Ware

An dieser Stelle wird sichtbar, in welcher Rechtsfamilie die Verordnung steht. Ein Hochrisiko-System kommt auf den Markt wie eine Bohrmaschine: Der Anbieter prüft die Einhaltung, stellt eine Kon­for­mi­täts­er­klä­rung aus und bringt ein Zeichen an. Für das CE-Zeichen schreibt die Verordnung (externe Seite, eur-lex.europa.eu) vor, dass es an einem Hochrisiko-System gut zu sehen, lesbar und auf Dauer angebracht ist.

Dasselbe Zeichen, das an Spielzeug und Waschmaschinen klebt. Die Verordnung ist Pro­dukt­si­cher­heits­recht, und daraus folgt ihre ganze Bauform: Anforderungen an das Produkt, ein Verfahren zum Nachweis, ein Zeichen als Ergebnis, eine Marktaufsicht dahinter.

Was nach dem Inverkehrbringen passiert, verteilt sich laut der Übersicht der Kommission (externe Seite, digital-strategy.ec.europa.eu) auf drei Rollen: Die Behörden überwachen den Markt, die Betreiber sorgen im Betrieb für menschliche Aufsicht und Beobachtung, und die Anbieter unterhalten ein System, das ihr Produkt nach dem Inverkehrbringen weiter beobachtet.

In Deutschland ist die Bundesnetzagentur für die Marktüberwachung zuständig (Beleg (externe Seite, bundesnetzagentur.de)).

Die zweite Achse: Modelle mit allgemeinem Verwendungszweck

Ein Modell hat keine Risikoklasse. Ein System hat eine. Das klingt nach Wortklauberei und ist die wichtigste Unterscheidung dieses Kapitels: Die vier Stufen gelten für KI-Systeme, also für Anwendungen mit einem Zweck. Sprachmodelle, die für vieles taugen, liegen auf einer eigenen Achse.

Für sie gelten eigene Pflichten, seit August 2025. Und innerhalb dieser Achse gibt es eine zweite Stufe: Einige dieser Modelle könnten nach der Übersicht der Kommission (externe Seite, digital-strategy.ec.europa.eu) systemische Risiken bergen, wenn sie sehr leistungsfähig oder weit verbreitet sind.

Wo die Schwelle dafür liegt und woran sie gemessen wird, steht in Kapitel 02. Welche Rolle hat, wer ein solches Modell nur über eine Schnittstelle in die eigene Anwendung einbaut, ordnet Nutzung und Anpassung von LLMs, Kapitel 06 in Ebene 3 ein.

Der Verhaltenskodex als Abkürzung

Für die Pflichten auf dieser zweiten Achse gibt es ein Angebot der Kommission, den Verhaltenskodex für GPAI (externe Seite, digital-strategy.ec.europa.eu). Er ist ein freiwilliges Werkzeug, von unabhängigen Fachleuten in einem Verfahren mit vielen Beteiligten erarbeitet, und soll der Industrie helfen, die Pflichten der Verordnung für Anbieter von Modellen mit allgemeinem Verwendungszweck einzuhalten.

Freiwillig, und trotzdem mit Wirkung: Anbieter, die ihn freiwillig unterzeichnen, können laut Kodexseite (externe Seite, digital-strategy.ec.europa.eu) über die Einhaltung des Kodex zeigen, dass sie die Verordnung einhalten. Wer unterzeichnet, führt den Nachweis über den Kodex statt auf eigenem Weg.

Der Kodex hat drei getrennt verfasste Kapitel, und sie richten sich an verschiedene Adressaten. Die Kapitel zu Transparenz und Urheberrecht bieten nach der Kodexseite (externe Seite, digital-strategy.ec.europa.eu) allen Anbietern von Modellen mit allgemeinem Verwendungszweck einen Weg, die Erfüllung ihrer Pflichten aus Artikel 53 nachzuweisen. Das dritte Kapitel zur Sicherheit gilt nur den wenigen Modellen mit systemischem Risiko. Was diese Häuser heute freiwillig veröffentlichen und wie sich das von der Dokumentation für die Behörde unterscheidet, steht in Beurteilen und Einordnen, Kapitel 07.

Veröffentlicht wurde er laut Kodexseite (externe Seite, digital-strategy.ec.europa.eu) am 10. Juli 2025, also drei Wochen vor dem Termin, an dem die Pflichten griffen.

Wo das Datenschutzrecht danebensteht

Zwei Gesetze, zwei Fragen. Die KI-Verordnung fragt, ob ein System in Verkehr gebracht und betrieben werden darf. Das Datenschutzrecht fragt, ob bestimmte Daten dafür verarbeitet werden dürfen.

Die Verordnung sagt das an mehreren Stellen selbst und lässt das Datenschutzrecht ausdrücklich unberührt (Beleg (externe Seite, eur-lex.europa.eu)). Beide Prüfungen sind also zu führen, und eine bestandene ersetzt die andere nicht.

Praktisch heißt das: Ein System in der untersten Risikostufe kann daten­schutz­recht­lich trotzdem unzulässig sein. Was Anbieter über den Umgang mit Eingaben zusagen, steht in Beurteilen und Einordnen, Kapitel 01.

Was daraus für die Praxis folgt

Die Stufe ergibt sich aus dem Einsatzzweck, und der kann sich ändern, ohne dass jemand die Technik anfasst.

Die Rolle entscheidet, welche Pflichten treffen. Anbieter, Betreiber, Einführer und Händler haben verschiedene, und die Zuordnung ist nicht immer die erwartete.

Ein Modell und ein System sind zwei Gegenstände. Wer beides in einen Satz packt, verwechselt zwei Regelwerke.

Die Termine gehören zur Auskunft. Die Hochrisiko-Pflichten greifen erst Ende 2027, für Systeme in Produkten im August 2028; die Pflicht zur KI-Kompetenz gilt seit Februar 2025, seit dem Sommer 2026 in abgeschwächter Fassung.

Produktsicherheitsrecht, und was daraus folgt

Die Einordnung in diese Rechtsfamilie erklärt mehr als jede Einzelregel. Wer ein Produkt in der Union in Verkehr bringt, hält Anforderungen ein, weist das nach und bringt ein Zeichen an; eine Behörde prüft im Markt nach. Genau dieses Muster liegt der KI-Verordnung zugrunde.

Daraus folgt dreierlei, und alles drei überrascht regelmäßig.

Der Adressat ist die Lieferkette, nicht die Technik. Pflichten treffen Anbieter, Einführer, Händler und Betreiber. Ein For­schungs­pro­totyp, der nie in Verkehr kommt, fällt weitgehend heraus. Dieselbe Rechtsfamilie erklärt auch, warum neben der KI-Verordnung ein zweites Gesetz für Maschinen mit lernenden Modellen steht; es steht in Kapitel 14.

Die Prüfung ist überwiegend eine Selbsterklärung. Für die meisten Hochrisiko-Fälle bewertet der Anbieter selbst und stellt die Kon­for­mi­täts­er­klä­rung aus. Eine unabhängige Stelle kommt nur in bestimmten Fällen dazu.

Der Hebel ist die Kon­for­mi­täts­ver­mu­tung. Wer eine harmonisierte Norm einhält, gilt als konform. Das ist der Punkt, an dem ein technischer Standard Rechtswirkung bekommt.

Und hier liegt der Zustand, den man kennen muss: Die Normen zur KI-Verordnung sind noch nicht fertig. Die Verordnung rechnet damit ausdrücklich und sieht einen Ausweichweg vor. Die Verordnung (externe Seite, eur-lex.europa.eu) nennt ihn für Anbieter von Modellen mit allgemeinem Verwendungszweck: Solange es weder Praxisleitfäden noch harmonisierte Normen gibt, sollen sie die Konformität zusätzlich auf anderen, angemessenen Wegen belegen können.

Der wichtigste Hebel der ganzen Bauform steht damit derzeit leer, und der Verhaltenskodex aus der Ebene davor ist die Zwischenlösung dafür.

Der Grenzfall: wer als Anbieter gilt

Die Rollenverteilung sieht klar aus und hat eine Stelle, an der sie kippt. Artikel 25 (externe Seite, eur-lex.europa.eu) zählt die Fälle auf, in denen Händler, Einführer, Betreiber oder andere Dritte im Sinne der Verordnung als Anbieter eines Hochrisiko-Systems gelten und damit dessen Pflichten übernehmen.

Drei Fälle stehen dort. Wer ein System unter eigenem Namen weitergibt, wer es wesentlich verändert, und wer seine Zweckbestimmung so ändert, dass es dadurch zu einem Hochrisiko-System wird.

Der dritte ist der praktisch heikle. Ein zugekauftes Sprachmodell in einer harmlosen Anwendung liegt in der untersten Stufe. Wird dieselbe Installation auf die Vorauswahl von Bewerbungen umgestellt, ist die Anwendung hochriskant, und die Pflichten treffen den, der umgestellt hat.

Es fällt niemandem auf, weil nichts installiert wird. Eine geänderte Zweckbestimmung ist eine Entscheidung im Fachbereich. Im Rechenzentrum fällt sie nicht.

Reallabore, und was sie tatsächlich anbieten

Für Anbieter, die ein System entwickeln und die Rechtslage unsicher finden, sieht die Verordnung einen kontrollierten Rahmen unter behördlicher Aufsicht vor. Die Erwartung daran ist regelmäßig zu hoch: Nach der Verordnung (externe Seite, eur-lex.europa.eu) behalten die zuständigen Behörden, die ein Reallabor beaufsichtigen, auch auf regionaler und lokaler Ebene alle Befugnisse, einzugreifen und Abhilfe zu verlangen.

Ein Reallabor verringert also Unsicherheit: Es bietet Zugang zu einer Behörde, die den Fall kennt, und eine Begleitung während der Entwicklung. Die Pflichten bleiben dieselben. Wer damit einen Freibrief erwartet, liest den Text falsch.

Was daraus nicht folgt

Aus einer Einstufung in die unterste Stufe folgt keine Erlaubnis. Datenschutzrecht, Urheberrecht und Arbeitsrecht gelten daneben weiter, und jedes davon kann denselben Fall verbieten.

Aus dem CE-Zeichen folgt keine geprüfte Qualität. Es sagt, dass der Anbieter die Konformität erklärt hat. Was ein Prüfergebnis über ein System aussagt und was nicht, steht in Beurteilen und Einordnen, Kapitel 04.

Aus einer verschobenen Frist folgt keine Entwarnung. Die Pflicht zur KI-Kompetenz und acht der neun Verbote gelten seit Februar 2025, unabhängig von allem, was 2027 und 2028 dazukommt.

Aus der Rolle im Vertrag folgt nicht die Rolle im Gesetz. Wer ein System umwidmet, wird zum Anbieter, auch wenn im Vertrag etwas anderes steht.

Aus diesem Kapitel folgt keine Rechtsauskunft. Es ordnet ein, wie das Regelwerk gebaut ist. Für den eigenen Fall entscheidet der Wortlaut, und den liest jemand, der dafür einsteht.