Thema · KI-Verordnung (EU) 2024/1689

KI-Verordnung: Diese Pflichten gelten jetzt.

Die Verordnung (EU) 2024/1689 gilt seit dem 2. August 2026 im Grundsatz vollständig — und wenige Wochen zuvor hat die Digital-Omnibus-Verordnung (EU) 2026/1744 die Hochrisiko-Fristen verschoben. Wer nur den ursprünglichen Verordnungstext liest, plant mit veralteten Terminen. Diese Seite bündelt die Pflichten für Anbieter und Betreiber mit Fundstellen — auf dem Stand der konsolidierten Fassung.

Verbote gelten seit 2.2.2025 Art. 4–50 KI-VO Bußgelder bis 35 Mio. € Stand: September 2026

Fristen verschoben — aber nicht abgeschafft:

Der Digital Omnibus (EU) 2026/1744 hat die Hochrisiko-Pflichten für eigenständige Systeme (Anhang III) auf den 2. Dezember 2027 und für produkteingebettete Systeme (Anhang I) auf den 2. August 2028 verschoben. Unverändert gelten: die Verbote (Art. 5), die KI-Kompetenzpflicht (Art. 4) und die Transparenzpflichten (Art. 50) — sie sind heute schon fällig.

Anbieter oder Betreiber? Die Rolle bestimmt die Pflichten.

Die KI-Verordnung kennt keine Pauschalpflichten: Was zu tun ist, hängt davon ab, in welcher Rolle Sie handeln (Art. 3) — und die Rolle kann wechseln.

Anbieter

Bußgeld bis 15 Mio. € / 3 % Umsatz

Wer ein KI-System entwickelt oder entwickeln lässt und es unter eigenem Namen oder eigener Handelsmarke in Verkehr bringt oder in Betrieb nimmt (Art. 3 Nr. 3). Für Hochrisiko-Systeme gilt das Vollprogramm des Art. 16: Konformitätsbewertung, EU-Konformitätserklärung, CE-Kennzeichnung, Registrierung.

Betreiber

Bußgeld bis 15 Mio. € / 3 % Umsatz

Wer ein KI-System in eigener Verantwortung verwendet (Art. 3 Nr. 4) — etwa KI in der Personalauswahl oder ein Emotionserkennungssystem. Kernpflichten nach Art. 26: bestimmungsgemäße Verwendung, menschliche Aufsicht, Protokolle, Information betroffener Personen.

Rollenwechsel beachten

Art. 25 Abs. 1

Händler, Einführer, Betreiber oder Dritte werden zu Anbietern, wenn sie ihren Namen oder ihre Marke auf ein Hochrisiko-System setzen, es wesentlich verändern oder die Zweckbestimmung ändern — mit allen Anbieterpflichten.

Auch Anbieter und Betreiber mit Sitz in einem Drittland fallen in den Anwendungsbereich, wenn die Ausgabe des KI-Systems in der Union verwendet wird (Art. 2 Abs. 1 lit. c).

Alle Pflichten mit Fundstelle — zum Abhaken.

Was heute schon gilt, was nach dem Digital Omnibus später greift: jede Pflicht mit ihrer Fundstelle und ihrem Datum — dieselbe Struktur, in der das Rechtskataster sie auch als maschinenlesbares Pflichtenkataster führt.

Pflicht	Fundstelle	Was zu tun ist	Gilt ab
Verbotene PraktikenAlle Akteure	`Art. 5`	Kein Inverkehrbringen, keine Inbetriebnahme, keine Verwendung verbotener Systeme — u. a. unterschwellige Manipulation, Social Scoring, Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen	seit 2.2.2025
KI-KompetenzAnbieter + Betreiber	`Art. 4`	Maßnahmen für die KI-Kompetenz des Personals: Schulungen, Anleitungen, klare Zuständigkeiten — angepasst an Kenntnisse, Einsatzkontext und Zielgruppe	seit 2.2.2025
Offenlegung von KI-SystemenAnbieter + Betreiber	`Art. 50`	Erkennbar machen, wenn Menschen mit KI interagieren (z. B. Chatbots); KI-generierte Inhalte kennzeichnen; Barrierefreiheit der Informationen sicherstellen	gilt jetzt
Anforderungen sicherstellenAnbieter	`Art. 16 lit. a`, `Art. 8–15`	Hochrisiko-Systeme müssen die Anforderungen erfüllen: Risikomanagement, Datenqualität und Bias-Kontrolle (Art. 10), technische Dokumentation (Art. 11), Protokollierung (Art. 12), Transparenz mit Betriebsanleitung (Art. 13), menschliche Aufsicht (Art. 14)	2.12.2027 (Anhang III)
QualitätsmanagementAnbieter	`Art. 16 lit. c`, `Art. 17`	Dokumentiertes QMS einrichten: Regelungskonzept, Entwurfskontrolle, Qualitätssicherung, Änderungsmanagement — schriftlich und aktuell	2.12.2027 (Anhang III)
Konformität & CEAnbieter	`Art. 16 lit. f–h`	Konformitätsbewertung vor dem Inverkehrbringen, EU-Konformitätserklärung ausstellen (Anhang V), CE-Kennzeichnung anbringen	vor Marktstellung
Registrierung EU-DatenbankAnbieter	`Art. 16 lit. i`, `Art. 49`	Hochrisiko-System vor dem Inverkehrbringen in der EU-Datenbank registrieren	vor Marktstellung
Bestimmungsgemäße VerwendungBetreiber	`Art. 26 Abs. 1`	Technische und organisatorische Maßnahmen, damit das System entsprechend den Betriebsanleitungen verwendet wird — nur geschultes Personal	Dauerpflicht
Menschliche AufsichtBetreiber	`Art. 26 Abs. 2`	Aufsicht natürlichen Personen mit Kompetenz, Ausbildung und Befugnis übertragen — und sie dabei unterstützen	Dauerpflicht
Eingabedaten prüfenBetreiber	`Art. 26 Abs. 4`	Sicherstellen, dass selbst kontrollierte Eingabedaten der Zweckbestimmung entsprechen und ausreichend repräsentativ sind	Dauerpflicht
Überwachung & AussetzenBetreiber	`Art. 26 Abs. 5`	Betrieb anhand der Betriebsanleitung überwachen; bei Risikoverdacht: Verwendung aussetzen und Anbieter sowie Marktüberwachungsbehörde informieren	kritisch
Protokolle aufbewahrenBetreiber	`Art. 26 Abs. 6`	Automatisch erzeugte Protokolle aufbewahren, soweit sie der eigenen Kontrolle unterliegen	mindestens 6 Monate
Betroffene informierenBetreiber	`Art. 26 Abs. 11`	Natürliche Personen darüber informieren, dass sie der Verwendung eines Hochrisiko-KI-Systems unterliegen	nachweispflichtig
Grundrechte-FolgenabschätzungBestimmte Betreiber	`Art. 27`	Vor der Inbetriebnahme: Verfahren beschreiben, betroffene Personengruppen benennen, Schadensrisiken ermitteln, Aufsicht und Beschwerdewege festlegen	nachweispflichtig
Meldung schwerwiegender VorfälleAnbieter + Betreiber	`Art. 73`	Schwerwiegende Vorfälle unverzüglich melden, spätestens 15 Tage nach Kenntnis; bei weitverbreiteten Verstößen oder kritischer Infrastruktur 2 Tage, bei Todesfolge 10 Tage — unvollständiger Erstbericht zulässig	15 Tage / 2 Tage / 10 Tage

Nachweispflicht heißt: Die Umsetzung muss dokumentiert und der Behörde auf Verlangen vorlegbar sein. Die Fristen des Digital Omnibus sind hier bereits eingearbeitet — im ursprünglichen Verordnungstext stehen noch die alten Termine.

Was auf dem Spiel steht — und was wann fällig wird.

Bußgelder nach Art. 99

Verstöße gegen die Verbote des Art. 5: bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes — je nachdem, welcher Betrag höher ist. Verstöße gegen die Pflichten der Art. 16, 26 oder 50: bis zu 15 Millionen Euro oder 3 Prozent. Falsche oder irreführende Auskünfte gegenüber Behörden: bis zu 7,5 Millionen Euro oder 1 Prozent.

Für KMU gilt jeweils der niedrigere der beiden Beträge. Die Sanktionsvorschriften im Einzelnen erlassen die Mitgliedstaaten; die Geldbußen müssen wirksam, verhältnismäßig und abschreckend sein (Art. 99 Abs. 1 und 2).

Der Zeitplan nach dem Digital Omnibus

2.2.2025: Verbote (Art. 5) und KI-Kompetenzpflicht (Art. 4) gelten.
2.8.2025: Vorgaben für KI-Modelle mit allgemeinem Verwendungszweck.
2.8.2026: Die Verordnung gilt im Grundsatz vollständig (Art. 113) — inklusive der Transparenzpflichten nach Art. 50.
2.12.2026: Neues Verbot für bestimmte generierende Systeme (Art. 5); Bestandssysteme mit synthetischen Inhalten müssen die Kennzeichnung nachziehen (Art. 111 Abs. 4).
2.8.2027: Nachrüstfrist für GPAI-Modelle, die vor dem 2.8.2025 in Verkehr gebracht wurden (Art. 111 Abs. 3).
2.12.2027: Hochrisiko-Pflichten für eigenständige Systeme (Anhang III).
2.8.2028: Hochrisiko-Pflichten für produkteingebettete Systeme (Anhang I).
2.8.2030: Nachrüstfrist für Hochrisiko-Systeme im behördlichen Bestand (Art. 111 Abs. 2).

Vom Verordnungstext zur abgehakten Maßnahme.

Das Rechtskataster führt die Verordnung (EU) 2024/1689 als strukturiertes, tagesaktuelles Pflichtenkataster — mit Fundstelle, Kritikalität, Rolle und Nachweispflicht-Flag je Pflicht.

Die KI-Verordnung ersetzt kein bestehendes Recht — sie legt sich darüber. Deshalb ist sie im Bestand quer verlinkt: Sie sehen, wo sie an Ihre Pflichten aus DSGVO, Maschinenverordnung oder Arbeitsschutz anschließt, statt sie isoliert zu lesen. Die Fristenverschiebung durch den Digital Omnibus ist bereits eingearbeitet; Änderungen werden wöchentlich erkannt, bewertet und per Ampel ausgewiesen.

Pflichtenkataster: Alle Pflichten der Verordnung mit Fundstelle und Nachweispflicht-Flag — maschinenlesbar und tagesaktuell.
Nach Rolle filterbar: Anbieter, Betreiber, Arbeitgeber — jeder sieht die für ihn geltenden Pflichten.
Querverweise: Anschlüsse an DSGVO, Produktsicherheit und Arbeitnehmerschutz sind im Bestand verlinkt.
Änderungsmonitoring: Wöchentlicher Abgleich mit Ampel-Bewertung jeder Änderung — der Omnibus-Stand ist bereits drin.

FAQ

Häufige Fragen zur KI-Verordnung

Gilt die KI-Verordnung schon?

Ja. In Kraft getreten ist die Verordnung (EU) 2024/1689 am 1. August 2024; seit dem 2. August 2026 gilt sie nach Art. 113 im Grundsatz vollständig und ist behördlich durchsetzbar. Einzelne Pflichten galten früher: die Verbote (Art. 5) und die KI-Kompetenzpflicht (Art. 4) seit dem 2. Februar 2025, die Vorgaben für KI-Modelle mit allgemeinem Verwendungszweck seit dem 2. August 2025.

Was hat der Digital Omnibus geändert?

Die Digital-Omnibus-Verordnung (EU) 2026/1744 hat die Hochrisiko-Pflichten verschoben: für eigenständige Systeme nach Anhang III auf den 2. Dezember 2027, für produkteingebettete Systeme nach Anhang I auf den 2. August 2028 — und den Hochrisiko-Begriff enger gefasst. Das materielle Pflichtenprogramm und die Transparenzpflichten nach Art. 50 bleiben unverändert.

Betrifft mich die KI-Verordnung, wenn ich nur einen Chatbot einsetze?

Ja. Die Offenlegungspflicht nach Art. 50 verlangt, dass Menschen erkennen können, wenn sie mit einem KI-System interagieren. Sie gilt seit dem 2. August 2026 — unabhängig von der Risikoklasse des Systems.

Wann werde ich als Betreiber zum Anbieter?

Nach Art. 25 Abs. 1 gilt als Anbieter, wer ein Hochrisiko-KI-System unter eigenem Namen oder eigener Handelsmarke in Verkehr bringt, es wesentlich verändert oder seine Zweckbestimmung so ändert, dass es zu einem Hochrisiko-System wird. Dann greifen alle Anbieterpflichten — von der Konformitätsbewertung bis zur Registrierung.

Welche Meldefristen gelten bei einem schwerwiegenden Vorfall?

Nach Art. 73 sind schwerwiegende Vorfälle unverzüglich zu melden, spätestens 15 Tage nach Kenntniserlangung (Art. 73 Abs. 2). Bei einem weitverbreiteten Verstoß oder einer Beeinträchtigung kritischer Infrastruktur verkürzt sich die Frist auf zwei Tage; wird ein Todesfall mit dem System in Verbindung gebracht, gilt eine Frist von zehn Tagen. Ein unvollständiger Erstbericht ist zulässig, wenn dadurch die Frist eingehalten wird.

Welche Bußgelder drohen?

Nach Art. 99: bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes bei Verstößen gegen die Verbote des Art. 5; bis zu 15 Millionen Euro oder 3 Prozent bei Verstößen gegen die Pflichten der Art. 16, 26 oder 50; bis zu 7,5 Millionen Euro oder 1 Prozent für falsche Auskünfte gegenüber Behörden. Für KMU gilt jeweils der niedrigere Betrag.

Was verlangt die KI-Kompetenzpflicht nach Art. 4?

Anbieter und Betreiber müssen Maßnahmen ergreifen, damit ihr Personal — und alle in ihrem Auftrag mit den Systemen Befassten — KI-Systeme sachkundig einsetzen können: Schulungen, Anleitungen, klare Zuständigkeiten. Die Pflicht gilt seit dem 2. Februar 2025 und trifft jede Organisation, die KI nutzt — nicht nur Hochrisiko-Anwendungen.

Was müssen Betreiber dokumentieren?

Die automatisch erzeugten Protokolle sind mindestens sechs Monate aufzubewahren (Art. 26 Abs. 6), der Betrieb ist anhand der Betriebsanleitung zu überwachen (Art. 26 Abs. 5) und betroffene Personen sind über die Verwendung zu informieren (Art. 26 Abs. 11). Bestimmte Betreiber — etwa Behörden — führen zusätzlich eine Grundrechte-Folgenabschätzung durch (Art. 27).

Weiterlesen

Kontakt aufnehmen

KI-VO-Pflichten im Kataster abhaken — auf Omnibus-Stand.

Wir richten Ihr Pflichtenkataster mit allen Fundstellen der Verordnung (EU) 2024/1689 ein — die Fristen des Digital Omnibus sind bereits eingearbeitet, und ab da bleibt es wöchentlich aktuell.

Kontakt aufnehmen Zur Anmeldung

oder direkt: 02933 786 3185