KI-Verordnung
Auch: EU AI Act, Verordnung (EU) 2024/1689, KI-VO
Die KI-Verordnung, Verordnung (EU) 2024/1689 und englisch AI Act, ist das EU-Gesetz für künstliche Intelligenz. Sie ordnet KI nach Risiko, verbietet einzelne Praktiken, regelt Hochrisiko-KI, Transparenz und KI-Modelle mit allgemeinem Verwendungszweck und gilt gestaffelt bis 2028.
Fester Bestandteil der Praxis mit stabiler Bedeutung.
Die EU-Kommission legte den Entwurf am 21. April 2021 vor. Verabschiedet wurde die Verordnung am 13. Juni 2024, veröffentlicht am 12. Juli 2024; in Kraft ist sie seit dem 1. August 2024, geändert zuletzt durch die Digital-Omnibus-Verordnung (EU) 2026/1744.
Ø der letzten 12 Monate, alle Schreibweisen. Veränderung: letzte 3 Monate zum Vorjahr. Stand 11/2026.
Ein Gesetz mit Paragrafen, Fristen und Bußgeldern, also Substanz pur. Lärm entsteht drumherum: durch Angstmarketing mit Bußgeldzahlen, die für den konkreten Fall gar nicht gelten, und durch Ratgeber, die Änderungen von 2026 nicht kennen.
Für die meisten Mittelständler im Marketing heißt die KI-Verordnung KI-Kompetenz fördern, Deepfakes und bestimmte KI-Texte offenlegen, Chatbots erkennbar machen; schwer wird es erst bei KI in Personalauswahl, Kreditprüfung oder Produktsicherheit, und diese Pflichten greifen nach dem Digital Omnibus ab Dezember 2027.
- Legen Sie eine Liste aller KI-Werkzeuge an, die in Ihrem Unternehmen genutzt werden, mit Zweck, Abteilung und der Frage, ob Sie das Werkzeug nur nutzen (Betreiber) oder unter eigenem Namen anbieten (Anbieter).
- Markieren Sie Einsätze in Personalauswahl, Leistungsbewertung oder Kreditprüfung gesondert. Sie können als Hochrisiko-KI gelten und brauchen bis Dezember 2027 einen eigenen Plan.
- Prüfen Sie Website-Chatbot, KI-Bilder und KI-Videos gegen die Transparenzpflichten. Der Beitrag KI-Kennzeichnungspflicht 2026 geht 20 typische Marketing-Fälle durch.
Die KI-Verordnung (KI-VO, englisch AI Act) ist die erste umfassende Regulierung künstlicher Intelligenz in der EU. Als Verordnung gilt sie unmittelbar in allen Mitgliedstaaten, ohne Umsetzung in deutsches Recht. Deutschland musste nur die Aufsicht regeln: Das KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG) ist seit dem 29. Juli 2026 in Kraft und macht die Bundesnetzagentur zur zentralen Aufsichts- und Beschwerdestelle.
Wer sich heute mit der Verordnung beschäftigt, muss vor allem eines wissen: Viele Texte im Netz sind veraltet. Im Juli 2026 hat die EU mit dem Digital Omnibus Fristen verschoben und einzelne Artikel neu gefasst. Dieser Eintrag gibt den Stand vom 8. November 2026 wieder.
Die Logik: Pflichten nach Risiko und Rolle
Die Verordnung regelt nicht „KI“ an sich, sondern den Einsatz von KI-Systemen und -Modellen. Welche Pflichten gelten, hängt von zwei Fragen ab: Wie riskant ist der Einsatzzweck? Und welche Rolle hat Ihr Unternehmen? Anbieter ist, wer ein KI-System entwickelt oder entwickeln lässt und unter eigenem Namen in Verkehr bringt (Art. 3 Nr. 3). Betreiber ist, wer ein KI-System in eigener Verantwortung beruflich verwendet (Art. 3 Nr. 4). Ein Unternehmen, das ChatGPT oder einen Bildgenerator nutzt, ist in aller Regel Betreiber.
| Stufe | Beispiele | Was gilt |
|---|---|---|
| Verbotene Praktiken (Art. 5) | manipulative Techniken, Social Scoring, Emotionserkennung am Arbeitsplatz; ab 2. Dezember 2026 auch Systeme für nicht einvernehmliche intime Darstellungen | verboten |
| Hochrisiko-KI (Art. 6, Anhänge I und III) | Bewerberauswahl, Kreditwürdigkeit, KI als Sicherheitsbauteil in Produkten | Risikomanagement, Daten-Governance, Dokumentation, menschliche Aufsicht |
| Transparenzpflichten (Art. 50) | Chatbots, KI-generierte Inhalte, Deepfakes | Hinweise und maschinenlesbare Markierung |
| Übrige KI-Systeme | Textentwürfe, Übersetzung, Bildbearbeitung, Analyse | keine besonderen Pflichten außer KI-Kompetenz (Art. 4) |
Quer dazu steht ein eigenes Kapitel für KI-Modelle mit allgemeinem Verwendungszweck (GPAI), also die großen Sprach- und Bildmodelle hinter ChatGPT, Gemini oder Claude. Diese Pflichten treffen die Modellanbieter, nicht deren Kunden; konkretisiert werden sie durch den GPAI-Verhaltenskodex. Für Website-Betreiber ist daraus vor allem eine Pflicht relevant: Modellanbieter müssen einen maschinenlesbaren Text-und-Data-Mining-Vorbehalt beachten.
Der Zeitplan nach dem Digital Omnibus
Die Verordnung wird gestaffelt anwendbar (Art. 113). Im November 2025 schlug die Kommission vor, Teile zu verschieben und zu vereinfachen, weil harmonisierte Normen und nationale Behörden nicht rechtzeitig bereitstanden. Das Ergebnis ist die Digital-Omnibus-Verordnung zur KI (EU) 2026/1744 vom 8. Juli 2026, im Amtsblatt veröffentlicht am 24. Juli und in Kraft seit dem 27. Juli 2026.
| Regelung | ursprünglich | Stand 8. November 2026 |
|---|---|---|
| Begriffe, KI-Kompetenz, Verbote | 2. Februar 2025 | unverändert; Art. 4 seit 27. Juli 2026 neu gefasst |
| GPAI-Pflichten, Aufsicht, Sanktionen | 2. August 2025 | unverändert |
| Transparenzpflichten (Art. 50) | 2. August 2026 | unverändert; für generative Systeme, die vor dem 2. August 2026 auf dem Markt waren, gilt die Markierungspflicht nach Abs. 2 erst ab 2. Dezember 2026 |
| Neue Verbote (nicht einvernehmliche intime Inhalte, Missbrauchsdarstellungen) | nicht vorgesehen | 2. Dezember 2026 |
| Hochrisiko-KI nach Anhang III | 2. August 2026 | 2. Dezember 2027 |
| Hochrisiko-KI nach Anhang I (Produkte) | 2. August 2027 | 2. August 2028 |
Wichtig für die Einordnung: Verschoben wurde vor allem Hochrisiko-KI. Die Transparenzpflichten, die das Marketing am stärksten berühren, gelten wie geplant seit dem 2. August 2026. Die Pflicht zur KI-Kompetenz blieb bestehen, ist aber weicher formuliert: Unternehmen müssen Maßnahmen ergreifen, um die KI-Kompetenz ihres Personals zu fördern, ohne ein bestimmtes Niveau garantieren zu müssen.
Was die Verordnung im Marketing-Alltag verlangt
Für ein typisches mittelständisches Unternehmen, das KI für Texte, Bilder, Recherche und Kundenkommunikation nutzt, verdichtet sich die Verordnung auf wenige Punkte. Alle betreffen Ihre Rolle als Betreiber, solange Sie keine eigenen KI-Produkte unter Ihrem Namen anbieten:
- KI-Kompetenz der Beschäftigten fördern, die mit KI arbeiten, und das nachvollziehbar festhalten.
- Deepfakes offenlegen, also realistisch wirkende KI-Bilder, -Videos oder -Stimmen, die für echt gehalten werden könnten (Deepfake).
- KI-Texte zu Themen von öffentlichem Interesse offenlegen, sofern sie nicht redaktionell geprüft und verantwortet werden.
- Chatbots so gestalten, dass Menschen erkennen, dass sie mit einer KI sprechen; diese Pflicht trifft den Anbieter des Systems und damit auch Sie, wenn Sie einen Bot unter eigenem Namen bereitstellen.
Einzelheiten zur Kennzeichnung stehen im Eintrag KI-Kennzeichnungspflicht. Wie eine Schulung nach Art. 4 aufgebaut sein kann, beschreibt der Beitrag KI-Schulung für Mitarbeiter.
Ein Beispiel für die Einordnung
Ein fiktiver Händler, beispiel-shop.de, nutzt einen Textassistenten für Produktbeschreibungen, einen Bildgenerator für Kampagnenmotive und testet ein Tool, das Bewerbungen vorsortiert. Die Produkttexte fallen unter keine besondere Pflicht. Ein fotorealistisches KI-Motiv mit einer Person, die es nicht gibt, ist als Deepfake offenzulegen. Das Bewerber-Tool ist nach Anhang III ein Hochrisiko-Fall: Für den Händler als Betreiber gelten ab dem 2. Dezember 2027 Pflichten wie menschliche Aufsicht und die Information der Beschäftigten.
Bei Verstößen sieht Art. 99 Geldbußen von bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes für verbotene Praktiken vor und bis zu 15 Millionen Euro oder 3 % unter anderem für Verstöße gegen die Transparenzpflichten. Diese Obergrenzen sind keine Regelsätze.
Den Stand verlässlich verfolgen
Die Verordnung ist ein bewegliches Ziel: Leitlinien der Kommission, Praxisleitfäden und Normen konkretisieren sie laufend, und Änderungen wie der Digital Omnibus verschieben Fristen. Drei Quellen genügen, um auf dem Laufenden zu bleiben:
- EUR-Lex mit dem Verordnungstext und den Änderungsverordnungen; maßgeblich ist das Amtsblatt, nicht Zusammenfassungen.
- AI Act Service Desk der Kommission mit Leitlinien, Fragen und Antworten sowie den Praxisleitfäden.
- KI-Service Desk der Bundesnetzagentur für die deutsche Aufsicht, Ansprechpartner und Veranstaltungen.
Dieser Eintrag ist keine Rechtsberatung. Er gibt den Stand vom 8. November 2026 wieder. Für Entscheidungen im Einzelfall ziehen Sie bitte eine Rechtsanwältin oder einen Rechtsanwalt hinzu.
- EUR-Lex: Verordnung (EU) 2024/1689 (KI-Verordnung), Amtsblatt vom 12. Juli 2024
- EUR-Lex: Verordnung (EU) 2026/1744 (Digital-Omnibus-Verordnung zur KI), Amtsblatt vom 24. Juli 2026
- EUR-Lex: Vorschlag der Kommission für ein Gesetz über künstliche Intelligenz, COM(2021) 206, 21. April 2021
- EU-Kommission: AI Act Service Desk
- Bundesnetzagentur: KI-Service Desk
Was ChatGPT, Perplexity und der Google KI-Modus zu „KI-Verordnung“ sagen
Wir haben allen drei KI-Suchen dieselbe Frage gestellt: „Was ist KI-Verordnung im Zusammenhang mit KI-Suche und Online-Marketing? Bitte kurz in 3 bis 5 Sätzen erklären.“ (Abfrage am 08.11.2026, Standort Deutschland) und die Antworten gegen die belegten Fakten in diesem Eintrag geprüft.
Das Datum zu Art. 50 stimmt. Die Antwort reduziert die Verordnung aber auf Transparenz und suggeriert, Nutzer müssten generell erkennen können, wenn sie KI-Inhalte sehen. Offenlegen müssen Betreiber nur Deepfakes und ungeprüfte Texte zu Themen von öffentlichem Interesse; Risikologik und Hochrisiko-Fristen fehlen.
Auszug aus der Antwort
Im Zusammenhang mit KI-Suche und Online-Marketing bedeutet das beispielsweise, dass Nutzer erkennen können müssen, wenn sie mit bestimmten KI-Systemen interagieren oder KI-generierte Inhalte sehen.
Risikobasierter Ansatz und Transparenz sind richtig beschrieben, Primärquellen wie EUR-Lex und Bundesnetzagentur werden genutzt. Unscharf ist, dass personalisierte Empfehlungen als Beispiel für Kennzeichnung genannt werden; dafür sieht Art. 50 keine eigene Pflicht vor. Der Digital Omnibus fehlt.
Auszug aus der Antwort
Im Online-Marketing betrifft dies etwa Chatbots, personalisierte Empfehlungen und automatisch erstellte Bilder, Videos oder Texte, die gegebenenfalls gekennzeichnet werden müssen.
Zu pauschal: Nicht jeder KI-generierte Inhalt ist kennzeichnungspflichtig, redaktionell verantwortete Texte sind ausgenommen. Die Urheberrechtspflichten beim Training treffen die Anbieter von KI-Modellen, nicht Marketing-Teams, und die DSGVO ist nicht Teil der KI-Verordnung.
Auszug aus der Antwort
Wer KI-generierte Inhalte, Chatbots oder Deepfakes nutzt, muss diese für Nutzer klar und deutlich als künstlich erzeugt kennzeichnen.
Unser Fazit: Alle drei verengen die KI-Verordnung auf Kennzeichnung und übertreiben deren Reichweite unterschiedlich stark. Keine Antwort erwähnt den Digital Omnibus vom Juli 2026, obwohl er die Fristen für Hochrisiko-KI verschoben und Art. 4 neu gefasst hat.
Die Antworten von KI-Suchen ändern sich laufend. Wir wiederholen den Faktencheck regelmäßig. Sie möchten wissen, welche Quellen die KI zu Ihren Themen zitiert? Testen Sie den kostenlosen KI-Quellen-Check.
Häufige Fragen zu KI-Verordnung
Gilt die KI-Verordnung auch für kleine Unternehmen?
Wurde die KI-Verordnung 2026 verschoben?
Muss ich ChatGPT im Unternehmen anmelden oder genehmigen lassen?
Wer kontrolliert die KI-Verordnung in Deutschland?
Verwandte Begriffe im Radar
Zurück zum KI-Such-RadarZuletzt aktualisiert: 08.11.2026 · Autor: Stephan Zabel
