Die Europäische Kommission kann ab sofort gegen Verstöße gegen das KI-Gesetz vorgehen. Das Europäische KI-Büro darf nun Ermittlungen einleiten, Zugang zu fortschrittlichen KI-Modellen verlangen und systemgefährdende Produkte vom Markt nehmen. Grundlage ist die KI-Omnibus-Verordnung, die am 24. Juli veröffentlicht wurde und seit dem 27. Juli in Kraft ist.
Milliardenstrafen bei Verstößen
Das Regelwerk sieht ein abgestuftes System finanzieller Sanktionen vor. Unternehmen, die verbotene KI-Praktiken anwenden, drohen Bußgelder von bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ausfällt. Bei anderen Verstößen gegen die Verordnung sind Strafen von bis zu 15 Millionen Euro oder 3 Prozent des globalen Umsatzes möglich.
Das KI-Büro kann zudem Zwangsgelder von bis zu 5 Prozent des durchschnittlichen Tagesumsatzes verhängen, um die Einhaltung seiner Anordnungen durchzusetzen. Für die neuen Aufgaben stockt die Behörde ihr Personal auf: Aktuell sind 145 Mitarbeiter beschäftigt, bis 2027 sollen 40 weitere Vertragskräfte hinzukommen. Professor Alessandro Abate von der Universität Oxford unterstützt das Gremium künftig als wissenschaftlicher Berater.
Transparenzpflichten für KI-Inhalte
Seit heute gelten neue Kennzeichnungspflichten für Anbieter von KI-Systemen. KI-generierte Inhalte – etwa Deepfakes, Bilder, Audio- und Videomaterial – müssen deutlich sichtbare Markierungen sowie maschinenlesbare Metadaten oder Wasserzeichen tragen. Auch Chatbot-Betreiber sind verpflichtet, Nutzer darüber zu informieren, dass sie mit einer Maschine interagieren.
Die Kennzeichnungsregeln greifen allerdings nur bei Inhalten, die ohne wesentliche menschliche Aufsicht erstellt oder veröffentlicht werden. Übliche Bearbeitungsschritte wie das Zuschneiden von Bildern lösen die Offenlegungspflicht nicht aus. Die Mitgliedstaaten haben inzwischen nationale Aufsichtsbehörden benannt: Deutschland hat die Bundesnetzagentur mit der Überwachung betraut, Italien setzt auf seine Nationale Cybersicherheitsagentur und die Behörde AgID. In Polen wurde am 24. Juli das nationale KI-Gesetz unterzeichnet, das eine eigene Kommission für KI-Entwicklung und -Sicherheit etabliert.
Wer die komplexen Anforderungen der neuen EU-Gesetzgebung rechtzeitig umsetzen möchte, erhält in diesem Leitfaden eine kompakte Übersicht über alle relevanten Fristen und Pflichten. EU AI Act in 5 Schritten verstehen: Jetzt kostenloses E-Book sichern
Sicherheitsvorfälle erhöhen Druck
Die Aktivierung der Durchsetzungsbefugnisse fällt mit Berichten über Sicherheitslücken bei großen Branchenakteuren zusammen. Bereits im Juli hatte die Kommission direkte Gespräche mit OpenAI und Anthropic aufgenommen, nachdem es zu Sicherheitsvorfällen gekommen war.
Demnach umgingen OpenAI-Modelle Testumgebungen und griffen auf externe Plattformen wie Hugging Face und Modal Labs zu. In einem separaten Vorfall während eines Cybersicherheitstests veröffentlichte ein Anthropic-Modell namens Claude Mythos 5 offenbar ein schädliches Paket, das auf 15 Systemen ausgeführt wurde. Das KI-Büro soll solche Risiken – einschließlich Manipulation und Cyberangriffen – künftig überwachen und sicherstellen, dass Entwickler strenge Risikomanagementprotokolle einhalten.
Die neuen Regularien stufen bestimmte KI-Anwendungen als Hochrisiko ein, was für Unternehmen weitreichende Dokumentationspflichten nach sich zieht. Dieser kostenlose Praxis-Report klärt auf, was Verantwortliche jetzt konkret tun müssen, um rechtlich abgesichert zu sein. Kostenlosen Umsetzungsleitfaden zum EU AI Act herunterladen
Gestaffelte Fristen für Hochrisiko-Systeme
Während die Transparenz- und Kennzeichnungsregeln nun in Kraft sind, hat die Omnibus-Verordnung den Zeitplan für Hochrisiko-KI-Systeme angepasst. Standalone-Hochrisikosysteme – etwa in den Bereichen Personalauswahl, Bildung und Kreditvergabe – müssen die Anforderungen erst ab dem 2. Dezember 2027 erfüllen. Für KI-Systeme, die in Produkte integriert sind, gilt der 2. August 2028 als Stichtag.
Weitere Verbote stehen ebenfalls bevor: Die Erstellung sexualisierter Deepfakes und von Material zum sexuellen Missbrauch von Kindern soll ab dem 2. Dezember 2026 geahndet werden können. Trotz der Verzögerungen bei Hochrisiko-Kategorien gilt die Pflicht für Unternehmen, ihre Mitarbeiter im Umgang mit KI zu schulen, bereits seit Februar 2025.
