KI-Verordnung 2025: Neue Pflichten in Kraft - Jetzt handeln!

Mit der Verordnung (EU) 2024/1689 des Europäischen Parlaments und des Rates vom 13.06.2024 (nachfolgend auch „KI-VO“) zielt der europäische Gesetzgeber darauf ab, einen einheitlichen Rechtsrahmen zur Entwicklung und Anwendung von KI zu schaffen. Neben den Anforderungen an die Mitgliedstaaten sind die eigentlichen Adressaten der KI-VO die Anbieter und Betreiber von KI-Systemen. Deren Geschäftsführung hat die Einhaltung der KI-VO durch entsprechende Personalbefähigung und Compliance-Mechanismen sicherzustellen.

Voraussetzung für die Anwendung der Pflichten der KI-VO ist das Vorliegen eines KI-Systems bzw. KI-Modells (zusammen auch „KI-Anwendung“), dessen Einordnung in der Praxis auf viele offene Fragen trifft. Liegt eine KI-Anwendung vor, ist sie nach dem risikobasierten Ansatz der KI-VO einzuordnen. Die Einstufung bestimmt den Pflichtenumfang und reicht von verbotenen Praktiken über Hochrisiko-Systeme bis hin zu Anwendungen mit begrenztem Risiko oder allgemeinem Verwendungszweck.

Seit dem 02.08.2025 gelten ergänzend insbesondere folgende Pflichten:

• Klassifizierung von KI-Modellen mit allgemeinem Verwendungszweck: Anbieter von KI-Modellen mit allgemeinem Verwendungszweck, die ab dem 02.08.2025 in Verkehr gebracht werden, müssen feststellen, ob eine entsprechend zu qualifizierende KI-Anwendung vorliegt. In diesem Fall gelten insbesondere:
  • Dokumentationspflichten: Anbieter von KI-Modellen mit allgemeinem Verwendungszweck müssen technische Dokumentationspflichten erfüllen. Diese umfassen technische Informationen der KI-Anwendung und die zugrundeliegenden Daten (z.B. Trainings- und Testverfahren sowie Entwicklungsinformationen);
  • Offenlegungspflichten: Anbieter von KI-Modellen mit allgemeinem Verwendungszweck sind verpflichtet, deren grundlegende Eigenschaften sowie technische Mittel zur Integration zur Verfügung zu stellen, sofern Anbieter eigener KI-Systeme diese in ihre Systeme einbinden möchten.
  • Mitteilungs-, Melde- und erweiterte Dokumentationspflichten bei systemischem Risiko: Anbieter von KI-Modellen mit allgemeinem Verwendungszweck, die ein sog. systemisches Risiko ausweisen, müssen diese Systeme der Europäischen Kommission anzeigen. Außerdem werden die vorgenannten Dokumentationspflichten nochmals ausgeweitet (etwa auf Prüfpflichten), sowie Anbieter zu angemessenen Cybersicherheitsvorkehrungen verpflichtet. Erhebliche Sicherheitsvorfälle sind (behördlich) meldepflichtig.
• Sanktionsregelungen: Weiterhin sind nun auch die Sanktionsregelungen für Verstöße gegen die KI-VO (ausgenommen Geldbußen für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck) in Kraft getreten. Bei schwerwiegenden Verstößen, insbesondere gegen verbotene KI-Praktiken, können z.B. Geldbußen von bis zu € 35 Mio. oder 7 % des weltweiten Jahresumsatzes verhängt werden.

Bis zum 02.08.2027 tritt die KI-VO endgültig in Kraft: Um die Vorgaben verlässlich umsetzen zu können, muss sich das jeweilige Compliance-Management mit den im Unternehmen genutzten und am Markt angebotenen KI-Anwendungen zwingend auseinandersetzen, diese klassifizieren und deren fortlaufende Konformität mit der KI-VO im Einklang mit den weiteren relevanten gesetzlichen Vorgaben durch zielgerichtete Maßnahmen sowohl auf Anbieter- als auch auf Nutzerseite fortlaufend sicherstellen.

Wir helfen unseren Mandanten gerne dabei, zielgerichtete und nachhaltige Maßnahmen zu definieren und ihre KI-Compliance-Organisation robust zu integrieren. Für weitergehende Informationen zur KI-VO oder zu einer KI-Compliance stehen wir jederzeit gerne zur Verfügung.

Bildquelle: Unplash, Kamran Abdullayev