Welche Regeln gelten für KI?
KI-Regulierung.
EU, Deutschland, USA: Welche Regeln heute gelten, welche kommen und was das praktisch heißt.
In 60 Sekunden
- Die EU regelt KI nach Risiko, Deutschland setzt das mit dem KI-MIG durch, die USA haben ein Flickwerk aus Bundesstaaten-Gesetzen.
- Hochrisiko-Pflichten wurden auf Dezember 2027 und August 2028 verschoben. Verbote und KI-Kompetenz gelten schon.
- Der Risikoklassen-Finder zeigt, wo dein Einsatz landet.
Rechtsstand: 5. November 2026
3 Rechtsräume im Vergleich.#
Die wichtigsten Unterschiede auf einen Blick.
| EU | Deutschland | USA | |
|---|---|---|---|
| Grundansatz | Ein Gesetz für alle: Regeln nach Risiko des Einsatzzwecks | Setzt EU-Recht um und ergänzt es. Datenschutz-, Arbeits- und Urheberrecht bleiben wichtig | Kein Bundesgesetz. Executive Orders, Gesetze der Bundesstaaten und Branchenrecht |
| Zentrale Regeln | KI-Verordnung (EU) 2024/1689, geändert durch Verordnung (EU) 2026/1744 (Digital Omnibus) | KI-MIG vom 22. Juli 2026 (BGBl. 2026 I Nr. 223), in Kraft seit 28. Juli 2026 | Z. B. Kalifornien SB 53, AB 2013, SB 942, Texas TRAIGA, Illinois HB 3773, Colorado SB 26-189 (ab 2027) |
| Aufsicht | EU-Büro für KI für KI-Modelle, nationale Behörden für Systeme | Bundesnetzagentur als zentrale Stelle, BaFin im Finanzsektor, Datenschutzaufsicht | Generalstaatsanwälte der Bundesstaaten, FTC, Justizministerium, Fachbehörden |
| Sanktionen | Bis 35 Mio. € oder 7 % des weltweiten Jahresumsatzes bei Verboten, bis 15 Mio. € oder 3 % bei anderen Pflichten | Bußgelder im Rahmen der KI-Verordnung, durch die Bundesnetzagentur | Je nach Gesetz, z. B. bis zu 1 Mio. US-$ je Verstoß bei Kalifornien SB 53 |
| Schwerpunkt | Grundrechte, Sicherheit, Vertrauen | Aufsicht aufbauen, Innovation fördern (Reallabore, Service-Desk) | Innovation und Wettbewerb, Transparenz bei Spitzenmodellen |
Rechtsstand: 5. November 2026. Das Recht ändert sich laufend.
EU: Die KI-Verordnung.#
Das weltweit erste umfassende KI-Gesetz, Verordnung (EU) 2024/1689.
Zeitstrahl der KI-Verordnung.#
Was schon gilt und was noch kommt. Stand: 5. November 2026.
KI-Verordnung tritt in Kraft
Die Verordnung (EU) 2024/1689 gilt ab dann gestaffelt.
Verbote und KI-Kompetenz
Verbotene Praktiken sind untersagt. Wer KI einsetzt, sorgt für ausreichende KI-Kompetenz (Art. 4).
KI-Modelle mit allgemeinem Verwendungszweck
Pflichten für Anbieter solcher Modelle, dazu Governance und Sanktionen.
Digital Omnibus
Verordnung (EU) 2026/1744 verschiebt die Hochrisiko-Fristen.
KI-MIG in Deutschland
Das deutsche Gesetz regelt Aufsicht und Zuständigkeiten.
Transparenz und nationale Aufsicht
Kennzeichnung und Hinweise nach Art. 50, einzelne Übergänge prüfen.
Hochrisiko-KI nach Anhang III
Zum Beispiel Personalauswahl, Kreditwürdigkeit, Bildung.
Hochrisiko-KI nach Anhang I
KI als Sicherheitsbauteil in regulierten Produkten.
Ausgefüllte Punkte gelten bereits. Details und Quellen findest du im KI-Rechtsstand.
Was die KI-Verordnung verlangt.#
6 Bausteine.
Verbotene Praktiken (Art. 5)
Verboten sind unter anderem manipulative Techniken, das Ausnutzen von Schwächen und Social Scoring. Ebenso verboten: Vorhersage von Straftaten allein per Profiling, ungezieltes Auslesen von Gesichtsbildern, Emotionserkennung am Arbeitsplatz und in Schulen sowie biometrische Kategorisierung nach sensiblen Merkmalen. Echtzeit-Fernidentifizierung für die Strafverfolgung ist nur in engen Ausnahmen erlaubt. Der Digital Omnibus ergänzt Verbote für KI zur Erzeugung nicht einvernehmlicher intimer Inhalte und von Missbrauchsdarstellungen.
Hochrisiko-KI (Anhang III und I)
Betrifft u. a. Biometrie, kritische Infrastruktur, Bildung, Beschäftigung und Personalmanagement, wesentliche private und öffentliche Dienste (z. B. Kredit), Strafverfolgung, Migration, Justiz sowie KI als Sicherheitskomponente regulierter Produkte. Pflichten: Risikomanagement, Datenqualität, Dokumentation, Protokollierung, menschliche Aufsicht, Robustheit und Cybersicherheit, Konformitätsbewertung. Betreiber müssen Systeme bestimmungsgemäß nutzen, überwachen und Betroffene informieren.
Transparenz (Art. 50)
Gilt seit 2. August 2026, für einzelne Kennzeichnungspflichten können Übergangsfristen gelten. Menschen müssen erkennen, dass sie mit KI interagieren. KI-erzeugte oder manipulierte Inhalte sind zu kennzeichnen, Anbieter müssen sie maschinenlesbar markieren. Deepfakes und KI-Texte zu öffentlichen Themen müssen offengelegt werden, mit Ausnahmen bei redaktioneller Kontrolle.
KI-Modelle mit allgemeinem Verwendungszweck
Seit 2. August 2025: technische Dokumentation, Informationen für nachgelagerte Anbieter, Urheberrechts-Strategie und Zusammenfassung der Trainingsdaten. Modelle mit systemischem Risiko (Vermutung ab sehr hoher Rechenleistung) haben zusätzliche Pflichten für Bewertung, Risikominderung, Vorfallsmeldung und Cybersicherheit.
KI-Kompetenz (Art. 4)
Seit 2. Februar 2025 müssen Anbieter und Betreiber Maßnahmen ergreifen, damit ihr Personal über ausreichende KI-Kompetenz verfügt. Der Digital Omnibus ändert daran nichts. Gilt für jede berufliche KI-Nutzung, auch bei minimalem Risiko.
Strafen und Rollen
Bis 35 Mio. € oder 7 % bei Verboten, bis 15 Mio. € oder 3 % bei sonstigen Pflichten, bis 7,5 Mio. € oder 1 % bei falschen Angaben. Für KMU gilt der jeweils niedrigere Betrag. Rollen: Anbieter, Betreiber, Einführer, Händler. Wer ein System wesentlich ändert oder unter eigenem Namen vertreibt, kann selbst Anbieter werden.
Der Digital Omnibus: Was sich geändert hat.#
Verordnung (EU) 2026/1744, seit Juli 2026 in Kraft.
- Hochrisiko nach Anhang III (z. B. Personal, Kredit, Bildung, kritische Infrastruktur): Pflichten gelten erst ab 2. Dezember 2027 statt ab 2. August 2026.
- Hochrisiko nach Anhang I (KI in regulierten Produkten): ab 2. August 2028.
- Unverändert: Verbote (seit Februar 2025), KI-Kompetenz (Art. 4), Pflichten für KI-Modelle mit allgemeinem Verwendungszweck (seit August 2025).
- Neu: Zusätzliche Verbote in Art. 5 und eine wiederhergestellte Registrierungspflicht für Anbieter, die ihr System selbst als nicht hochriskant einstufen.
Aufschub, kein Freibrief
Verschoben ist der Zeitpunkt, nicht der Inhalt. Wer jetzt Systeme einkauft oder entwickelt, sollte Risikomanagement, Dokumentation und menschliche Aufsicht schon einplanen. Seit August 2026 arbeitet außerdem die nationale Aufsicht.
DSGVO und KI.#
Die Datenschutz-Grundverordnung gilt neben der KI-Verordnung. Beide Regelwerke ergänzen sich.
Rechtsgrundlage
Wer personenbezogene Daten mit KI verarbeitet, braucht eine Rechtsgrundlage nach Art. 6 DSGVO. In der Praxis oft das berechtigte Interesse mit dokumentierter Abwägung, bei Beschäftigten und Besonderheiten häufig strenger.
EDSA-Stellungnahme 28/2024
Der Europäische Datenschutzausschuss stellt klar: KI-Modelle, die mit Personendaten trainiert wurden, sind nicht automatisch anonym. Das berechtigte Interesse wird in einem dreistufigen Test geprüft. Unrechtmäßiges Training kann auch den späteren Einsatz belasten.
Orientierungshilfen der DSK
Die deutsche Datenschutzkonferenz hat Orientierungshilfen veröffentlicht: „Künstliche Intelligenz und Datenschutz“ (Mai 2024) und eine zu Wissensdatenbanken mit Sprachmodellen (RAG, 2025).
Verträge und Drittländer
Mit KI-Anbietern ist in der Regel ein Auftragsverarbeitungsvertrag nach Art. 28 nötig. Bei Anbietern außerhalb der EU gelten die Regeln für Datenübermittlung in Drittländer.
Datenschutz-Folgenabschätzung
Bei hohem Risiko für Betroffene, etwa umfangreicher Profilbildung oder sensiblen Daten, ist eine Folgenabschätzung nach Art. 35 nötig.
Automatisierte Entscheidungen (Art. 22)
Menschen haben grundsätzlich das Recht, nicht einer rein automatisierten Entscheidung mit erheblicher Wirkung unterworfen zu werden. Transparenz und Betroffenenrechte gelten auch für KI.
Deutschland: KI-MIG und mehr.#
Wer kontrolliert die KI-Verordnung, und welche weiteren Regeln gelten?
Das KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG) ist am 22. Juli 2026 ausgefertigt (BGBl. 2026 I Nr. 223) und seit 28. Juli 2026 in Kraft. Es regelt, wer kontrolliert, nicht was Unternehmen tun müssen. Die Pflichten stehen in der KI-Verordnung.
- Bundesnetzagentur: zentrale Marktüberwachungs- und notifizierende Behörde, außerdem Koordinierungs- und Kompetenzzentrum.
- BaFin: bleibt im Finanzsektor zuständig. Weitere Fachbehörden behalten ihre Bereiche.
- KI-Service-Desk der Bundesnetzagentur als Anlaufstelle für kleine und mittlere Unternehmen und Start-ups.
- KI-Reallabor: geschützter Raum, um KI unter Aufsicht zu erproben.
- Beschwerdestelle und eine unabhängige Marktüberwachungskammer für Hochrisiko-Systeme.
Betriebsrat
Beim Einsatz von KI am Arbeitsplatz hat der Betriebsrat Informations- und Mitbestimmungsrechte (u. a. §§ 80, 87 Abs. 1 Nr. 6, 90, 95 BetrVG). Beziehe ihn früh ein.
Urheberrecht
Text- und Data-Mining ist unter Bedingungen erlaubt (§§ 44b, 60d UrhG), Rechteinhaber können sich maschinenlesbar vorbehalten. Rein KI-erzeugte Werke sind meist nicht geschützt.
Geheimnisschutz und Cybersicherheit
Das Geschäftsgeheimnisgesetz verlangt angemessene Schutzmaßnahmen. Für viele Unternehmen kommen NIS2 und die KRITIS-Regeln hinzu.
Orientierung ohne Rechtsberatung. Gesetzestext: gesetze-im-internet.de/ki-mig.
USA: Flickenteppich statt Bundesgesetz.#
Es gibt keinen umfassenden Bundes-KI-Act. Entscheidend sind Bundesstaaten, Executive Orders und Branchenrecht.
Bundesebene
Die Regierung hat 2025 die frühere Executive Order der Vorgängerregierung aufgehoben und einen KI-Aktionsplan vorgelegt. Eine Executive Order vom Dezember 2025 weist das Justizministerium an, Landesgesetze anzufechten, kann sie aber nicht selbst aufheben. Weitere Anordnungen gelten 2026 vor allem für Behörden. Ein umfassendes Bundesgesetz fehlt.
NIST AI Risk Management Framework
Freiwilliger Rahmen mit den Funktionen Govern, Map, Measure, Manage. In der Praxis eine wichtige Orientierung, teils auch in Landesgesetzen berücksichtigt.
FTC und Fachrecht
Die Verbraucherschutzbehörde FTC geht gegen irreführende KI-Versprechen vor. Branchenrecht (z. B. Beschäftigung, Kredit, Gesundheit) gilt auch für KI-Entscheidungen.
| Bundesstaat und Gesetz | Wirkung | Gilt seit / ab |
|---|---|---|
| Kalifornien SB 53 | Transparenz für Entwickler sehr großer KI-Modelle: Sicherheits-Rahmenwerke, Vorfallsmeldung, Hinweisgeberschutz. Strafen bis zu 1 Mio. US-$ je Verstoß | 1. Januar 2026 |
| Kalifornien AB 2013 | Offenlegung von Zusammenfassungen der Trainingsdaten generativer KI | 1. Januar 2026 |
| Kalifornien SB 942 | KI-Transparenzgesetz: Erkennungs- und Kennzeichnungsangebote für generative KI mit großer Nutzerzahl | 2. August 2026 |
| Texas TRAIGA (HB 149) | Verbot bestimmter vorsätzlicher Missbräuche (Manipulation, rechtswidrige biometrische Erfassung, betrügerische Deepfakes), Durchsetzung durch den Generalstaatsanwalt | 1. Januar 2026 |
| Illinois HB 3773 | Schutz vor Diskriminierung durch KI bei Einstellung und Beschäftigung | 1. Januar 2026 |
| Colorado SB 26-189 | Ersetzt das ursprüngliche KI-Gesetz (SB 24-205) durch ein engeres Gesetz zu automatisierten Entscheidungen. Rechtsstreit und Umsetzung noch offen | geplant 1. Januar 2027 |
| New York RAISE Act | Sicherheitspflichten für Entwickler sehr großer Modelle | geplant 2027 |
Quellen: öffentliche Zusammenfassungen von Anwaltskanzleien und Compliance-Anbietern, Stand Sommer und Herbst 2026. In den USA ändert sich viel und Gerichte prüfen mehrere Gesetze. Prüfe vor Entscheidungen den aktuellen Stand.
Was das für dich bedeutet.#
Privatpersonen
Die private, nicht berufliche Nutzung von KI ist von den meisten Pflichten der KI-Verordnung ausgenommen. Es gelten aber Schutzrechte, etwa Kennzeichnung und Datenschutz.
Unternehmen, die KI nutzen (Betreiber)
KI-Kompetenz, Transparenz, bei Hochrisiko zusätzliche Betreiberpflichten, DSGVO, Beteiligung des Betriebsrats und Verträge mit Anbietern.
Unternehmen, die KI anbieten oder einbauen
Anbieterpflichten je nach Risikoklasse: Dokumentation, Tests, Konformität. Wer ein fremdes System wesentlich ändert, kann selbst Anbieter werden.
Wer US-Dienste nutzt
Prüfe Vertrag, Datenstandort, Datenübermittlung in Drittländer und Zertifizierungen. Die KI-Verordnung gilt auch für Anbieter außerhalb der EU, wenn ihre Systeme in der EU genutzt werden.
Haftung und weitere EU-Regeln.#
Neue Produkthaftung
Die neue Produkthaftungsrichtlinie (EU) 2024/2853 umfasst ausdrücklich Software und KI. Die Mitgliedstaaten müssen sie bis 9. Dezember 2026 umsetzen. Sie gilt für Produkte, die danach in Verkehr gebracht werden.
KI-Haftungsrichtlinie
Der Vorschlag für eine eigene KI-Haftungsrichtlinie wird von der Kommission nicht weiterverfolgt. Es bleiben nationales Haftungsrecht und die neue Produkthaftung.
Cybersicherheit
Für vernetzte Produkte gilt der Cyber Resilience Act, für viele Unternehmen NIS2. Beides berührt KI-Systeme, die als Teil eines Produkts oder einer Dienstleistung laufen.
Risikoklassen-Finder.#
Wie wird dein Einsatz nach der KI-Verordnung eingestuft?
Grobe Einordnung ohne Rechtsberatung. Entscheidend sind Funktion, Ausnahmen und Einzelfall.
Standards und Rahmenwerke.#
Sie helfen, Regeln in die Praxis zu bringen.
| Rahmenwerk | Worum geht es | Nutzen |
|---|---|---|
| ISO/IEC 42001 | Managementsystem für KI (Richtlinien, Rollen, Risiken, Verbesserung) | Zertifizierbar, schafft Struktur und Nachweis |
| ISO/IEC 23894 | Leitfaden zum Risikomanagement für KI | Hilft bei der Risikobewertung |
| NIST AI RMF | Freiwilliger US-Rahmen mit den Funktionen Govern, Map, Measure, Manage | International verbreitet und gut kombinierbar |
| OWASP Top 10 für LLM | Liste der zehn größten Sicherheitsrisiken für Sprachmodell-Anwendungen | Praxisnah für Entwicklung und Test |
| Harmonisierte EU-Normen | Europäische Normen zur KI-Verordnung (in Erarbeitung) | Sollen Konformität vereinfachen |
Hinweise zum Weiterlesen: EUR-Lex (Verordnungen), Bundesnetzagentur, Europäischer Datenschutzausschuss, NIST AI RMF.
Check: Bist du vorbereitet?#
7 Fragen zur KI-Regulierung.
Orientierung, keine Rechtsberatung. Die Auswahl bleibt in deinem Browser.
Häufige Fragen.#
Gilt die KI-Verordnung auch für mich als Nutzer von ChatGPT und Co.?
Beruflich ja, als sogenannter Betreiber, vor allem mit der KI-Kompetenz-Pflicht, Transparenzregeln und Datenschutz. Rein private, nicht berufliche Nutzung ist von den meisten Pflichten ausgenommen.
Was passiert bei Verstößen?
Behörden können Maßnahmen anordnen und Bußgelder verhängen, in Deutschland vor allem die Bundesnetzagentur. Die Höhe richtet sich nach der Art des Verstoßes und kann Millionenbeträge erreichen.
Muss ich KI-generierte Bilder kennzeichnen?
Deepfakes, also realistisch wirkende, künstlich erzeugte oder manipulierte Inhalte, müssen offengelegt werden. Anbieter von Generatoren müssen Inhalte maschinenlesbar markieren. Für andere Fälle gelten Ausnahmen, etwa bei offensichtlich künstlerischen Werken.
Wie aktuell sind diese Informationen?
Stand ist der 5. November 2026. Gesetze ändern sich, vor allem in den USA und bei den EU-Normen. Lass wichtige Entscheidungen rechtlich prüfen.
Regulierung im Griff behalten?
Schreib mir, welche Regel bei dir offen ist, dann ergänzen wir sie auf dieser Seite.
Quellen und Weiterlesen
War diese Seite hilfreich?
Fehler gefunden? Gib mir kurz Bescheid.
Zitiervorschlag: Russo, K.: „KI-Regulierung“. sicherheitsdenker.de/ki-regulierung/, Stand 6. November 2026.