Compliance Update vom 02.12.2025
Die KI-VO der EU ist seit dem 1. August 2024 in Kraft, entfaltet ihre Wirkung jedoch stufenweise. Das heißt: Die einzelnen Vorgaben treten zu unterschiedlichen Zeitpunkten in Kraft und gelten nicht sofort vollständig. Die ersten Pflichten sind bereits am 2. Februar 2025 wirksam geworden, darunter die Anforderungen an KI-Kompetenzen gemäß Art. 4 KI-VO sowie die Regelungen zu verbotenen KI-Praktiken nach Art. 5 KI-VO. Zum 2. August 2025 folgten weitere Verpflichtungen, die vor allem neue GPAI-Systeme, d.h. KI mit allgemeinem Verwendungszweck, betreffen. Seit diesem Zeitpunkt gelten zudem die Governance-Vorgaben aus Kapitel VII sowie die Sanktionsregelungen aus Kapitel XII der KI-VO.
Der größte Teil der Pflichten entfaltet seine Geltung nach der 24-monatigen Übergangfrist ab dem 02. August 2026. Das Datum markiert die sogenannte allgemeine Anwendbarkeit der KI-VO. Insbesondere betroffen davon sind KI-Systeme mit Transparenzrisiko nach Art. 50 KI-VO, neue Hochrisiko-KI-Systeme gem. Anhang III KI-VO und bestehende Hoch-Risiko-KI-Systeme nach Anhang III, die nach dem 02. August 2026 wesentlich geändert werden.
Warum Deutschland ein Durchführungsgesetz braucht
Die KI-VO ist als EU-VO umittelbar anwendbar und in allen EU-Mitgliedstaaten in vollem Umfang verbindlich. Sie benötigt also keine nationale Umsetzungsmaßnahme, um Rechtskraft zu erlangen. Dennoch erfordert die KI-VO ergänzende nationale Durchführungsmaßnahmen, um praktisch anwendbar zu werden. Nach Vorgaben der KI-VO hätte jeder Mitgliedstaat bis zum 2. August 2025 mindestens eine notifizierende Behörde und mindestens eine Marktüberwachungsbehörde einrichten oder benennen sowie nationale Sanktionsvorschriften und Maßnahmen zur Innovationsförderung erlassen müssen. Die Frist konnte vom deutschen Gesetzgeber aufgrund der Regierungsneubildung nicht gehalten werden.
Stand September 2025: Referentenentwurf und nächste Schritte
Im September 2025 hat das Bundesministerium für Digitales nun einen Referentenentwurf zum deutschen Durchführungsgesetz der KI-VO verabschiedet. Aktuell können die Bundesländer, Verbände, Organisationen und Institutionen schriftliche Stellungnahmen abgeben, bevor der Referentenentwurf dann den weiteren Gesetzgebungsprozess hin zum Bundesrat, Bundestag und schlussendlichen Veröffentlichung durchläuft.
Im Entwurf ist eine enge Kooperation zwischen verschiedenen Behörden wie der BNetzA, der BaFin, dem BSI, den Datenschutzbehörden und dem Bundeskartellamt vorgesehen. Dabei wird die BNetzA als zentrale Marktüberwachungsbehörde benannt und soll ein Koordinierungs- und Kompetenzzentrum zur Unterstützung anderer Behörden aufbauen. Daneben erfüllt der deutsche Gesetzgeber auch die geforderten Maßnahmen zur Innovationsförderung und legt eine Bereitstellung von Informations- und Schulungsangeboten durch die BNetzA fest, die v. a. KMU und Start-ups unterstützen sollen. Zusätzlich sollen KI-Reallabore für Tests und Experimente unter Realbedingungen eingerichtet werden und ein Aufbau von Fachwissen, Netzwerken und eine Standardisierung erfolgen.
Die schrittweise erfolgende Geltungsentfaltung der KI-VO soll es allen Beteiligten ermöglichen, auf den Erfahrungen aufzubauen – sowohl Anbietern und Betreibern als auch der EU-Kommission. Die bereits in Kraft getretenen Pflichten haben deutlich gezeigt, dass wichtige Standards und Instrumente zur praktischen Umsetzung fehlen. Viele Unternehmen waren mit unklaren Abgrenzungen zwischen dem KI-Gesetz und anderen EU-Rechtsvorschriften konfrontiert, was zu Widersprüchen und aufwendiger Compliance geführt hat. Die EU-Kommission reagiert nun mit dem neuen Digital Omnibus auf Umsetzungsprobleme der KI-VO und veröffentlicht gezielte Anpassungen, um einen einfacheren, konsistenteren und innovationsfreundlicheren Rechtsrahmen zu schaffen.