Wir unterstützen Sie dabei, Ihr Unternehmen an die Verordnung (EU) 2024/1689 anzupassen: Bestandsaufnahme und Einstufung Ihrer KI-Systeme nach Risikostufe, Pflichten zur Transparenz, Governance und menschliche Aufsicht. Die Verordnung gilt bereits stufenweise, die AESIA führt in Spanien schon Prüfungen durch, und die Bußgelder reichen bis zu 35 Mio. € oder 7 % des Umsatzes. Wir sagen Ihnen, was Sie wann erfüllen müssen – mit dem nach dem Digital Omnibus aktualisierten Zeitplan.
Kostenlose Beratung
Wir antworten Ihnen innerhalb von 24 Std.
Sechs Bausteine, um von „Wir nutzen KI ohne Kontrolle“ zu einer beaufsichtigten und dokumentierten Nutzung zu kommen – vertretbar gegenüber der AESIA und im Einklang mit dem risikobasierten Ansatz der Verordnung.
Wir erfassen alle KI-Systeme, die Ihre Organisation nutzt oder entwickelt – einschließlich der KI, die Ihre Mitarbeitenden auf eigene Faust einsetzen, und autonomer Agenten –, jeweils mit Zweck und verarbeiteten Daten. Ohne Bestandsaufnahme lässt sich Compliance nicht nachweisen.
Wir ordnen jedes System einer der vier Stufen des AI Act zu – unannehmbar (verboten), hohes, begrenztes oder minimales Risiko –, denn von dieser Kategorie hängen Ihre Pflichten und die einzuhaltenden Fristen ab.
Wir gestalten die KI-Nutzungsrichtlinie, die Rollen, eine wirksame menschliche Aufsicht und das Risikomanagement. Die Verordnung verlangt keinen „KI-Beauftragten“, wohl aber Personen mit ausreichenden Kenntnissen, um die Systeme zu beaufsichtigen.
Die Transparenzpflichten nach Artikel 50 (darüber informieren, dass man mit einer KI interagiert, und erzeugte oder manipulierte Inhalte kennzeichnen, einschließlich Deepfakes) gelten unverändert seit dem 2. August 2026. Wir helfen Ihnen bei der Umsetzung.
KI und DSGVO gehören zusammen: Die AESIA und die AEPD (spanische Datenschutzbehörde) teilen sich die Zuständigkeiten. Wir stimmen den KI-Einsatz mit den Rechtsgrundlagen, der Information der Betroffenen, der Biometrie und der Rolle des Datenschutzbeauftragten ab.
Wenn Sie KI bei der Personalauswahl, im Kreditscoring, in der Biometrie oder im Bildungsbereich einsetzen, liegt wahrscheinlich ein hohes Risiko vor. Wir bereiten technische Dokumentation, Registrierung, Aufsicht und Konformität vor – rechtzeitig vor den neuen Terminen.
Der AI Act regelt nicht nur, wer KI herstellt: Er betrifft jedes Unternehmen in der EU, das KI-Systeme entwickelt, vertreibt oder einfach in seiner Tätigkeit nutzt – auch wenn das Tool von einem Dritten stammt. Die AESIA führt in Spanien bereits Prüfungen durch.
„Wenn Sie KI in Ihrer Tätigkeit einsetzen, sind Sie ‚Betreiber‘ und haben Pflichten, auch wenn das Tool von jemand anderem stammt. Und das Unternehmen ist sogar für die KI-Nutzung verantwortlich, die seine Mitarbeitenden auf eigene Faust betreiben.“
„Anbieter tragen die strengsten Pflichten, vor allem bei Hochrisiko-Systemen: Risikomanagement, Daten, technische Dokumentation, Registrierung, menschliche Aufsicht und Konformität.“
„Personalauswahl, Kreditscoring, Biometrie, Bildung oder der Zugang zu wesentlichen Diensten sind Hochrisiko-Anwendungen (Anhang III) mit verschärften Pflichten, auch wenn deren Termine mit dem Digital Omnibus verschoben wurden.“
„Wenn Sie ChatGPT, Gemini oder eine andere generative KI nutzen, liegen die Hauptpflichten beim Anbieter des Modells. Ihre Pflicht ist die Transparenz: offenlegen, wenn Inhalte KI-generiert sind, und – wenn Sie das Tool in einem Hochrisiko-Kontext einsetzen – die Pflichten als Betreiber erfüllen.“
Die Bußgelder nach dem AI Act fallen höher aus als nach der DSGVO. Zudem kann die AESIA von Amts wegen tätig werden, ohne vorherige Anzeige. Das größte Risiko vieler Unternehmen: Sie wissen nicht einmal, welche KI sie nutzen.
Der Einsatz verbotener KI (unterschwellige Manipulation, Social Scoring, bestimmte biometrische Verfahren oder sexuelle Deepfakes) wird mit bis zu 35.000.000 € oder 7 % des weltweiten Jahresumsatzes geahndet – je nachdem, welcher Betrag höher ist.
Verstöße gegen die Pflichten für Hochrisiko-Systeme oder gegen die Transparenzpflichten können bis zu 15.000.000 € oder 3 % des Umsatzes kosten. Falsche Angaben gegenüber der Behörde bis zu 7,5 Mio. € oder 1 %.
Keine Bestandsaufnahme, keine Einstufung: Wenn Sie nicht belegen können, welche KI-Systeme Sie nutzen, zu welchem Zweck und unter welchen Kontrollen, können Sie Compliance nicht nachweisen. Die Beweislast liegt – wie bei der DSGVO – bei Ihrer Organisation.
KI-Inhalte nicht kennzeichnen: Seit August 2026 muss über die Interaktion mit KI informiert und synthetischer Inhalt gekennzeichnet werden. Wer das unterlässt, begeht einen Verstoß – besonders heikel für Medien, Marketing und Plattformen.
Verantwortung für Ihre Mitarbeitenden: Das Unternehmen haftet für die KI-Nutzung seiner Beschäftigten, auch wenn diese nicht genehmigt war. „Das wusste ich nicht“ befreit nicht von der Pflicht.
Die spanische KI-Aufsichtsbehörde (Agencia Española de Supervisión de la IA) ist seit Februar 2025 einsatzbereit, mit eigenem Prüfdienst und Sanktionsbefugnis bei verbotenen Praktiken. Sie kann Verwarnungen aussprechen und von Amts wegen tätig werden.
Wir erstellen die Bestandsaufnahme, stufen Ihre Systeme nach Risikostufe ein und sagen Ihnen genau, was Sie bis wann erfüllen müssen – mit dem nach dem Digital Omnibus aktualisierten Zeitplan. Jetzt anzufangen ist günstig; es während einer Prüfung nachzuholen, teuer.
Der AI Act ist die Verordnung (EU) 2024/1689, das weltweit erste umfassende KI-Gesetz. Er gilt für jedes Unternehmen, das in der Europäischen Union KI-Systeme entwickelt, vertreibt oder nutzt, auch wenn das Tool von einem Dritten stammt. Er teilt die Systeme in vier Risikostufen mit verhältnismäßigen Pflichten ein.
Ja, stufenweise. Die Verbote und die Pflicht zur KI-Kompetenz gelten seit Februar 2025; die Regeln für KI-Modelle mit allgemeinem Verwendungszweck und die Sanktionsvorschriften seit August 2025; und die Transparenzpflichten nach Artikel 50 seit dem 2. August 2026.
Der Digital Omnibus (Einigung vom Mai 2026) hat die Pflichten für hohes Risiko verschoben: die nach Anhang III auf Dezember 2027 und die nach Anhang I auf August 2028. Diese neuen Fristen werden wirksam, sobald er förmlich veröffentlicht ist.
Drei Stufen: Einsatz verbotener KI bis zu 35.000.000 € oder 7 % des weltweiten Umsatzes; Verstöße gegen Hochrisiko- oder Transparenzpflichten bis zu 15.000.000 € oder 3 %; falsche Angaben gegenüber der Behörde bis zu 7,5 Mio. € oder 1 %. Für KMU und Start-ups gilt der jeweils niedrigere Betrag, eine vollständige Befreiung gibt es aber nicht.
ChatGPT ist ein KI-Modell mit allgemeinem Verwendungszweck (GPAI): Die Hauptpflichten liegen bei seinem Anbieter. Ihre Pflicht ist die Transparenz: Wenn Sie Inhalte erzeugen, die als von Menschen stammend präsentiert werden, müssen Sie das offenlegen. Und wenn Sie das Modell in einem Hochrisiko-Kontext einsetzen (Bewertung von Mitarbeitenden, Kreditentscheidungen), gelten für Sie als Betreiber diese verschärften Pflichten.
Systeme, deren Einsatz Rechte oder die Sicherheit beeinträchtigen kann: Personalauswahl, Bewertung von Mitarbeitenden, Kreditscoring, Biometrie, Bildung, Zugang zu wesentlichen Diensten oder KI in regulierten Produkten. Sie erfordern Risikomanagement, technische Dokumentation, Registrierung, menschliche Aufsicht und Konformitätsbewertung.
Dann sind Sie trotzdem Betreiber und haben eigene Pflichten: die KI gemäß der Gebrauchsanweisung nutzen, menschliche Aufsicht sicherstellen, Betroffene gegebenenfalls informieren und den Betrieb überwachen. Unkenntnis schützt nicht: Wenn Ihre HR- oder Kreditsoftware Hochrisiko-KI enthält, ist ihre Einstufung das Dringendste.
Der AI Act verlangt keine dem Datenschutzbeauftragten vergleichbare Funktion. Er verlangt aber Personen mit ausreichenden Kenntnissen, um die Systeme zu beaufsichtigen (KI-Kompetenz), und bei hohem Risiko eine wirksame menschliche Aufsicht. In der Praxis empfiehlt es sich, im Rahmen der Compliance klare Zuständigkeiten festzulegen.
Die Agencia Española de Supervisión de la Inteligencia Artificial (AESIA, spanische KI-Aufsichtsbehörde) mit Sitz in A Coruña ist die Marktüberwachungsbehörde für KI in Spanien und die Kontaktstelle zum KI-Büro der EU. Sie kann Prüfungen durchführen, Unterlagen anfordern, die Rücknahme nicht konformer Systeme anordnen und Sanktionsverfahren führen – auch von Amts wegen.
Nur teilweise – und dieser Unterschied ist wichtig. Er verschiebt die Pflichten für hohes Risiko (Anhang III auf Dezember 2027, Anhang I auf August 2028), nicht aber die Verbote, die Regeln für KI-Modelle mit allgemeinem Verwendungszweck oder die Transparenz nach Artikel 50, die beim 2. August 2026 bleibt. Zudem führt er neue Verbote sexueller Deepfakes ein, die ab Dezember 2026 gelten.
Ja. Die Organisation ist für die KI-Nutzung in ihrer Tätigkeit verantwortlich, einschließlich der KI, die ihre Mitarbeitenden auf eigene Faust nutzen (die sogenannte „Shadow AI“), und der Agenten, die intern eingesetzt werden. Deshalb muss die Bestandsaufnahme auch die KI erfassen, die heute noch nicht auf dem Radar ist.
Beide überschneiden sich. Viele KI-Systeme verarbeiten personenbezogene Daten, daher muss die Umsetzung des AI Act mit der DSGVO und dem Datenschutzbeauftragten abgestimmt werden. In Spanien teilen sich AESIA und AEPD die Zuständigkeiten: Die AEPD behält ihre Rolle bei Daten und Biometrie.
Ja. Seit August 2026 muss über die Interaktion mit KI informiert und synthetischer Inhalt (Text, Bild, Audio und Video) gekennzeichnet werden; für Anbieter gelten ab Dezember 2026 besondere Pflichten zur maschinenlesbaren Kennzeichnung. Das betrifft Medien, Marketing, Agenturen und Plattformen unmittelbar.
Ja, mit Einschränkungen. Es gibt eine vereinfachte Dokumentation, verhältnismäßige Bußgelder und Zugang zur regulatorischen Sandbox der AESIA, um Hochrisiko-Systeme in einer beaufsichtigten Umgebung zu testen. Der Omnibus weitet einige dieser Erleichterungen auf „Small Mid-Caps“ aus. Vollständig befreit ist aber kein Unternehmen.
Es ist auf dem Weg. Die Regierung hat im Mai 2026 den Entwurf eines Organgesetzes (Ley Orgánica) zur Governance der KI verabschiedet, der die Verordnung an die spanische Rechtsordnung anpasst und die nationalen Behörden und Sanktionen festlegt. Das Gesetzgebungsverfahren läuft noch, aber die materiellen Pflichten gelten bereits über die EU-Verordnung: Sie müssen nicht auf das Gesetz warten, um anzufangen.
Der AI Act ist eine risikobasierte Regelung: Je höher das Risiko der Anwendung, desto mehr Pflichten. Die richtige Einstufung jedes Systems ist der Schritt, der alles Weitere bestimmt. Hier der Überblick, mit dem bereits durch den Digital Omnibus angepassten Zeitplan.
Pflichten, Fristen und Bußgelder hängen von der Risikostufe jedes Systems ab. Dieselbe Software kann je nach Verwendungszweck ein hohes oder ein begrenztes Risiko darstellen.
Zuerst die Bestandsaufnahme, dann die Einstufung und die Gap-Analyse und zuletzt die Governance und die Dokumentation, die jedes System je nach Kategorie benötigt.
| Risikostufe | Beispiele | Pflichten | Gilt ab |
|---|---|---|---|
| Unannehmbar (verboten) | Unterschwellige Manipulation, Social Scoring, bestimmte biometrische Verfahren, sexuelle Deepfakes | Vollständiges Verbot | Feb. 2025 (sexuelle Deepfakes: Dez. 2026) |
| Hohes Risiko | Personalauswahl, Kreditscoring, Biometrie, Bildung, KI in regulierten Produkten | Risikomanagement, Dokumentation, Registrierung, menschliche Aufsicht, Konformität | Anhang III: Dez. 2027 · Anhang I: Aug. 2028 |
| Begrenztes Risiko | Chatbots, Assistenten, generative KI, nicht sexuelle Deepfakes | Transparenz: Nutzer informieren und Inhalte kennzeichnen | Aug. 2026 (Kennzeichnung: Dez. 2026) |
| Minimales Risiko | Spamfilter, Empfehlungssysteme, Videospiele, die meisten Anwendungen | Keine besonderen Pflichten; freiwillige gute Praxis | — |
Zeitplan angepasst an den Digital Omnibus (Einigung vom Mai 2026, förmliche Veröffentlichung ausstehend): Die neuen Hochrisiko-Fristen werden erst mit der Veröffentlichung im Amtsblatt der EU wirksam. Diese Seite dient nur der Information und stellt keine Rechtsberatung dar; jedes System muss einzeln geprüft werden.
Der Aufschub für hohes Risiko verschafft Luft, ist aber keine Ausrede, nichts zu tun: Schwierig ist nicht die Dokumentationsvorlage, sondern die gesamte KI der Organisation zu finden und einzustufen. Damit können Sie schon jetzt beginnen.
Eigene, integrierte und eingekaufte Systeme sowie die, die Ihre Mitarbeitenden auf eigene Faust nutzen. Alles Weitere hängt von der Bestandsaufnahme ab.
Von der Risikokategorie jedes Systems hängen Pflichten und Fristen ab. Dasselbe Modell wechselt je nach Verwendung die Kategorie.
Richtlinien, menschliche Aufsicht und Dokumentation. Wenn Sie die Kontrolle nicht nachweisen können, ist das für die AESIA so, als hätten Sie keine.
Möchten Sie das in Ihr Compliance-Programm integrieren? Betrachten Sie es zusammen mit der Corporate Compliance und dem externen Compliance Officer.
Die Anpassung an den AI Act heißt nicht, ein Dokument zu unterschreiben: Es ist ein Prozess aus Bestandsaufnahme, Einstufung und Governance, der gegenüber der AESIA nachweisbar sein muss. Das ist der Weg – von der Frage, welche KI Sie nutzen, bis zur dauerhaften Pflege der Nachweise.
1) BestandsaufnahmeWir erfassen alle KI-Systeme: eigene, integrierte, eingekaufte und die „Shadow AI“ der Mitarbeitenden, jeweils mit Zweck und verarbeiteten Daten.
2) EinstufungWir ordnen jedem System seine Stufe zu – verboten, hoch, begrenzt oder minimal – sowie die Rolle des Unternehmens: Anbieter oder Betreiber.
3) LückenWir gleichen jedes System mit den Anforderungen der Verordnung für seine Kategorie ab und setzen Prioritäten: was eingestellt, korrigiert oder dokumentiert werden muss – und bis wann.
4) Governance + NachweiseWir implementieren die KI-Nutzungsrichtlinie, die menschliche Aufsicht, die Transparenz nach Artikel 50 und die Dokumentation, die jedes System braucht. Und wir bereiten die Nachweise so vor, dass Sie die Compliance gegenüber der AESIA belegen können.
SchnellentscheidungSofort einstellen oder umgestalten: Die Verbote nach Artikel 5 gelten seit 2025.
Dokumentation, Registrierung und Aufsicht; Vorbereitung auf Dezember 2027 / August 2028.
Transparenz und Kennzeichnung synthetischer Inhalte ab August / Dezember 2026.
Alle genutzten oder entwickelten KI-Systeme kennen, einschließlich der Shadow AI.
Systemregister mit Zweck, Daten, Rolle und Anbieter.
Risikostufe und Rolle zuweisen (Anbieter oder Betreiber).
Einstufungsmatrix und Begründung je System.
Über die Interaktion mit KI informieren und erzeugte oder manipulierte Inhalte kennzeichnen.
Hinweise in der Benutzeroberfläche und maschinenlesbare Kennzeichnung synthetischer Inhalte.
Risikomanagement, Daten, menschliche Aufsicht, Registrierung und Konformität.
Technische Dokumentation, Eintragung in die Datenbank und Konformitätsbewertung.
Den KI-Einsatz mit der DSGVO und den Rechten der Betroffenen abstimmen.
Rechtsgrundlagen, Information der Betroffenen und Abstimmung mit dem DPO.
Erkennen Sie sie, bevor die AESIA es tut.
Wenn Sie Ihr Unternehmen an die KI-Verordnung anpassen, begegnen Ihnen diese Begriffe bei der Einstufung, in der Dokumentation und im Umgang mit der AESIA.
Software, die mit einem gewissen Grad an Autonomie Ergebnisse (Vorhersagen, Empfehlungen, Entscheidungen, Inhalte) erzeugt, die ihre Umgebung beeinflussen. Sie ist die Einheit, die erfasst und eingestuft wird.
Untersagte Anwendungen: unterschwellige Manipulation, Social Scoring, bestimmte biometrische Verfahren und sexuelle Deepfakes. Sie dürfen weder angeboten noch genutzt werden. In Kraft seit Februar 2025.
Anwendungen, die Rechte oder Sicherheit berühren (HR, Kredit, Biometrie, Bildung). Verschärfte Pflichten, deren Termine durch den Digital Omnibus verschoben wurden.
Modelle wie die von ChatGPT oder Gemini, die für viele Aufgaben einsetzbar sind. Die Hauptpflichten liegen beim Anbieter; der Nutzer übernimmt die Transparenz und gegebenenfalls die Pflichten für hohes Risiko.
Darüber informieren, dass man mit einer KI interagiert, und erzeugte oder manipulierte Inhalte kennzeichnen (einschließlich Deepfakes). Sie wurden nicht verschoben: in Kraft seit dem 2. August 2026.
Der Anbieter entwickelt oder vertreibt das System; der Betreiber (Deployer) setzt es in seiner Tätigkeit ein. Jede Rolle hat unterschiedliche Pflichten, und die meisten Unternehmen sind Betreiber.
Marktüberwachungsbehörde für KI in Spanien mit Sitz in A Coruña und Kontaktstelle zum KI-Büro der EU. Sie prüft und sanktioniert, auch von Amts wegen.
Von der AESIA beaufsichtigter Rahmen, in dem innovative KI-Systeme – auch Hochrisiko-Systeme – vor der Markteinführung getestet werden können; besonders nützlich für KMU und Start-ups.
Maschinenlesbare Markierung, die KI-generierte oder KI-manipulierte Inhalte erkennbar macht, um Echtes von Synthetischem zu unterscheiden. Pflicht der Anbieter ab Dezember 2026.
Laden Sie den Leitfaden mit dem Wesentlichen für die Compliance herunter: für wen der AI Act gilt, die vier Risikostufen, der nach dem Digital Omnibus aktualisierte Zeitplan, die Transparenzpflichten, die AESIA und die Sanktionen.
Erzählen Sie uns, welche KI Ihr Unternehmen nutzt, und wir sagen Ihnen, ob der AI Act für Sie gilt, in welche Risikostufe Ihre Systeme fallen und was Sie erfüllen müssen – mit dem aktualisierten Zeitplan und möglichst geringem Aufwand.
Der AI Act ist die Verordnung (EU) 2024/1689, das weltweit erste umfassende Gesetz über künstliche Intelligenz, in Kraft seit August 2024 und mit gestaffelter Anwendung. Er verfolgt einen risikobasierten Ansatz: Er teilt die Systeme in vier Stufen ein und knüpft daran verhältnismäßige Pflichten. In Spanien ist die Marktüberwachungsbehörde die AESIA (Agencia Española de Supervisión de la Inteligencia Artificial) mit Sitz in A Coruña, die sich die Zuständigkeiten mit der AEPD und den sektoralen Aufsichtsbehörden teilt. Die Bußgelder reichen bis zu 35 Millionen Euro oder 7 % des Umsatzes.
Der Digital Omnibus (politische Einigung vom Mai 2026, im Juni vom Parlament gebilligt, förmliche Annahme ausstehend) verschiebt die Pflichten für hohes Risiko: die nach Anhang III auf Dezember 2027 und die nach Anhang I auf August 2028. Nicht verschoben werden dagegen die Verbote nach Artikel 5, die Regeln für KI-Modelle mit allgemeinem Verwendungszweck und die Transparenz nach Artikel 50 (in Kraft seit dem 2. August 2026); hinzu kommen neue Verbote sexueller Deepfakes, die ab Dezember 2026 gelten. Die neuen Fristen werden erst mit der Veröffentlichung im Amtsblatt der EU wirksam.
Die Regierung hat im Mai 2026 den Entwurf des Organgesetzes für die gute Nutzung und Governance der KI (Ley Orgánica para el buen uso y la gobernanza de la IA) verabschiedet, der die Verordnung an die spanische Rechtsordnung anpasst und die nationalen Behörden sowie die nationalen Sanktionen festlegt. Das Verfahren läuft noch, aber die materiellen Pflichten gelten bereits über die EU-Verordnung: Die AESIA kann schon jetzt verwarnen und prüfen. Mit der Umsetzung sollten Sie daher nicht bis zur Verabschiedung warten.
Die Vorschriften und die zuständige Behörde finden Sie in den offiziellen Quellen: die Verordnung (EU) 2024/1689 (EUR-Lex) und die Agencia Española de Supervisión de la Inteligencia Artificial (AESIA). Diese Seite dient nur der Information und stellt keine Rechtsberatung dar; jedes KI-System muss einzeln geprüft werden.
Maßgebliche Vorschriften, mit Link zum amtlichen Text:
Vorschriften und Links im geprüft.