In Berlin hat heute, am 3. November 2026, der zweitägige Digitalgipfel der Bundesregierung begonnen. Mehr als 1.000 Gäste sind dabei: Digitalminister aus Europa und Kanada, Vertreter der EU-Kommission und der Bundesländer, Menschen aus Technologieunternehmen sowie Fachleute aus Wissenschaft und Gesellschaft. Bundeskanzler Merz sollte am Nachmittag eine Rede halten.

Im Mittelpunkt stehen Chancen, Risiken und Auswirkungen Künstlicher Intelligenz. Digitalminister Karsten Wildberger (CDU) formulierte es deutlich: Deutschland dürfe bei KI nicht den Anschluss verlieren. Die Risiken der Technologie nehme er ernst. Das größte Risiko sei aber, zu langsam zu handeln und keine Entscheidungen zu treffen.

Tempo oder Abhängigkeit

Wenn Deutschland zögert, könne es abhängiger werden und Wachstumschancen verpassen. Deutschland und Europa benötigten deshalb eigene erfolgreiche KI-Unternehmen und eigene Technologien. Das klingt nach Industriepolitik mit ordentlich Druck dahinter – und nach einer Debatte, die längst nicht mehr nur in Ministerien geführt wird.

Der Kommunikationswissenschaftler Christoph Neuberger widersprach der Einschätzung, eine starke Regulierung von KI könne Europas Wettbewerbsfähigkeit beeinträchtigen. Der Direktor des Weizenbaum-Instituts sagte, ein ausgewogener Rechtsrahmen könne Europas Vorteil sein. Eine wertebezogene Regulierung wie in der EU-KI-Verordnung könne anderen Ländern sogar als Vorbild dienen.

Was Europas KI-Regeln tatsächlich ordnen

Das KI-Gesetz, die Verordnung (EU) 2024/1689, ist der erste umfassende Rechtsrahmen für künstliche Intelligenz. Es soll vertrauenswürdige, sichere und menschenzentrierte KI in Europa fördern. Für Entwickler und Betreiber bestimmter KI-Anwendungen gelten risikobasierte Regeln – also nicht für jede harmlose Software gleich viel Bürokratie.

Hier könnte Ihr Advertorial stehen
Ein Advertorial bietet Unternehmen die Möglichkeit, ihre Botschaft direkt im redaktionellen Umfeld zu platzieren

Viele KI-Systeme gelten als risikoarm und können gesellschaftliche Herausforderungen unterstützen. Andere können unerwünschte Ergebnisse verursachen. Oft ist nicht nachvollziehbar, wie Entscheidungen und Vorhersagen zustande kommen. Dann bleibt die unangenehme Frage offen, ob jemand etwa bei einer Einstellung oder beim Zugang zu öffentlichen Leistungen benachteiligt wurde. Bestehende Rechtsvorschriften schützen zwar, decken die besonderen Herausforderungen von KI aber nicht vollständig ab.

Die Regeln unterscheiden vier Risikostufen. KI-Systeme mit einem inakzeptablen Risiko sind verboten, wenn sie eine klare Bedrohung für Sicherheit, Lebensgrundlagen oder Rechte darstellen. Dazu zählen schädliche Manipulation und Täuschung, die Ausnutzung menschlicher Schwachstellen, soziales Scoring sowie individuelle Risikobewertungen oder Vorhersagen von Straftaten.

Ebenfalls untersagt sind das ungezielte Abrufen von Internet- oder CCTV-Material für Gesichtserkennungsdatenbanken, Emotionserkennung an Arbeitsplätzen und in Bildungseinrichtungen, biometrische Kategorisierung zur Ableitung bestimmter geschützter Merkmale sowie biometrische Echtzeit-Fernidentifizierung für Strafverfolgungszwecke in öffentlich zugänglichen Räumen. Auch die Erzeugung nicht einvernehmlicher sexuell expliziter oder intimer Inhalte und von Material über sexuellen Kindesmissbrauch, etwa durch „Nudifizierungs“-Apps, fällt darunter.

Die Verbote der ersten acht Praktiken gelten seit Februar 2025. Die EU-Kommission veröffentlichte dazu Leitlinien mit rechtlichen Erläuterungen und Beispielen sowie Leitlinien zur Definition eines KI-Systems. Das Verbot der neunten Praxis tritt im Dezember 2026 in Kraft und wurde durch den KI-Omnibus ergänzt.

Hochrisiko, Chatbots und Spamfilter

Hochrisiko-KI kann erhebliche Gefahren für Gesundheit, Sicherheit oder Grundrechte verursachen. Dazu gehören Sicherheitskomponenten kritischer Infrastrukturen, etwa im Verkehr, KI zur Prüfungsbewertung in Bildungseinrichtungen und Sicherheitskomponenten von Produkten wie in der robotergestützten Chirurgie.

Auch Systeme für Beschäftigung, Arbeitnehmermanagement und den Zugang zur Selbstständigkeit – beispielsweise bei der Bewerberauswahl –, Anwendungen für wesentliche private oder öffentliche Dienstleistungen wie Kreditwürdigkeitsprüfungen sowie biometrische Fernidentifizierung, Emotionserkennung und biometrische Kategorisierung zählen dazu. Hinzu kommen KI in der Strafverfolgung, im Migrations-, Asyl- und Grenzkontrollmanagement sowie für Rechtspflege und demokratische Prozesse, etwa zur Vorbereitung von Gerichtsurteilen.

Ab dem 2. Dezember 2027 gelten für bestimmte Hochrisiko-Systeme unter anderem Pflichten zur Risikoanalyse und Risikominderung, zu hochwertigen Trainings- und Eingabedaten, zur Protokollierung und Rückverfolgbarkeit sowie zu umfassender technischer Dokumentation. Betreiber müssen klare Informationen erhalten, menschliche Aufsicht muss möglich sein, außerdem gelten Anforderungen an Robustheit, Cybersicherheit und Genauigkeit. Für Hochrisiko-Systeme in regulierten Produkten gibt es einen verlängerten Übergangszeitraum bis zum 2. August 2028.

Am anderen Ende der Skala stehen Systeme mit minimalem oder keinem Risiko. Für sie gelten keine zusätzlichen Vorschriften des KI-Gesetzes. Die Mehrheit der in der EU eingesetzten Systeme fällt in diese Kategorie – etwa KI-gestützte Videospiele und Spamfilter. Bei Chatbots muss hingegen erkennbar sein, dass Nutzer mit einer Maschine sprechen. Anbieter generativer KI müssen dafür sorgen, dass KI-generierte Inhalte identifizierbar sind; Deepfakes und bestimmte veröffentlichte KI-generierte Texte müssen deutlich und sichtbar gekennzeichnet werden. Diese Transparenzregeln gelten ab August 2026.

Die Kommission veröffentlichte dazu einen freiwilligen Verhaltenskodex zur Kennzeichnung KI-generierter Inhalte, Leitlinien zu Transparenzpflichten und Ausnahmen sowie Symbole für künstlich erzeugte Bilder, Audiodateien und Texte.

Kontrolle, Modelle und der lange Kalender

Nach dem Inverkehrbringen überwachen Behörden den Markt. Betreiber müssen menschliche Aufsicht und Überwachung gewährleisten, Anbieter ein System zur Überwachung nach dem Inverkehrbringen einrichten. Schwerwiegende Vorfälle und Fehlfunktionen müssen gemeldet werden.

Eine eigene Rolle spielen allgemeine KI-Modelle, kurz GPAI. Sie können viele verschiedene Aufgaben erfüllen und als Grundlage für zahlreiche KI-Systeme dienen. Besonders leistungsfähige oder weit verbreitete Modelle können systemische Risiken verursachen. Für ihre Anbieter gelten Transparenz- und Urheberrechtsvorgaben; Anbieter systemisch riskanter Modelle müssen Risiken bewerten und mindern. Die GPAI-Vorschriften gelten seit August 2025.

Im Juli 2025 veröffentlichte die Kommission drei Hilfsmittel: Leitlinien zum Anwendungsbereich der GPAI-Pflichten, einen freiwilligen GPAI-Praxiskodex zu Transparenz, Urheberrecht und Sicherheit sowie eine Vorlage für öffentliche Zusammenfassungen der Trainingsinhalte. Darin sollen unter anderem Trainingsdaten, große Datensätze, wichtige Domainnamen und Informationen zur Datenverarbeitung aufgeführt werden. Berechtigte Parteien sollen dadurch ihre Rechte nach EU-Recht ausüben können; zugleich sollen Verwaltungsaufwand sinken und Innovationen möglich bleiben.

Ab dem 2. August 2026 sind das Amt für künstliche Intelligenz und die Behörden der Mitgliedstaaten für Umsetzung, Überwachung und Durchsetzung zuständig. Das KI-Amt kann technische Dokumentation zu GPAI-Modellen anfordern, Modelle bewerten, Korrekturmaßnahmen verlangen und Geldbußen verhängen. Unterstützt wird die Governance vom KI-Rat, vom Wissenschaftlichen Gremium und vom Beirat.

Der EU-Zeitplan ist inzwischen ziemlich dicht: Das KI-Gesetz trat am 1. August 2024 in Kraft. Am 2. Februar 2025 folgten Verbote bestimmter Praktiken und Pflichten zur KI-Kompetenz, am 2. August 2025 Governance-Regeln und GPAI-Pflichten. Im August 2026 gelten das Gesetz allgemein, die Transparenzpflichten sowie die Zuständigkeit des KI-Amts und der nationalen Behörden. Am 2. Dezember 2027 greifen Hochrisiko-Regeln für sensible Bereiche wie Biometrie, kritische Infrastruktur, Bildung, Beschäftigung, Migration, Asyl und Grenzkontrollen; außerdem tritt dann das Verbot der Erzeugung nicht einvernehmlicher sexueller Inhalte und von CSAM durch KI in Kraft. Für Hochrisiko-KI in regulierten Produkten wie Aufzügen oder Spielzeug gilt der 2. August 2028.

Der KI-Omnibus wurde am 19. November 2025 angenommen, eine politische Einigung dazu am 7. Mai 2026 erzielt. Die Verordnung trat am 27. Juli 2026 in Kraft. Sie soll Vorschriften klarer, einfacher und innovationsfreundlicher machen: mit einem klaren Zeitplan für Hochrisiko-Regeln, stärkeren Befugnissen des KI-Amts, zentralisierter Aufsicht über GPAI-basierte Systeme und weniger Fragmentierung bei der Governance. Bestimmte Erleichterungen für kleine und mittlere Unternehmen werden auf kleine Midcap-Unternehmen ausgeweitet, technische Dokumentation soll