KI Compliance: Alle Gesetze & Fristen

In Deutschland wird KI durch mehrere sich ergänzende Regelwerke reguliert: Den EU AI Act (Verordnung (EU) 2024/1689) als zentrales europäisches KI-Gesetz, die DSGVO für Datenschutz bei KI-Verarbeitung, das KI-MIG als deutsches Durchführungsgesetz zum EU AI Act, die EU-Omnibus-Richtlinie für Anpassungen bei Nachhaltigkeitsberichterstattung und KI, sowie branchenspezifische Regulierungen wie DORA (Finanzsektor) und NIS-2 (KRITIS).

Das KI-MIG ist das deutsche Durchführungsgesetz zum EU AI Act. Es regelt unter anderem: die Bestimmung der zuständigen nationalen Behörde (BNetzA als federführende Behörde), Bußgelder und Sanktionsmechanismen auf nationaler Ebene, Experimentierklauseln (Regulatory Sandboxes) für KI-Innovation sowie die Zusammenarbeit zwischen Bundes- und Landesbehörden bei der KI-Aufsicht.

Die Fristen sind gestaffelt: Seit 2. Februar 2025 gelten die Verbote bestimmter KI-Praktiken (Art. 5). Ab 2. August 2025 greifen die KI-Kompetenzpflichten (Art. 4). Ab 2. August 2026 gelten Transparenzpflichten und GPAI-Regeln. Ab 2. August 2027 folgen die Anforderungen für Hochrisiko-KI-Systeme. Details finden Sie in unserem Fristen-Guide.

On-Premise LLM vereinfacht die Compliance auf mehreren Ebenen: DSGVO — kein Drittlandtransfer, keine Auftragsverarbeitung durch Cloud-Anbieter. EU AI Act — volles Audit-Logging, eigene technische Dokumentation, kontrolliertes Risikomanagement. Branchenregulierung — Daten bleiben im eigenen Netzwerk, ideal für § 203 StGB, BaFin, BSI C5. Mehr dazu in unserem On-Premise-LLM-Leitfaden.

Die Sanktionen sind erheblich: Für Verstöße gegen verbotene KI-Praktiken drohen bis zu 35 Mio. € oder 7 % des weltweiten Jahresumsatzes. Für Verstöße gegen Hochrisiko-Anforderungen bis zu 15 Mio. € oder 3 % des Umsatzes. Für falsche Informationen an Behörden bis zu 7,5 Mio. € oder 1 % des Umsatzes. KMU und Start-ups erhalten proportional geringere Obergrenzen.

Der EU AI Act schreibt keinen „KI-Beauftragten" vor, aber er verlangt in Art. 4 die sogenannte KI-Kompetenz: Alle Personen, die KI-Systeme betreiben oder beaufsichtigen, müssen angemessen geschult sein. In der Praxis empfiehlt es sich, eine verantwortliche Person oder ein Team für KI-Governance zu benennen — ähnlich dem Datenschutzbeauftragten für die DSGVO.

Ja, aber mit Einschränkungen. Open-Source-GPAI-Modelle sind teilweise von den Transparenzpflichten ausgenommen (Art. 53 Abs. 2), es sei denn, sie werden als systemisches Risiko eingestuft (>10^25 FLOPs Trainingsrechenleistung). On-Premise-Deployment eines Open-Source-Modells wie Llama oder Mistral unterliegt dennoch den Pflichten des Deployers — also den Nutzungspflichten gemäß Art. 26.