Umsetzung der EU-KI-Verordnung nach Ländern

Die EU-KI-Verordnung (Verordnung 2024/1689) ist eine Verordnung, keine Richtlinie — das heißt, sie gilt in allen EU-Mitgliedstaaten unmittelbar, ohne dass eine nationale Umsetzung in innerstaatliches Recht erforderlich ist. Dennoch erfordert die Verordnung erhebliche Umsetzungsarbeit auf nationaler Ebene. Jeder Mitgliedstaat muss nationale zuständige Behörden und Marktüberwachungsbehörden benennen, kann regulatorische Sandkästen einrichten und bestimmte nationale Maßnahmen im Rahmen der Verordnung ergreifen.

Gemäß Artikel 70 muss jeder Mitgliedstaat mindestens eine notifizierende Behörde und mindestens eine Marktüberwachungsbehörde für die Zwecke der KI-Verordnung benennen. Mehrere Mitgliedstaaten hatten bereits bestehende KI-Governance-Strukturen, die sie nun anpassen.

Was sich im Juli 2026 geändert hat

Mit der Verordnung (EU) 2026/1744 („Digital Omnibus on AI“), in Kraft seit dem 27. Juli 2026, wurden zentrale Fristen der KI-Verordnung verschoben. Für Hochrisiko-KI-Systeme nach Artikel 6 Absatz 2 und Anhang III gelten die Pflichten des Kapitels III Abschnitte 1 bis 3 erst ab dem 2. Dezember 2027, für Hochrisiko-Systeme nach Artikel 6 Absatz 1 und Anhang I ab dem 2. August 2028. Die Pflicht der Mitgliedstaaten, nach Artikel 57 mindestens einen regulatorischen KI-Sandkasten betriebsbereit zu haben, gilt nun ab dem 2. August 2027.

Die Verschiebung ist unbedingt. Der ursprüngliche Kommissionsvorschlag sah einen „Stop-the-clock“-Mechanismus vor, der die neuen Daten an eine Bestätigung der Verfügbarkeit harmonisierter Normen geknüpft hätte; die Mitgesetzgeber haben diesen Auslöser gestrichen. Im verabschiedeten Text gibt es keinen normenbezogenen Auslöser und keine weitere automatische Verzögerung.

Ebenso wichtig ist, was nicht verschoben wurde. Der 2. August 2026 bleibt der allgemeine Geltungsbeginn der KI-Verordnung; das KI-Büro und die nationalen Behörden haben an diesem Tag mit der Durchsetzung begonnen. Die Transparenzpflichten des Artikels 50 — Offenlegung bei Chatbots, Kennzeichnung von Deepfakes und maschinenlesbare Markierung synthetischer Inhalte — gelten seitdem unmittelbar, ebenso die Registrierungspflicht nach Artikel 49, die außerhalb der aufgeschobenen Abschnitte 1 bis 3 steht. Auch die Verbote des Artikels 5 gelten unverändert seit dem 2. Februar 2025, und der Bußgeldrahmen des Artikels 99 blieb unangetastet.

Neu hinzugekommen sind zwei Verbotstatbestände in Artikel 5 — KI-Systeme, die ohne Einwilligung realistische intime Bilddarstellungen einer identifizierbaren Person erzeugen oder manipulieren (Artikel 5 Absatz 1 Buchstabe ba), sowie solche, die Material über sexuellen Kindesmissbrauch erzeugen oder manipulieren (Buchstabe bb). Beide gelten ab dem 2. Dezember 2026. Bis zum selben Datum müssen generative KI-Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden, die maschinenlesbare Markierungspflicht des Artikels 50 Absatz 2 erfüllen (neuer Artikel 111 Absatz 4).

EU-Governance-Struktur

Das KI-Büro

Innerhalb der Europäischen Kommission angesiedelt, überwacht es die GPAI-Regelumsetzung, koordiniert mit nationalen Behörden und entwickelt Leitlinien.

Der Europäische Ausschuss für Künstliche Intelligenz

Bringt Vertreter aller Mitgliedstaaten zusammen für eine konsistente Anwendung.

Umsetzung nach Ländern

Deutschland

Dezentraler Ansatz gemäß der föderalen Struktur. Die Bundesnetzagentur wurde als primäre Marktüberwachungsbehörde benannt. Besonders aktiv bei regulatorischen Sandkästen, mit Initiativen in Bayern und Nordrhein-Westfalen.

Frankreich

Die CNIL und Inria sind zentrale Institutionen. Proaktiv bei KI-Sandkästen, aufbauend auf der bestehenden „France AI"-Strategie.

Niederlande

Die Autoriteit voor Digitale Infrastructuur (RDI) als koordinierende Behörde. Das niederländische Algorithmenregister gilt als Vorbild, das mehrere Transparenz- und Registrierungsanforderungen der KI-Verordnung vorwegnimmt.

KI-Verordnung-Compliance über Jurisdiktionen hinweg navigieren

Ctrl AI hilft Organisationen, die in mehreren EU-Mitgliedstaaten tätig sind, eine konsistente Compliance-Dokumentation zu pflegen.

Learn About Ctrl AI

Spanien

Die Spanische Agentur für die Aufsicht über Künstliche Intelligenz (AESIA) wurde bereits 2023 geschaffen, noch vor der endgültigen Verabschiedung der KI-Verordnung. Frühstarter bei Sandkästen seit 2022.

Italien

AgID und ACN als Schlüsselbehörden. Bemerkenswert für frühe Durchsetzungsmaßnahmen, insbesondere das temporäre Verbot von ChatGPT 2023.

Irland

Besonders bedeutsam, da viele große Technologieunternehmen ihren europäischen Hauptsitz dort haben. Die Data Protection Commission wird eine Rolle spielen.

Schweden

Pragmatischer Ansatz mit Verteilung der Verantwortlichkeiten auf bestehende sektorspezifische Behörden.

Umsetzungszeitpläne und institutionelle Benennungen entwickeln sich weiter. Die Frist für die Mitgliedstaaten, ihre nationalen zuständigen Behörden zu benennen und der Kommission mitzuteilen, ist am 2. August 2025 abgelaufen. Seit dem 2. August 2026 wird die KI-Verordnung von diesen Behörden gemeinsam mit dem KI-Büro durchgesetzt.

Regulatorische Sandkästen

Artikel 57 verlangt, dass jeder Mitgliedstaat mindestens einen regulatorischen KI-Sandkasten einrichtet. Die Verordnung (EU) 2026/1744 hat diese Frist vom 2. August 2026 auf den 2. August 2027 verschoben.

Sandkästen bieten kontrollierte Umgebungen, in denen KI-Systeme unter regulatorischer Aufsicht entwickelt und getestet werden können. Sie sind jedoch keine Compliance-Abkürzung — Systeme müssen vor dem Inverkehrbringen alle Anforderungen erfüllen.

Regulatorische Sandkästen sind keine Compliance-Abkürzung. In Sandkästen entwickelte Systeme müssen weiterhin alle geltenden Anforderungen erfüllen, bevor sie auf den Markt gebracht werden. Der Sandkasten-Prozess bietet jedoch wertvolles regulatorisches Feedback.

Umsetzungszeitplan

Was dies für Organisationen bedeutet, die in mehreren Mitgliedstaaten tätig sind

Praktische Empfehlungen:

Am höchsten Standard orientieren. Bauen Sie Ihr Compliance-Programm auf die strengste nationale Auslegung aus.
Artikel 50 sofort behandeln. Die Transparenzpflichten sind seit dem 2. August 2026 durchsetzbar und werden von den nationalen Marktüberwachungsbehörden geprüft — anders als die Hochrisikopflichten stehen sie nicht unter der verschobenen Frist.
Mit Behörden in Kontakt treten. Identifizieren Sie die zuständigen Behörden und etablieren Sie Kommunikationskanäle; die Durchsetzung läuft bereits.
Sandkästen strategisch nutzen. Prüfen Sie, welcher Sandkasten eines Mitgliedstaats am besten zu Ihrer Technologie passt. Die Betriebspflicht nach Artikel 57 greift erst ab dem 2. August 2027, sodass sich das Angebot im Laufe des kommenden Jahres verändern dürfte.
Die verlängerte Frist nutzen, nicht verschenken. Bis zum 2. Dezember 2027 verbleiben rund 16 Monate für Anhang-III-Hochrisikosysteme. Da bislang keine harmonisierte Norm im Amtsblatt veröffentlicht wurde, gibt es noch keine Konformitätsvermutung nach Artikel 40, auf die man sich stützen könnte.
Entwicklungen beobachten. Die nationale Umsetzung ist noch im Gange.
Dokumentation zentralisieren. Pflegen Sie einen einzigen umfassenden Compliance-Dokumentationssatz.

Fazit

Die EU-KI-Verordnung bietet einen einheitlichen Regulierungsrahmen, aber ihre Umsetzung ist inhärent national. Die Entscheidungen der Mitgliedstaaten über institutionelles Design, Durchsetzungsansatz und Sandkasten-Betrieb werden die praktische Erfahrung der KI-Regulierung in Europa prägen. Die Verordnung (EU) 2026/1744 hat den Zeitplan für die Hochrisikopflichten und für die Sandkästen gestreckt, den allgemeinen Geltungsbeginn und die laufende Durchsetzung aber unberührt gelassen. Die Organisationen, die den Kontakt zu ihren zuständigen nationalen Behörden suchen und die bereits geltenden Pflichten — allen voran Artikel 50 und Artikel 49 — jetzt erfüllen, werden am besten positioniert sein, um diese sich entwickelnde Landschaft zu navigieren.