Wir beraten Unternehmen an der Schnittstelle von Technik und Recht zur EU-KI-Verordnung — von der Risikoklassifizierung über die Hochrisiko-Architektur bis zur Kennzeichnung KI-generierter Inhalte. Anwaltlich. Technisch fundiert. Mit Mandaten in Grundsatzverfahren zum KI-Recht.
Mehrere gestaffelte Stichtage trennen die Verkündung der KI-VO vom voll anwendbaren Recht. Mit der politischen Einigung zum KI-Omnibus vom 07.05.2026 hat sich der Zeitplan substantiell verschoben — die wichtigsten Hochrisiko-Pflichten greifen erst ab 02.12.2027 bzw. 02.08.2028. Wir sortieren, welche Pflichten für Ihr Unternehmen wann scharfgeschaltet werden, und wo der Aufwand realistisch zu beziffern ist. Solange die formelle Annahme durch EP und Rat aussteht und der Omnibus nicht im Amtsblatt veröffentlicht ist, gelten rechtlich die ursprünglichen Stichtage der KI-VO fort.
Art. 5: verbotene Praktiken (Social Scoring, manipulative KI). Art. 4: Pflicht zur KI-Kompetenz für Anbieter und Betreiber.
Pflichten für Anbieter von General-Purpose-AI. Notifizierung. Sanktionsregime der Mitgliedstaaten gilt.
Chatbot-Hinweispflicht (Abs. 1), Deepfake-Kennzeichnung (Abs. 4), Emotionserkennungs-Hinweis (Abs. 3) bleiben unverändert ab 02.08.2026 anwendbar. Für Watermarking nach Abs. 2 (Bestandssysteme) gilt eine Übergangsfrist bis 02.12.2026.
Neues Verbot generativer KI-Systeme für nicht-einvernehmliche intime Inhalte und kindliche Missbrauchsdarstellungen (Art. 5). Watermarking-Übergangsfrist für Bestandssysteme nach Art. 50 Abs. 2 endet.
Pflichten für Hochrisiko-KI nach Anhang III (Biometrie, kritische Infrastruktur, Bildung, Beschäftigung, essentielle Dienste, Strafverfolgung, Migration, Justiz) werden anwendbar. Verschoben vom ursprünglich vorgesehenen 02.08.2026.
Pflichten für Hochrisiko-KI als Sicherheitskomponente regulierter Produkte (Medizinprodukte, Spielzeug, Aufzüge, Funkanlagen). Maschinen unterliegen einem Sonderregime. Verschoben vom 02.08.2027.
Hochrisiko-KI-Bestandssysteme öffentlicher Stellen bis 02.08.2030 (Art. 111 Abs. 3 KI-VO) anzupassen; in Anhang X genannte EU-Großsysteme erst zum 31.12.2030 (Art. 111 Abs. 1). Vom Omnibus nicht erkennbar erfasst.
Vom AI-Inventar über die Risikoklassifizierung bis zur laufenden Compliance — anwaltlich verantwortet, mit technischer Tiefe.
Systematische Einordnung Ihrer KI-Systeme in die vier Risikoklassen des AI Act. Wir kartieren Ihre Anwendungslandschaft, prüfen Hochrisiko-Tatbestände nach Art. 6 i.V.m. Anhang III und liefern eine belastbare Klassifizierungs-Matrix als Grundlage für alle weiteren Compliance-Schritte.
Risikomanagement (Art. 9), technische Dokumentation (Art. 11), Daten-Governance (Art. 10), menschliche Aufsicht (Art. 14) — operationalisiert für Ihre konkrete Architektur.
Transparenz für Chatbots, synthetische Inhalte und Deepfakes — maschinenlesbar und nutzbar.
FRIA nach Art. 27 KI-VO für Einrichtungen des öffentlichen Rechts, für private Stellen, die öffentliche Dienste erbringen, sowie für Betreiber von Hochrisiko-KI nach Anhang III Nr. 5 lit. b und c (Kreditwürdigkeit; Lebens- und Krankenversicherung).
Pflichten für Anbieter und Integratoren von General-Purpose-AI nach Art. 51 ff.
Interne KI-Policies, Betriebsvereinbarungen, AV- und Lizenzverträge mit KI-Anbietern, Trainingsdaten-Architektur.
Praxisnahe Schulungen für Geschäftsführung, IT, HR und Fachbereiche.
Vertretung gegenüber der noch zu benennenden nationalen AI-Aufsicht, dem AI Office und in Bußgeldverfahren — durch die Mutterkanzlei mit fachanwaltlicher Erfahrung im IT-Recht und in Grundsatzverfahren zum KI-Recht.
Der AI Act folgt einem risikobasierten Ansatz. Welche Klasse für Ihre KI-Anwendung greift, entscheidet Pflichtenkatalog, Aufwand und Time-to-Market.
Eine kompakte Triage Ihrer KI-Anwendung gegen die Risikologik des AI Act. Ersetzt keine Rechtsberatung — taugt als belastbare Vorbereitung des Erstgesprächs.
Auf Basis Ihrer Angaben empfehlen wir folgende Schritte.
Hinweis · Der Schnellcheck ersetzt keine Rechtsberatung. Er dient der Orientierung.
Art. 50 etabliert Transparenzpflichten für Anbieter und Betreiber, ab dem 2. August 2026 verbindlich. Wir prüfen, was kennzeichnungspflichtig ist und wie das Hinweissystem rechtskonform und nutzbar implementiert wird. Der finale Code of Practice vom 10. Juni 2026 konkretisiert die Anforderungen.
Anbieter müssen KI-Systeme, die für die direkte Interaktion mit natürlichen Personen bestimmt sind, so konzipieren und entwickeln, dass die betreffenden Personen darüber informiert werden, dass sie mit einem KI-System interagieren — sofern dies nicht aus den Umständen offensichtlich ist.
Anbieter müssen synthetische Audio-, Bild-, Video- und Textinhalte maschinenlesbar als künstlich erzeugt markieren. Der Code of Practice sieht hierfür zwei Markierungsebenen vor, digital signierte Metadaten und ein unsichtbares Wasserzeichen. Betreiber müssen die KI-Erzeugung gegenüber dem Publikum offenlegen, etwa über das frei verfügbare EU-Icon.
Wer Emotionserkennungs- oder biometrische Kategorisierungssysteme einsetzt, muss betroffene Personen ausdrücklich informieren — und die DSGVO einhalten.
Reine Bearbeitungs- und Hilfsfunktionen sind privilegiert. Ausnahmen bestehen für Strafverfolgung sowie künstlerische und satirische Werke unter Wahrung der Persönlichkeitsrechte.
Kennzeichnung muss nach dem Stand der Technik erfolgen und maschinenlesbar sein. Harmonisierte Normen und ergänzende Leitlinien der Kommission präzisieren dies fortlaufend. Eine interoperable Erkennungslösung sieht der Code of Practice bis zum 2. Februar 2027 vor.
Wir prüfen Ihren Content-Stack auf Kennzeichnungspflichten, definieren Hinweistexte und Trigger-Logiken und begleiten die Integration in Redaktions-, App- und Produktworkflows.
Der finale Code of Practice on Transparency of AI-Generated Content konkretisiert die Pflichten des Art. 50 KI-VO. Er ist freiwillig, seine Befolgung gilt ausdrücklich nicht als abschließender Konformitätsnachweis. Die Pflichten des Art. 50 KI-VO gelten unabhängig von einer Unterzeichnung ab dem 2. August 2026.
Abschnitt 1 richtet sich an Anbieter generativer KI-Systeme und verlangt eine maschinenlesbare Markierung sowie eine zugehörige Erkennungslösung. Abschnitt 2 richtet sich an Betreiber und regelt die sichtbare Kennzeichnung von Deepfakes und veröffentlichten Texten über ein frei verfügbares EU-Icon. Unternehmen, die den Kodex zeichnen wollen, reichen das Formular für die Erstunterzeichnerliste bis zum 22. Juli 2026 ein. Ergänzende Leitlinien der Kommission zur Auslegung des Art. 50 KI-VO werden erwartet.
Der AI Act verzichtet bewusst auf einen Pauschalrahmen. Die Höhe richtet sich nach Verstoß und Unternehmensgröße — und liegt im Ernstfall in DSGVO-Größenordnung. Für KMU und Start-ups gilt der jeweils niedrigere Wert.
Heidrich Rechtsanwälte in Hannover ist seit über zwei Jahrzehnten auf IT-Recht spezialisiert und berät seit Beginn der europäischen KI-Regulierung schwerpunktmäßig zum KI-Recht.
Wir verstehen uns als Dolmetscher zwischen den unterschiedlichen Sprachen und Denkweisen der Technik und des Rechts. Die KI-Regulierung ist genau dieser Schnittpunkt: ohne technisches Verständnis bleibt sie Buchstabe, ohne juristische Tiefe wird sie zum Risiko.
Unsere Erfahrung umfasst die prozessuale Vertretung in Grundsatzverfahren zum KI-Recht (Kneschke ./. LAION e.V., LG Hamburg, OLG Hamburg, derzeit BGH I ZR 281/25), die Erstellung von KI-Compliance-Konzepten für Mittelstand und Konzerne sowie Fachpublikationen und Vorträge für c't, heise online und Konferenzen wie IT Defense, KI Forum Nord und data2day.
Mit dem Buch „Rechtsleitfaden KI im Unternehmen" (Rheinwerk) und dem Podcast „Auslegungssache" übersetzen wir AI-Act-Praxis in operationalisierbares Wissen.
Kompakte Antworten zu den Fragen, mit denen Mandanten in den ersten Gesprächen am häufigsten kommen.
Die Verordnung (EU) 2024/1689 verfolgt einen weiten Anwendungsbereich. Erfasst sind alle Unternehmen, die KI-Systeme in der EU anbieten, in Betrieb nehmen oder deren Output in der EU verwenden — unabhängig vom Sitz. Die Verordnung unterscheidet zwischen Anbietern (Art. 3 Nr. 3) und Betreibern (Art. 3 Nr. 4).
Auch wer lediglich Tools von OpenAI, Google oder Microsoft einsetzt, unterliegt als Betreiber den einschlägigen Pflichten — von der KI-Kompetenz nach Art. 4 über Transparenz nach Art. 50 bis zu den Hochrisiko-Pflichten nach Art. 26. Eng definierte Ausnahmen sieht die Verordnung in Art. 2 Abs. 3 KI-VO (militärische, Verteidigungs- und nationale Sicherheitszwecke) und Art. 2 Abs. 10 KI-VO (rein persönliche, nicht-berufliche Nutzung durch natürliche Personen) vor; daneben sind nach Art. 2 Abs. 6 und 8 KI-VO ausschließliche Forschungs- und Entwicklungstätigkeiten privilegiert.
ChatGPT ist als General-Purpose-AI (GPAI) nicht automatisch Hochrisiko. Für das Modell selbst greifen die GPAI-Pflichten nach Art. 53 KI-VO (technische Dokumentation, Informationen für nachgelagerte Anbieter, urheberrechtliche Compliance-Strategie, Zusammenfassung der Trainingsdaten) — bei systemischem Risiko i.S.d. Art. 51 KI-VO zusätzlich Modellbewertungen, Vorfallmeldepflichten und Cybersicherheitsanforderungen nach Art. 55 Abs. 1 KI-VO.
Entscheidend ist der Einsatzkontext beim Betreiber: ChatGPT in der Bewerbervorauswahl (Anhang III Nr. 4) oder in der Kreditwürdigkeitsprüfung (Anhang III Nr. 5 lit. b) löst die vollen Hochrisiko-Pflichten aus. Eine sorgfältige Einzelfallprüfung ist unverzichtbar.
Das Sanktionsregime gehört zu den schärfsten im Unionsrecht: bis zu 35 Mio. € oder 7 % des weltweiten Jahresumsatzes bei verbotenen Praktiken (Art. 5), bis 15 Mio. € / 3 % bei Hochrisiko-Verstößen, bis 7,5 Mio. € / 1 % bei falschen Auskünften an Behörden. Für KMU gilt jeweils der niedrigere Wert.
Bei Verstößen drohen darüber hinaus Markttätigkeits-Untersagungen, Rückrufe und Reputationsschäden — und Anschluss-Verfahren wegen DSGVO- oder UWG-Verstößen.
Nach Art. 50 Abs. 4 müssen Betreiber offenlegen, wenn der Öffentlichkeit veröffentlichte Inhalte mittels KI erzeugt oder manipuliert wurden. Die Pflicht entfällt, wenn die Inhalte einer menschlichen Überprüfung oder redaktionellen Kontrolle unterzogen wurden und eine natürliche oder juristische Person die redaktionelle Verantwortung trägt. Die Abgrenzung im Einzelfall ist streitig.
Der Code of Practice vom 10. Juni 2026 empfiehlt für die Kennzeichnung das frei verfügbare EU-Icon (Varianten AI, AI GENERATED und AI MODIFIED), platziert etwa nahe der Überschrift oder im Kolophon des Textes. Wir definieren mit Ihnen praxistaugliche Hinweistexte, Schwellen und Trigger-Logiken und integrieren sie in CMS und Redaktionsprozesse.
Der am 10. Juni 2026 final veröffentlichte Code of Practice on Transparency of AI-Generated Content konkretisiert die Transparenzpflichten des Art. 50 KI-VO. Er ist freiwillig, seine Befolgung gilt ausdrücklich nicht als abschließender Konformitätsnachweis.
Abschnitt 1 betrifft Anbieter (maschinenlesbare Markierung und Erkennung nach Art. 50 Abs. 2), Abschnitt 2 betrifft Betreiber (Kennzeichnung von Deepfakes und veröffentlichten Texten nach Art. 50 Abs. 4) und stellt ein frei verfügbares EU-Icon bereit. Die Pflichten des Art. 50 KI-VO gelten unabhängig von einer Unterzeichnung ab dem 2. August 2026.
Art. 4 verpflichtet Anbieter und Betreiber, die KI-Kompetenz ihres Personals und der mit KI-Aufgaben betrauten Dienstleister sicherzustellen. Die Pflicht gilt seit dem 02.02.2025 — risikostufenunabhängig, also auch außerhalb des Hochrisiko-Bereichs.
Wir liefern modulare Schulungen für Geschäftsführung, IT, HR und Fachbereiche — dokumentiert und auditfest.
AI Act und DSGVO stehen nebeneinander: Datenschutzrechtliche Anforderungen bleiben unberührt. In der Praxis verschränken sich beide Regime — Rechtsgrundlage für Trainingsdaten, DSFA für Hochrisiko-KI, Art. 22 DSGVO bei automatisierten Entscheidungen, Art. 27 AI Act für die Grundrechtefolgenabschätzung.
Wir führen beide Stränge zusammen — und greifen, wo nötig, auf unsere Datenschutz-Tochtergesellschaft zurück.
Die nationale Marktüberwachungsstruktur ist in Deutschland Gegenstand des Gesetzgebungsverfahrens zum KI-Marktüberwachungs- und Innovationsförderungsgesetz. Vorgesehen ist, dass Bundesnetzagentur (mit angegliederter KI-Servicestelle) und die Datenschutzaufsichten tragende Rollen übernehmen, ergänzt um sektorale Aufsichten (BaFin, BSI, BfArM). Auf Unionsebene koordiniert das AI Office bei der EU-Kommission.
Unverbindliches Erstgespräch in der Regel innerhalb eines Werktages. Keine Pauschalangebote — wir melden uns nach kurzer Sichtung Ihrer Anfrage.
