EU KI-Verordnung tritt in Kraft – Was Unternehmen jetzt beachten müssen

Die EU-KI-Verordnung (EU AI Act) ist am 1. August 2024 in Kraft getreten. Sie regelt den Einsatz von KI nach Risikostufen – von minimal bis unannehmbar – und verpflichtet Unternehmen zu Transparenz, Dokumentation, Risikomanagement und Schulungen. Während Verbote ab Februar 2025 greifen, werden die strengen Auflagen für Hochrisiko-KI ab 2026 verbindlich. Jetzt ist strategische Vorbereitung entscheidend.

Die EU KI-Verordnung

Am 1. August 2024 ist die europäische Verordnung über Künstliche Intelligenz (EU AI Act, auch KI-Verordnung) offiziell in Kraft getreten. Dabei handelt es sich um das weltweit erste umfassende Gesetz zur Regulierung von KI-Systemen. Die KI-Verordnung soll einerseits Risiken und potenzielle Schäden durch KI minimieren (etwa Diskriminierung, Manipulation oder Überwachung) und die Grundrechte, Gesundheit und Sicherheit der Bürger schützen. Andererseits soll sie Innovation nicht abwürgen, sondern einen einheitlichen Rechtsrahmen schaffen, der vertrauenswürdige KI fördert und Unternehmen Planungssicherheit gibt.

Für Geschäftsführer und IT-Verantwortliche mittelständischer und großer Unternehmen bedeutet das: Sie müssen sich frühzeitig mit den neuen Regeln auseinandersetzen.

Was regelt die KI-Verordnung?

Die Idee für die KI-Verordnung wurde im April 2021 vorgestellt; verabschiedet wurde die Verordnung im Dezember 2023 von EU-Parlament und Rat. Ziel ist es, EU-Bürgerinnen vor negativen Auswirkungen von KI-Anwendungen zu schützen und gleichzeitig Innovation zu fördern. Die KI-Verordnung schafft einen einheitlichen Ordnungsrahmen in allen EU-Staaten und gilt nach dem Marktort-Prinzip auch für Anbieter außerhalb der EU, wenn deren KI-Systeme in der EU auf den Markt gebracht oder verwendet werden.

Ein zentrales Prinzip des Gesetzes ist der risikobasierte Ansatz: Je höher das Risiko, das eine KI-Anwendung für Menschen oder die Gesellschaft darstellt, desto strenger die Anforderungen an diese Anwendung. Die Verordnung definiert dafür vier Risikostufen für KI-Systeme – von minimal bis unannehmbar – und legt abgestufte Vorgaben für jede Stufe fest. Außerdem werden die Rollen entlang der Wertschöpfungskette klar benannt (vom KI-Anbieter über Importeure und Händler bis zum KI-Nutzer bzw. Betreiber im Unternehmen) und jeweils spezifische Pflichten zugewiesen. Unternehmen sollten also zunächst verstehen, welche KI-Systeme sie einsetzen und welche Rolle sie dabei einnehmen, um die einschlägigen Pflichten zu ermitteln.

Risikoklassen für KI-Systeme im Überblick

Die KI-Verordnung teilt sämtliche KI-Anwendungen in vier Risikoklassen ein. Unternehmen müssen ihre vorhandenen und geplanten KI-Systeme entsprechend einordnen, denn daran knüpfen sich unterschiedliche Anforderungen. Im Überblick sind die Kategorien wie folgt definiert:

• Minimales Risiko: Die allermeisten KI-Systeme fallen in diese Kategorie, z. B. Spamfilter oder KI-gestützte Videospiele. Solche Anwendungen gelten als unbedenklich und unterliegen keinen speziellen Auflagen. Unternehmen wird jedoch empfohlen, freiwillig gute Praxisleitlinien oder Verhaltenskodizes zu entwickeln, um einen verantwortungsvollen KI-Einsatz sicherzustellen.
• Begrenztes oder geringes Risiko (Transparenzpflichten): Für KI-Systeme mit nur geringem Risiko sieht die KI-Verordnung vor allem Transparenzanforderungen vor. Das heißt, Nutzer sollen erkennen können, dass sie es mit einer KI zu tun haben. Konkret müssen z. B. Chatbots oder virtuelle Assistenten unmissverständlich darauf hinweisen, dass sie Maschinen sind, nicht menschliche Gesprächspartner. Auch bestimmte KI-generierte Inhalte (etwa Deepfakes oder synthetische Medien) müssen als solche gekennzeichnet werden, damit niemand sie für echt hält. Abseits dieser Informationspflichten bestehen aber keine weitergehenden regulatorischen Auflagen in dieser Stufe.
• Hohes Risiko: KI-Systeme, die wesentliche Risiken für Gesundheit, Sicherheit oder Grundrechte bergen, gelten als hochriskant. Darunter fallen etwa KI-basierte medizinische Diagnosesoftware, Algorithmen zur Bewerberauswahl im Personalwesen oder KI-Systeme in der Kreditvergabe. Für solche Hochrisiko-KI gelten strenge Auflagen (Details dazu im nächsten Abschnitt). Beispiele aus Anhang III der Verordnung umfassen u. a. KI in sicherheitskritischer Infrastruktur (Verkehr, Energie), in schulischen oder beruflichen Prüfungen, bei der Verwaltung von Arbeitskräften (z. B. CV-Screening-Tools), bei Zugang zu essenziellen Dienstleistungen (z. B. Kredit-Scoring), in der Strafverfolgung oder Migration sowie in Justiz und demokratischen Prozessen. Kurz gesagt: Wenn eine KI-Anwendung Menschen in wichtigen Lebensbereichen beurteilt oder Entscheidungen mit erheblichen Folgen für Personen trifft, ist sie wahrscheinlich als Hochrisiko-KI einzustufen.
• Unannehmbares Risiko: KI-Systeme, die eine inakzeptable Bedrohung für die Sicherheit oder die Grundrechte darstellen, sind verboten. Diese Kategorie ist eng umrissen und betrifft z. B. KI-Methoden zur Verhaltensmanipulation, die Menschen unbewusst beeinflussen (etwa subliminale Techniken), die Ausnutzung von Schwächen vulnerabler Gruppen (z. B. KI, die Kinder gezielt manipuliert), Sozialbewertung durch Behörden oder Unternehmen (Social Scoring anhand des Verhaltens einer Person) sowie bestimmte Formen der biometrischen Massenüberwachung (etwa Gesichtserkennung in Echtzeit im öffentlichen Raum ohne rechtliche Grundlage). Solche Anwendungen gelten als unverhältnismäßig gefährlich und müssen bis spätestens Februar 2025 vom Markt entfernt werden (siehe Zeitplan weiter unten).

Abbildung 1 fasst die Risikoklassifizierung zusammen.

Übersicht Risikoklassifizierung der EU KI-Verordnung

Diese Risikoeinstufung bildet das Herzstück der KI-Verordnung. Für Unternehmen bedeutet dies: Identifizieren Sie, welche Ihrer aktuellen oder geplanten KI-Systeme in welche Risikoklasse fallen. Während triviale Anwendungsfälle wenig Handlungsbedarf auslösen, ziehen Hochrisiko-Systeme umfassende Pflichten nach sich, und verbotene Praktiken müssen umgehend eingestellt werden.

Strenge Anforderungen für Hochrisiko-KI

Für KI-Systeme der Hochrisiko-Kategorie schreibt die Verordnung ein ganzes Bündel strenger Auflagen vor, bevor solche Systeme in der EU auf den Markt gebracht oder in Betrieb genommen werden dürfen. Diese Pflichten sollen sicherstellen, dass Hochrisiko-Anwendungen technisch zuverlässig, nachvollziehbar und menschenwürdig einsetzbar sind. Zu den wichtigsten Anforderungen gehören unter anderem:

• Risikomanagement und -minderung: Anbieter müssen ein kontinuierliches Risikomanagementsystem unterhalten, um mögliche Gefahren, Fehlfunktionen oder Missbrauchspotenziale ihrer KI zu identifizieren und zu minimieren. Dazu zählen auch Vorkehrungen gegen Diskriminierung durch verzerrte Datensätze (Stichwort Bias) – etwa durch hochwertige, vielfältige Trainingsdaten und entsprechende Daten-Governance.
• Technische Dokumentation & Transparenz: Vor Inverkehrbringen eines Hochrisiko-Systems ist eine ausführliche technische Dokumentation zu erstellen. Darin müssen u. a. der Zweck des Systems, sein Design und die Funktionsweise, verwendete Trainingsdaten (inkl. Herkunft, Eigenschaften und Bereinigung der Daten) sowie eingebaute Sicherheits- und Kontrollmaßnahmen beschrieben werden. Diese Unterlagen dienen den Marktaufsichtsbehörden zur Prüfung der Konformität und den Nutzern (Betreibern) zur sicheren Anwendung. Außerdem müssen Hochrisiko-KI-Systeme während ihres Einsatzes automatisch Protokolle aufzeichnen (Logs), um ihre Entscheidungen und Performanz im Nachhinein nachvollziehbar zu machen.
• Genauigkeit, Robustheit, Cybersicherheit: Hochrisiko-KI muss bestimmten Performance-Standards genügen. Die Systeme sollen ausreichend genau arbeiten, robust gegenüber Störungen sein und cybersicher gestaltet werden. Insbesondere sind technische und organisatorische Maßnahmen zu treffen, um Angriffe auf die KI (z. B. Adversarial Attacks, Daten- oder Modellvergiftung) zu verhindern und abwehren zu können. Auch wenn das KI-System nach der Bereitstellung weiterlernt oder sich adaptiert, muss gewährleistet sein, dass es nicht mit der Zeit unerwünschte Verzerrungen oder Risiken entwickelt.
• Human Oversight – menschliche Aufsicht: Trotz Automatisierung darf die menschliche Kontrolle nicht entfallen. Anbieter müssen Konzepte für menschliche Aufsicht über Hochrisiko-KI vorsehen. In der Praxis bedeutet dies: Menschen sollen die KI-Ausgaben richtig interpretieren können, vor Übervertrauen gewarnt sein und bei Bedarf Entscheidungen der KI übergehen, korrigieren oder das System abschalten dürfen. Unternehmen müssen also sicherstellen, dass es in den Prozessen stets verantwortliche Personen gibt, die die KI-Ergebnisse überwachen und eingreifen können.
• Klare Informations- und Gebrauchsanweisungen: Der Anbieter einer Hochrisiko-KI muss den nachfolgenden Nutzern (Betreibern) verständliche Anleitungen mitliefern. Darin enthalten sein müssen u. a. Kontaktinformationen des Anbieters, die bestimmungsgemäße Nutzung und Leistungsgrenzen der KI, Hinweise zur erforderlichen menschlichen Aufsicht und zur Interpretation der Ergebnisse sowie Angaben, wie Log-Daten abzurufen sind. Ziel ist, dass die Unternehmen, die eine solche KI einsetzen, alle nötigen Infos für einen sicheren Betrieb haben.
• Konformitätsbewertung und CE-Kennzeichnung: Hochrisiko-Systeme dürfen die EU erst betreten, wenn sie formell konform sind. Das heißt, es muss ein vorgeschriebenes Konformitätsbewertungsverfahren durchlaufen werden (ähnlich einer Zertifizierung). Nur wenn alle Anforderungen erfüllt sind, stellt der Anbieter eine EU-Konformitätserklärung aus und vergibt die CE-Kennzeichnung. Dieses CE-Zeichen (physisch oder digital) signalisiert, dass das KI-System die europäischen Standards einhält und frei im Binnenmarkt vertrieben werden darf. Änderungen am System können erneute Prüfungen erfordern.
• Überwachung nach dem Inverkehrbringen: Die Verantwortung endet nicht mit dem Verkauf. Anbieter müssen ein System zum Post-Market-Monitoring etablieren, um die Leistung der KI im Feld zu beobachten und etwaige Probleme frühzeitig zu erkennen. Schwerwiegende Vorfälle oder Fehlfunktionen sind den Behörden zu melden (Meldepflicht), und gegebenenfalls müssen sofort Korrekturmaßnahmen ergriffen werden. Auch Betreiber, also die Unternehmen, die Hochrisiko-KI nutzen, sind hier gefordert: Sie sollen dem Anbieter oder direkt der Marktaufsicht Rückmeldung geben, wenn Zweifel an der Rechtskonformität bestehen, und im Notfall den Einsatz aussetzen.

Diese Anforderungen richten sich in erster Linie an die Anbieter/Hersteller von Hochrisiko-KI. Aber auch Anwender (Betreiber) solcher Systeme im Unternehmen haben Pflichten: Sie müssen z.B. die vom Anbieter mitgelieferte Anleitung genau beachten und das KI-System nur im vorgesehenen Rahmen einsetzen, für fortlaufende menschliche Überwachung im Echtbetrieb sorgen und die vom System erzeugten Logs für mindestens sechs Monate aufbewahren. Zudem müssen sie prüfen, ob der Anbieter eine EU-Konformitätserklärung ausgestellt hat und ob das System in der EU-Datenbank registriert wurde. Kommt einem Unternehmen bei einer eingesetzten KI etwas suspekt vor (etwa hinsichtlich Sicherheit oder Regelkonformität), ist es verpflichtet, den Anbieter oder die zuständige Aufsichtsbehörde zu benachrichtigen. Kurz: Unternehmen dürfen sich nicht blind auf die Technik verlassen – sie tragen Mitverantwortung dafür, dass Hochrisiko-KI sicher und regelkonform betrieben wird.

Vorsicht: Ein Unternehmen, das eine vorhandene KI-Lösung wesentlich ändert oder für einen neuen Zweck einsetzt, kann rechtlich selbst zum Anbieter werden und damit alle Herstellerpflichten übernehmen müssen. Beispielsweise wer ein zugekauftes Hochrisiko-KI-Modul tiefgreifend anpasst oder unter eigenem Namen weiterverkauft, wird vom Gesetz wie ein KI-Anbieter behandelt. Diese Regel soll verhindern, dass sich Verantwortlichkeiten verschieben oder Lücken entstehen. Firmen sollten daher genau prüfen, in welcher Rolle sie jeweils agieren und welche Pflichten damit einhergehen.

Transparenzpflichten und generative KI

Neben den umfangreichen Vorschriften für Hochrisiko-Anwendungen enthält die KI-Verordnung auch Regeln für geringere Risiken, insbesondere Transparenzpflichten bei bestimmten KI-Systemen. Diese Vorgaben sind für viele Unternehmen relevant, da sie auch alltagsnahe KI-Nutzung betreffen, etwa in Kundenservice, Marketing oder internem Einsatz von generativer KI. Wichtig sind hier vor allem zwei Aspekte:

1. Kennzeichnung von KI-Inhalten und -Interaktionen: Wenn eine KI direkt mit Personen interagiert, müssen die Betroffenen darüber informiert werden. Ein Unternehmen, das z. B. einen Chatbot im Kundenservice einsetzt, ist verpflichtet, Nutzer klar darauf hinzuweisen, dass sie es mit einer KI (und nicht mit einem menschlichen Mitarbeiter) zu tun haben. Ebenso müssen KI-generierte Inhalte in bestimmten Kontexten als solche erkennbar sein, insbesondere wenn sie täuschend echt wirken. Manipulative Deepfake-Bilder oder -Videos etwa, oder KI-generierte Texte, die der Öffentlichkeit als Nachrichten präsentiert werden, müssen deutlich als künstlich erstellt gekennzeichnet werden. Diese Transparenz soll das Vertrauen stärken und verhindern, dass Menschen unwissentlich von KI-Inhalten in die Irre geführt werden.
2. Regeln für generative KI und Basis-Modelle (GPAI): Erstmals werden auch sogenannte KI-Modelle mit allgemeinem Verwendungszweck (General Purpose AI, kurz GPAI) reguliert. Darunter versteht man große generative KI-Modelle, die breit einsetzbar sind, z. B. ChatGPT. Solche Modelle können systemische Risiken mit sich bringen, wenn sie sehr leistungsfähig und weit verbreitet sind. Die KI-Verordnung schreibt Anbietern dieser generativen KI-Modelle ab August 2025 zusätzliche Sorgfaltspflichten vor. Dazu zählen u. a. umfassende technische Dokumentationen zum KI-Modell (inklusive Beschreibung der Trainingsdaten und Verfahren), die Einhaltung von Urheberrechtsregeln beim Training (Training darf nicht auf rechtswidrig erlangten oder urheberrechtlich geschützten Daten ohne Lizenz basieren), sowie Transparenzinformationen für nachgelagerte Nutzer. Anbieter müssen z. B. eine Art Gebrauchsanweisung bereitstellen, die erklärt, wofür das Modell geeignet ist und welche Risiken bei seiner Nutzung bestehen. Bei besonders mächtigen KI-Modellen mit systemischem Risiko (etwa sehr große Modelle über gewissen Parameter- oder Rechenleistungsschwellen) gelten noch strengere Auflagen, die sicherstellen sollen, dass deren Einsatz überwacht wird.
   Für die meisten Unternehmen wird dies indirekt wichtig: Nur wenige Firmen entwickeln selbst solche großen KI-Modelle, aber viele nutzen sie. Die neuen Pflichten bedeuten, dass Anbieter wie OpenAI, Google oder andere, die generative Modelle bereitstellen, mehr Informationen und Sicherungsmechanismen liefern müssen. Firmen, die diese KI-Modelle einsetzen (z. B. via API einbinden oder darauf aufbauende Lösungen entwickeln), sollten die bereitgestellten Informationen nutzen, um Compliance sicherzustellen. Etwa kann erwartet werden, dass man künftig besser nachvollziehen kann, auf welchen Daten ein Modell trainiert wurde, um eventuelle Risiken (Vorurteile im Training, geschützte Inhalte etc.) abschätzen zu können. Zudem arbeitet die EU-Kommission an einem freiwilligen Verhaltenskodex für GPAI-Anbieter, der Themen wie Transparenz, Urheberrechtsschutz und Risikomanagement adressiert. Dieser soll voraussichtlich im Frühjahr 2025 vorliegen und Unternehmen weitere Orientierung geben.

Unabhängig von konkreten Fristen ist es sinnvoll, dass Unternehmen schon jetzt auf Transparenz setzen, wenn sie KI einsetzen. Offene Kommunikation darüber, wo KI zum Einsatz kommt und welche Inhalte automatisiert erzeugt wurden, schafft Vertrauen bei Mitarbeitern, Kunden und Partnern – und bereitet auf die kommenden gesetzlichen Pflichten vor.

Wann treten welche Regelungen in Kraft?

Obwohl die KI-Verordnung am 1. August 2024 formell in Kraft getreten ist, gelten viele Anforderungen nicht sofort, sondern es gibt Übergangsfristen. Die Vorgaben werden in den nächsten Jahren schrittweise wirksam, sodass Unternehmen Zeit haben, sich darauf einzustellen.

Voraussichtliche Timeline der EU KI-Verordnung (Stand August 2024)

Die wichtigsten Meilensteine sind:

• 1. August 2024: Inkrafttreten der KI-Verordnung. Ab diesem Datum läuft der „Countdown“ für die gestaffelte Anwendung der Vorschriften. Unternehmen sollten ab jetzt mit der Planung zur Umsetzung beginnen.
• 2. Februar 2025 (6 Monate später): Die Verbote unannehmbarer KI-Praktiken werden wirksam. Spätestens ab diesem Zeitpunkt dürfen in der EU keine KI-Systeme mehr betrieben oder angeboten werden, die unter Artikel 5 fallen (unannehmbares Risiko, siehe oben). Ebenfalls ab Februar 2025 greift die Pflicht zur KI-Kompetenzvermittlung (Artikel 4 KI-VO) – das heißt, Unternehmen müssen sicherstellen, dass alle Mitarbeiter, die KI-Systeme nutzen oder entwickeln, entsprechend geschult und kompetent im Umgang mit KI sind.
• 2. August 2025 (12 Monate später): Ab dann gelten die Governance-Regeln und Pflichten für generische KI-Modelle (GPAI). Insbesondere müssen Anbieter von Foundation Models nun die oben beschriebenen Dokumentations- und Transparenzpflichten erfüllen, und das neue European AI Office sowie nationale Aufsichtsbehörden nehmen ihre Arbeit auf, um die Einhaltung zu überprüfen. Außerdem müssen die EU-Mitgliedstaaten bis zu diesem Datum ihre jeweiligen KI-Aufsichtsbehörden benennen.
• 2. August 2026 (24 Monate später): Nach einer zweijährigen Übergangszeit werden die meisten übrigen Vorschriften anwendbar, insbesondere die Anforderungen für Hochrisiko-KI-Systeme. Ab diesem Zeitpunkt dürfen also nur noch konforme Hochrisiko-Systeme mit CE-Kennzeichnung in Verkehr gebracht werden, und Unternehmen, die solche KI einsetzen, müssen die entsprechenden Betreiberpflichten vollständig erfüllen. Gleichzeitig erhalten die Behörden ab August 2026 umfassende Sanktionsbefugnisse, um Verstöße zu ahnden (bis dahin liegt der Fokus eher auf Beratung und Aufbau der Aufsicht).
• 2. August 2027 (36 Monate später): In einigen Sonderfällen gibt es längere Fristen. So greifen bestimmte Regeln für Hochrisiko-KI, die Bestandteil bereits anderweitig regulierter Produkte sind (z. B. KI-Komponenten in Medizinprodukten oder Maschinen), erst nach drei Jahren. Damit will man Überschneidungen mit sektorspezifischen Zulassungsverfahren glätten.

Zusammengefasst: Anfang 2025 müssen alle verbotenen KI-Anwendungen verschwunden sein und erste Pflichten (v.a. Schulung/Kompetenz) umgesetzt werden. Ab 2025 treten nach und nach neue Auflagen in Kraft, mit dem großen Stichtag im Jahr 2026, ab dem das Gros der KI-Systeme reguliert wird. Unternehmen sollten diese Fristen im Blick behalten und ihre Compliance-Projekte entsprechend timen.

Tipps zur Vorbereitung

Gerade für mittlere und große Unternehmen ist die KI-Verordnung ein Weckruf, das Thema KI-Governance strategisch anzugehen. Auch wenn einige Vorgaben erst in zwei Jahren bindend werden, ist jetzt der richtige Zeitpunkt, um die Weichen zu stellen. Sofern nicht bereits geschehen, sind folgende Aktivitäten wichtig:

1. KI-Inventur und Risikoanalyse: Verschaffen Sie sich zunächst einen Überblick, wo in Ihrem Unternehmen bereits KI zum Einsatz kommt oder kurzfristig geplant ist und in welche Risikoklasse sie fällt.
2. Verantwortlichkeiten festlegen: Bestimmen Sie, welche Rolle Ihr Unternehmen und alle Beteiligten bei jeder KI-Anwendung spielt und stellen Sie sicher, dass allen Beteiligten intern klar ist, wer für die Einhaltung der jeweiligen Anforderungen zuständig ist.
3. Verbotene Anwendungen identifizieren und eliminieren: Prüfen Sie, ob Sie KI-basierte Prozesse nutzen, die unter die verbotenen Praktiken fallen – vermutlich ist das selten der Fall. Diese sollten angepasst werden.
4. Hochrisiko-KI: Compliance-Projekte starten: Bei zugekauften Lösungen die notwendigen Informationen beim Anbieter einfordern, bei Eigenentwicklung interne Prozesse für Risikomanagement, Dokumentation, Qualitätssicherung und Testing etablieren.
5. Mitarbeitende schulen (AI Literacy): Schulungen und Trainings anbieten, damit Mitarbeiter, die KI-Tools nutzen oder an KI-Projekten arbeiten, die Funktionsweise, Chancen und Risiken dieser Systeme verstehen.
6. Interne Richtlinien und Kontrollen einführen: Entwickeln Sie unternehmensinterne KI-Richtlinien, die festhalten, wie KI-Systeme ausgewählt, betrieben und überwacht werden.
7. Monitoring und Audits: Machen Sie die Überwachung von KI-Systemen zum kontinuierlichen Prozess. Insbesondere Hochrisiko-KI sollte regelmäßig auditiert werden, um sicherzustellen, dass sie wie erwartet funktioniert und keine neuen Risiken auftauchen.
8. Auf dem Laufenden bleiben: Die Regulierung von KI ist dynamisch. Halten Sie sich über weitere Entwicklungen und Guidance auf dem Laufenden. Da die meisten Vorschriften erst 2026 gelten, wird es bis dahin Klarstellungen und möglicherweise Anpassungen geben.
9. Senior Management Committment: Die Geschäftsführung muss hinter diesen Compliance-Bemühungen stehen. Die KI-Verordnung wird ähnlich weitreichend wie die DSGVO – Verstöße können teuer werden.

Quellenangaben

1. Europäische Kommission, „Künstliche Intelligenz: Kommission begrüßt Inkrafttreten des weltweit ersten Rechtsrahmens für KI“, 1. August 2024, Link
2. Bundesministerium für Wirtschaft und Klimaschutz (BMWK), „Der AI Act: Neue EU-Regeln für vertrauenswürdige KI“, Stand: Juli 2024, Link
3. KI.NRW, „Was Unternehmen über den EU AI Act wissen müssen – FAQ“, Version 2.0, Juni 2024, Link
4. IHK München und Oberbayern, „Der EU AI Act – Was auf Unternehmen zukommt“, Juli 2024, Link
5. ISACA, „Understanding the EU AI Act“, White Paper, Mai 2024, Link
6. ArtificialIntelligenceAct.eu, „High-Level Summary of the EU AI Act“, Juli 2024, Link
7. EUR-Lex, „Verordnung (EU) 2024/1689 des Europäischen Parlaments und des Rates vom 13. Juni 2024 über künstliche Intelligenz“, Amtsblatt der EU, 12. Juli 2024, Link