Gilt die KI-Verordnung auch außerhalb der EU?

📋 Worum es in diesem Artikel geht: Wie der extraterritoriale Anwendungsbereich der KI-Verordnung funktioniert, welche Unternehmen außerhalb der EU erfasst werden und warum, wie "in der Union verwendete Ausgaben" ausgelegt wird, was die Pflicht zur Benennung eines Bevollmächtigten bedeutet, eine Szenario-für-Szenario-Analyse für US-amerikanische, britische, kanadische und weitere Unternehmen außerhalb der EU sowie die neuen Fristen, nachdem der Digital Omnibus 2026 die Hochrisiko-Regeln verschoben hat.

Ein Softwareunternehmen in San Francisco, das ein KI-gestütztes Recruiting-Tool an europäische Konzerne verkauft. Ein Fintech in Singapur, das Kreditentscheidungen für Kunden in der EU trifft. Ein britisches Health-Tech-Unternehmen, dessen KI-Triage-Tool in irischen Krankenhäusern eingesetzt wird. Ein kanadisches Legaltech-Unternehmen mit Kanzleien in der EU als Abonnenten. Keines dieser Unternehmen hat seinen Sitz in der EU. Alle fallen in den Anwendungsbereich der KI-Verordnung.

Die extraterritoriale Reichweite europäischer Regulierung ist zu einem prägenden Merkmal der digitalen Rechtslandschaft geworden. Die DSGVO hat die Vorlage geliefert: Wer Daten über Personen in der EU verarbeitet, unterliegt dem EU-Recht, unabhängig vom eigenen Sitz. Die KI-Verordnung - Verordnung (EU) 2024/1689 - folgt derselben Logik und geht dann noch weiter, auf eine Weise, die Unternehmen erfasst, die aufrichtig glauben, außerhalb ihres Anwendungsbereichs zu stehen.

Dieser Artikel gibt Ihnen eine präzise, praktische Antwort auf die Frage, ob die KI-Verordnung für Ihr Unternehmen gilt - kein allgemeines Prinzip, sondern eine Szenario-für-Szenario-Analyse der Situationen, die tatsächlich für Verwirrung sorgen. Wenn Sie ein Unternehmen außerhalb der EU mit irgendeiner Berührung zu EU-Märkten, -Kunden oder -Nutzern sind, müssen Sie Ihre Position kennen, bevor Ihre Compliance-Frist erreicht ist. Zunächst die Fakten im Überblick.

Wie der extraterritoriale Anwendungsbereich tatsächlich funktioniert

Artikel 2 der KI-Verordnung legt ihren Anwendungsbereich fest. Zwei Bestimmungen leisten die extraterritoriale Arbeit: Artikel 2 Absatz 1 Buchstabe a, die klare Marktregel, und Artikel 2 Absatz 1 Buchstabe c, der Ausgaben-Anknüpfungspunkt. (Artikel 2 Absatz 1 Buchstabe b erfasst in der EU niedergelassene Betreiber, Buchstabe d Einführer und Händler.)

Erstens gilt die Verordnung nach Artikel 2 Absatz 1 Buchstabe a für "Anbieter, die in der Union KI-Systeme in Verkehr bringen oder in Betrieb nehmen oder KI-Modelle mit allgemeinem Verwendungszweck in Verkehr bringen, unabhängig davon, ob diese Anbieter in der Union oder in einem Drittland niedergelassen sind". Das ist die klare Regel: Wenn Sie ein KI-System an Kunden oder Organisationen in der EU verkaufen oder bereitstellen, sind Sie Anbieter im Sinne der Verordnung und tragen die Anbieterpflichten.

Zweitens - und hier sind viele Unternehmen außerhalb der EU überrascht - erstreckt Artikel 2 Absatz 1 Buchstabe c die Verordnung auf "Anbieter und Betreiber von KI-Systemen, die ihren Sitz in einem Drittland haben oder sich in einem Drittland befinden, wenn die vom KI-System hervorgebrachte Ausgabe in der Union verwendet wird". Das erfasst Konstellationen, in denen das KI-System nicht an EU-Kunden vermarktet wird, seine Ausgaben aber dennoch Personen in der EU erreichen: ein Unternehmen außerhalb der EU, dessen KI Entscheidungen über Beschäftigte in der EU trifft, ein algorithmisches Preissystem aus einem Drittland, das in EU-Märkten eingesetzt wird, ein ausländisches KI-System, dessen Ausgaben Bürgerinnen und Bürger der EU betreffen.

Was die Verordnung ausdrücklich unterlässt: abgestufte Pflichtenkataloge je nach Sitz eines Unternehmens. Ein US-Unternehmen, das ein Hochrisiko-KI-System an ein Krankenhaus in der EU verkauft, hat exakt dieselben Anbieterpflichten wie ein EU-Unternehmen, das dasselbe tut. Für einen Sitz außerhalb der EU gibt es kein leichteres Regime. Der einzige strukturelle Unterschied ist die zusätzliche Anforderung an Anbieter von Hochrisiko-KI aus Drittstaaten, einen in der EU niedergelassenen Bevollmächtigten zu benennen.

Artikel 2 Absatz 1 Buchstabe a ist sauber formuliert, und Sie können ihn an einem Nachmittag auf Ihr eigenes Geschäft anwenden. In Artikel 2 Absatz 1 Buchstabe c liegt die ehrliche Unsicherheit, denn "in der Union verwendete Ausgabe" ist eine Formulierung, die die Verordnung Ihnen zur Auslegung anhand Ihres eigenen Sachverhalts überlässt. Wenn Ihr Ergebnis, dass die Regel Sie nicht erfasst, von einer feinsinnigen Lesart abhängt, gehen Sie davon aus, dass sie Sie erfasst, und kalkulieren Sie den Aufwand ein.

Artikel 2 Absatz 1 Buchstabe a ist sauber formuliert, und Sie können ihn an einem Nachmittag auf Ihr eigenes Geschäft anwenden. In Artikel 2 Absatz 1 Buchstabe c liegt die ehrliche Unsicherheit, denn "in der Union verwendete Ausgabe" ist eine Formulierung, die die Verordnung Ihnen zur Auslegung anhand Ihres eigenen Sachverhalts überlässt. Wenn Ihr Ergebnis, dass die Regel Sie nicht erfasst, von einer feinsinnigen Lesart abhängt, gehen Sie davon aus, dass sie Sie erfasst, und kalkulieren Sie den Aufwand ein.

Der zentrale Auslöser: "Ausgabe wird in der EU verwendet"

Der Auslöser "Ausgabe wird in der EU verwendet" ist der weitreichendste und am wenigsten verstandene Teil des extraterritorialen Anwendungsbereichs. Er verlangt eine sorgfältige Aufschlüsselung, weil er Unternehmen erfasst, die EU-Märkte nie bewusst adressiert haben.

Die Verordnung definiert "in der Union verwendete Ausgabe" nicht abschließend, doch die Erwägungsgründe machen deutlich, dass die Regel eine Umgehung durch Verlagerung verhindern soll. Wenn ein Unternehmen seinen KI-Betrieb gezielt in ein Drittland verlegt, um Pflichten aus der KI-Verordnung zu vermeiden, während es weiterhin Nutzer in der EU bedient oder Personen in der EU betrifft, gilt die Verordnung trotzdem.

In der Praxis greift der Auslöser, sobald einer der folgenden Punkte zutrifft.

Wo der Auslöser nicht greift: bei einem Drittlandunternehmen, das KI ausschließlich für interne Abläufe einsetzt, ohne Marktaktivität in der EU, ohne EU-Kunden, ohne von KI-Entscheidungen betroffene Beschäftigte in der EU und ohne KI-Ausgaben, die irgendeine Person in der EU erreichen. Dieses Unternehmen liegt wirklich außerhalb des Anwendungsbereichs - doch die Hürde dafür liegt höher, als die meisten Unternehmen bei der ersten Selbsteinschätzung annehmen.

Ob die EU so weit greifen darf, ist eine legitime Debatte. Es ist zugleich eine Debatte, die Sie im Einkaufsgespräch verlieren werden. Ihre EU-Kunden werden Dokumentation zur KI-Verordnung verlangen, unabhängig davon, zu welchem Ergebnis Sie beim Anwendungsbereich kommen, und der vertragliche Druck trifft Sie lange vor jeder Aufsichtsbehörde.

Ob die EU so weit greifen darf, ist eine legitime Debatte. Es ist zugleich eine Debatte, die Sie im Einkaufsgespräch verlieren werden. Ihre EU-Kunden werden Dokumentation zur KI-Verordnung verlangen, unabhängig davon, zu welchem Ergebnis Sie beim Anwendungsbereich kommen, und der vertragliche Druck trifft Sie lange vor jeder Aufsichtsbehörde.

Analyse Szenario für Szenario

Die abstrakten Regeln zum Anwendungsbereich werden anhand konkreter Szenarien klarer. Die folgende Übersicht deckt die Konstellationen ab, die bei Unternehmen außerhalb der EU die größte echte Unsicherheit erzeugen.

Nach Land: USA, Vereinigtes Königreich, Kanada und andere

Die KI-Verordnung behandelt alle Drittstaaten für die Frage des Anwendungsbereichs identisch. Es gibt keine entsprechende Abkommensregelung, keinen Angemessenheitsbeschluss und keine Vorzugsbehandlung für eine bestimmte Rechtsordnung außerhalb der EU. Die praktischen Konsequenzen unterscheiden sich jedoch von Land zu Land, weil die bestehenden Regulierungsrahmen und der Stand der Diskussionen über gegenseitige Anerkennung unterschiedlich weit sind.

🇺🇸 Vereinigte Staaten

Die USA haben keine bundesweite KI-Regulierung, die in ihrer Reichweite mit der KI-Verordnung vergleichbar wäre. US-Unternehmen, die in EU-Märkten tätig sind, unterliegen der Verordnung vollumfänglich, ohne ein inländisches Pendant, an dem sie sich ausrichten könnten. Für US-KI-Unternehmen mit EU-Kunden entsteht dadurch eine doppelte Compliance-Last: auf der einen Seite US-Bundesstaatenrecht zu KI, auf der anderen die KI-Verordnung, mit begrenzter Überschneidung der Anforderungen. US-Unternehmen sollten nicht davon ausgehen, dass die Einführung des NIST AI RMF oder die Erfüllung bundesstaatlicher Bias-Gesetze auf die Pflichten der KI-Verordnung angerechnet wird - die Rahmenwerke unterscheiden sich in Aufbau und Anforderungen erheblich.

🇬🇧 Vereinigtes Königreich

Das Vereinigte Königreich hat sich ausdrücklich für einen anderen Regulierungsweg entschieden: einen prinzipienbasierten, sektoral geführten KI-Rahmen anstelle einer umfassenden horizontalen Verordnung. Damit gibt es kein britisches Gegenstück zur KI-Verordnung und kurzfristig auch keine Aussicht auf gegenseitige Anerkennung. Britische Unternehmen mit EU-Kunden oder EU-Marktpräsenz stehen in genau derselben Lage wie US-Unternehmen: Sie unterliegen der KI-Verordnung vollumfänglich, sobald die Kriterien des Anwendungsbereichs erfüllt sind, und haben keinen heimischen Rahmen, der auf die EU-Anforderungen abbildet. Britische Unternehmen, die bereits die ICO-Leitlinien zu KI und Datenschutz oder die FCA-Erwartungen an algorithmische Modelle erfüllen, sollten dies als nützliche Vorarbeit werten und zugleich als eigenständige Aufgabe von der Erfüllung der KI-Verordnung trennen.

Die Asymmetrie gehört benannt: Ein britisches oder US-Unternehmen, das in die EU verkauft, trägt das volle Gewicht dieser Regulierung, während rein inländische Wettbewerber nichts davon tragen. Das ist unangenehm, und es ist zugleich genau die Funktionsweise eines Binnenmarkt-Regelwerks. Die Unternehmen, die am besten damit umgehen, behandeln ihre Dokumentation zur KI-Verordnung als Vertriebsargument, denn die Einkaufsabteilung eines EU-Käufers wird danach fragen, ob der Käufer die Verordnung im Detail versteht oder nicht.

Die Asymmetrie gehört benannt: Ein britisches oder US-Unternehmen, das in die EU verkauft, trägt das volle Gewicht dieser Regulierung, während rein inländische Wettbewerber nichts davon tragen. Das ist unangenehm, und es ist zugleich genau die Funktionsweise eines Binnenmarkt-Regelwerks. Die Unternehmen, die am besten damit umgehen, behandeln ihre Dokumentation zur KI-Verordnung als Vertriebsargument, denn die Einkaufsabteilung eines EU-Käufers wird danach fragen, ob der Käufer die Verordnung im Detail versteht oder nicht.

🇨🇦 Kanada

Kanada entwickelt mit dem Artificial Intelligence and Data Act (AIDA) eine eigene KI-Regulierung, wobei der Zeitplan für das Inkrafttreten weiterhin offen ist. Kanadische Unternehmen mit EU-Bezug unterliegen dem vollen Anwendungsbereich der KI-Verordnung, unabhängig davon, was AIDA am Ende verlangt. Die Rahmenwerke überschneiden sich konzeptionell teilweise - Hochrisiko-Einstufung, Transparenz, menschliche Aufsicht -, doch ihre konkreten Anforderungen weichen so weit voneinander ab, dass die Erfüllung von AIDA selbst bei vollem Inkrafttreten keine Erfüllung der KI-Verordnung bedeuten würde.

🇨🇭 Schweiz

Die Schweiz ist kein EU-Mitglied, ist aber über bilaterale Abkommen eng in den EU-Markt eingebunden. Schweizer Unternehmen, die KI auf dem EU-Markt in Verkehr bringen oder in EU-Mitgliedstaaten in Betrieb nehmen, unterliegen der KI-Verordnung nach deren üblichen extraterritorialen Bestimmungen. Der Schweizer Ansatz zur KI-Regulierung befindet sich noch in Entwicklung und bietet derzeit kein Passporting-Äquivalent für die Erfüllung der KI-Verordnung.

Alle übrigen Drittstaaten

Die Analyse ist identisch. Ein Sitz in Japan, Südkorea, Brasilien, Indien, Singapur, Australien oder einem anderen Drittstaat begründet keinerlei Vorzugsbehandlung beim Anwendungsbereich. Die KI-Verordnung greift, sobald die Voraussetzungen erfüllt sind - Zugang zum EU-Markt oder auf die EU gerichtete KI-Ausgaben -, unabhängig von der Heimatrechtsordnung des Unternehmens. Ob das Heimatland eines Unternehmens eine eigene KI-Regulierung hat, ist für den Anwendungsbereich der KI-Verordnung ohne Belang.

Die Pflicht zur Benennung eines Bevollmächtigten

Artikel 22 Absatz 1 ist eindeutig: "Vor der Bereitstellung ihrer Hochrisiko-KI-Systeme auf dem Unionsmarkt benennen in Drittländern niedergelassene Anbieter schriftlich einen in der Union niedergelassenen Bevollmächtigten." Der Bevollmächtigte ist in Artikel 3 Nummer 5 definiert als eine in der Union ansässige oder niedergelassene Person, die von einem Anbieter ein schriftliches Mandat erhalten und angenommen hat, die Pflichten und Verfahren der Verordnung in dessen Namen wahrzunehmen.

Der Bevollmächtigte ist mehr als eine Postanschrift. Nach Artikel 22 überprüft er, dass die EU-Konformitätserklärung und die technische Dokumentation erstellt wurden, hält diese Unterlagen für die zuständigen Behörden bereit, fungiert als Ansprechpartner für die Behörden und beendet das Mandat, wenn er der Auffassung ist, dass der Anbieter gegen seine Pflichten verstößt. Das ist eine inhaltlich anspruchsvolle Rolle.

Was der Bevollmächtigte leisten muss

Wer kommt als Bevollmächtigter in Frage?

Jede in einem EU-Mitgliedstaat niedergelassene juristische oder natürliche Person kann als Bevollmächtigter auftreten: eine Kanzlei, eine Compliance-Beratung, eine EU-Tochtergesellschaft des Drittlandunternehmens oder ein spezialisierter Vertretungsdienst. Verfügt das Unternehmen über eine Tochter oder ein verbundenes Unternehmen in der EU, kann diese Einheit die Rolle übernehmen, was oft die einfachste strukturelle Lösung ist. Vertretungsdienste von Drittanbietern entstehen gerade, ähnlich wie damals im DSGVO-Markt, wobei die Anforderungen der KI-Verordnung inhaltlich weiter reichen.

Rechnen Sie beim Mandat selbst mit Reibung. Ein Bevollmächtigter, der Ihre technische Dokumentation prüfen muss und das Mandat beenden kann, wenn er von einem Verstoß ausgeht, wird diese Dokumentation vor der Unterschrift lesen und Freistellungen sowie Informationsrechte verlangen, die Ihre Rechtsabteilung nicht eingeplant hat. Wenn Sie eine EU-Einheit haben, nutzen Sie sie. Andernfalls beginnen Sie das Gespräch Monate vor dem Zeitpunkt, zu dem Sie die Benennung brauchen, denn die Verhandlung dauert länger, als der Papieraufwand vermuten lässt.

Rechnen Sie beim Mandat selbst mit Reibung. Ein Bevollmächtigter, der Ihre technische Dokumentation prüfen muss und das Mandat beenden kann, wenn er von einem Verstoß ausgeht, wird diese Dokumentation vor der Unterschrift lesen und Freistellungen sowie Informationsrechte verlangen, die Ihre Rechtsabteilung nicht eingeplant hat. Wenn Sie eine EU-Einheit haben, nutzen Sie sie. Andernfalls beginnen Sie das Gespräch Monate vor dem Zeitpunkt, zu dem Sie die Benennung brauchen, denn die Verhandlung dauert länger, als der Papieraufwand vermuten lässt.

Was betroffene Unternehmen außerhalb der EU konkret tun müssen

Wenn Sie festgestellt haben, dass die KI-Verordnung für Ihr Unternehmen gilt, richten sich die daraus folgenden Pflichten nach Ihrer Rolle in der KI-Wertschöpfungskette und nach der Risikoklassifizierung Ihrer KI-Systeme. Der folgende Abschnitt umreißt die zentralen Handlungsfelder für die häufigsten Unternehmensprofile außerhalb der EU.

Wenn Sie ein Anbieter von Hochrisiko-KI-Systemen außerhalb der EU sind (2. Dezember 2027, oder 2. August 2028 bei Einbettung in ein reguliertes Produkt)

Nach dem Digital Omnibus müssen eigenständige Hochrisikosysteme (Anhang III) bis zum 2. Dezember 2027 und Hochrisiko-KI in regulierten Produkten (Anhang I) bis zum 2. August 2028 konform sein. Die Pflichten selbst bleiben unverändert, verschoben wurden allein die Termine.

Von der folgenden Liste sind die Registrierung, die Konformitätserklärung und die Vertragsanpassungen administrativ und dauern Wochen, sobald die Substanz vorhanden ist. Die Substanz sind das Risikomanagementsystem, die technische Dokumentation und die Gestaltung der menschlichen Aufsicht, und das ist Entwicklungsarbeit, die im Produkt selbst stattfinden muss. Beginnen Sie dort und lassen Sie den Papierteil folgen.

Von der folgenden Liste sind die Registrierung, die Konformitätserklärung und die Vertragsanpassungen administrativ und dauern Wochen, sobald die Substanz vorhanden ist. Die Substanz sind das Risikomanagementsystem, die technische Dokumentation und die Gestaltung der menschlichen Aufsicht, und das ist Entwicklungsarbeit, die im Produkt selbst stattfinden muss. Beginnen Sie dort und lassen Sie den Papierteil folgen.

• Benennen Sie einen EU-Bevollmächtigten - und zwar deutlich vor Ihrer Compliance-Frist, denn der Bevollmächtigte braucht Zeit, um die Dokumentation vorzubereiten, für die er verantwortlich sein wird.
• Bauen Sie ein System für das Risikomanagement für jedes Hochrisiko-KI-System auf, wie es Artikel 9 verlangt - ein kontinuierlicher, iterativer Prozess über den gesamten Lebenszyklus des Systems.
• Erstellen Sie die technische Dokumentation nach Artikel 11 und Anhang IV - eine detaillierte, gepflegte Aufzeichnung von Design, Entwicklung, Tests und Leistungsmerkmalen des Systems.
• Setzen Sie Maßnahmen zur menschlichen Aufsicht nach Artikel 14 um - das System muss so gestaltet sein, dass Betreiber in der EU seine Ausgaben verstehen, überwachen und erforderlichenfalls übersteuern können.
• Führen Sie eine Konformitätsbewertung durch, die zu Ihrem Systemtyp passt - entweder als Selbstbewertung oder durch eine dritte Stelle, je nachdem, ob Ihr System in einen regulierten Produktsektor fällt.
• Registrieren Sie das System in der EU-KI-Datenbank, bevor es auf dem EU-Markt in Verkehr gebracht oder in Betrieb genommen wird.
• Stellen Sie eine Konformitätserklärung aus und bringen Sie, wo erforderlich, die CE-Kennzeichnung an.
• Aktualisieren Sie Verträge mit EU-Kunden, damit sie die für Betreiber erforderlichen Informationen enthalten - einschließlich Betriebsanleitung, Beschränkungen der Zweckbestimmung und der Angaben, die der Betreiber für seine eigenen Pflichten benötigt.

Wenn Sie ein Anbieter eines KI-Modells mit allgemeinem Verwendungszweck außerhalb der EU sind (bereits seit dem 2. August 2025 in Kraft)

• Erstellen und pflegen Sie technische Dokumentation - zu Trainingsmethodik, Trainingsdaten, Evaluationsergebnissen und bekannten Grenzen.
• Stellen Sie nachgelagerten Anbietern Informationen bereit, die auf Ihrem Modell aufbauen - einschließlich einer Model Card oder eines gleichwertigen Dokuments, mit dem sie Fähigkeiten und Risiken des Modells für ihre konkreten Anwendungsfälle bewerten können.
• Führen Sie eine Urheberrechts-Compliance-Richtlinie ein - als Nachweis, dass Beschaffung und Verarbeitung Ihrer Trainingsdaten das EU-Urheberrecht achten, einschließlich der Opt-outs im Rahmen der Ausnahme für Text- und Data-Mining.
• Wenn Ihr Modell ein systemisches Risiko darstellt (Trainingsrechenleistung über 10^25 FLOP): Zusätzlich gelten adversariale Tests, Meldung von Vorfällen an das EU-KI-Büro sowie verschärfte Cybersicherheitspflichten.

Wenn Sie ein Betreiber von Hochrisiko-KI außerhalb der EU mit EU-Geschäft sind

• Prüfen Sie, ob das eingesetzte KI-System konform ist - fordern Sie Dokumentation vom Anbieter an und bestätigen Sie, dass die erforderlichen Konformitätsbewertungen durchgeführt wurden.
• Nutzen Sie das KI-System nur für seine Zweckbestimmung, wie sie der Anbieter dokumentiert hat - eine Nutzung außerhalb dieses Rahmens kann Anbieterpflichten auf Sie übertragen.
• Richten Sie eine menschliche Aufsicht ein, die zum konkreten Anwendungsfall passt, und stellen Sie sicher, dass die für KI-gestützte Entscheidungen verantwortlichen Mitarbeitenden in Bedienung und Grenzen des Systems geschult sind.
• Überwachen Sie die Leistung fortlaufend und melden Sie Fehlfunktionen oder Risiken an den Anbieter und, wo erforderlich, an die zuständigen nationalen Behörden.
• Informieren und schützen Sie betroffene Personen, wo dies vorgeschrieben ist - einschließlich der Information von Beschäftigten, wenn KI in Entscheidungen über sie einfließt, sowie der für bestimmte KI-Anwendungen vorgeschriebenen Transparenzhinweise.

Wann Sie wirklich außerhalb des Anwendungsbereichs liegen

Angesichts der Breite der extraterritorialen Reichweite lohnt es sich, genau zu benennen, unter welchen Bedingungen ein Unternehmen außerhalb der EU wirklich außerhalb des Anwendungsbereichs liegt. Alle folgenden Punkte müssen gleichzeitig zutreffen.

Nur sehr wenige wachsende Unternehmen erfüllen sie alle über längere Zeit. Eine einzige Einstellung in der EU, deren Leistung von einem Modell bewertet wird, ein einziges Open-Source-Release, ein einziger Reseller mit niederländischen Kunden, und die Analyse beginnt von vorn. Wenn Sie irgendwo in der Nähe der Grenze liegen, ist es die günstigere Entscheidung, Ihre Position jetzt zu dokumentieren und in jedem Planungszyklus erneut zu prüfen.

Nur sehr wenige wachsende Unternehmen erfüllen sie alle über längere Zeit. Eine einzige Einstellung in der EU, deren Leistung von einem Modell bewertet wird, ein einziges Open-Source-Release, ein einziger Reseller mit niederländischen Kunden, und die Analyse beginnt von vorn. Wenn Sie irgendwo in der Nähe der Grenze liegen, ist es die günstigere Entscheidung, Ihre Position jetzt zu dokumentieren und in jedem Planungszyklus erneut zu prüfen.

Wenn eine dieser Bedingungen nicht erfüllt ist - oder mit Ihrem Wachstum künftig möglicherweise nicht mehr erfüllt sein wird -, sollten Sie sich als im Anwendungsbereich betrachten und entsprechende Compliance-Schritte einleiten. Die Kosten einer falschen Selbsteinstufung als nicht betroffen und eines späteren Verstoßes liegen deutlich höher als die Kosten, Compliance-Strukturen vorausschauend aufzubauen.

Häufig gestellte Fragen

Hat der Digital Omnibus die Frist für Hochrisiko-KI-Anbieter außerhalb der EU verändert?

Ja. Der Digital Omnibus zu KI, den der Rat am 29. Juni 2026 nach der Abstimmung des Parlaments vom 16. Juni 2026 angenommen hat, verschob die Frist für eigenständige Hochrisikosysteme vom 2. August 2026 auf den 2. Dezember 2027 und die Frist für Hochrisiko-KI in regulierten Produkten vom 2. August 2027 auf den 2. August 2028. Die Änderung gilt für Anbieter aus Drittstaaten und aus der EU gleichermaßen. Unberührt bleiben die Transparenzpflichten nach Artikel 50, die weiterhin ab dem 2. August 2026 gelten, sowie die bereits geltenden Regeln zu Verboten, KI-Kompetenz, KI mit allgemeinem Verwendungszweck, Governance und Sanktionen.

Gilt die KI-Verordnung für uns, wenn wir nur einen einzigen EU-Kunden haben?

Der Anwendungsbereich der KI-Verordnung hängt nicht von der Zahl der EU-Kunden ab. Wenn Sie ein KI-System auf dem EU-Markt in Verkehr bringen - auch indem Sie es einem einzigen EU-Kunden bereitstellen -, sind Sie für dieses System als Anbieter erfasst. Variabel sind die Risikoklassifizierung des KI-Systems und der Umfang Ihrer Pflichten, nicht die Frage, ob die Verordnung überhaupt gilt.

Wir sind ein US-Unternehmen, haben aber eine EU-Tochter - welche Einheit trägt die Pflichten?

Bringt die EU-Tochter das KI-System unter eigenem Namen oder als verantwortliche Einheit auf den EU-Markt, ist sie der Anbieter und trägt die vollen Anbieterpflichten. Entwickelt die US-Muttergesellschaft das System und bringt es in Verkehr, während die EU-Tochter es nur vertreibt oder betreibt, ist die Muttergesellschaft der Anbieter und die EU-Tochter möglicherweise Betreiber oder Händler. Anbieter ist die Einheit, die das KI-System kontrolliert und bestimmt, wie und wo es in Verkehr gebracht wird. In der Praxis stellen viele Konzerne fest, dass die Bündelung der Pflichten bei der EU-Tochter die sauberste Struktur ist, weil damit die gesonderte Benennung eines Bevollmächtigten entfällt.

Ist die extraterritoriale Reichweite gegenüber Drittlandunternehmen überhaupt durchsetzbar?

Die extraterritoriale Durchsetzung der DSGVO liefert den einschlägigen Präzedenzfall. Unternehmen ohne Vermögenswerte oder physische Präsenz in der EU lassen sich schwerer direkt mit Bußgeldern belegen, doch die EU-Behörden verfügen über Instrumente wie Marktzugangsbeschränkungen - das Verbot nicht konformer KI-Systeme auf dem EU-Markt -, die gegenüber jedem Unternehmen mit relevantem EU-Umsatz sehr wirksam sind. Auch die Pflicht zur Benennung eines Bevollmächtigten schafft einen Durchsetzungspunkt in der EU. Unternehmen, die EU-Regulierungsanforderungen dauerhaft ignorieren, finden sich faktisch vom EU-Marktzugang ausgeschlossen wieder, was kommerziell oft schwerer wiegt als das Bußgeld selbst.

Bedeutet der Brexit, dass britische Unternehmen anders behandelt werden?

Nein. Seit dem Brexit gilt das Vereinigte Königreich im EU-Recht als Drittland. Britische Unternehmen, die KI auf dem EU-Markt in Verkehr bringen oder deren KI-Ausgaben in der EU verwendet werden, unterliegen der KI-Verordnung auf genau derselben Grundlage wie ein US-amerikanisches, kanadisches oder australisches Unternehmen. Für KI-Regulierung besteht zwischen der EU und dem Vereinigten Königreich keine Vereinbarung über gegenseitige Anerkennung, und eine solche ist auch nicht absehbar. Britische Unternehmen müssen die KI-Verordnung vollständig getrennt von ihren heimischen KI-Pflichten erfüllen.

Ihren Anwendungsbereich unter der KI-Verordnung mit Venvera kartieren

Anwendungsbereich und Risikoklassifizierung sind das Erste, was stimmen muss, denn Pflichten und Kosten folgen daraus. Das Venvera Modul zur KI-Verordnung überführt die Prüfschritte aus Artikel 2, die Rollen von Anbieter und Betreiber sowie die Risikoklassifizierung in eine strukturierte Gap-Analyse. So sehen Sie für jedes KI-System, ob es erfasst ist, welche Rolle Sie einnehmen und welche Pflichten daran hängen. Wo sich die KI-Verordnung mit Kontrollen überschneidet, die Sie ohnehin betreiben, können Sie mit der Crosswalk-Engine Nachweise aus ISO 27001, NIST CSF und Ihrem bestehenden Sicherheitsprogramm wiederverwenden, statt bei null anzufangen, mit EU-Datenhaltung als Standard.

Wenn Sie schnell wissen möchten, wo Sie stehen, starten Sie einen kostenlosen Compliance-Check und nutzen Sie die obigen Fragen zum Anwendungsbereich als Ausgangspunkt.

Primärquellen

Dieser Leitfaden stützt sich auf die Verordnung und offizielles EU-Material: Verordnung (EU) 2024/1689 (der vollständige Text der KI-Verordnung, einschließlich Artikel 2 Anwendungsbereich, Artikel 3 Begriffsbestimmungen, Artikel 22 Bevollmächtigte, Artikel 99 Sanktionen und Artikel 113 Geltungsbeginn); die Politikseiten der Europäischen Kommission zur KI-Verordnung; sowie die Pressemitteilung des Rates der EU Rat gibt endgültig grünes Licht für einfachere und schlankere KI-Regeln (29. Juni 2026) zu den Friständerungen des Digital Omnibus. Prüfen Sie stets den aktuellen Text, bevor Sie sich auf ein konkretes Datum oder eine Zahl verlassen.

Verfasst vom Venvera Compliance-Team. Dieser Artikel gibt die KI-Verordnung in der Fassung des am 29. Juni 2026 angenommenen Digital Omnibus wieder, der mit der Veröffentlichung im Amtsblatt in Kraft tritt. Er stellt keine Rechtsberatung dar. Zuletzt aktualisiert: Juli 2026.