Artikel 2 der Verordnung (EU) 2024/1689 — Anwendungsbereich. Offizieller Text, praktische Auslegung, wesentliche Pflichten und Compliance-Implikationen.
Zusammenfassung des offiziellen Textes
Artikel 2 der Verordnung (EU) 2024/1689 legt den sachlichen und territorialen Anwendungsbereich des EU-KI-Gesetzes fest. Er bestimmt, welche Akteure, Systeme und Umstände unter die Verordnung fallen.
In personeller Hinsicht gilt das Gesetz für: (1) Anbieter, die KI-Systeme auf dem Markt der Union in Verkehr bringen oder in der EU in Betrieb nehmen, unabhängig von ihrem Niederlassungsort; (2) Betreiber von KI-Systemen, die in der EU niedergelassen oder ansässig sind; (3) Anbieter und Betreiber aus Drittländern, wenn die vom KI-System erzeugten Ausgaben in der Union genutzt werden; (4) Einführer und Händler von KI-Systemen; sowie (5) Produkthersteller, die KI-Systeme als Sicherheitskomponenten regulierter Produkte auf dem Unionsmarkt in Verkehr bringen.
Artikel 2 stellt ferner klar, dass das Gesetz nicht für KI-Systeme gilt, die ausschließlich für militärische, nationale Sicherheits- oder Verteidigungszwecke entwickelt oder eingesetzt werden, noch für KI-Systeme, die von Behörden von Drittländern oder internationalen Organisationen im Rahmen internationaler Vereinbarungen über Strafverfolgung und justizielle Zusammenarbeit genutzt werden. KI-Systeme, die noch nicht auf dem Markt in Verkehr gebracht wurden und sich noch in der Forschungs- und Entwicklungsphase befinden, bevor sie Nutzern zur Verfügung gestellt werden, fallen ebenfalls nicht in den Anwendungsbereich.
Ist ein Betreiber oder Anbieter außerhalb der EU ansässig, werden die Ausgaben des KI-Systems jedoch innerhalb der EU genutzt, gilt das Gesetz weiterhin und entfaltet eine starke extraterritoriale Wirkung, die dem DSGVO-Modell vergleichbar ist.
Was das in der Praxis bedeutet
Artikel 2 entscheidet darüber, ob Ihre Organisation das EU-KI-Gesetz überhaupt einhalten muss — es ist die Einstiegsfrage, die jedes Rechts- und Compliance-Team beantworten muss, bevor Pflichten bewertet werden können.
Für in der EU ansässige Unternehmen ist die Analyse unkompliziert: Entwickeln, betreiben, einführen, vertreiben oder integrieren Sie KI-Systeme in Produkte oder Dienstleistungen, die in der EU verfügbar sind, fallen Sie in den Anwendungsbereich. Dies umfasst SaaS-Anbieter, die KI-gestützte Funktionen anbieten, Unternehmen, die KI-Tools im Personalwesen, in der Kreditvergabe oder im Gesundheitswesen einsetzen, sowie Hersteller, die KI in physische Produkte integrieren, die der bestehenden EU-Produktsicherheitsgesetzgebung unterliegen.
Für Unternehmen außerhalb der EU ist der entscheidende Test, ob die Ausgaben des KI-Systems Personen oder Einrichtungen in der EU erreichen oder betreffen. Ein in den USA ansässiges Unternehmen, das ein KI-Recruiting-Screening-Tool anbietet, das von europäischen Tochtergesellschaften multinationaler Konzerne genutzt wird, fällt beispielsweise in den Anwendungsbereich, auch wenn das Unternehmen selbst keine EU-Präsenz hat. Solche Anbieter müssen einen bevollmächtigten Vertreter in der Union benennen.
In der Praxis sollten Compliance-Teams zunächst alle in Verwendung oder Entwicklung befindlichen KI-Systeme erfassen und anschließend die Kriterien des Artikels 2 auf jedes System anwenden. Systeme, die ausschließlich für interne Forschung und Entwicklung verwendet werden — also nicht für Endnutzer bereitgestellt — können als außerhalb des Anwendungsbereichs dokumentiert werden; dieser Status muss jedoch aktiv aufrechterhalten und bei der Bereitstellung neu bewertet werden. Die Ausnahmen für militärische und nationale Sicherheitszwecke sind eng gefasst und sollten ohne sorgfältige rechtliche Prüfung nicht für Dual-Use-Systeme oder Strafverfolgungsinstrumente angenommen werden.
Anbieter von Open-Source-Modellen profitieren von einigen erleichterten Pflichten, bleiben aber für verbotene Praktiken und Hochrisikoeinstufungen im Anwendungsbereich.
Wesentliche Pflichten
- Anwendungsbereichsbestimmung: Organisationen müssen ausdrücklich feststellen, ob sie in eine der definierten Akteursrollen fallen (Anbieter, Betreiber, Einführer, Händler oder Produkthersteller), bevor sie beurteilen, welche Pflichtenebene für sie gilt.
- Extraterritoriale Compliance: Anbieter aus Drittländern, deren KI-System-Ausgaben in der Union genutzt werden, müssen das Gesetz einhalten und einen in der EU niedergelassenen bevollmächtigten Vertreter benennen.
- Rollenklarheit: Wenn dieselbe Organisation gleichzeitig als Anbieter und Betreiber agiert, gelten beide Pflichtengruppen kumulativ; Organisationen müssen jede Rolle gesondert dokumentieren und verwalten.
- Dokumentation der F&E-Grenze: Organisationen, die sich auf die Forschungs- und Entwicklungsausnahme stützen, müssen klare Nachweise führen, dass das System nicht auf dem Markt in Verkehr gebracht oder in Betrieb genommen wurde, und den Anwendungsbereich in jeder Entwicklungsphase neu bewerten.
- Enge Auslegung von Ausnahmen: Ausnahmen für militärische, nationale Sicherheits- und Verteidigungszwecke müssen strikt angewendet werden; Dual-Use-KI-Systeme oder solche, die in allgemeinen Strafverfolgungskontexten eingesetzt werden, kommen nicht automatisch für eine Ausnahme in Betracht.
- Benennung eines bevollmächtigten Vertreters: Anbieter aus Drittländern, die in den Anwendungsbereich fallen, müssen als Teil ihrer Compliance-Infrastruktur förmlich einen bevollmächtigten Vertreter in der EU benennen und dokumentieren.
Verhältnis zu anderen Artikeln
Artikel 2 ist der Einstiegspunkt in den gesamten Regulierungsrahmen und muss zusammen mit mehreren grundlegenden Bestimmungen gelesen werden. Artikel 3 (Begriffsbestimmungen) ist für die Auslegung der in Artikel 2 verwendeten Schlüsselbegriffe unerlässlich, insbesondere der Definitionen von „KI-System", „Anbieter" und „Betreiber", die den Anwendungsbereich bestimmen. Artikel 5 (Verbotene KI-Praktiken) gilt für alle im Anwendungsbereich stehenden Akteure unabhängig von der Risikoebene, sodass die korrekte Bestimmung des Anwendungsbereichs gemäß Artikel 2 eine Voraussetzung für die Beurteilung der schwerwiegendsten Pflichten ist. Artikel 6 (Einstufung von Hochrisiko-KI-Systemen) und Artikel 51 (Einstufung von GPAI-Modellen) werden erst relevant, wenn der Anwendungsbereich gemäß Artikel 2 bestätigt ist. Für Organisationen, die den Weg des Drittlandsanbieters beschreiten, verbindet Artikel 2 direkt mit Artikel 25 (Pflichten der Einführer) und Artikel 26 (Pflichten der Händler). Die in Artikel 2 festgelegte extraterritoriale Reichweite spiegelt die Logik von Artikel 3 der DSGVO wider, und Aufsichtsbehörden haben bestätigt, dass diese Bestimmungen einheitlich ausgelegt werden sollten.
Zeitplan für die Compliance
Artikel 2 ist am 1. August 2024, zwanzig Tage nach der Veröffentlichung der Verordnung im Amtsblatt der EU, in Kraft getreten. Die praktischen Pflichten werden jedoch entsprechend dem Stufenplan der Verordnung aktiviert:
- 2. Februar 2025: Der Anwendungsbereich von Artikel 2 gilt vollständig in Bezug auf die verbotenen KI-Praktiken gemäß Artikel 5 — Organisationen müssen ihre Anwendungsbereichsbestimmung bis zu diesem Datum abgeschlossen haben, um zu beurteilen, ob eines ihrer Systeme in verbotene Kategorien fällt.
- 2. August 2025: Der Anwendungsbereich gilt für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck (GPAI) gemäß Titel VIII (Artikel 51–56), einschließlich systemischer Risikobewertungen und Transparenzpflichten.
- 2. August 2026: Pflichten für EU-Institutionen und -Einrichtungen, die KI-Systeme gemäß Artikel 2(1)(h) verwenden, werden anwendbar.
- 2. Dezember 2026: Der Anwendungsbereich von Artikel 2 gilt für Hochrisiko-KI-Systeme, die in Annex I (Sicherheitskomponenten regulierter Produkte) aufgeführt sind.
- 2. August 2027: Vollständige Anwendung auf Hochrisiko-KI-Systeme, die in Annex III (eigenständige Hochrisikoanwendungen in Bereichen wie Beschäftigung, Bildung, kritische Infrastruktur und Strafverfolgung) aufgeführt sind.
Organisationen sollten den August 2024 als das Datum betrachten, ab dem mit der Erfassung des Anwendungsbereichs begonnen werden sollte, wobei jede nachfolgende Frist einen entsprechenden Compliance-Arbeitsbereich auslöst.
Official AI Act Compliance Deadline Calendar
Updated · Sources: Regulation (EU) 2024/1689 and the 2026 Digital Omnibus on AI.
| Obligation | Applies to | Original date | New date | Status | Countdown | Legal basis |
|---|---|---|---|---|---|---|
| Prohibited Practices (Art. 5) | All providers and deployers | active | — | AI Act Art. 5 | ||
| GPAI Rules (Chapter 5) | GPAI model providers | active | — | AI Act Art. 51-56 | ||
| AI-Generated Content Marking | Providers of generative GPAI systems | active | — | AI Act Art. 50(2) | ||
| Regulatory Sandboxes | National competent authorities | active | — | AI Act Art. 57 | ||
| High-risk AI — Annex III (standalone) | Providers of standalone Annex III systems | deferred | — | AI Omnibus 2026 Art. 6(2) | ||
| High-risk AI — Annex I (embedded) | AI embedded in Annex I regulated products | deferred | — | AI Omnibus 2026 Art. 6(1) |
⬇ Download JSON · CC BY 4.0
AI Act meets DORA and NIS2
Is your organisation subject to both the AI Act and DORA? The two regulations intersect on the operational resilience of financial AI systems. Our sister site regulation-dora.eu covers DORA in depth — including what the AI Act adds on top of an existing DORA programme.
The AI Act for financial institutions ↗ Explore regulation-dora.eu ↗Frequently Asked Questions
Das EU-KI-Gesetz gilt für Anbieter, die KI-Systeme auf dem EU-Markt in Verkehr bringen oder in der EU in Betrieb nehmen, unabhängig vom Niederlassungsort des Anbieters. Es erfasst auch Betreiber, die KI-Systeme innerhalb der EU einsetzen, Einführer und Händler von KI-Systemen sowie Produkthersteller, die KI-Systeme in ihre Produkte integrieren. Anbieter aus Drittländern fallen in den Anwendungsbereich, wenn die Ausgaben ihres KI-Systems innerhalb der EU genutzt werden.
Grundsätzlich nein — es gibt jedoch eine wichtige Ausnahme. Wird ein KI-System außerhalb der EU entwickelt, aber seine Ausgaben innerhalb der EU genutzt, kann das Gesetz dennoch Anwendung finden. In Drittländern niedergelassene Anbieter müssen einen bevollmächtigten Vertreter in der EU benennen, wenn ihre Systeme auf dem EU-Markt bereitgestellt werden.
Ja. Artikel 2 schließt ausdrücklich KI-Systeme aus, die ausschließlich für militärische, nationale Sicherheits- oder Verteidigungszwecke genutzt werden, sowie KI-Systeme, die ausschließlich für Forschung und Entwicklung verwendet werden und noch nicht auf dem Markt in Verkehr gebracht wurden. Behörden von Drittländern und internationale Organisationen sind ebenfalls ausgeschlossen, wenn sie im Rahmen internationaler Strafverfolgungskooperationsrahmen handeln.
Open-Source-KI-Systeme sind teilweise vom Anwendungsbereich erfasst. Anbieter kostenloser und quelloffener KI-Systeme profitieren in einigen Bereichen von erleichterten Pflichten, sind jedoch nicht vollständig befreit — insbesondere wenn das System in verbotene oder hochriskante Kategorien fällt oder wenn es sich um KI-Modelle mit allgemeinem Verwendungszweck und erheblichem systemischen Risiko handelt.
Stay ahead of AI Act changes
Get compliance alerts when deadlines or obligations change.
No spam. One-click unsubscribe.
Take compliance further with the AI Act Academy
Templates, training modules, and live Q&A — everything needed to implement AI Act compliance.