Der EU AI Act in Luxemburg: Was Unternehmen bis August 2026 tun müssen

Der EU AI Act — die Verordnung (EU) 2024/1689 — ist das weltweit erste umfassende Gesetz zur künstlichen Intelligenz. Er trat am 1. August 2024 in Kraft und gilt stufenweise. Die nächste große Frist, der 2. August 2026, ist die entscheidende für die meisten Luxemburger Unternehmen: Ab diesem Datum gilt der Großteil der Pflichten der Verordnung — einschließlich der meisten Regeln für Hochrisiko-KI-Systeme.

Dieser Leitfaden erklärt den Zeitplan, wer betroffen ist und wie eine vernünftige erste Reaktion für ein Unternehmen in Luxemburg aussieht. Es handelt sich um allgemeine Informationen, nicht um Rechtsberatung — Ihre Pflichten hängen davon ab, wie Ihre konkreten KI-Anwendungen eingestuft werden, und diese Einstufung gehört in eine sorgfältige Prüfung mit Ihrer Rechtsberatung.

Der gestufte Zeitplan, verständlich erklärt

Der AI Act kommt nicht auf einmal. Der von der Europäischen Kommission veröffentlichte Anwendungszeitplan stellt sich so dar:

• 2. Februar 2025 — verbotene Praktiken und KI-Kompetenz. Bestimmte KI-Praktiken sind vollständig verboten: Social Scoring durch Behörden, KI, die Menschen zu ihrem Nachteil manipuliert, das ungezielte Auslesen von Gesichtsbildern zum Aufbau von Erkennungsdatenbanken, Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen (mit engen Ausnahmen) und mehr. Organisationen müssen zudem sicherstellen, dass ihr Personal über ein ausreichendes Maß an KI-Kompetenz verfügt.
• 2. August 2025 — KI mit allgemeinem Verwendungszweck (GPAI). Die Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck gelten: technische Dokumentation, Urheberrechts-Policy, Zusammenfassungen der Trainingsdaten sowie zusätzliche Pflichten für Modelle mit systemischem Risiko. Das Europäische KI-Büro und der Governance-Rahmen werden operativ, und die Mitgliedstaaten müssen Sanktionsregeln festlegen.
• 2. August 2026 — der allgemeine Geltungsbeginn. Der Großteil der übrigen Verordnung gilt, einschließlich der Regeln für Hochrisiko-KI-Systeme nach Anhang III (Bereiche wie Beschäftigung und Personalmanagement, Zugang zu wesentlichen Diensten, Kreditwürdigkeitsprüfung, Bildung und Strafverfolgung) sowie der Transparenzpflichten für Systeme wie Chatbots und KI-generierte Inhalte.
• 2. August 2027 — Hochrisiko-KI in regulierten Produkten. Eine verlängerte Übergangsfrist gilt für KI-Systeme, die Sicherheitskomponenten von Produkten sind, die bereits unter EU-Produktvorschriften fallen (Anhang I) — Maschinen, Medizinprodukte, Fahrzeuge und Ähnliches.

Die Sanktionen sind gestaffelt: bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes bei verbotenen Praktiken, mit niedrigeren Stufen für andere Verstöße.

Wer betroffen ist — vermutlich Sie, als Betreiber

Die Verordnung unterscheidet mehrere Rollen. Die beiden praktisch wichtigsten:

• Anbieter entwickeln KI-Systeme oder -Modelle und bringen sie in der EU auf den Markt. Sie tragen die schwersten Pflichten.
• Betreiber (Deployer) nutzen KI-Systeme in eigener Verantwortung. Hier werden die meisten Luxemburger Unternehmen landen — sobald Ihre Teams ein KI-System im Recruiting, beim Kunden-Scoring oder im kundenseitigen Chat einsetzen, treffen Sie Betreiberpflichten.

Zu den Betreiberpflichten bei Hochrisiko-Systemen gehören die Nutzung gemäß den Anweisungen des Anbieters, die Sicherstellung menschlicher Aufsicht, die Überwachung des Betriebs, die Aufbewahrung von Protokollen und — für Arbeitgeber — die Information der Arbeitnehmervertretung, bevor ein Hochrisiko-KI-System am Arbeitsplatz in Betrieb genommen wird. Auch außerhalb der Hochrisiko-Kategorie gelten Transparenzpflichten: Menschen müssen erfahren, wenn sie mit einem KI-System interagieren, und KI-generierte Inhalte müssen in den von der Verordnung definierten Fällen als solche erkennbar sein.

Wichtig: Die Verordnung gilt unabhängig von der Unternehmensgröße. KMU erhalten gewisse Verhältnismäßigkeits-Erleichterungen — vereinfachte Dokumentationsformate, Zugang zu Reallaboren — aber keine Ausnahme.

Der Luxemburger Kontext

Die Luxemburger Wirtschaft konzentriert genau die Sektoren, in denen der AI Act am stärksten greift. Einige Punkte, die Sie kennen sollten:

• CSSF-beaufsichtigte Unternehmen. Banken, Versicherer, Fondsverwalter und Zahlungsinstitute arbeiten bereits in einem Rahmen aus Auslagerungs-, IKT-Risiko- und Governance-Vorgaben (einschließlich DORA seit Januar 2025). Die Pflichten des AI Act ersetzen diesen Rahmen nicht — sie kommen obendrauf. Wenn Sie KI zur Kreditwürdigkeitsprüfung natürlicher Personen einsetzen, ist dieser Anwendungsfall in Anhang III ausdrücklich als hochriskant gelistet. Die CSSF ist beim Thema KI im Finanzsektor seit Jahren öffentlich aktiv, unter anderem mit thematischen Arbeiten zum Einsatz von Machine Learning durch beaufsichtigte Unternehmen — mit aufsichtlicher Aufmerksamkeit ist zu rechnen.
• Die CNPD. Die meisten unternehmerischen KI-Anwendungen verarbeiten personenbezogene Daten, sodass die DSGVO — in Luxemburg durchgesetzt von der Commission nationale pour la protection des données — parallel zum AI Act gilt. Eine Datenschutz-Folgenabschätzung und eine AI-Act-Risikobewertung decken oft überlappende Bereiche ab; wer sie gemeinsam durchführt, spart Arbeit.
• Nationale Umsetzung. Die Mitgliedstaaten müssen nationale Behörden für die Aufsicht über die Verordnung benennen. In Luxemburg durchläuft die Umsetzung den Gesetzgebungsprozess; prüfen Sie den aktuellen Stand der Benennungen mit Ihrer Rechtsberatung, statt ihn anzunehmen — aber warten Sie damit nicht auf den Abschluss, denn die oben genannten Fristen ergeben sich unmittelbar aus der Verordnung selbst.

Was jetzt zu tun ist: drei praktische erste Schritte

Sie brauchen kein Transformationsprogramm, um anzufangen. Sie brauchen drei Dinge, die die meisten Unternehmen noch in diesem Quartal beginnen können:

1. Ein KI-Inventar aufbauen. Was nicht erfasst ist, kann nicht eingestuft werden. Erfassen Sie jedes eingesetzte oder geplante KI-System — auch die KI in SaaS-Tools, die Ihre Teams bereits nutzen, und die inoffizielle ChatGPT-Nutzung, die niemand in ein Register eingetragen hat. Für jedes System: was es tut, wer es bereitstellt, welche Daten es berührt, wer von seinen Ergebnissen betroffen ist.

2. Nach Risiko einstufen. Ordnen Sie jedes System den Kategorien der Verordnung zu: verboten (sofort stoppen), hochriskant (Anhang III oder produktintegriert — die schweren Pflichten), begrenztes Risiko (Transparenzpflichten), minimales Risiko (keine spezifischen Pflichten, aber gute Governance zahlt sich trotzdem aus). Die meisten Unternehmen stellen fest, dass der Großteil ihrer KI-Nutzung minimales Risiko darstellt — und dass ein oder zwei Anwendungsfälle, meist in HR oder Kredit, echte Aufmerksamkeit brauchen.

3. Schlanke Governance einrichten. Eine verantwortliche Person für KI (kein Komitee aus allen), eine kurze interne Richtlinie zur akzeptablen KI-Nutzung, ein definierter Aufnahmeprozess für neue KI-Tools und eine grundlegende KI-Kompetenz-Schulung des Personals — seit Februar 2025 eine gesetzliche Pflicht, kein Nice-to-have.

Wenn Sie genau bei dieser Übung Unterstützung möchten: Das ist der Inhalt unseres AI-Act-Readiness-Audits — Inventar, Risikoeinstufung und ein priorisierter Maßnahmenplan, mit dem Ihr DSB und Ihr Vorstand arbeiten können.

Ein ehrliches Schlusswort

Zwei Dinge stimmen gleichzeitig. Erstens: Für die meisten Luxemburger Unternehmen ist die AI-Act-Compliance wirklich machbar — ein Inventar, eine Einstufung, etwas Governance und Sorgfalt bei den Anbietern decken die Mehrzahl der Fälle ab. Zweitens: Die Hochrisiko-Kategorie ist anspruchsvoll, und wenn Sie hineinfallen, ist August 2026 gemessen am Arbeitsaufwand nah. Ein ruhiges Jahr 2026 werden die Unternehmen haben, die jetzt herausfinden, in welcher dieser beiden Situationen sie sich befinden — nicht die mit dem größten Compliance-Budget.

Und noch einmal in aller Klarheit: Dieser Artikel ist eine allgemeine Information, keine Rechtsberatung. Ziehen Sie für Entscheidungen über Ihre konkreten Pflichten qualifizierte Rechtsberatung hinzu.