Definition: EU-KI-Büro
Das EU-KI-Büro ist die Dienststelle der Europäischen Kommission innerhalb der Generaldirektion CONNECT, die die Umsetzung und Durchsetzung der EU-KI-Verordnung überwacht, mit besonderer Zuständigkeit für Allzweck-KI-Modelle.
Kernmerkmale von EU-KI-Büro
Das Büro wurde durch einen Kommissionsbeschluss vom 24. Januar 2024 eingerichtet und nahm einen Monat später den Betrieb auf. Es verbindet regulatorische, technische und koordinierende Aufgaben.
- Gliederung in sechs Einheiten plus einen wissenschaftlichen Chefberater und einen Berater für internationale Angelegenheiten
- Ausschließliche Durchsetzungsbefugnisse auf Kommissionsebene gegenüber GPAI-Anbietern
- Entwicklung von Codes of Practice, Leitlinien und technischen Standards
- Unterstützung durch KI-Ausschuss, Beratungsforum und ein unabhängiges wissenschaftliches Gremium
EU-KI-Büro vs. Marktüberwachungsbehörde
Das KI-Büro und eine Marktüberwachungsbehörde setzen beide die KI-Verordnung durch, aber auf unterschiedlichen Ebenen. Das KI-Büro handelt auf EU-Ebene, fast ausschließlich gegenüber Allzweck-Modellen, verlangt Dokumentation und verhängt Bußgelder direkt. Nationale Marktüberwachungsbehörden, wie die geplante Rolle der Bundesnetzagentur in Deutschland, kontrollieren Hochrisiko-Systeme, die bereits auf ihrem eigenen Markt sind. Eine benannte Stelle ist wieder etwas anderes: Sie zertifiziert einen schmalen Teil der Hochrisiko-Systeme vor dem Markteintritt.
Bedeutung von EU-KI-Büro im Enterprise-KI-Umfeld
Die meisten Mittelstandsunternehmen setzen KI ein, die auf Allzweck-Modellen aufbaut, statt selbst ein Modell zu entwickeln, weshalb die Entscheidungen des Büros gegenüber Foundation-Model-Anbietern prägen, was am Ende bei Unternehmenskunden ankommt. Laut Gartner müssen 60 Prozent der Unternehmen ihre KI-Einsätze bis 2026 anpassen, um die Verordnung einzuhalten, ein erheblicher Teil davon wegen Pflichten, die das Büro auf Modellebene durchsetzt.
Methoden und Verfahren für EU-KI-Büro
Das Büro setzt Compliance über direkte Befugnisse und weichere Koordinationsinstrumente durch.
Untersuchungs- und Durchsetzungsbefugnisse
Das Büro kann direkt gegen GPAI-Anbieter vorgehen, ohne einen Mitgliedstaat einzuschalten.
- Anforderung technischer Dokumentation nach Artikel 91
- Durchführung von Modellbewertungen bei systemischem Risiko nach Artikel 92
- Anordnung von Abhilfemaßnahmen, Marktbeschränkung oder Bußgeld bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Umsatzes
Codes of Practice und Leitlinien
Statt nur zu sanktionieren, steuert das Büro Compliance zunächst über freiwillige Instrumente wie den GPAI Code of Practice, final am 10. Juli 2025 veröffentlicht und mit den Kapiteln Transparenz, Urheberrecht sowie Sicherheit. Anbieter, die wie Meta nicht unterzeichnen, bleiben trotzdem an die verbindlichen Regeln der Verordnung gebunden.
Koordination mit nationalen Behörden
Das Büro betreut den KI-Ausschuss und gleicht seine GPAI-Durchsetzung damit ab, wie nationale Behörden Hochrisiko-KI-Systeme und Konformitätsbewertung handhaben, damit aus einem Regelwerk nicht 27 Einzelauslegungen werden.
Wichtige Kennzahlen für EU-KI-Büro
Ein paar Termine und Zahlen bestimmen, wie weit das Mandat tatsächlich reicht.
Zeitplan der Durchsetzung
- GPAI-Pflichten gelten ab: 2. August 2025
- Durchsetzungsbefugnisse ausübbar seit: 2. August 2026
- Bestandsmodelle müssen konform sein bis: 2. August 2027
- Maximales GPAI-Bußgeld: 15 Millionen Euro oder 3 Prozent des weltweiten Umsatzes
Institutionelle Kapazität
Eine geplante Belegschaft von rund 140 Personen, verteilt auf sechs Fachreinheiten, begrenzt, wie viele Anbieter und Modelle das Büro gleichzeitig prüfen kann, was wiederum die Bearbeitungsgeschwindigkeit von Beschwerden bestimmt.
Qualität der Code-Einhaltung
Acht große Anbieter, darunter OpenAI, Google, Microsoft und Anthropic, unterzeichneten den vollständigen Code of Practice und liefern dem Büro damit vergleichbare Transparenzberichte als Prüfgrundlage.
Risikofaktoren und Kontrollen bei EU-KI-Büro
Unternehmen, die auf GPAI-basierte Tools setzen, tragen praktische Risiken, die mit der Arbeitsweise des Büros zusammenhängen.
Zersplitterte Zuständigkeit zwischen Stellen
Mittelständische Einkäufer wissen oft nicht, an welche Behörde sie sich wenden sollen, wenn etwas schiefgeht.
- Verwechslung der Zuständigkeit des KI-Büros für Modelle mit der Zuständigkeit einer Behörde für eingesetzte Systeme
- Annahme, ein unterzeichneter Code of Practice entspreche voller Rechtskonformität
- Übersehen, dass KI-Governance-Pflichten für Betreiber bei nationalen Behörden liegen, nicht beim KI-Büro
Unsicherheit bei der Durchsetzungsplanung
Termine haben sich bereits verschoben, am sichtbarsten durch den Digital Omnibus, weshalb eine Planung auf einen fixen Stichtag riskiert, auf ein erneut verschobenes Datum zu bauen.
Uneinheitliche Anbietertransparenz
Nicht jeder GPAI-Anbieter legt Dokumentation gleich tief offen, sodass nachgelagerte Betreiber Lücken erben, die sie mit einem eigenen KI-Inventar allein nicht schließen können.
Praxisbeispiel
Ein 160 Mitarbeitende zählender Anbieter von Industrieautomatisierungssoftware in Sachsen baut einen Kundenservice-Agenten auf einem Allzweck-Modell eines Drittanbieters auf. Bevor der Digital Omnibus Teile des Zeitplans klärte, konnte der Compliance-Verantwortliche kaum unterscheiden, welche Pflichten beim Modellanbieter lagen, welche bei einer Marktüberwachungsbehörde und welche das Unternehmen selbst dokumentieren musste. Nach Abgleich der Kette mit den veröffentlichten Hinweisen des Büros baute das Unternehmen ein einfaches internes Register für Modellherkunft und Code-of-Practice-Status auf.
- Dokumentation, welche vorgelagerten Modelle vom GPAI Code of Practice erfasst sind
- Schlankes Register zur Modellherkunft mit vierteljährlicher Prüfung
- Eine zentrale interne Ansprechperson für eine künftige Prüfung
- Schulung des Einkaufs, nicht unterzeichnete oder undokumentierte Modelle zu erkennen
Aktuelle Entwicklungen und Auswirkungen
Die Rolle des Büros wird noch erprobt, während die Durchsetzungsbefugnisse greifen.
Code-of-Practice-Verbreitung vertieft sich
Immer mehr Anbieter gleichen ihre Berichtsformate an den Code an, auch ohne rechtliche Pflicht dazu.
- Zunehmende Angleichung bei standardisierter Modelldokumentation
- Erste Signale für genauere Prüfung bei Anbietern, die nicht unterzeichnet haben
- Wachsende Bewertungskapazität, da das wissenschaftliche Gremium personell aufgestockt wird
Digital Omnibus verändert Zeitpläne
Der Digital Omnibus, 2026 noch in Verhandlung, verschob Teile des Hochrisiko-Kalenders nach hinten, ohne die bereits geltenden GPAI-Durchsetzungstermine des Büros anzurühren, sodass der kurzfristige Druck auf der Modellebene konzentriert bleibt.
Fokus verschiebt sich zu Modellen mit systemischem Risiko
Die Aufmerksamkeit richtet sich zunehmend auf die kleinere Gruppe von Modellen oberhalb der Rechenschwelle für systemisches Risiko, wo die Sicherheitszusagen des Codes am meisten zählen.
Fazit
Das EU-KI-Büro ist der Durchsetzungsarm der Kommission für Allzweck-KI, kein allgemeiner KI-Regulierer für jeden Betreiber. Seine Befugnisse sind real, aber enger als oft angenommen, konzentriert auf Modellanbieter statt auf die Unternehmen, die darauf aufbauen. Für den Mittelstand besteht die praktische Aufgabe darin, Pflichten auf Modellebene, die das Büro durchsetzt, von Pflichten zu unterscheiden, die eine nationale Marktüberwachungsbehörde näher am eigenen Standort durchsetzt. Mit fortschreitender Durchsetzung nach 2026 wird diese Unterscheidung noch wichtiger.
Häufig gestellte Fragen
Was setzt das EU-KI-Büro eigentlich durch?
Das KI-Büro setzt die Regeln der EU-KI-Verordnung für Allzweck-KI-Modelle durch, einschließlich Transparenz-, Dokumentations- und Sicherheitspflichten für Modelle mit systemischem Risiko. Es setzt nicht direkt die Regeln für die meisten Hochrisiko-Systeme durch, die einzelne Unternehmen einsetzen; das übernimmt die nationale Marktüberwachungsbehörde.
Ist das EU-KI-Büro dasselbe wie eine Marktüberwachungsbehörde?
Nein. Das KI-Büro handelt auf EU-Ebene, überwiegend gegenüber GPAI-Modellanbietern, während die Marktüberwachungsbehörde jedes Mitgliedstaats Hochrisiko-Systeme kontrolliert, die bereits auf dessen eigenem Markt sind. Beide können ermitteln, ihre Zuständigkeiten überschneiden sich aber selten direkt.
Muss sich mein Unternehmen direkt mit dem KI-Büro auseinandersetzen?
Die meisten Mittelstandsunternehmen, die KI-Agenten auf Basis von Drittanbieter-Modellen einsetzen, werden nie direkt mit dem KI-Büro in Kontakt kommen. Ihre Pflichten laufen in der Regel über die Dokumentation des Modellanbieters und über die eigene nationale Marktüberwachungsbehörde.
Wie passt das EU-KI-Büro zu den KI-Agenten von Superkind?
Superkind baut KI-Agenten auf Allzweck-Modellen auf, deren Anbieter unter die Zuständigkeit des KI-Büros fallen, während Einsatz, Freigabe und Datenverarbeitung in der Governance des Kunden bleiben, sodass Compliance durchgängig nachvollziehbar bleibt.
Was passiert, wenn ein GPAI-Anbieter das KI-Büro ignoriert?
Nicht konforme Anbieter riskieren Bußgelder von bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes, zusätzlich mögliche Abhilfeanordnungen oder eine Beschränkung des EU-Marktzugangs für das Modell. Eine fehlende Unterzeichnung des freiwilligen Code of Practice hebt diese verbindlichen Pflichten nicht auf.
Ändert sich die Rolle des KI-Büros vor 2027 noch einmal?
Im Detail wahrscheinlich schon, in der Substanz eher nicht. Der Digital Omnibus hat bereits Teile des Hochrisiko-Zeitplans verschoben, und weitere technische Leitlinien werden erwartet, sobald die Bewertungskapazität des wissenschaftlichen Gremiums wächst, doch das Kernmandat zur GPAI-Durchsetzung steht bereits in der Verordnung selbst.
