Werkzeug · Leitfaden
AI-Act-Matrix für Energieversorger: Pflichten, Fristen und Hochrisiko-KI nach Rolle
Was die KI-Verordnung nach dem Digital Omnibus von Netzbetreibern, Messstellenbetreibern, Lieferanten und Wärmeversorgern verlangt
- Stand: 17.10.2026
- 20 Min. Lesezeit
- Zeitplan bis 2028
Umsetzungs-Check vereinbaren →
30 Minuten zu dem Vorhaben, das bei Ihnen gerade drängt. Ohne Verkaufsschleife.
Seit dem 2. August 2026 gelten die Transparenzpflichten des EU AI Act, und seit dem 29. Juli 2026 hat die Aufsicht in Deutschland eine Adresse: die Bundesnetzagentur. Die Hochrisiko-Pflichten für KI im Netz kommen erst am 2. Dezember 2027. Ob sie einen Energieversorger überhaupt treffen, hängt an zwei Bedingungen. Diese Seite ordnet beides nach Marktrolle und Termin.
Überblick zur Orientierung, keine Rechtsberatung und keine Prüfung Ihres Einzelfalls. Ob und ab wann eine Pflicht für Ihr Unternehmen gilt, klären Sie mit Ihrer Rechtsabteilung oder Rechtsberatung. Stand: 17.10.2026, Änderungen der Rechtslage vorbehalten.
- Der Digital Omnibus, Verordnung (EU) 2026/1744, gilt seit dem 27. Juli 2026. Er verschiebt die Hochrisiko-Pflichten nach Anhang III auf den 2. Dezember 2027 und nach Anhang I auf den 2. August 2028.
- Seit dem 2. August 2026 gelten die Transparenzpflichten nach Art. 50, etwa für den Chatbot im Kundenservice. Generative Systeme aus der Zeit davor haben für die maschinenlesbare Kennzeichnung bis zum 2. Dezember 2026 Zeit.
- KI im Netzbetrieb ist nicht automatisch Hochrisiko. Nach dem Leitlinien-Entwurf der Kommission vom 19. Mai 2026 muss sie ein Sicherheitsbauteil sein und bei einer kritischen Einrichtung laufen. Lastprognosen fallen danach nicht darunter.
- Die meisten Energieversorger kaufen KI ein und sind damit Betreiber. Ihre Pflichten stehen in Art. 26, dazu kommen Art. 4 und Art. 50.
- Die Aufsicht führt nach dem KI-MIG die Bundesnetzagentur, als Marktüberwachungsbehörde, Anlaufstelle und Beschwerdestelle.
- Für Geschäftsführung, Leitung Netz, Leitung IT und KI-Verantwortliche bei Energieversorgern.
Die vier Risikokategorien, auf Energieversorger übertragen
Der AI Act sortiert KI nach dem Einsatz, nicht nach der Technik. Dasselbe Sprachmodell kann im Kundenservice unter die Transparenzpflichten fallen und in der Bewerbervorauswahl Hochrisiko sein. Ein Inventar ordnet deshalb jeden Einsatz einzeln ein, nicht jedes Produkt.
Unakzeptables Risiko
Verboten seit 2. Feb. 2025
Beispiele:
- Emotionserkennung bei Beschäftigten, etwa eine Stimmungsanalyse der Mitarbeitenden im Kundenservice
- Social Scoring
- Manipulative Techniken, die Entscheidungen von Menschen wesentlich verzerren
- Neu durch den Omnibus: KI, die nicht-einvernehmliche intime Inhalte oder Darstellungen sexuellen Kindesmissbrauchs erzeugt, mit Übergang bis 2. Dezember 2026
Strafe: Bis zu 35 Mio. Euro oder 7 % des weltweiten Umsatzes
Hohes Risiko
Anhang III ab 2. Dez. 2027
Beispiele:
- KI als Sicherheitsbauteil in der Strom-, Gas- oder Wärmeversorgung, aber nur unter zwei Bedingungen (siehe unten)
- Vorauswahl von Bewerbungen und Leistungsbewertung von Beschäftigten (Anhang III Nr. 4)
- KI in Produkten mit eigener Produktregulierung nach Anhang I, etwa Maschinen: ab 2. Aug. 2028
Anforderungen: Anbieter brauchen Risikomanagement, Dokumentation und Konformitätsbewertung. Betreiber erfüllen Art. 26.
Begrenztes Risiko
Gilt seit 2. Aug. 2026
Beispiele:
- Chatbot im Kundenservice
- KI-generierte Texte, Bilder oder Stimmen in der Kundenkommunikation
- Deepfakes
Anforderungen: Hinweis und Kennzeichnung nach Art. 50
Minimales Risiko
Keine Pflichten über Art. 4 hinaus
Beispiele:
- Last- und Verbrauchsprognose ohne Schutzfunktion (nach dem Leitlinien-Entwurf)
- Plausibilisierung von Messwerten, die ein Mensch freigibt
- Spamfilter und Dokumentensuche
Anforderungen: Freiwillige Verhaltenskodizes. KI-Kompetenz nach Art. 4 gilt trotzdem.
Zeitplan: was gilt, was kommt
Der Digital Omnibus hat den Zeitplan im Juli 2026 umgebaut. Was im Frühjahr noch Vorschlag war, ist seit dem 27. Juli 2026 geltendes Recht. Die Tabelle zeigt den Stand vom 17. Oktober 2026. Wo eine Zeile auf den Fristenkalender verweist, steht dort der laufend geprüfte Eintrag mit Quelle.
| Datum | Meilenstein | Status | Was das heißt |
|---|---|---|---|
| 1. August 2024 | KI-Verordnung (EU) 2024/1689 tritt in Kraft | Gilt | Startpunkt aller weiteren Fristen. |
| 2. Februar 2025 | Verbote (Art. 5) und KI-Kompetenz (Art. 4) | Gilt | Verbotene Praktiken müssen abgeschaltet sein. Art. 4 gilt in der abgeschwächten Omnibus-Fassung: Maßnahmen zur Förderung der KI-Kompetenz, kein garantiertes Niveau je Person. |
| 2. August 2025 | Pflichten für Anbieter allgemeiner KI-Modelle (GPAI) | Gilt | Trifft die Modellanbieter. Wer ein fertiges Modell nutzt, ist hier nicht gemeint. |
| 19. Mai 2026 | Leitlinien-Entwurf zur Hochrisiko-Einstufung (Art. 6 Abs. 5) | Entwurf | Konsultation bis 23. Juli 2026, die finale Fassung hat die Kommission bis Ende 2026 angekündigt. |
| 27. Juli 2026 | Digital Omnibus, VO (EU) 2026/1744, in Kraft | Gilt | Verschiebt Anhang III und Anhang I, schwächt Art. 4 ab, ergänzt zwei Verbote. |
| 29. Juli 2026 | KI-MIG in Kraft | Gilt | Die Bundesnetzagentur wird Marktüberwachungsbehörde, Anlaufstelle und Beschwerdestelle. Im Fristenkalender |
| 2. August 2026 | Transparenzpflichten (Art. 50) und Durchsetzung | Gilt | Chatbots und KI-generierte Inhalte brauchen einen Hinweis. Die nationalen Behörden setzen ab jetzt durch, auch Art. 4, und die Kommission erhält ihre Befugnisse gegenüber GPAI-Anbietern. Im Fristenkalender |
| 2. Dezember 2026 | Kennzeichnung für Bestandssysteme, neue Verbote | Nächste Frist | Generative Systeme, die vor dem 2. August 2026 in Verkehr kamen, müssen ihre Ausgaben maschinenlesbar markieren (Art. 50 Abs. 2). Der Übergang für die neuen Verbote endet. Im Fristenkalender |
| 2. August 2027 | GPAI-Modelle im Bestand, KI-Reallabore | Zukunft | Modelle, die vor August 2025 auf dem Markt waren, müssen die GPAI-Pflichten erfüllen. Jeder Mitgliedstaat muss bis dahin mindestens ein KI-Reallabor eingerichtet haben. |
| 2. Dezember 2027 | Hochrisiko nach Anhang III | Zukunft | Gilt für KI als Sicherheitsbauteil in kritischer Infrastruktur und für KI im Personalbereich. Im Fristenkalender |
| 2. August 2028 | Hochrisiko nach Anhang I | Zukunft | KI in Produkten mit eigener Produktregulierung, etwa Maschinen. |
Gilt schon: Verbote, KI-Kompetenz, GPAI
Seit 2025. Ohne KI-Inventar lässt sich weder belegen, dass keine verbotene Praxis läuft, noch, dass das Personal geschult wird.
Seit August 2026: Transparenz und Aufsicht
Der Hinweis im Chatbot, die Kennzeichnung generierter Inhalte und eine Behörde, die nachfragen darf.
Bis Dezember 2027: Hochrisiko einordnen
Gut 13 Monate klingen nach viel. Für ein Inventar, die Einstufung jedes Einsatzes, neue Klauseln in Anbieterverträgen und die Betreiberpflichten nach Art. 26 sind sie knapp. Zumal die KRITIS-Verordnung, an der die zweite Hochrisiko-Bedingung hängt, noch fehlt.
Hochrisiko im Netz: zwei Bedingungen statt Pauschalurteil
Anhang III Nr. 2 nennt KI, die als Sicherheitsbauteil im Management und Betrieb der Strom-, Gas-, Wärme- oder Wasserversorgung eingesetzt werden soll. Lange las die Branche das als: KI im Netz ist Hochrisiko. Eine frühere Fassung dieser Seite auch. Der Leitlinien-Entwurf der Kommission vom 19. Mai 2026 zieht die Grenze deutlich enger, und nach ihm müssen beide Bedingungen erfüllt sein.
Bedingung 1: Sicherheitsbauteil
Die KI schützt die physische Integrität der Anlage unmittelbar. Sie erkennt gefährliche Zustände, verhindert das Anlaufen, begrenzt oder stoppt. KI, die nur informiert, prognostiziert oder optimiert, ist kein Sicherheitsbauteil. Reine Cybersicherheits-KI auch nicht (Erwägungsgrund 55).
Bedingung 2: kritische Einrichtung
Der Betreiber ist nach der CER-Richtlinie als kritische Einrichtung eingestuft, in Deutschland über das KRITIS-Dachgesetz. Das Gesetz gilt seit dem 17. März 2026. Welche Anlagen darunter fallen, legt die KRITIS-Verordnung fest, und die lag im Mai 2026 erst als Referentenentwurf vor. Dieselbe Software kann also beim einen Versorger Hochrisiko sein und beim Nachbarn nicht.
Nach dem Entwurf Hochrisiko
Perimeterschutz von Strominfrastruktur mit Kamera, Radar oder Drohnenabwehr. Anomalieerkennung, die Entscheidungen über Lastverteilung, Netzstabilität oder Abschaltvorgänge stützt.
Nach dem Entwurf kein Hochrisiko
Lastprognose zur Netzoptimierung. Predictive Maintenance an Gasleitungen, deren Sicherheitssysteme unabhängig weiterlaufen. Die Störungsfrühwarnung an die Netzleitstelle, wenn dort ein Mensch entscheidet. Cyber-Monitoring der Netzkommunikation.
Der Entwurf ist weder final noch bindend. Er ist aber die genaueste Vorlage, die es gibt, und eine prüfende Behörde wird sie kaum ignorieren. Offen bleibt KI, die selbst schaltet und keine unabhängige Schutzebene neben sich hat. Die Beispiele im Einzelnen stehen in unserem Beitrag welche KI im Stadtwerk wirklich Hochrisiko ist.
Was Betreiber von Hochrisiko-KI erfüllen müssen
Kauft ein Energieversorger ein Hochrisiko-System ein und setzt es unverändert ein, ist er Betreiber. Die Konformitätsbewertung liegt dann beim Anbieter. Betreiber müssen ab dem 2. Dezember 2027:
- das System nach der Betriebsanleitung des Anbieters einsetzen (Art. 26 Abs. 1),
- die menschliche Aufsicht Personen übertragen, die dafür kompetent, geschult und befugt sind (Art. 26 Abs. 2). Dass Aufsicht technisch möglich ist, muss der Anbieter nach Art. 14 ins System einbauen,
- Eingabedaten, soweit sie sie kontrollieren, relevant und repräsentativ halten (Art. 26 Abs. 4),
- den Betrieb überwachen, bei Risiken Anbieter und Marktüberwachung informieren und schwerwiegende Vorfälle melden (Art. 26 Abs. 5),
- die automatisch erzeugten Protokolle mindestens sechs Monate aufbewahren (Art. 26 Abs. 6),
- Arbeitnehmervertretung und betroffene Beschäftigte vor dem Einsatz am Arbeitsplatz informieren (Art. 26 Abs. 7),
- und, wo das System mit Menschen spricht oder Inhalte erzeugt, die Transparenz nach Art. 50 herstellen.
Eine Grundrechte-Folgenabschätzung nach Art. 27 ist für KI nach Anhang III Nr. 2 nicht vorgeschrieben. Registriert werden diese Systeme national, nicht in der öffentlichen EU-Datenbank (Art. 49 Abs. 5).
In vier Schritten zur Einstufung
Schritt 1: Inventar
Jeden KI-Einsatz erfassen, auch die Module in Fachsoftware, die im Haus niemand KI nennt: Prognose im Energiedatenmanagement, Texterkennung im Posteingang, Vorauswahl im Bewerbermanagement.
Schritt 2: Rolle klären
Anbieter oder Betreiber? Das entscheidet über fast alles Weitere.
Schritt 3: Einstufen und begründen
Je Einsatz die zwei Bedingungen des Leitlinien-Entwurfs durchgehen und die Begründung festhalten. Den KRITIS-Status als offene Annahme führen, bis die Verordnung erlassen ist.
Schritt 4: Betreiberpflichten verankern
Aufsicht, Protokolle, Information des Betriebsrats, Meldewege. Und in jeder Beschaffung die Frage, welche Dokumentation, Protokollierung und Anleitung der Anbieter mitliefert.
Was noch offen ist
- Leitlinien: Der Entwurf vom 19. Mai 2026 kann sich bis zur finalen Fassung noch ändern.
- KRITIS-Verordnung: Ohne sie lässt sich die zweite Bedingung nicht sicher prüfen.
- Normen: Die harmonisierten Normen von CEN-CENELEC JTC 21 sind erst zum Teil fertig. Entwürfe zu Risikomanagement, Protokollierung und menschlicher Aufsicht sind noch in Arbeit.
- Datenschutz: Die DSGVO gilt daneben, sobald personenbezogene Daten in ein Modell gehen, etwa Lastgänge einzelner Haushalte.
Wo KI in den Marktrollen auf den AI Act trifft
Ein Querverbund-Stadtwerk ist oft alles zugleich: Netzbetreiber, Messstellenbetreiber, Lieferant und Wärmeversorger. Die Pflichten folgen dem Einsatz, deshalb lohnt der Blick je Rolle. Die Einordnung beschreibt typische Fälle, nicht Ihren Einzelfall.
Verteil- und Übertragungsnetzbetreiber
Hier liegt das Hochrisiko-Thema. Perimeterschutz an Umspannwerken und Anomalieerkennung, die Schaltentscheidungen stützt, können unter Anhang III Nr. 2 fallen, wenn der Betreiber kritische Einrichtung ist. Prognose- und Informationssysteme nimmt der Entwurf aus, solange ein Mensch entscheidet. Offen ist KI, die selbst steuert, etwa eine automatische Dimmung nach § 14a EnWG ohne unabhängige Schutzebene.
Messstellenbetreiber
Plausibilisierung, Ersatzwerte, Fotoprüfung bei der Zählermontage: nach dem Entwurf kein Hochrisiko, weil keine Schutzfunktion. Wichtiger sind Art. 4 für das Personal und die DSGVO, sobald Lastgänge einzelner Haushalte in ein Modell gehen.
Lieferant und Vertrieb
Der Chatbot im Kundenservice ist seit dem 2. August 2026 der häufigste Pflichtfall: Wer mit ihm schreibt, muss erkennen, dass es eine KI ist. Generierte Texte und Bilder in Kampagnen brauchen je nach Fall eine Kennzeichnung. Emotionserkennung bei Beschäftigten im Callcenter ist verboten, bei Anrufenden zählt sie zu den Hochrisiko-Anwendungen nach Anhang III Nr. 1.
Wärme und Gas
Anhang III Nr. 2 nennt Gas und Wärme ausdrücklich. Predictive Maintenance an Gasleitungen ist nach dem Entwurf kein Hochrisiko, wenn die Sicherheitssysteme unabhängig weiterlaufen. Ein Inspektionsroboter im Heizkraftwerk, der nur erkennt und nie eingreift, auch nicht. Anders kann es bei KI aussehen, die eine Anlage bei auffälligen Werten selbst stoppt.
Alle Rollen: Personal
Bewerbervorauswahl und Leistungsbewertung sind Hochrisiko nach Anhang III Nr. 4, unabhängig vom KRITIS-Status. Der Betriebsrat hat hier ohnehin mitzureden, bei kommunalen Eigenbetrieben der Personalrat.
Anbieter oder Betreiber: die Frage vor allen anderen
Die meisten Energieversorger kaufen KI ein und sind damit Betreiber. Wer selbst entwickelt und produktiv einsetzt, auch nur im eigenen Haus, ist Anbieter. Der Unterschied im Pflichtenumfang ist groß.
Anbieter
Kernpflichten bei Hochrisiko-KI:
- Risikomanagement und Daten-Governance (Art. 9, 10)
- Technische Dokumentation und Protokollierung (Art. 11, 12)
- Menschliche Aufsicht technisch ermöglichen (Art. 14)
- Konformitätsbewertung, CE-Kennzeichnung, Registrierung
Dazu ein Qualitätsmanagementsystem und die Beobachtung nach dem Inverkehrbringen.
Betreiber
Kernpflichten bei Hochrisiko-KI (Art. 26):
- Einsatz nach Betriebsanleitung
- Menschliche Aufsicht durch geschultes Personal
- Protokolle mindestens sechs Monate aufbewahren
- Betriebsrat und Betroffene informieren
Art. 4 und Art. 50 gelten für jede KI, nicht nur für Hochrisiko.
Vom Betreiber zum Anbieter (Art. 25)
Wer ein Hochrisiko-System unter eigenem Namen anbietet, es wesentlich verändert oder seine Zweckbestimmung so ändert, dass es Hochrisiko wird, gilt als Anbieter. Ein Fall, den man prüfen sollte, statt ihn anzunehmen: ein zugekauftes Modell, das auf eigenen Netzdaten nachtrainiert und in der Leitstelle eingesetzt wird.
Beide Rollen: KI-Kompetenz (Art. 4)
Gilt seit dem 2. Februar 2025, seit dem Omnibus in schwächerer Form. Anbieter und Betreiber ergreifen Maßnahmen, um die KI-Kompetenz ihres Personals und anderer Personen zu fördern, die KI in ihrem Auftrag betreiben. Ein bestimmtes Niveau je Person müssen sie nicht mehr sicherstellen. Schulungsnachweise sind trotzdem der einfachste Beleg, wenn die Behörde fragt.
Allgemeine KI-Modelle (GPAI): selten Ihr Thema, oft Ihr Werkzeug
Große Sprachmodelle, wie sie hinter den bekannten Chat-Assistenten stehen, sind allgemeine KI-Modelle. Die GPAI-Pflichten gelten seit dem 2. August 2025, und sie treffen die Modellanbieter.
Was Modellanbieter erfüllen müssen
- Technische Dokumentation und Informationen für nachgelagerte Anbieter (Art. 53)
- Eine Strategie zur Einhaltung des Urheberrechts
- Eine öffentliche Zusammenfassung der Trainingsdaten
- Bei Modellen mit systemischem Risiko (Training über 10²⁵ FLOP): Bewertung, Risikominderung, Meldung schwerwiegender Vorfälle und Cybersicherheit (Art. 55)
Den Verhaltenskodex für GPAI hat die Kommission am 10. Juli 2025 veröffentlicht, mit Kapiteln zu Transparenz, Urheberrecht und Sicherheit. Seit dem 2. August 2026 kann sie die Pflichten durchsetzen. Modelle, die vor August 2025 auf dem Markt waren, haben bis zum 2. August 2027 Zeit.
Ein Energieversorger baut auf solchen Modellen auf, im Kundenservice-Bot oder in der Dokumentensuche, und ist für diesen Einsatz Betreiber. Selbst Modellanbieter wird nach den GPAI-Leitlinien der Kommission vom Juli 2025 erst, wer für eine Anpassung mehr als ein Drittel der ursprünglichen Trainingsrechenleistung aufwendet. Das erreicht kaum ein Haus.
Strafrahmen bei Verstößen
Die Bußgelder stehen in Art. 99. Es gilt der höhere Betrag aus Festbetrag und Umsatzanteil. Für KMU, und seit dem Omnibus auch für kleine Midcaps, gilt der niedrigere.
Was das für ein Stadtwerk heißt
Die Höchstbeträge sind Obergrenzen, keine Tarife. Näher liegt das letzte Risiko: Wer der Bundesnetzagentur falsch antwortet, weil im Haus niemand den Überblick über die eingesetzten Systeme hat, schafft einen eigenen Tatbestand.
Deutschland: KI-MIG und Bundesnetzagentur
Seit dem 29. Juli 2026 gilt das Gesetz zur Marktüberwachung und Innovationsförderung von künstlicher Intelligenz, kurz KI-MIG. Neue inhaltliche Pflichten bringt es nicht. Es bringt eine Behörde, die fragen darf.
Was das KI-MIG regelt
- Bundesnetzagentur (BNetzA) als Marktüberwachungsbehörde: unter anderem für KI in kritischer Infrastruktur und im Personalmanagement, dazu zentrale Anlaufstelle und Beschwerdestelle.
- Koordinierung: Die BNetzA unterstützt als Kompetenzzentrum die anderen Marktüberwachungsbehörden. In vollharmonisierten Produktbereichen bleiben die bisherigen Behörden zuständig.
- KI-Service-Desk: mit einem Online-Werkzeug zur ersten Einschätzung der Risikoklasse, Hinweisen zu den europäischen Leitlinien und zum Aufbau von KI-Kompetenz.
- KI-Reallabor: Entwicklung und Test in kontrollierter Umgebung, vor allem für KMU.
Was die Behörde konkret darf, beschreibt unser Beitrag KI-MIG: Die Aufsicht über Ihre KI hat jetzt eine Adresse.
Was daneben gilt
- NIS2-Umsetzungsgesetz, in Kraft seit dem 6. Dezember 2025: KI-Systeme laufen im allgemeinen Risikomanagement nach dem BSIG mit. Einen eigenen KI-Paragrafen gibt es nicht.
- KRITIS-Dachgesetz, seit dem 17. März 2026: entscheidet über den KRITIS-Status und damit über die zweite Hochrisiko-Bedingung.
- Datenschutz: Die Datenschutzkonferenz hat Orientierungshilfen zu KI (Mai 2024) und zu generativer KI mit RAG (Oktober 2025) veröffentlicht.
- Mitbestimmung: § 80 Abs. 3, § 90 Abs. 1 Nr. 3 und § 95 Abs. 2a BetrVG nennen KI ausdrücklich, § 87 Abs. 1 Nr. 6 greift bei Systemen, die Verhalten oder Leistung überwachen können. Für kommunale Eigenbetriebe und Anstalten gilt das Personalvertretungsrecht des Landes.
KI-Reallabore (Regulatory Sandboxes)
Testen unter Aufsicht
Anforderung: Jeder Mitgliedstaat muss mindestens ein KI-Reallabor einrichten. Der Omnibus hat die Frist um ein Jahr auf den 2. August 2027 verschoben. In Deutschland richtet die Bundesnetzagentur eines ein.
- Entwicklung, Training, Test und Validierung unter Begleitung der Behörde
- Für KMU grundsätzlich kostenlos (Art. 58)
- Tests unter realen Bedingungen für bestimmte Hochrisiko-Systeme seit dem Omnibus auch außerhalb des Reallabors (Art. 60a)
Die Haftung für Schäden gegenüber Dritten bleibt während des Tests bestehen (Art. 57). Für ein Netz-KI-Projekt an der Grenze zu Hochrisiko kann sich der Weg trotzdem lohnen. Die Einstufung wird dann mit der Behörde geklärt und nicht erst hinterher.
Was sich jetzt schon lohnt
Bis Dezember 2027 ist Zeit. Drei Dinge zahlen sich aber aus, egal wie die Leitlinien am Ende aussehen.
Auskunftsfähig sein
Ein KI-Inventar mit Rolle, Einstufung und Begründung je Einsatz. Ohne das lässt sich keine Anfrage der Bundesnetzagentur sauber beantworten.
Im Einkauf fragen
Anbieter von Hochrisiko-KI müssen Betreibern eine Betriebsanleitung und Angaben zu Protokollierung und menschlicher Aufsicht liefern. Das gehört in Ausschreibung und Vertrag, nicht erst in die Abnahme.
Kein Siegel versprechen
Ein allgemeines Siegel „EU AI Act konform“ gibt es nicht. Hochrisiko-Systeme tragen nach der Konformitätsbewertung die CE-Kennzeichnung, und wer mit Konformität wirbt, braucht einen Beleg. Eine dokumentierte Risikoeinstufung schafft mehr Vertrauen als jede Absichtserklärung.
Quellen und weiterführende Informationen
Häufige Fragen zum EU AI Act für Energieversorger
Seit dem 2. Februar 2025 gelten die Verbote und die Pflicht zur KI-Kompetenz (Art. 4), seit dem 2. August 2025 die Pflichten für Anbieter allgemeiner KI-Modelle. Seit dem 2. August 2026 gelten die Transparenzpflichten nach Art. 50, und die nationalen Behörden setzen durch, in Deutschland die Bundesnetzagentur. Die Hochrisiko-Pflichten nach Anhang III folgen am 2. Dezember 2027, die nach Anhang I am 2. August 2028.
Nein. Nach dem Leitlinien-Entwurf der Kommission vom 19. Mai 2026 fällt KI nur unter Anhang III Nr. 2, wenn sie als Sicherheitsbauteil die physische Integrität der Anlage unmittelbar schützt und ihr Betreiber als kritische Einrichtung eingestuft ist. Lastprognosen, Predictive Maintenance neben unabhängigen Sicherheitssystemen und reines Cyber-Monitoring nimmt der Entwurf aus. Perimeterschutz und Anomalieerkennung, die Schaltentscheidungen stützt, zählt er dazu. Final ist der Entwurf noch nicht, und die KRITIS-Verordnung, die über den KRITIS-Status entscheidet, fehlt noch.
Die Verordnung (EU) 2026/1744 gilt seit dem 27. Juli 2026. Sie verschiebt die Hochrisiko-Pflichten nach Anhang III auf den 2. Dezember 2027 und nach Anhang I auf den 2. August 2028. Sie schwächt die Pflicht zur KI-Kompetenz ab, gibt generativen Bestandssystemen für die maschinenlesbare Kennzeichnung Zeit bis zum 2. Dezember 2026 und verschiebt die Frist für nationale KI-Reallabore auf den 2. August 2027. Neu verboten ist KI, die nicht-einvernehmliche intime Inhalte oder Darstellungen sexuellen Kindesmissbrauchs erzeugt.
Die Bundesnetzagentur. Nach dem KI-MIG, in Kraft seit dem 29. Juli 2026, ist sie Marktüberwachungsbehörde, zentrale Anlaufstelle und Beschwerdestelle, unter anderem für KI in kritischer Infrastruktur und im Personalmanagement. Ihr KI-Service-Desk bietet ein Online-Werkzeug zur ersten Einschätzung der Risikoklasse.
Für jede KI: Maßnahmen zur KI-Kompetenz des Personals (Art. 4) und, wo einschlägig, Transparenz nach Art. 50, etwa beim Chatbot. Für Hochrisiko-Systeme ab dem 2. Dezember 2027 zusätzlich die Pflichten nach Art. 26: Einsatz nach Betriebsanleitung, menschliche Aufsicht durch geschultes Personal, Überwachung des Betriebs, Protokolle mindestens sechs Monate aufbewahren und die Arbeitnehmervertretung vor dem Einsatz am Arbeitsplatz informieren.
Bis 35 Mio. Euro oder 7 Prozent des weltweiten Jahresumsatzes bei verbotenen Praktiken, bis 15 Mio. Euro oder 3 Prozent bei Verstößen gegen andere Pflichten und bis 7,5 Mio. Euro oder 1 Prozent bei falschen Auskünften an Behörden (Art. 99). Es gilt der höhere Betrag, für KMU der niedrigere.
Mit einem Inventar aller KI-Einsätze, auch in Fachsoftware. Je Einsatz die Rolle klären, Anbieter oder Betreiber, und die Einstufung mit Begründung festhalten. Den KRITIS-Status als offene Annahme führen, bis die KRITIS-Verordnung erlassen ist. Ob eine Pflicht im Einzelfall gilt, klären Rechtsabteilung oder Rechtsberatung.
Von der Pflicht zur Governance
Diese Seite zeigt, was der EU AI Act von Energieversorgern verlangt. Wie daraus eine KI-Governance im Haus wird, mit Inventar, Einstufung, Freigabewegen und klaren Verantwortlichen, beschreibt unsere Leistung KI-Governance für Energieversorger. Welche KI-Anwendungen je Marktrolle in Frage kommen, zeigt die KI-Landkarte für Energieversorger.
Alle Beiträge zum Thema sammelt das Themenfeld KI in der Energiewirtschaft. Die Termine stehen im Fristenkalender, und den Weg vom Pilot in den Regelbetrieb beschreibt Prototyp und KI.
Zusammenarbeit
Ein Ansprechpartner, ein Team dahinter
Dreißig Minuten über das, woran Sie gerade arbeiten, ob Netz, Messwesen, Marktprozesse, IT-Architektur oder KI. Danach wissen Sie, wie wir es angehen würden und wer dafür am Tisch sitzt.
Energie und Messtechnik seit 2010 · innobu GmbH seit 2014 · Sitz in Schleswig-Holstein
Wer pitcht, liefert auch: Wer das Erstgespräch führt, bleibt Ihr Ansprechpartner bis ins Steering, im Projekt mit festen Partnern. Direkt: info@innobu.com