AI Act 2026: Die CNIL wird zur Aufsichtsbehörde mit Strafen bis zu 35 Mio. €

## Der AI Act stärkt die Befugnisse der CNIL: ein wichtiger regulatorischer Wendepunkt Der 12. Februar 2026 bleibt ein Schlüsseldatum: Die Regierung hat einen historischen Änderungsantrag zum Gesetz von 1978 eingereicht, um die CNIL als nationale Aufsichtsbehörde für den AI Act zu benennen. Diese institutionelle Transformation markiert einen Bruch mit dem bisher vorherrschenden fragmentierten Ansatz. Die CNIL wurde zur Referenzbehörde für die Anwendung des AI Act in Frankreich ernannt und festigt damit ihren Status als unverzichtbarer Akteur der digitalen Regulierung. Diese Ernennung geht mit erheblich erweiterten Kontroll- und Sanktionsbefugnissen einher, die die Compliance-Herausforderungen für französische Unternehmen radikal verändern. Weit davon entfernt, eine einfache Erweiterung ihrer DSGVO-Aufgaben zu sein, verleiht diese Entwicklung der CNIL eine autonome Zuständigkeit für KI-Systeme, mit direkten Auswirkungen auf jede Organisation, die algorithmische Lösungen entwickelt, einsetzt oder nutzt. ## Welche KI-Systeme betreffen Ihr Unternehmen? [Der AI Act regelt die Entwicklung, Vermarktung und Nutzung von KI-Systemen in Europa](/fr/blog/ai-act-2026-obligations-entreprises-ia-generative-chatbots) nach 4 Risikostufen. Diese Klassifizierung bestimmt Ihre rechtlichen Verpflichtungen und die drohenden Sanktionen. **Systeme mit inakzeptablem Risiko (seit Februar 2025 verboten)** Die Sanktionen für verbotene Praktiken – Social Scoring, unterschwellige Manipulation, Ausnutzung von Schwachstellen – sind bereits seit dem 2. Februar 2025 anwendbar. Diese Systeme setzen ihre Nutzer sofortigen Geldbußen aus. **Systeme mit hohem Risiko (Verpflichtungen seit August 2026)** Die Verpflichtungen für Hochrisiko-KI gelten seit dem 2. August 2026 für Systeme, die in der Biometrie, kritischen Infrastrukturen, Bildung, Beschäftigung oder Justiz eingesetzt werden. Diese Kategorie umfasst insbesondere: - Tools zur Bewerberauswahl und HR-Scoring - Systeme zur Kreditbewertung und Finanzbeurteilung - Lösungen zur assistierten medizinischen Diagnose - Algorithmen zur Betrugserkennung Eine HR-Management-Software, die ein Bewerber-Scoring-Modul enthält, eine B2B-Kredit-Scoring-Lösung, ein internes Betrugserkennungstool: all das sind konkrete Beispiele, bei denen das einsetzende KMU im Sinne des AI Act verantwortlich wird. **Systeme mit begrenztem Risiko** [Chatbots fallen in die Kategorie „begrenztes Risiko“](/fr/blog/ai-act-2026-obligations-entreprises-ia-generative-chatbots). Die Hauptpflicht besteht darin, die Nutzer darüber zu informieren, dass sie mit einer KI interagieren. Eine einfache Verpflichtung, die aber von der CNIL streng kontrolliert wird. ## CNIL-Sanktionen: bis zu 35 Millionen Euro Bußgelder Die Bußgelder reichen von 7,5 Millionen Euro (oder 1,5 % des weltweiten Umsatzes) für unrichtige Informationen bis zu 35 Millionen Euro (oder 7 % des weltweiten Umsatzes) für die Nutzung verbotener KI-Praktiken. Ihre begrenzte Zusammensetzung kann Anordnungen, Zwangsgelder von bis zu 100.000 Euro pro Tag und Bußgelder von bis zu 35 Millionen Euro oder 7 % des weltweiten Umsatzes verhängen. Das Sanktionssystem ist in drei Stufen gegliedert:

Art des Verstoßes	Maximalbetrag	Prozentsatz des weltweiten Umsatzes
Unrichtige Informationen an Behörden	7,5 Mio. €	1,5%
Nichtkonformität von Hochrisiko-Systemen	15 Mio. €	3%
Verbotene Praktiken	35 Mio. €	7%

Für ein Unternehmen mit 10 Milliarden Euro weltweitem Umsatz könnte die Verletzung verbotener Praktiken ein Bußgeld von 700 Millionen Euro nach sich ziehen. Dieser Betrag übersteigt die nach der DSGVO vorgesehenen Sanktionen erheblich. Sanktionen können kumulativ sein: DSGVO bis zu 20 Mio. € oder 4 % des weltweiten Umsatzes + AI Act bis zu 35 Mio. € oder 7 % des weltweiten Umsatzes = theoretisch insgesamt bis zu 55 Mio. € für denselben Verstoß. ## Wie bereiten Sie Ihr Unternehmen auf CNIL-Kontrollen vor? Die CNIL verfügt bereits über solide Erfahrungen bei der Kontrolle der DSGVO, und ihr Untersuchungs- und Sanktionsrahmen wird auch bei Verstößen gegen den AI Act angewendet. Unternehmen, die bereits im Rahmen der DSGVO kontrolliert wurden, wissen, dass diese Verfahren ernsthaft und anspruchsvoll sind. **Schritt 1: Umfassende Bestandsaufnahme der KI-Systeme** Die Bestandsaufnahme der verwendeten Tools ist daher der erste unerlässliche Schritt jeder ernsthaften Compliance-Maßnahme. Dokumentieren Sie alle Tools, die algorithmische Funktionen integrieren, einschließlich Drittanbieter-SaaS-Lösungen. **Schritt 2: Klassifizierung nach Risikostufen** Jedes identifizierte System muss nach der AI Act-Matrix bewertet werden. Die CNIL ist befugt, diese Bewertungen zu überprüfen und anzufechten, wenn sie der Ansicht ist, dass ein Unternehmen die Risiken seines Produkts minimiert. **Schritt 3: Technische Dokumentation und menschliche Überwachung** Der Anwender muss ein Risikomanagementsystem über den gesamten Lebenszyklus des KI-Systems einrichten, die effektive menschliche Überwachung seiner automatisierten Entscheidungen gewährleisten und ein dokumentiertes Register der Verwendungen führen. **Schritt 4: Schulung der Teams** Die Verpflichtung zur „AI literacy“ (minimale Schulung der KI-nutzenden Teams) ist ebenfalls aktiv. Diese Anforderung betrifft alle Mitarbeiter, die im Rahmen ihrer Tätigkeit mit KI-Systemen interagieren. ## Termine, die Sie nicht verpassen sollten Die Anwendung erfolgt schrittweise: Verbote seit Februar 2025, GPAI-Verpflichtungen seit August 2025 und vollständige Anwendung am 2. August 2026.

Datum	Anwendbare Verpflichtungen
Februar 2025	Verbot von Praktiken mit inakzeptablem Risiko
August 2025	Verpflichtungen für KI-Modelle für allgemeine Zwecke
**August 2026**	**Vollständige Anwendung für Hochrisiko-Systeme**
August 2027	Erweiterung auf regulierte Produkte (Medizinprodukte, Spielzeug)

Die Behörde wird ihre Untersuchungen auf die zunehmende Nutzung von künstlicher Intelligenz bei der Sortierung und Auswahl von Bewerbungen konzentrieren. Die CNIL hat angekündigt, ihre Kontrollen von HR-Systemen ab Herbst 2026 zu intensivieren. ## Verwandte Artikel - [AI Act CNIL Sanktionen Unternehmen: Regeln 2026](/fr/blog/ai-act-cnil-sanctions-entreprises-2026) - [CNIL: Audit verstärkte künstliche Intelligenz 2025-2028](/fr/blog/cnil-plan-strategique-2025-2028-audit-intelligence-artificielle) - [CNIL Sanktionen 2026: neue Zuständigkeiten AI Act und DSGVO](/fr/blog/sanctions-cnil-2026-ai-act-rgpd) ## Das Wichtigste auf einen Blick • **Die CNIL verfügt über neue Kontrollbefugnisse für KI** mit Strafen von bis zu 35 Millionen Euro oder 7 % des weltweiten Umsatzes • **Jedes Unternehmen, das KI-Systeme nutzt, ist betroffen**, von Chatbots bis zu Scoring-Tools, gemäß einer Klassifizierung in 4 Risikostufen • **Der kritische Termin ist August 2026** für Hochrisiko-Systeme: Personalwesen, Kreditwesen, Biometrie, Gesundheit • **Die Einhaltung erfordert eine vollständige Bestandsaufnahme**, technische Dokumentation und effektive menschliche Überwachung • **Die CNIL-Kontrollen werden intensiviert**, insbesondere bei HR-Tools und automatisierten Entscheidungssystemen ### Muss sich mein Unternehmen vor August 2026 an den AI Act anpassen? Ja, wenn Sie Hochrisiko-KI-Systeme verwenden. Identifizieren Sie unverzüglich, ob Ihre KI-Systeme unter Anhang III des AI Act fallen, und beginnen Sie mit den Arbeiten an technischer Dokumentation, Risikomanagement und europäischer Registrierung, um vor dem 2. August 2026 konform zu sein. Die Verpflichtung gilt, sobald ein Algorithmus Entscheidungen bezüglich Beschäftigung, Kredit, Gesundheit oder wesentlichen Dienstleistungen beeinflusst. ### Welche Sanktionen drohen bei Nichteinhaltung des AI Act? Die Sanktionen können sehr hoch sein und bis zu 35 Millionen Euro oder 7 % des Jahresumsatzes für die schwerwiegendsten Verstöße betragen. Die schwerwiegendsten Verstöße – Verwendung verbotener Systeme oder Nichteinhaltung bei Hochrisiko-Systemen – können zu Bußgeldern von bis zu 30 Millionen Euro oder 6 % des Jahresumsatzes führen. Diese Beträge summieren sich zu potenziellen DSGVO-Sanktionen. ### Wie kontrolliert die CNIL die Anwendung des AI Act? Als Marktüberwachungsbehörde achtet sie auf die Einhaltung der Verpflichtungen bezüglich verbotener Praktiken: Social Scoring, Verhaltensmanipulation, Ausnutzung von Schwachstellen, Gesichtserkennung im öffentlichen Raum. Anschließend reguliert sie die Hochrisiko-Systeme gemäß Anhang III und erteilt als benannte Stelle Konformitätsbescheinigungen für Hochrisiko-KI-Systeme, bevor diese auf den Markt gebracht werden. ### Welche KI-Tools gelten als Hochrisiko? Automatisierte Rekrutierungstools, Kredit-Scoring-Systeme, medizinische Diagnoselösungen, Betrugserkennungsalgorithmen und biometrische Systeme. Für Hochrisiko-KI sind die Verpflichtungen erweitert: detaillierte technische Dokumentation, Robustheitstests, Bewertung von Verzerrungen in Trainingsdaten, Einführung menschlicher Überwachung und kontinuierliches Monitoring nach dem Einsatz. ### Profitieren KMU von Erleichterungen beim AI Act? KMU und Start-ups genießen einen expliziten mathematischen Schutz (Artikel 99): Der herangezogene Betrag ist der niedrigere Wert zwischen dem Prozentsatz des weltweiten Umsatzes und dem festen Betrag in Euro, während für Großunternehmen der höhere Wert gilt. Der AI Act enthält regulatorische Sandkästen, in denen kleine Unternehmen ihre Innovationen unter vereinfachter Aufsicht testen können, bevor sie auf den Markt kommen.

---

**Benötigen Sie Unterstützung im Wirtschaftsrecht?** Ich begleite Sie bei der Verhandlung und Absicherung Ihrer Verträge, sowohl in Frankreich als auch international. [Online-Beratung](/fr/qui-suis-je) · [Termin vereinbaren](/fr/qui-suis-je)