AI Act / EU-KI-Verordnung: KI-Compliance im Vending

Welche Automaten-KI fällt unter die Verordnung?

Die Einstufung folgt vier Risikostufen. Für den Vending-Alltag sind drei davon praxisrelevant:

Verboten seit 2. Februar 2025 (Art. 5): Biometrische Echtzeit-Identifikation von Personen im öffentlichen Raum ohne engen Strafverfolgungsrahmen. Kameramodule, die Passanten ohne Einwilligung demografisch kategorisieren, fallen in diese Grauzone, unabhängig davon, ob der Automat das Ergebnis zur Preissteuerung oder Produktempfehlung nutzt.

Hochrisikoklasse (Anhang III, Kategorie 1 „Biometrie"): KI-gestützte Altersverifikation über Kamerabilder gilt als biometrische Kategorisierung und damit grundsätzlich als hochriskant. Pflichten umfassen Konformitätsbewertung vor Inbetriebnahme, technische Dokumentation nach Art. 11, Registrierung in der EU-KI-Datenbank nach Art. 49 und laufende Vorfallmeldung. Der Beratungsaufwand für eine erstmalige Konformitätsdokumentation ist nicht öffentlich beziffert; Fachkanzleien nennen Projektrahmen von mehreren zehntausend Euro, abhängig vom Systemumfang.

Minimales Risiko: Standard-Empfehlungsalgorithmen, Bestandsoptimierung ohne Personenbezug und einfache Telemetrie-Auswertung unterliegen keinen spezifischen Pflichten aus dem AI Act.

Zeitplan: Digital Omnibus verschiebt Hochrisiko-Fristen um bis zu 16 Monate

Ursprünglich sollten die Pflichten für eigenständige Hochrisikosysteme nach Anhang III ab 2. August 2026 vollständig gelten. Die Europäische Kommission legte am 19. November 2025 ein „Digital Omnibus"-Paket zur Vereinfachung des AI Acts vor; Rat und Europäisches Parlament einigten sich am 7. Mai 2026 im Trilog, das Parlament stimmte am 16. Juni 2026 final zu, der Rat gab am 29. Juni 2026 grünes Licht. Für Vending-Betreiber mit Kamera-KI oder biometrischer Altersverifikation ergibt sich ein neuer Zeitplan:

Die Kommission begründet die Verschiebung mit fehlender Umsetzungsreife: harmonisierte technische Normen, das Netz nationaler Konformitätsbewertungsstellen und benannte Marktüberwachungsbehörden in den Mitgliedstaaten lagen zum ursprünglichen Termin noch nicht flächendeckend vor. Die bereits wirksamen Passagen – Verbot bestimmter Praktiken seit Februar 2025 und GPAI-Pflichten seit August 2025 – bleiben von der Verschiebung unberührt.

Abgrenzung zur DSGVO

AI Act und DSGVO überschneiden sich bei personenbezogener Kamera-KI, ohne deckungsgleich zu sein. Die DSGVO regelt Datenschutz und Rechtmäßigkeit der Verarbeitung, unabhängig von der jetzt verschobenen AI-Act-Frist und unverändert seit 2018 in Kraft. Der AI Act bewertet zusätzlich das Systemrisiko und verlangt eigenständige technische Dokumentation. Betreiber mit Kamera-KI müssen beide Regelwerke parallel einhalten.

Sanktionen

Verstöße gegen verbotene Praktiken: bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes (Art. 99 Abs. 3). Fehler bei Hochrisikosystemen: bis zu 15 Millionen Euro oder 3 Prozent des Jahresumsatzes (Art. 99 Abs. 4) – diese Sanktionsandrohung greift für Anhang-III-Systeme durch die Verschiebung nun faktisch erst ab Dezember 2027.