EU-KI-Verordnung: Welche Fragen Betriebe jetzt klären sollten

Rechtsstand dieses Beitrags: 7. Oktober 2026. Die ursprüngliche Verordnung wurde durch Verordnung (EU) 2026/1744 geändert. Die Regeln gelten gestaffelt; „alles seit August 2026“ wäre zu pauschal.

Die Anwendung von Verboten und allgemeinen Bestimmungen begann im Februar 2025, die Regeln für allgemeine KI-Modelle im August 2025. Die Transparenzregeln nach Artikel 50 gelten grundsätzlich seit 2. August 2026.

Für bestimmte bereits vor dem 2. August 2026 in Verkehr gebrachte Systeme, die synthetische Inhalte erzeugen, sieht Artikel 111 Absatz 4 eine Übergangsfrist bis 2. Dezember 2026 für die Anbieterpflicht nach Artikel 50 Absatz 2 vor. Diese Ausnahme ist kein allgemeiner Aufschub sämtlicher Transparenzpflichten.

Die Hochrisiko-Regeln in Kapitel III Abschnitte 1–3 gelten – mit der Ausnahme des Artikels 6 Absatz 5 – für Systeme nach Artikel 6 Absatz 2/Anhang III ab 2. Dezember 2027 und nach Artikel 6 Absatz 1/Anhang I ab 2. August 2028. Die konkrete Einordnung und weitere Übergangsregeln müssen zum jeweiligen System geprüft werden.

Ein Inventar ist eine praktische Arbeitsgrundlage, nicht für jede Anwendung dieselbe gesetzlich vorgeschriebene technische Akte. Erfasse auch KI-Funktionen in vorhandener Büro-, CRM- oder Supportsoftware.

Fiktives Beispiel einer Zweckbeschreibung: Ein Werkzeug erstellt aus freigegebenen Produktunterlagen Antwortentwürfe für den technischen Kundendienst. Eine Servicekraft prüft den Entwurf vor dem Versand. Diese Beschreibung ist aussagekräftiger als „Wir nutzen einen Chatbot“.

• Produkt, Anbieter, Version und Betriebsstatus
• Konkreter Zweck und vorgesehene Nutzungsgrenzen
• Nutzende Rollen und betroffene Personengruppen
• Eingabedaten, Quellsysteme und entstehende Ergebnisse
• Manuelle Prüfung oder automatische Weiterverarbeitung
• Fachliche und technische Zuständigkeit

Ein Betrieb, der ein fertiges Werkzeug nutzt, kann Betreiber sein. Wer ein System entwickelt und unter eigenem Namen anbietet, kann Anbieter sein. Änderungen des Zwecks oder wesentliche Änderungen können die Rollenverteilung beeinflussen; eine bloße Bezeichnung des Produkts beantwortet das nicht.

Prüfe Verbote, mögliche Hochrisikoeinstufung und die jeweils einschlägigen Transparenzpflichten getrennt. Nicht jeder Textassistent ist ein Hochrisikosystem; umgekehrt wird ein sensibles Auswahlverfahren nicht dadurch unkritisch, dass ein Mensch formal auf „Freigeben“ klickt.

Halte die Begründung der Einordnung und offene Fragen fest. Datenschutz, Informationssicherheit und andere einschlägige Gesetze gelten daneben weiter. Für Entscheidungen über Beschäftigung, Bildung oder wichtige Leistungen ist eine qualifizierte Einzelfallprüfung besonders wichtig.

Dokumentiere, welche Informationen eingegeben werden dürfen, wer Zugriff besitzt und ob Anbieter Eingaben speichern oder zum Training verwenden. Bei internen Quellen müssen Version, Gültigkeit und Berechtigungen nachvollziehbar bleiben.

Eine praktikable Kontrollregel benennt die prüfende Rolle, den Zeitpunkt, die verfügbaren Belege und das Recht, Ergebnisse zu korrigieren oder zu stoppen. Das ist organisatorische Vorsorge; besondere gesetzliche Aufsichtspflichten hängen von System und Rolle ab.

Artikel 50 unterscheidet verschiedene Anbieter- und Betreiberpflichten, etwa Hinweise bei bestimmten KI-Interaktionen, technische Kennzeichnung synthetischer Inhalte und Offenlegung bestimmter Deepfakes. Nicht jede interne Textkorrektur muss öffentlich gekennzeichnet werden. Prüfe den zutreffenden Absatz und seine Ausnahmen, statt eine allgemeine Kennzeichnungspflicht zu unterstellen.

Nach dem geänderten Artikel 4 müssen Anbieter und Betreiber Maßnahmen zur Unterstützung der KI-Kompetenzentwicklung ihrer Beschäftigten und weiterer in ihrem Auftrag tätiger Personen ergreifen. Vorwissen, Erfahrung, Einsatzkontext und betroffene Gruppen sind zu berücksichtigen. Ein bestimmtes individuelles Niveau muss nicht garantiert werden.

Kommission und Mitgliedstaaten unterstützen diese Bemühungen. Ein Kurszertifikat ist deshalb weder pauschal vorgeschrieben noch allein ein Compliance-Nachweis. Die folgende Dokumentation ist eine praktische Hilfe zur Nachvollziehbarkeit, keine für alle Betriebe identische gesetzliche Formvorgabe.

• Betroffene Rollen und tatsächlich eingesetzte Werkzeuge
• Lerninhalte zu Daten, Grenzen, Quellen und menschlicher Prüfung
• Durchgeführte Maßnahmen, Termine und Rückmeldungen
• Ansprechperson und Eskalationswege
• Anlass für Aktualisierung, etwa neue Werkzeuge oder andere Zwecke

Sammle Anbieterunterlagen, Verträge, Datenverarbeitungsinformationen, Zweckbeschreibungen und nachvollziehbare Einordnungen dort, wo Zuständige sie finden können. Halte Änderungen und offene Punkte fest. Ein allgemeiner Leitfaden ersetzt keine Prüfung des konkreten Systems.

Erfasse im Betrieb Fehler, Beschwerden und Rückmeldungen sowie Änderungen am System. Wenn sich Zweck, Betroffene oder Einsatzweise ändern, prüfe Rolle und Risikoeinstufung erneut statt die alte Einordnung unverändert weiterzuverwenden.

Beginne mit einem überschaubaren Einsatzfall und klarer Verantwortung. Bei unsicherer Rolle, möglichem Verbot oder Hochrisikoeinstufung sollte die weitere Nutzung rechtlich qualifiziert geklärt werden. Die ergänzende Orientierungsseite erklärt die Einstiegsfragen; dieser Magazinartikel vertieft die praktische Dokumentation.