KI-Verordnung: welche Pflichten seit August 2026 greifen
Die Transparenzpflichten sind wirksam, die Hochrisiko-Anforderungen verschoben. Diese Trennung entscheidet, wofür du heute Nachweise brauchst und wofür noch nicht.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Kurz gesagt
Seit dem 2. August 2026 ist die KI-Verordnung allgemein anwendbar. Unmittelbar wirken damit vor allem die Transparenzpflichten aus Artikel 50, die an keiner Risikoklasse hängen, und die Zuständigkeit der Marktüberwachung. Die Anforderungen an Hochrisikosysteme greifen dagegen erst später, nach der Übersicht der Kommission ab Dezember 2027 für eigenständige Systeme aus Anhang III und ab August 2028 für KI in bereits regulierten Produkten.
Stand dieser Seite: 05.10.2026
01 Worum es geht
Der Stichtag hat anderes ausgelöst als erwartet
Rund um den 2. August 2026 stand in vielen Häusern die Frage im Raum, ob jetzt die große Prüfwelle kommt. Passiert ist etwas anderes: Ein Teil der Pflichten ist wirksam geworden, der aufwendigste Teil wurde verschoben, und beides wurde in der Berichterstattung häufig vermischt.
Die Folge sind zwei entgegengesetzte Fehler im selben Unternehmen. Der eine Bereich hat gehört, dass alles verschoben wurde, und tut nichts. Der andere baut eine technische Dokumentation für ein System auf, das gar nicht in den Hochrisikobereich fällt.
Beides kostet. Im ersten Fall fehlt an einer nach außen sichtbaren Stelle ein Hinweis, den jeder Wettbewerber und jede Verbraucherzentrale sehen kann. Im zweiten Fall fließen Monate Arbeit in Anforderungen, die für dieses System nie gegolten hätten.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
02 Im Detail
Wer entscheidet was
| Thema | Wer entscheidet | Wer setzt um | Stolperfalle |
|---|---|---|---|
| Hinweis, dass ein Chatbot antwortet | Die Stelle, die den Kanal verantwortet, meist Marketing oder Kundenservice | Die IT oder die beauftragte Agentur, im Dialogfenster selbst | Der Hinweis steht in den Nutzungsbedingungen statt im Fenster und erreicht damit niemanden. |
| Einstufung je System | Eine benannte Person, gestützt auf Fachbereich, Recht und IT | Der Fachbereich, mit einem Eintrag im Verzeichnis | Eingestuft wird das Haus statt die einzelne Anwendung, danach passt keine Aussage mehr. |
| Nachweis der KI-Kompetenz | Personalentwicklung gemeinsam mit der Leitung | Die Fachbereiche, mit einer fortlaufenden Aufzeichnung | Es gibt Schulungen, aber keine Verbindung zwischen den eingesetzten Systemen und dem Qualifizierungsplan. |
| Zusicherungen beim Einkauf | Einkauf mit dem anfordernden Fachbereich | Einkauf und Recht, im Vertrag | Die Laufzeit reicht über die verschobenen Termine hinaus, der Vertrag kennt sie aber nicht. |
| Antwort auf eine Auskunftsanfrage | Die Geschäftsführung | Die benannte Ansprechperson, aus dem Verzeichnis heraus | Ohne vorher festgelegten Weg beginnt bei der ersten Anfrage die Suche nach Zuständigkeiten. |
Hinweis, dass ein Chatbot antwortet
- Wer entscheidet
- Die Stelle, die den Kanal verantwortet, meist Marketing oder Kundenservice
- Wer setzt um
- Die IT oder die beauftragte Agentur, im Dialogfenster selbst
- Stolperfalle
- Der Hinweis steht in den Nutzungsbedingungen statt im Fenster und erreicht damit niemanden.
Einstufung je System
- Wer entscheidet
- Eine benannte Person, gestützt auf Fachbereich, Recht und IT
- Wer setzt um
- Der Fachbereich, mit einem Eintrag im Verzeichnis
- Stolperfalle
- Eingestuft wird das Haus statt die einzelne Anwendung, danach passt keine Aussage mehr.
Nachweis der KI-Kompetenz
- Wer entscheidet
- Personalentwicklung gemeinsam mit der Leitung
- Wer setzt um
- Die Fachbereiche, mit einer fortlaufenden Aufzeichnung
- Stolperfalle
- Es gibt Schulungen, aber keine Verbindung zwischen den eingesetzten Systemen und dem Qualifizierungsplan.
Zusicherungen beim Einkauf
- Wer entscheidet
- Einkauf mit dem anfordernden Fachbereich
- Wer setzt um
- Einkauf und Recht, im Vertrag
- Stolperfalle
- Die Laufzeit reicht über die verschobenen Termine hinaus, der Vertrag kennt sie aber nicht.
Antwort auf eine Auskunftsanfrage
- Wer entscheidet
- Die Geschäftsführung
- Wer setzt um
- Die benannte Ansprechperson, aus dem Verzeichnis heraus
- Stolperfalle
- Ohne vorher festgelegten Weg beginnt bei der ersten Anfrage die Suche nach Zuständigkeiten.
03 Was du mitnimmst
Was du danach sicher auseinanderhalten kannst
Der Stand lässt sich auf wenige Ebenen sortieren, und jede Ebene hat einen eigenen Adressaten im Haus.
Fünf Ebenen, fünf verschiedene Antworten
- 01 Verbotene Praktiken gelten seit Februar 2025 ohne Übergang.
- 02 Die Pflicht zur KI-Kompetenz trifft jedes Haus mit KI-Werkzeugen.
- 03 Transparenzpflichten wirken seit dem 2. August 2026 nach außen.
- 04 Hochrisiko-Anforderungen greifen erst zu späteren Terminen.
- 05 Die Einstufung je System ist von der Verschiebung nicht betroffen.
Transparenz von Klasse trennen
Du weißt, dass Artikel 50 unabhängig von jeder Risikoeinstufung greift, und findest die Stellen, an denen euer Haus nach außen wirkt.
Anbieter und Betreiber unterscheiden
Du erkennst, welche Pflichten beim Hersteller des Werkzeugs liegen und welche bei euch, und verlangst das eine, statt das andere selbst zu bauen.
Termine belastbar nennen
Du kannst in einer Leitungsrunde sagen, was heute gilt und was später, ohne dich auf eine Zusammenfassung aus zweiter Hand zu stützen.
Aufwand richtig lenken
Du steckst Arbeit in das Verzeichnis, in die Hinweise und in die Qualifizierung statt in eine Dokumentation, die für euren Fall womöglich nie verlangt wird.
Verträge vorbereiten
Du bringst die späteren Anforderungen jetzt in die Beschaffungsunterlagen, weil die Laufzeiten über die neuen Termine hinausgehen.
Auskunftsfähig werden
Du legst fest, wer antwortet, wenn Aufsicht, Betriebsrat oder ein Großkunde nach dem KI-Einsatz fragt.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Die Transparenzpflichten treffen auch Häuser ohne Hochrisikosystem
Artikel 50 knüpft nicht an eine Risikoklasse an, sondern an eine Situation. Spricht jemand mit einem System, muss erkennbar sein, dass keine Person antwortet, sofern das nicht ohnehin aus dem Zusammenhang klar ist. Werden Bild-, Ton- oder Videoinhalte künstlich erzeugt oder verändert und wirken sie echt, ist das offenzulegen. Wer Emotionserkennung oder biometrische Kategorisierung einsetzt, muss die betroffenen Personen darüber informieren.
Die Zuordnung ist feiner, als es auf den ersten Blick aussieht. Der Hinweis, dass ein System antwortet, und die maschinenlesbare Markierung generierter Ausgaben stehen in Artikel 50 Absatz 1 und 2 und richten sich an den Anbieter. Betreiberpflichten sind die Information über Emotionserkennung und biometrische Kategorisierung nach Absatz 3 und die Offenlegung von Deepfakes und von KI-Texten nach Absatz 4, die zu Angelegenheiten von öffentlichem Interesse veröffentlicht werden, sofern niemand die redaktionelle Verantwortung übernimmt. Praktisch landet der Chatbot-Hinweis trotzdem oft bei euch: Wer einen Chatbot auf Basis eines fremden Modells baut und unter eigenem Namen in Betrieb nimmt, ist nach der Begriffsbestimmung in Artikel 3 für dieses System selbst Anbieter. Für zugekaufte Werkzeuge, die ihr nur nutzt, bleibt die Markierung dagegen Sache des Herstellers.
Praktisch heißt das: Der Chatbot auf der Webseite braucht einen Hinweis, der vor der ersten Antwort sichtbar ist. Ein generiertes Werbemotiv, das eine reale Szene vortäuscht, braucht eine Offenlegung. Ein mit KI überarbeiteter interner Vermerk braucht nichts davon.
Was längst gilt und trotzdem regelmäßig fehlt
Die verbotenen Praktiken aus Artikel 5 gelten seit dem 2. Februar 2025. Am häufigsten übersehen wird davon das Ableiten von Emotionen aus biometrischen Daten am Arbeitsplatz und in Bildungseinrichtungen, das außerhalb medizinischer und sicherheitsbezogener Gründe untersagt ist. Gemeint sind Auswertungen von Stimme, Gesicht oder Körpersignalen, nicht jede Stimmungsanalyse aus geschriebenem Text. Funktionen dieser Art stecken gelegentlich unbemerkt in Werkzeugen für Vertrieb, Support oder Bewerbungsgespräche.
Die Pflicht zur KI-Kompetenz aus Artikel 4 gilt ebenfalls seit Februar 2025 und wurde im Juli 2026 neu gefasst: Verlangt sind seither Maßnahmen, die die Entwicklung der KI-Kompetenz fördern, ein bestimmtes Niveau muss niemand mehr garantieren. Sie hängt an keiner Klasse und erfasst neben der Belegschaft auch Personen, die im Auftrag des Unternehmens mit den Systemen arbeiten, also etwa Dienstleister und freie Mitarbeitende.
Für Modelle mit allgemeinem Verwendungszweck gelten seit dem 2. August 2025 eigene Pflichten, die aber die Anbieter dieser Modelle treffen. Als Betreiber profitierst du davon indirekt, weil du Angaben zu Grenzen und Einsatzbedingungen des Modells verlangen kannst, statt sie zu erraten.
Verschoben heißt nicht aufgehoben
Die Hochrisiko-Anforderungen stehen weiterhin im Text, sie gelten nur später. Der nächste Stichtag liegt dabei deutlich früher als Dezember 2027: Zum 2. Dezember 2026 treten die neuen Verbote für Systeme in Kraft, die nicht einvernehmliche intime Darstellungen oder Missbrauchsmaterial von Kindern erzeugen, und zum selben Tag läuft die viermonatige Übergangsfrist für die maschinenlesbare Markierung bei Systemen aus, die schon vor dem 2. August 2026 auf dem Markt waren.
Die Einstufung selbst ist von der Verschiebung nicht betroffen. Ihr könnt und solltet heute festhalten, welche Rolle ihr je System einnehmt und in welche Klasse es fällt, denn diese Bewertung ist die Voraussetzung für jede Aussage darüber, ob euch ein Termin überhaupt betrifft.
Für die Beschaffung heißt das: Was ein Anbieter ab Dezember 2027 liefern muss, gehört schon in die Verträge, die heute geschlossen werden und über diesen Termin hinauslaufen.
Woran eine Prüfung heute ansetzt
Realistisch fragt eine Aufsicht nicht nach der technischen Dokumentation eines Systems, dessen Pflichten noch nicht greifen. Sie fragt nach dem, was gilt: Ist erkennbar, dass eine Maschine antwortet? Gibt es eine Aussage dazu, welche Systeme im Haus laufen und wer sie verantwortet? Was ist getan worden, damit die Beschäftigten damit umgehen können?
Die Benennung der zuständigen Marktüberwachungsbehörden ist Sache der Mitgliedstaaten, den Rahmen für Sanktionen gibt die Verordnung in Artikel 99 vor, und die konkrete Ausgestaltung liegt im nationalen Recht. Für die eigene Vorbereitung ist das weniger wichtig als die Frage, ob ihr auf eine Auskunftsanfrage überhaupt antworten könntet.
Der pragmatische Test dafür ist einfach: Nimm die drei am häufigsten genutzten KI-Werkzeuge im Haus und versuch, für jedes in fünf Minuten Zweck, verantwortliche Person und zugelassene Datenklasse zu benennen. Wenn das nicht gelingt, ist das die erste Baustelle, unabhängig von jedem Termin.
Dazu passende Kurse
Weil der Omnibus den Stand kurz vor dem Stichtag noch verschoben hat, sind Schulungen zum aktuellen Stand der KI-Regulierung der einfachste Weg, ihn nicht aus Meldungen rekonstruieren zu müssen.
Für die Umsetzung im Arbeitsalltag, also Datenklassen, Prüfpflichten und Meldewege, gibt es Kurse zu Risiken und Nachweisen im KI-Betrieb.
Wie sicher bist du beim Thema wirklich?
Lesen fühlt sich schnell nach Können an. Ein kurzer Test zeigt dir, was davon schon sitzt und wo sich ein Kurs lohnt. Kostenlos, ohne Anmeldung, mit einer Erklärung zu jeder Antwort.
04 Konkrete Kurse
Wo du genau das übst
- EU AI Act: Was Mitarbeitende jetzt wissen und beachten müssen
- KI Compliance Training: Praktischer Einsatz und Datenschutz
- ISO / IEC 42001 Foundation Schulung und Zertifizierung
- Risikomanagement für KI: sicher und konform
Weitere Kurse aus diesem Bereich
Preise, Orte und Buchung für alle Kurse des Bereichs findest du im Katalog: Alle KI-Schulungen mit Terminen.
Stimmen aus den Kursen
Was Teilnehmende über die Kurse in diesem Bereich sagen
Die Rückmeldungen von allen Beteiligten war durchweg positiv und die Inhalte werden zu verbesserter/produktiverer Nutzung im Unternehmen führen.
Sehr gute Trainer, wissen konnte gut vermittelt werden mit Praxisbeispielen.
Sehr umfangreiche und Praxisnahe Schulung mit gut verständlichen Beispielen und Übungen.
05 Fragen
Häufige Fragen
Deine Frage ist nicht dabei? Stell sie uns direkt, wir antworten dir persönlich.
Wir setzen nur fertige Werkzeuge ein. Betrifft uns das überhaupt?
Ab wann sind Bußgelder möglich?
Müssen wir jetzt ein Verzeichnis unserer KI-Anwendungen führen?
Reicht ein Hinweis in den Nutzungsbedingungen für unseren Chatbot?
Passt thematisch dazu
Diese Seite beschreibt den geltenden Stand. Wer nachvollziehen will, was der Digital Omnibus im Einzelnen geändert hat, liest die Seite zur Änderungsverordnung.
Falls Anbieter, Betreiber und Risikoklassen noch neu sind, erklärt der Glossareintrag die Grundbegriffe der KI-Verordnung.
Für die Pflichten, die nicht aus der KI-Verordnung, sondern aus Datenschutz und Arbeitsrecht kommen, ist die Einstiegsseite zu KI-Compliance der Ausgangspunkt.
Deine Ansprechpartner
Du bist dir nicht sicher, welcher Kurs oder welches Level zu dir passt? Wir beraten dich persönlich und kostenlos.
Yves Hoppe
Weiterbildung & Beratung
Hilft dir, aus dem KI-Programm den passenden Kurs für deinen Stand zu finden.
Norbert Jansen
Beratung & Inhouse
Plant mit dir Inhouse-Trainings, die auf eure Abläufe und euren Datenbestand zugeschnitten sind.
Den eigenen Stand einmal sauber sortieren
In einer Schulung lässt sich der Pflichtenstand auf die eigenen Systeme legen, und dabei fällt regelmäßig auf, welche Stelle im Haus bisher gar nicht gefragt wurde.