KI-Verordnung 2026: Was muss Ihre Organisation jetzt geregelt haben?
Kurz gesagt
Für die meisten Organisationen, die KI einsetzen, gilt jetzt dreierlei: Verbotene KI-Praktiken sind seit Februar 2025 untersagt, Sie müssen die KI-Kompetenz Ihrer Beschäftigten fördern, und seit dem 2. August 2026 gelten Transparenzpflichten, unter anderem für Chatbots und KI-generierte Inhalte. Die Regeln für Hochrisiko-KI, etwa KI in der Personalauswahl, hat der Digital Omnibus auf den 2. Dezember 2027 verschoben.
Der Zeitplan der KI-Verordnung nach dem Digital Omnibus
Die KI-Verordnung (Verordnung (EU) 2024/1689) trat am 1. August 2024 in Kraft und gilt stufenweise. 2026 wurde dieser Zeitplan durch den Digital Omnibus zur KI (Verordnung (EU) 2026/1744) geändert, der am 27. Juli 2026 in Kraft trat. Die wichtigsten Daten jetzt:
| Datum | Was gilt |
|---|---|
| 2. Februar 2025 | Verbotene KI-Praktiken; Pflicht zur KI-Kompetenz (Art. 4) |
| 2. August 2025 | Regeln für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck; Governance und Sanktionen |
| 2. August 2026 | Transparenzpflichten (Art. 50), etwa der Hinweis, dass man mit KI spricht |
| 2. Dezember 2026 | Ende der Übergangsfrist für die Kennzeichnung von KI-Inhalten durch bestehende Systeme; neues Verbot von KI, die nicht einvernehmliche intime Bilder oder Missbrauchsdarstellungen von Kindern erzeugt |
| 2. Dezember 2027 | Hochrisiko-KI nach Anhang III (u. a. Personalauswahl, Bildung, Kreditwürdigkeit, kritische Infrastruktur); bisher 2. August 2026 |
| 2. August 2028 | Hochrisiko-KI in Produkten nach Anhang I (etwa Medizinprodukte); bisher 2. August 2027 |
Aufgeschoben ist nicht aufgehoben. Die Anforderungen an Hochrisiko-KI bleiben inhaltlich weitgehend gleich; Sie bekommen nur mehr Zeit.
Sind Sie Anbieter oder Betreiber?
Die KI-Verordnung legt die meisten Pflichten dem Anbieter auf: der Partei, die ein KI-System entwickelt und in Verkehr bringt. Die meisten Organisationen sind Betreiber: Sie setzen ein KI-System in eigener Verantwortung für ihre eigene Arbeit ein.
Achtung: Sie können unbemerkt zum Anbieter werden. Etwa wenn Sie ein KI-System unter eigenem Namen in Betrieb nehmen oder ein System so verändern, dass es zu einer Hochrisiko-Anwendung wird. Bauen Sie selbst KI-Automatisierungen auf einem Open-Weight-Modell, lassen Sie Ihre Rolle prüfen.
Was müssen Sie als Betreiber jetzt geregelt haben?
- Keine verbotenen Praktiken. Etwa Emotionserkennung am Arbeitsplatz oder in der Bildung, Social Scoring und manipulative Techniken. Prüfen Sie, dass keines Ihrer Tools das tut, auch nicht als Nebenfunktion.
- KI-Kompetenz. Art. 4 verlangt, dass Sie die KI-Kompetenz der Beschäftigten fördern, die mit KI arbeiten. Der Digital Omnibus hat das von einer Ergebnispflicht zu einer Förderpflicht abgeschwächt, aber die Pflicht bleibt. Konkret: Schulung, eine KI-Richtlinie und klare Hinweise, was in ein Modell darf und was nicht.
- Transparenz. Sprechen Kundinnen, Kunden oder Bürger mit einem Chatbot, müssen sie wissen, dass es KI ist. Veröffentlichen Sie KI-generierte Texte zu Themen von öffentlichem Interesse oder echt wirkende Bilder, müssen Sie das in der Regel offenlegen.
- Ein KI-Register. Nicht für alle Betreiber Pflicht, aber unverzichtbar: Welche KI-Systeme nutzen Sie, wofür, mit welchen Daten und mit welchem Risikoniveau? Ohne diesen Überblick können Sie keine der anderen Fragen beantworten.
- Vorbereitung auf Hochrisiko. Setzen Sie KI in der Personalauswahl, bei der Beurteilung von Beschäftigten, beim Zugang zu Bildung oder bei der Kreditwürdigkeitsprüfung ein? Ab Dezember 2027 gelten dann unter anderem menschliche Aufsicht, Protokollierung, Aufbewahrung von Protokollen und die Information der Betroffenen. Öffentliche Stellen und bestimmte andere Betreiber müssen zudem eine Grundrechte-Folgenabschätzung durchführen.
Die KI-Verordnung kommt zur DSGVO hinzu, sie ersetzt sie nicht
Viele Fragen zu KI am Arbeitsplatz sind keine Fragen der KI-Verordnung, sondern Datenschutzfragen. Dürfen Mitarbeitende Kundendaten in einen Chatbot eingeben? Gibt es einen Auftragsverarbeitungsvertrag? Ist eine Folgenabschätzung nötig? Diese Fragen gelten schon heute, unabhängig davon, welches Risikoniveau die KI-Verordnung einer Anwendung zuweist. Siehe Ist ChatGPT DSGVO-konform? und Schatten-KI.
Was hilft: KI, die Sie nachweisen können
Der rote Faden der KI-Verordnung ist Nachweisbarkeit: wissen, welche KI läuft, wer sie nutzt, und zeigen können, was passiert ist. Das ist schwierig, wenn KI über private Konten und einzelne SaaS-Tools verstreut ist. Es wird einfacher, wenn KI an einem Ort läuft, den Sie selbst verwalten.
Mit privater KI von werqly laufen die Modelle auf einem eigenen Node, und werqly AI Control protokolliert pro Prompt, Modell und Automatisierung, wer was wann getan hat. Die Aufbewahrungsfrist legen Sie selbst fest, das Audit-Log exportieren Sie in Ihr SIEM. Die Modellherkunft ist transparent: nur Open-Weight-Modelle wie Llama, Mistral und Qwen. Und die Richtlinie, wie viel Einblick die Organisation in die Nutzung hat, halten Sie so fest, dass Datenschutzbeauftragte und Betriebsrat sie einsehen können.
Häufige Fragen
Fragen zu diesem Thema
Ist die KI-Verordnung verschoben worden?
Teilweise. Der Digital Omnibus zur KI hat die Regeln für Hochrisiko-KI verschoben: für Anwendungen nach Anhang III auf den 2. Dezember 2027 und für KI in Produkten nach Anhang I auf den 2. August 2028. Verbotene Praktiken, KI-Kompetenz und Transparenzpflichten gelten bereits.
Muss ich meine Beschäftigten in KI schulen?
Art. 4 der KI-Verordnung verlangt, dass Sie die KI-Kompetenz der Beschäftigten fördern, die mit KI arbeiten. Nach dem Digital Omnibus ist das eine Förderpflicht, kein garantiertes Niveau. Schulungen, eine klare KI-Richtlinie und praktische Anweisungen sind der übliche Weg.
Ist ChatGPT im Büro Hochrisiko-KI?
Meist nicht. Ein allgemeiner Chat-Assistent für Schreibarbeit ist keine Hochrisiko-Anwendung. Das ändert sich, wenn Sie KI etwa zur Auswahl von Bewerbenden oder zur Beurteilung von Beschäftigten einsetzen. Unabhängig davon gilt die DSGVO für die eingegebenen Daten.
Wer beaufsichtigt die KI-Verordnung in Deutschland?
Das deutsche KI-Durchführungsgesetz, in Kraft seit Juli 2026, bestimmt die Bundesnetzagentur als zentrale Marktüberwachungsbehörde; im Finanzsektor bleibt die BaFin zuständig. Auf EU-Ebene beaufsichtigt das KI-Büro die Modelle mit allgemeinem Verwendungszweck. Die Datenschutzbehörden bleiben für personenbezogene Daten zuständig.
Quellen
- KI-Verordnung — Verordnung (EU) 2024/1689
- Digital Omnibus zur KI — Verordnung (EU) 2026/1744 (Übersicht, Englisch)
- Gibson Dunn — EU AI Act Omnibus Agreement: postponed high-risk deadlines
- White & Case — EU AI Omnibus enters into force, amending the AI Act
Dieser Beitrag ist eine allgemeine Information, keine Rechtsberatung. Regeln und Leitlinien ändern sich; prüfen Sie im Zweifel die genannten Quellen oder fragen Sie Ihre Rechtsabteilung oder Ihren Datenschutzbeauftragten.