EU-KI-Verordnung 2026: Das gilt jetzt im Betrieb

Seit dem 2. August 2026 gilt der AI Act grundsätzlich in vollem Umfang. Betroffen sind deutsche Unternehmen, die KI entwickeln, anbieten, einführen oder beruflich einsetzen. Entscheidend ist nun, jedes System einer rechtlichen Rolle und Risikokategorie zuzuordnen; für bestimmte produktbezogene Hochrisiko-Systeme folgt 2027 eine weitere Stufe.

Von der Redaktion Systemfehlr.de · Stand: 28. August 2026

Welche Regeln zu welchem Zeitpunkt greifen

Die Verordnung (EU) 2024/1689 arbeitet mit gestaffelten Fristen. Frühere Pflichten bleiben deshalb ebenso relevant wie die seit August 2026 anwendbaren Vorschriften.

Der genaue Zeitplan ergibt sich aus Artikel 113 der Verordnung (EU) 2024/1689. Die Europäische Kommission erläutert ergänzend das risikobasierte Modell und die Pflichten entlang der KI-Wertschöpfungskette.

Anbieter, Betreiber, Importeure und Händler haben andere Pflichten

Die Einordnung richtet sich nicht allein nach der Unternehmensgröße, sondern nach der tatsächlichen Tätigkeit:

• Anbieter entwickeln KI-Systeme oder lassen sie entwickeln und bringen sie unter eigenem Namen in Verkehr.
• Betreiber verwenden ein KI-System in eigener Verantwortung im beruflichen oder behördlichen Umfeld.
• Importeure bringen Systeme eines außerhalb der EU ansässigen Anbieters auf den Unionsmarkt.
• Händler stellen Systeme innerhalb der Lieferkette auf dem EU-Markt bereit.

Ein Unternehmen kann mehrere Rollen zugleich übernehmen. Auch Änderungen an einem System oder dessen Vertrieb unter eigenem Namen können die Einordnung verändern.

Was Beschäftigte über KI am Arbeitsplatz wissen sollten

Nicht jede Bürosoftware mit KI-Funktion ist automatisch ein Hochrisiko-System. In diese Kategorie können jedoch Anwendungen für Bewerberauswahl, Personalentscheidungen, Aufgabenverteilung sowie Leistungsüberwachung fallen.

Betreiber bestimmter Hochrisiko-Systeme müssen vor deren Einsatz am Arbeitsplatz die Arbeitnehmervertretung und betroffene Beschäftigte informieren. Daraus folgt jedoch kein pauschaler Anspruch auf Offenlegung jedes Algorithmus. Weitere Informations-, Mitbestimmungs- oder Datenschutzrechte können sich im Einzelfall aus dem Betriebsverfassungsrecht und der Datenschutz-Grundverordnung ergeben.

Transparenzpflichten gelten außerdem für bestimmte direkte Interaktionen mit KI sowie für Deepfakes und einige künstlich erzeugte oder manipulierte Inhalte. Welche Kennzeichnung erforderlich ist, hängt vom konkreten Inhalt und seiner Verwendung ab.

Diese Prüfungen sollten Unternehmen jetzt durchführen

• Alle eingesetzten und geplanten KI-Systeme samt Zweck und verantwortlicher Abteilung erfassen.
• Für jedes System Rolle, Risikokategorie und anwendbare Frist bestimmen.
• Schulungen zur KI-Kompetenz dokumentieren und an Tätigkeit, Erfahrung und Einsatzrisiko anpassen.
• Anbieterunterlagen, menschliche Aufsicht, Protokollierung und interne Zuständigkeiten prüfen.
• Beschäftigtenvertretung, Datenschutzbeauftragte und bei Bedarf fachkundige Rechtsberatung einbeziehen.

Der nächste eindeutig überprüfbare Meilenstein ist der 2. August 2027. Bis dahin sollten Unternehmen klären, ob sie produktbezogene Hochrisiko-Systeme nach Artikel 6 Absatz 1 einsetzen oder in Verkehr bringen.

Quelle: EUR-Lex