EU-KI-Verordnung: Das ist vor dem 2. August zu prüfen

Am Sonntag, 2. August 2026, wird der überwiegende Teil der EU-KI-Verordnung anwendbar. Betroffen sind deutsche Unternehmen, Behörden sowie berufliche Nutzer und Anbieter von KI-Systemen. Sie sollten jetzt vor allem ihre Rolle, die Risikoklasse ihrer Anwendungen und mögliche Übergangsregeln prüfen. Nicht jede Vorschrift gilt ab diesem Tag für jedes KI-Produkt.

Von der Redaktion Systemfehlr.de, Stand: 31. Juli 2026

Ab Sonntag greift ein großer Teil des AI Act

Die Verordnung (EU) 2024/1689 folgt einem gestaffelten Zeitplan. Nach Artikel 113 gilt sie grundsätzlich ab dem 2. August 2026; einzelne Bestimmungen wurden bereits früher anwendbar, andere folgen später.

Kurz vor dem Stichtag sind vier Punkte entscheidend:

• Der 2. August 2026 ist ein zentraler, aber kein einheitlicher Starttermin für sämtliche Pflichten.
• Entscheidend ist, ob eine Organisation Anbieter, Betreiber beziehungsweise Deployer oder eine andere beteiligte Stelle ist.
• Umfang und Zeitpunkt der Pflichten hängen besonders von Risikoklasse, Zweck und Einsatzgebiet des Systems ab.
• Übergangs-, Änderungs- und Sonderregelungen müssen anhand der aktuellen Rechtslage geprüft werden.

Die amtliche Fassung bei EUR-Lex ist die verbindliche Ausgangsbasis. Die Europäische Kommission erläutert ergänzend den risikobasierten Aufbau und den gestaffelten Anwendungszeitplan.

Anbieter und Deployer haben unterschiedliche Aufgaben

Ein Anbieter entwickelt ein KI-System oder lässt es entwickeln und bringt es unter eigenem Namen oder eigener Marke in Verkehr. Diese Rolle kann auch ein Unternehmen übernehmen, das eine fremde Lösung wesentlich verändert, ihren vorgesehenen Zweck ändert oder sie als eigenes Produkt anbietet.

Ein Deployer, in der deutschen Verordnung als Betreiber bezeichnet, setzt ein KI-System unter eigener Verantwortung beruflich ein. Dazu können Arbeitgeber, Verwaltungen, Bildungseinrichtungen oder andere Organisationen gehören. Ein bloßer privater, nicht beruflicher Gebrauch fällt nicht automatisch darunter.

Die Rollen sollten nicht allein nach der Bezeichnung im Vertrag bestimmt werden. Maßgeblich ist, wer das System tatsächlich entwickelt, verändert, bereitstellt, in Betrieb nimmt und über seinen Einsatzzweck entscheidet. Bei eingekauften Plattformen können daher Vertragslage und praktische Verantwortlichkeit auseinanderfallen.

Die Risikoklasse entscheidet über den Prüfaufwand

Der AI Act ordnet KI-Anwendungen nach ihrem Risiko. Bestimmte Praktiken sind verboten. Für Hochrisiko-KI gelten besonders weitreichende Anforderungen. Andere Systeme können vor allem Transparenzpflichten auslösen, während Anwendungen mit geringem Risiko regelmäßig weniger reguliert sind.

Im Arbeitsalltag ist die Einstufung besonders wichtig. KI zur Erstellung unverbindlicher Textentwürfe ist anders zu bewerten als ein System, das Bewerbungen vorsortiert, Beschäftigte bewertet oder Entscheidungen über Arbeitsverhältnisse beeinflusst. Solche Anwendungen können in einen Hochrisikobereich fallen; entscheidend bleiben jedoch Zweck, Funktionsweise und konkrete Nutzung.

Auch scheinbar allgemeine Werkzeuge verdienen Aufmerksamkeit. Wird ein universeller KI-Dienst in einen Personal-, Kredit-, Bildungs- oder Verwaltungsprozess eingebunden, kann der konkrete Einsatz andere Pflichten auslösen als das Werkzeug für sich betrachtet.

Diese sieben Prüfungen sollten jetzt dokumentiert werden

Organisationen benötigen zunächst ein belastbares Bild ihrer tatsächlich eingesetzten Systeme. Eine praxistaugliche Prüfung umfasst:

1. Systeminventar: Welche KI-Werkzeuge, eingebetteten Funktionen, Pilotprojekte und Schatten-IT-Anwendungen werden genutzt?
2. Rollenverteilung: Wer ist Anbieter, Betreiber, Importeur, Händler oder Bevollmächtigter? Stimmen Verträge und tatsächliche Abläufe überein?
3. Zweck und Risikoklasse: Für welche Entscheidung wird das System eingesetzt, und könnte es verboten, hochriskant oder transparenzpflichtig sein?
4. Dokumentation: Sind Zweck, Datenquellen, Versionen, Freigaben, Änderungen, Ergebnisse und bekannte Grenzen nachvollziehbar festgehalten?
5. Menschliche Aufsicht: Können zuständige Personen Ergebnisse verstehen, hinterfragen, übersteuern und den Einsatz stoppen?
6. Interne Freigaben: Sind Datenschutz, Informationssicherheit, Personalvertretung, Einkauf, Recht und Fachbereich angemessen beteiligt?
7. Lieferantenunterlagen: Liegen erforderliche Informationen vor, und regeln Verträge Updates, Vorfälle, Prüfzugänge und Verantwortlichkeiten?

Beschäftigte sollten außerdem wissen, welche KI-Systeme sie verwenden dürfen, wann eine menschliche Prüfung notwendig ist und an wen Fehler oder auffällige Ergebnisse gemeldet werden. Eine Richtlinie ohne Schulung und funktionierenden Meldeweg reicht praktisch kaum aus.

Warum der 2. August keine pauschale Vollanwendung bedeutet

Welche Pflicht tatsächlich gilt, lässt sich nur anhand von Rolle, System, Risikoklasse und Einsatzgebiet bestimmen. Hinzu kommen Ausnahmen und Übergangsbestimmungen für bereits bereitgestellte Systeme. Für bestimmte Hochrisiko-Systeme, die mit regulierten Produkten verbunden sind, sieht der Zeitplan zudem eine spätere Anwendung bis 2. August 2027 vor.

Der Beitrag ersetzt deshalb keine Prüfung des Einzelfalls. Unternehmen und Behörden sollten am 2. August die dann geltende konsolidierte Verordnung, mögliche Änderungs- oder Übergangsregeln sowie einschlägige Leitlinien abgleichen. Der nächste klar erkennbare Meilenstein ist der 2. August 2027 für die später erfassten Hochrisiko-Konstellationen.

Quelle: EUR-Lex – Amt für Veröffentlichungen der Europäischen Union