EU-KI-Verordnung: Diese Regeln greifen ab 2. August 2026

Nach dem Zeitplan der EU-KI-Verordnung wird das Regelwerk ab 2. August 2026 grundsätzlich in weiten Teilen anwendbar. Unternehmen müssen nun klären, ob sie KI-Systeme anbieten, betreiben, importieren oder vertreiben, welcher Risikoklasse die Anwendungen angehören und welche Nachweise erforderlich sind.

Autor: Redaktion Systemfehlr.de
Stand: 1. August 2026

Der Rollen- und Risikocheck entscheidet über die Pflichten

Nicht jedes KI-Werkzeug ist ein Hochrisiko-System. Die Verordnung (EU) 2024/1689 folgt einem risikobasierten Ansatz: Je größer die mögliche Gefahr für Sicherheit und Grundrechte, desto strenger sind die Vorgaben.

Für den ersten betrieblichen Check sind vier Punkte wichtig:

• Welche KI-Systeme werden entwickelt, verkauft oder im Arbeitsalltag eingesetzt?
• Ist das Unternehmen Anbieter, Betreiber, Importeur oder Händler?
• Fällt die konkrete Zweckbestimmung unter eine Hochrisiko-Kategorie?
• Sind Dokumentation, menschliche Aufsicht oder eine Kennzeichnung erforderlich?

Ein Unternehmen kann Anbieter sein, wenn es ein System selbst entwickelt oder unter eigenem Namen bereitstellt. Wer eine fremde KI beruflich einsetzt, ist typischerweise Betreiber. Importeure und Händler müssen unter anderem prüfen, ob die vorgeschriebenen Konformitätsangaben und Unterlagen vorhanden sind.

Verbot, Transparenz und Hochrisiko sind getrennte Regelstufen

Bestimmte unzulässige Praktiken sind bereits seit 2. Februar 2025 verboten. Dazu gehören eng definierte manipulative oder ausbeuterische Anwendungen sowie bestimmte Formen biometrischer Kategorisierung und des Social Scoring.

Transparenzpflichten betreffen dagegen beispielsweise Systeme, die Menschen direkt kontaktieren, Deepfakes erzeugen oder bestimmte KI-generierte Inhalte veröffentlichen. Je nach Anwendung müssen Nutzer über den KI-Einsatz informiert oder Inhalte maschinenlesbar beziehungsweise sichtbar gekennzeichnet werden.

Für Hochrisiko-KI gelten weitergehende Anforderungen. Dazu können Risikomanagement, technische Dokumentation, Protokollierung, Datenqualität, menschliche Aufsicht sowie Vorgaben zu Genauigkeit und Cybersicherheit gehören. Relevant sein können etwa Systeme für Personalentscheidungen, Bildung, kritische Infrastruktur oder bestimmte behördliche Verfahren. Maßgeblich sind jedoch Zweckbestimmung und gesetzliche Einstufung, nicht allein die verwendete Technologie.

Auch Anwendungen mit geringerem Risiko bleiben nicht automatisch pflichtenfrei. Seit Februar 2025 müssen Anbieter und Betreiber Maßnahmen für eine angemessene KI-Kompetenz ihres Personals treffen. Datenschutz, Arbeitsrecht und betriebliche Mitbestimmung können zusätzlich gelten.

Diese Fristen prägen die betriebliche Umsetzung

Was Unternehmen und Beschäftigte jetzt dokumentieren sollten

Unternehmen sollten ein aktuelles KI-Verzeichnis anlegen, Verantwortlichkeiten bestimmen und für jedes System Zweck, Anbieter, Datenarten, Risikoklasse und Aufsichtsmaßnahmen festhalten. Beschäftigte benötigen klare Hinweise dazu, welche Werkzeuge freigegeben sind, wann Ergebnisse kontrolliert werden müssen und wie vertrauliche Daten behandelt werden.

Vor Entscheidungen über Personal, Zugang zu Leistungen oder andere sensible Bereiche ist eine vertiefte rechtliche Prüfung sinnvoll. Maßgeblich bleiben die aktuelle Fassung der Verordnung sowie neue Leitlinien und harmonisierte Standards. Der nächste festgelegte Meilenstein ist der 2. August 2027 für bestimmte Hochrisiko-Systeme nach Artikel 6 Absatz 1.

Quelle: EUR-Lex