Die europäische KI-Verordnung betrifft nicht nur KI-Hersteller, sondern auch Unternehmen, die KI-Systeme einsetzen. Dieser Überblick zeigt den Stand von Oktober 2026. Er ersetzt keine Rechtsberatung, und die Details sollten Sie im Verordnungstext prüfen.
Der Ansatz: Pflichten nach Risiko
Die Verordnung ordnet KI nach ihrem Risiko ein. Bestimmte Praktiken sind verboten, Hochrisiko-Systeme unterliegen strengen Anforderungen, für andere gelten vor allem Transparenzpflichten. Viele Anwendungen im Büroalltag fallen in die unteren Stufen. Prüfen Sie das aber für jeden Einsatz einzeln.
KI-Kompetenz: gilt bereits
Artikel 4 gilt seit dem 2. Februar 2025 und betrifft Unternehmen, die KI einsetzen. Durch den KI-Omnibus wurde die Formulierung abgeschwächt, die Pflicht aber nicht gestrichen. Ein bestimmtes Zertifikat oder Schulungsformat schreibt die Verordnung nicht vor. Sinnvoll ist, dass Sie Maßnahmen und Teilnahme dokumentieren.
Neue Fristen für Hochrisiko-Systeme
Mit dem Digital Omnibus on AI, in Kraft seit Juli 2026, wurden die Fristen verschoben: Eigenständige Systeme nach Anhang III folgen auf den 2. Dezember 2027, in regulierte Produkte eingebettete KI nach Anhang I auf den 2. August 2028. Besonders aufmerksam sollten Sie sein, wenn KI über Bewerbungen, Kredite oder den Zugang zu wichtigen Leistungen mitentscheidet.
Transparenz
Wer mit einem KI-System interagiert, soll das erkennen können, etwa bei einem Chatbot. Auch für bestimmte KI-generierte Inhalte gelten Kennzeichnungspflichten. Klären Sie im Detail, welche davon für Ihren Einsatz gelten.
Was Sie jetzt tun können
- Liste aller eingesetzten KI-Systeme anlegen
- Jeden Einsatz grob nach Risiko einordnen
- Maßnahmen zur KI-Kompetenz planen und dokumentieren
- Chatbots und ähnliche Systeme transparent kennzeichnen
- Bei Personalthemen frühzeitig Fachleute hinzuziehen
Ihre Rolle bestimmt Ihre Pflichten
Die Verordnung unterscheidet vor allem zwischen Anbietern, die ein KI-System entwickeln oder unter eigenem Namen in Verkehr bringen, und Betreibern, die es in eigener Verantwortung nutzen. Die meisten Mittelständler dürften überwiegend Betreiber sein. Das kann sich aber ändern, was im Alltag leicht übersehen wird. Nach Art. 25 kann ein Betreiber unter bestimmten Umständen wie ein Anbieter behandelt werden, etwa wenn er ein Hochrisiko-System unter eigenem Namen anbietet, es wesentlich verändert oder seine Zweckbestimmung so ändert, dass es hochriskant wird.
Ein Beispiel: Ein allgemeiner Textassistent wird im Personalbereich so eingerichtet, dass er Bewerbungen vorsortiert und bewertet. Damit steht nicht nur die Risikoklasse dieses Einsatzes infrage, sondern möglicherweise auch Ihre Rolle. Prüfen Sie deshalb nicht nur das gekaufte Produkt, sondern vor allem, wofür Sie es tatsächlich verwenden. Eine solche Einordnung sollte fachlich begleitet werden.
Sprechen Sie auch mit Ihrem Softwareanbieter darüber, für welche Zwecke sein Produkt vorgesehen ist. Passt Ihr Einsatz nicht zu dieser Beschreibung, ist das ein wichtiges Signal und sollte vor der Einführung geklärt werden, nicht erst danach.
Das KI-Verzeichnis, das im Alltag wirklich hilft
Eine Liste mit Produktnamen reicht für eine Bewertung nicht aus. Hilfreich ist ein Verzeichnis, das je Einsatz festhält:
- Bezeichnung des Systems, Anbieter und interne verantwortliche Person
- Konkreter Zweck und betroffene Abteilung
- Wer von den Ergebnissen betroffen ist, etwa Kunden oder Beschäftigte
- Welche Daten verarbeitet werden
- Ob das Ergebnis eine Entscheidung vorbereitet oder selbst trifft
- Eigene Risikoeinschätzung mit Datum und Begründung
Denken Sie dabei auch an KI-Funktionen, die in vorhandener Software ergänzt wurden, etwa in Office-Paketen, im CRM oder im Bewerbermanagement. Solche Funktionen kommen oft per Update und fallen deshalb nicht auf. Am einfachsten wird das Verzeichnis gepflegt, wenn jede neue Beschaffung und jede größere Änderung kurz darüber laufen muss.
Wo es im Betrieb schnell heikel wird
Besonders genau sollten Sie überall dort hinsehen, wo KI Menschen beurteilt. Der Anhang III nennt unter anderem Anwendungen rund um Beschäftigung und Personalmanagement. Ebenfalls wichtig: Emotionserkennung am Arbeitsplatz gehört, von engen Ausnahmen abgesehen, zu den verbotenen Praktiken nach Art. 5. Das kann relevant werden, wenn ein Werkzeug für Callcenter die Stimmung von Beschäftigten auswerten soll. Lesen Sie daher auch die Funktionsbeschreibung, nicht nur den Produktnamen.
Ähnlich aufmerksam sollten Sie sein, wenn Software Aufgaben verteilt oder Leistung auswertet. Was als praktische Auswertung für die Teamleitung beworben wird, kann die Arbeitsbedingungen von Beschäftigten beeinflussen. Beziehen Sie in solchen Fällen früh Personalabteilung, Datenschutz und, falls vorhanden, den Betriebsrat ein.
Was Betreiber von Hochrisiko-Systemen erwartet
Gilt ein Einsatz als hochriskant, sieht Art. 26 für Betreiber unter anderem vor, das System gemäß der Betriebsanleitung zu verwenden, eine fachlich geeignete menschliche Aufsicht zu benennen, den Betrieb zu überwachen und automatisch erzeugte Protokolle aufzubewahren. Fordern Sie entsprechende Unterlagen deshalb schon beim Einkauf an. Wenn ein Anbieter nichts dazu sagen kann, ist das eine wichtige Information für Ihre Auswahl. Die Pflichten der Verordnung stehen außerdem neben DSGVO und Arbeitsrecht und ersetzen diese nicht.
Grobe Orientierung an Beispielen aus dem Betrieb
| Einsatz | Mögliche Einordnung | Nächster Schritt |
|---|---|---|
| Texte entwerfen und intern zusammenfassen | Häufig in den unteren Stufen | Ins Verzeichnis aufnehmen, Regeln zur Prüfung festlegen |
| Chatbot auf der Website | Häufig Transparenzthema | KI-Einsatz erkennbar machen, Inhalte und Übergabe klären |
| Bewerbungen filtern oder bewerten | Möglicherweise Hochrisiko | Vor dem Einsatz fachlich prüfen lassen |
| Emotionen von Beschäftigten auswerten | Grundsätzlich verbotene Praktik, enge Ausnahmen | Nicht einführen, ohne die Lage rechtlich geklärt zu haben |
| Rechnungen auslesen und vorbereiten | Häufig in den unteren Stufen | Ins Verzeichnis aufnehmen, Kontrolle im Ablauf vorsehen |
So gehen Sie die Bestandsaufnahme an
Typische Fehler
Auch Betreiber haben Pflichten, und Ihre Rolle kann sich durch Anpassungen ändern. Klären Sie Rolle und Risikostufe je Einsatz, nicht pauschal für das Unternehmen.
Dasselbe Werkzeug kann im Marketing harmlos und in der Personalauswahl heikel sein. Das Verzeichnis sollte deshalb den konkreten Einsatz beschreiben.
Funktionen, Einsatzzwecke und Vorgaben ändern sich. Legen Sie regelmäßige Überprüfungen fest und verfolgen Sie die aktuelle Rechtslage, etwa über die Informationen der Bundesnetzagentur.
Häufige Fragen
Gilt der EU AI Act auch für kleine Unternehmen?
Grundsätzlich ja, auch kleine Unternehmen können Betreiber von KI-Systemen sein. Für kleine und mittlere Unternehmen sind teils Erleichterungen vorgesehen, deren Reichweite Sie für Ihren Fall prüfen sollten.
Sind wir Anbieter oder Betreiber, wenn wir ChatGPT oder ähnliche Dienste einbinden?
Wer einen Dienst nur intern nutzt, ist meist Betreiber. Wer daraus ein eigenes System unter eigenem Namen anbietet oder den Zweck wesentlich ändert, kann in eine andere Rolle kommen. Lassen Sie das im Einzelfall prüfen.
Ist ein KI-Verzeichnis gesetzlich vorgeschrieben?
Für Betreiber allgemein ist uns keine ausdrückliche Pflicht in dieser Form bekannt, die Einzelheiten sollten Sie aber fachlich prüfen lassen. Unabhängig davon ist ein Verzeichnis die praktische Grundlage, um Pflichten überhaupt erkennen und belegen zu können.
Von Patrick Thomas, KI Sidekick. Dieser Artikel ersetzt keine Rechts- oder Steuerberatung.
