EU-KI-Verordnung: Welche Pflichten gelten jetzt?

Die EU-KI-Verordnung (AI Act) ist kein einheitlicher Stichtag für jede KI-Anwendung. Welche Pflicht gilt, hängt vor allem von der Rolle der Organisation, dem Einsatzzweck und der Risikokategorie ab. Wer einen Chatbot für interne Entwürfe nutzt, muss andere Fragen klären als ein Anbieter eines Systems für Bewerberauswahl. Und sobald personenbezogene Daten verarbeitet werden, bleibt die DSGVO zusätzlich relevant.

Welche Fristen gelten im Oktober 2026?

Die Verordnung gilt stufenweise. Bestimmte verbotene Praktiken gelten bereits seit 2. Februar 2025. Regeln für Anbieter von Modellen mit allgemeinem Verwendungszweck (GPAI) greifen seit 2. August 2025. Seit 2. August 2026 gelten unter anderem bestimmte Transparenzregeln, etwa für die Interaktion mit einem KI-System und für bestimmte synthetische Inhalte. Nicht jede KI-generierte E-Mail oder Grafik muss deshalb pauschal denselben Hinweis tragen; maßgeblich ist der konkrete Tatbestand.

Der 2026 in Kraft getretene AI Omnibus hat die Termine für Hochrisiko-Systeme verschoben: Für die in Anhang III genannten Einsatzbereiche nennt die Europäische Kommission den 2. Dezember 2027; für in regulierte Produkte integrierte Hochrisiko-Systeme den 2. August 2028. Der ältere Termin 2. August 2026 für alle Hochrisiko-Pflichten ist damit überholt. Bestehende Systeme und Übergangsregeln brauchen eine eigene Prüfung. Die aktuelle Übersicht der Kommission ist ein guter Einstieg, ersetzt aber nicht den geltenden Gesetzestext.

Bin ich Anbieter oder Betreiber?

Ein Anbieter entwickelt ein KI-System oder lässt es entwickeln und bringt es unter eigenem Namen oder eigener Marke in Verkehr oder nimmt es in Betrieb. Ein Betreiber verwendet ein KI-System in eigener Verantwortung, soweit die Nutzung nicht rein persönlich ist. Ein Unternehmen kann je nach Anwendung beide Rollen haben. Die Aussage, jeder Käufer eines KI-Tools sei automatisch Anbieter, ist ebenso ungenau wie die Annahme, Betreiber hätten nie eigene Pflichten. Prüfen Sie auch, ob wesentliche Änderungen an einem System Ihre Rolle verändern.

Ein Modell mit allgemeinem Verwendungszweck ist nicht dasselbe wie die Anwendung, die Mitarbeitende auf ihrem Bildschirm bedienen. Pflichten für GPAI-Modellanbieter lassen sich deshalb nicht ungeprüft auf jeden Nutzer eines darauf aufbauenden Chatbots übertragen.

Wie prüfe ich ein KI-System?

1. Anwendung erfassen: Was tut das System tatsächlich, mit welchen Eingaben, für wen und in welchem Prozess? Eine Liste bloßer Produktnamen reicht nicht.
2. Rolle und Zweck bestimmen: Wer entwickelt, vermarktet oder betreibt die konkrete Anwendung? Wird sie etwa für Personal, Bildung, Kreditwürdigkeit oder eine andere besonders sensible Entscheidung genutzt?
3. Verbote und Hochrisiko-Einstufung prüfen: Maßgeblich sind die Tatbestände der Verordnung, nicht ein frei gewähltes Etikett „niedriges Risiko“. Dokumentieren Sie die Begründung und Ausnahmen.
4. Bereits geltende Pflichten umsetzen: Prüfen Sie insbesondere Transparenz gegenüber Betroffenen, Zuständigkeiten, geeignete Kompetenzmaßnahmen und die Dokumentation des Einsatzes. Die 2026 vereinfachten Regelungen zur KI-Kompetenz sollten nicht mit einer unverändert geltenden pauschalen Schulungspflicht für sämtliche Beschäftigten gleichgesetzt werden.
5. Datenschutz und Sicherheit separat bewerten: Bei personenbezogenen Daten sind Rechtsgrundlage, Zweckbindung, Anbieterrolle, Auftragsverarbeitung, mögliche Drittlandtransfers und gegebenenfalls eine Datenschutz-Folgenabschätzung zu klären. Der AI Act ersetzt die DSGVO nicht.
6. Änderungen beobachten: Einsatzbereich, Modell, Anbieterbedingungen und Rechtsstand können sich ändern. Legen Sie einen Verantwortlichen und einen Anlass für die erneute Prüfung fest.

Beispiel: Eine interne Textassistenz für öffentliches Marketingmaterial ist anders einzuordnen als dieselbe Technik, wenn sie Bewerbungen bewertet. Entscheidend ist nicht allein die Technologie, sondern der beabsichtigte und tatsächliche Einsatz. Für die datenschutzrechtliche Einordnung vertieft unser Leitfaden zu KI und Datenschutz die Fragen zu personenbezogenen Daten.

Was bleibt offen?

Ob ein konkretes System unter eine verbotene Praxis oder eine Hochrisiko-Kategorie fällt, kann von Details abhängen, die eine Website nicht kennt. Auch die Zuständigkeit nationaler Behörden und Sanktionsfragen lassen sich nicht aus einer verkürzten Checkliste verbindlich ableiten. Lassen Sie strittige Einstufungen fachlich prüfen und bewahren Sie die Entscheidung nachvollziehbar auf.

Robin Data kann dabei helfen, Anwendungen, Verantwortlichkeiten und Prüfentscheidungen strukturiert zu dokumentieren. Eine Software kann den Prozess unterstützen, aber keine rechtliche Einstufung garantieren. Wenn Sie Ihren Anwendungsfall besprechen möchten, buchen Sie einen Discovery-Termin.

Quellen und Stand: KI-Verordnung auf EUR-Lex, Europäische Kommission: Durchsetzungsfahrplan und Mitteilung zum AI Omnibus, abgerufen am 15. Oktober 2026. Allgemeine Orientierung, keine Einzelfallberatung.