Änderung an der KI-Verordnung

Die Verordnung (EU) 2024/1689 (KI-VO) sollte ihre Pflichten für Hochrisiko-KI-Systeme ursprünglich ab dem 2. August 2026 entfalten. Dazu kommt es nicht: Die am 24. Juli 2026 im Amtsblatt veröffentlichte und seit dem 27. Juli 2026 geltende Digital-Omnibus-Verordnung (EU) 2026/1744 verschiebt diese Pflichten und nimmt an zahlreichen Stellen Druck aus dem Regelwerk. Der Gesetzgeber reagiert damit auf die verzögerte Ausarbeitung technischer Normen und die schleppende Einrichtung der nationalen Aufsichtsstrukturen.

Für Unternehmen, die KI-Systeme lediglich einsetzen – die Verordnung nennt sie Betreiber –, ist die Nachricht überwiegend positiv. Wer allerdings aus der Fristverschiebung den Schluss zieht, das Thema KI-Compliance könne bis 2027 ruhen, übersieht die Pflichten, die bereits heute gelten.

Kernstück der Änderung ist der neue Zeitplan. Die Pflichten für Hochrisiko-KI-Systeme nach Anhang III der KI-VO – dazu zählen unter anderem KI-Systeme für die Personalauswahl, die Bewertung der Kreditwürdigkeit oder den Zugang zu wesentlichen privaten Dienstleistungen – gelten erst ab dem 2. Dezember 2027 statt ab dem 2. August 2026 (Art. 113 Abs. 3 lit. c KI-VO in der Fassung der VO (EU) 2026/1744). Für KI-Systeme, die als Sicherheitsbauteil regulierter Produkte gelten, verschiebt sich der Stichtag auf den 2. August 2028.

Damit rücken auch die Betreiberpflichten des Art. 26 KI-VO nach hinten: die Verwendung nach der Betriebsanleitung, die Sicherstellung menschlicher Aufsicht, die Eingangsdatenkontrolle und die Aufbewahrung der Protokolle. Unternehmen, die ein Bewerber-Screening-Tool oder eine KI-gestützte Bonitätsprüfung einsetzen, gewinnen also gut 16 Monate für die Umsetzung.

Präzisiert hat der Gesetzgeber zudem den Bestandsschutz: Hochrisiko-KI-Systeme, deren Typ und Modell vor dem jeweiligen Stichtag in Verkehr gebracht wurden, unterfallen den neuen Anforderungen nur, wenn ihre Konzeption danach erheblich verändert wird (Art. 111 Abs. 2 KI-VO n.F.). Wann eine Änderung „erheblich“ ist, lässt die Verordnung offen – hier ist Streit in der Praxis absehbar, etwa bei laufend nachtrainierten Systemen.

Eine spürbare Entlastung bringt die Neufassung des Art. 4 KI-VO. Bisher mussten Betreiber ein ausreichendes Maß an KI-Kompetenz ihres Personals „sicherstellen“. Künftig genügt es, Maßnahmen zu ergreifen, um die Entwicklung der KI-Kompetenz zu unterstützen; ein bestimmtes Kompetenzniveau muss niemand mehr garantieren (Art. 4 Abs. 1 KI-VO n.F.). Die Kommission wird praktische Beispiele für die Erfüllung dieser Pflicht auf einer zentralen Informationsplattform veröffentlichen.

Die Pflicht selbst bleibt jedoch bestehen, und sie gilt seit dem 2. Februar 2025. Wir empfehlen daher, die ergriffenen Maßnahmen – Schulungen, interne KI-Richtlinien, Freigabeprozesse – weiterhin zu dokumentieren. Das zahlt sich doppelt aus: Dieselbe Dokumentation entlastet den Betreiber auch haftungsrechtlich, wenn Ausgaben eines KI-Systems zum Streitfall werden. Warum Unternehmen für Falschaussagen ihrer KI-Systeme wie für eigene Erklärungen einstehen müssen, haben wir in unserem Beitrag zur Haftung für KI-Ergebnisse dargestellt.

Keine Verschiebung gibt es bei den Transparenzpflichten des Art. 50 KI-VO, die seit dem 2. August 2026 gelten. Betreiber müssen Emotionserkennungs- und biometrische Kategorisierungssysteme gegenüber den betroffenen Personen offenlegen (Art. 50 Abs. 3 KI-VO) und Deepfakes sowie KI-generierte Texte zu Angelegenheiten von öffentlichem Interesse als künstlich erzeugt kennzeichnen (Art. 50 Abs. 4 KI-VO). Eine Übergangsfrist bis zum 2. Dezember 2026 räumt die Digital-Omnibus-Verordnung nur den Anbietern generativer KI-Systeme ein, die ihre Systeme vor dem 2. August 2026 in Verkehr gebracht haben (Art. 111 Abs. 4 KI-VO n.F.). Praktisch bedeutet das: Die maschinenlesbare Kennzeichnung durch das eingesetzte Tool kann noch fehlen, die eigene Kennzeichnungspflicht des Betreibers besteht gleichwohl.

Hinzu kommen zwei neue Verbotstatbestände, die ab dem 2. Dezember 2026 gelten. Verboten ist dann unter anderem die Verwendung von KI-Systemen zur Erzeugung oder Manipulation realistischer intimer Darstellungen bestimmbarer Personen ohne deren ausdrückliche Einwilligung (Art. 5 Abs. 1 lit. ba KI-VO n.F.). Das Verwendungsverbot richtet sich unmittelbar an die Nutzerseite und damit an jedes Unternehmen, dessen Mitarbeiter Zugang zu Bildgeneratoren haben. Interne KI-Nutzungsrichtlinien sollten diese Tatbestände ausdrücklich aufnehmen, zumal Verstöße gegen Art. 5 KI-VO mit Bußgeldern von bis zu 35 Mio. Euro oder 7 Prozent des weltweiten Jahresumsatzes bewehrt sind.

Für Betreiber, die künftig eine Grundrechte-Folgenabschätzung nach Art. 27 KI-VO durchführen müssen – das betrifft vor allem öffentliche Stellen sowie private Betreiber in den Bereichen Kreditwürdigkeitsprüfung und Lebens- und Krankenversicherung –, wird die Übung schlanker: Ergebnisse einer bereits durchgeführten Datenschutz-Folgenabschätzung können durch Verweis eingebunden werden, und das Europäische Büro für Künstliche Intelligenz stellt einen Muster-Fragebogen bereit (Art. 27 Abs. 4 und 5 KI-VO n.F.). Die in der Praxis ohnehin sinnvolle Verzahnung von DS-GVO- und KI-Compliance hat damit eine ausdrückliche normative Grundlage.

Neu ist außerdem eine Rechtsgrundlage für die Verarbeitung besonderer Kategorien personenbezogener Daten: Auch Betreiber dürfen solche Daten ausnahmsweise verarbeiten, soweit dies zur Erkennung und Korrektur von Verzerrungen ihrer KI-Systeme unbedingt erforderlich ist – unter strengen Auflagen wie Pseudonymisierung, Zugriffskontrollen, Übermittlungsverbot und Löschpflicht (Art. 4a Abs. 2 KI-VO n.F.). Eine Pflicht zur Bias-Prüfung begründet die Vorschrift ausdrücklich nicht.

Mittelständische Unternehmen profitieren schließlich von einem geschärften Sanktionsrahmen: Bei der Verhängung von Bußgeldern müssen die Mitgliedstaaten die Interessen von KMU und deren wirtschaftliches Überleben berücksichtigen (Art. 99 Abs. 1 KI-VO n.F.). Die nationalen Behörden können KMU zudem bei der Durchführung der Verordnung mit Anleitung und Beratung zur Seite stehen (Art. 70 Abs. 8 KI-VO n.F.).

Aus der neuen Rechtslage ergibt sich für Unternehmen, die KI einsetzen, eine klare Arbeitsreihenfolge. An erster Stelle steht die Bestandsaufnahme: Welche KI-Systeme sind im Unternehmen im Einsatz, welche davon kommunizieren nach außen, welche berühren Personalentscheidungen, Kreditvergabe oder andere Anwendungsfälle des Anhangs III? Ohne ein solches Inventar lässt sich weder die Hochrisiko-Betroffenheit beurteilen noch die Transparenzpflicht erfüllen.

Sodann sollten die bereits geltenden Pflichten umgesetzt werden: die Kennzeichnung von Deepfakes und KI-Texten nach Art. 50 KI-VO, die Offenlegung von Emotionserkennung sowie die Aufnahme der ab Dezember 2026 verbotenen Praktiken in die interne KI-Richtlinie. Die KI-Kompetenzmaßnahmen gehören dokumentiert, auch wenn die Pflicht weicher formuliert ist.

Die gewonnene Zeit bis Dezember 2027 sollte in die Vorbereitung der Betreiberpflichten für Hochrisiko-Systeme fließen – und in die Vertragsgestaltung mit den KI-Anbietern. Dort gehören Informations- und Mitwirkungspflichten des Anbieters, Regressansprüche für fehlerhafte Ausgaben und Regelungen zur Unterstützung bei künftigen Compliance-Pflichten hinein. Vorsicht ist geboten, wenn ein Unternehmen ein eingekauftes KI-System unter eigenem Namen vermarktet oder wesentlich verändert: Es rückt dann selbst in die Anbieterrolle mit allen daran anknüpfenden Pflichten ein (Art. 25 KI-VO). Ob der ursprüngliche Anbieter in diesem Fall zur Kooperation verpflichtet ist oder die Umwandlung vertraglich ausgeschlossen hat, sollte vor jeder Anpassung geprüft werden.

Die Digital-Omnibus-Verordnung verschafft Unternehmen, die KI einsetzen, spürbare Entlastung: Die Betreiberpflichten für Hochrisiko-KI-Systeme gelten erst ab dem 2. Dezember 2027, die KI-Kompetenzpflicht ist zur Förderpflicht abgemildert, und die Grundrechte-Folgenabschätzung lässt sich mit der Datenschutz-Folgenabschätzung verzahnen. Unverändert gelten jedoch die Transparenzpflichten des Art. 50 KI-VO, und ab dem 2. Dezember 2026 kommen neue, empfindlich bußgeldbewehrte Verbote hinzu. Wer die verlängerten Fristen für eine strukturierte Bestandsaufnahme, klare interne Richtlinien und belastbare Anbieterverträge nutzt, verwandelt den Aufschub in einen Vorsprung.

Dieser Beitrag gibt den Rechtsstand vom 3. August 2026 wieder und ersetzt keine Rechtsberatung im Einzelfall.