EU-KI-Verordnung 2026: Das gilt jetzt im Betrieb

Seit dem 2. August 2026 gilt die EU-KI-Verordnung grundsätzlich in vollem Umfang. Betroffen sind deutsche Unternehmen, die KI entwickeln, vertreiben oder beruflich einsetzen. Entscheidend sind jedoch Anwendung, Risikoklasse und Unternehmensrolle. Der nächste wichtige Stichtag folgt am 2. August 2027 für bestimmte produktbezogene Hochrisiko-Systeme.

Autor: Exteams-Redaktion | Stand: 28. August 2026

Welche Regeln zu welchem Zeitpunkt greifen

Die Verordnung (EU) 2024/1689 arbeitet mit gestaffelten Fristen. Einige Vorgaben galten bereits vor August 2026, andere werden erst 2027 anwendbar.

Für bereits zuvor eingesetzte Systeme können Übergangsregeln gelten. Maßgeblich sind unter anderem Inbetriebnahmezeitpunkt, spätere wesentliche Änderungen und der konkrete Verwendungszweck. Den gestaffelten Zeitplan nennt EUR-Lex in der Verordnung; die Europäische Kommission erläutert die Risikokategorien.

Anbieter, Betreiber, Einführer oder Händler

Ein Unternehmen kann je nach Tätigkeit unterschiedliche Rollen einnehmen:

• Anbieter entwickeln ein KI-System oder lassen es entwickeln und bringen es unter eigenem Namen auf den Markt.
• Betreiber verwenden ein KI-System in eigener Verantwortung, beispielsweise für Personalplanung oder Bewerberauswahl.
• Einführer bringen Systeme von Anbietern aus Drittstaaten in der EU in Verkehr.
• Händler stellen Systeme innerhalb der Lieferkette bereit, ohne Anbieter oder Einführer zu sein.

Wer ein fremdes System erheblich verändert oder unter eigener Marke anbietet, kann zusätzliche Anbieterpflichten übernehmen. Deshalb genügt eine reine Einkaufsliste nicht: Auch Zweck, Konfiguration und tatsächliche Nutzung müssen erfasst werden.

Was Beschäftigte über KI am Arbeitsplatz wissen sollten

KI für Einstellung, Auswahl, Beförderung, Kündigungsentscheidungen oder Leistungsüberwachung kann als Hochrisiko-Anwendung eingestuft werden. Arbeitgeber können dann unter anderem Vorgaben zu menschlicher Aufsicht, Protokollierung und Information erfüllen müssen. Vor dem Einsatz bestimmter Hochrisiko-Systeme am Arbeitsplatz sind Beschäftigtenvertretungen und betroffene Beschäftigte zu informieren.

Ein pauschaler Anspruch auf Offenlegung jedes Algorithmus folgt daraus nicht. Weitergehende Informations-, Auskunfts- oder Mitbestimmungsrechte können sich jedoch aus Datenschutzrecht, Betriebsverfassungsrecht und anderen Vorschriften ergeben. Einzelfälle benötigen eine fachkundige rechtliche Prüfung.

Bestimmte KI-Inhalte unterliegen zudem Transparenzpflichten. Das betrifft etwa Deepfakes, KI-Interaktionen und maschinell erzeugte Inhalte von öffentlichem Interesse, wobei Ausnahmen und besondere Kennzeichnungsregeln zu beachten sind.

Diese Prüfungen sollten Unternehmen jetzt vornehmen

• Alle eingesetzten Systeme, Versionen, Anbieter und Zwecke inventarisieren.
• Die eigene Rolle und die Risikoklasse je Anwendungsfall bestimmen.
• Verträge, technische Unterlagen, Protokolle und Zuständigkeiten prüfen.
• Menschliche Aufsicht, Beschäftigteninformation und KI-Kompetenz organisieren.
• Übergangsregeln für bereits vorhandene Systeme dokumentieren.

Der nächste klar überprüfbare Meilenstein ist der 2. August 2027. Bis dahin sollten Unternehmen feststellen, ob ihre KI Bestandteil oder Sicherheitskomponente eines in Anhang I erfassten regulierten Produkts ist.

Quelle: EUR-Lex