EU-KI-Verordnung ab 2. August: Diese Prüfungen zählen

Von der Redaktion von Bocian-Montagen.de | 31. Juli 2026

Zwei Tage vor dem Stichtag müssen Unternehmen, Behörden und berufliche Nutzer von KI-Systemen ihre Zuständigkeiten klären: Ab 2. August 2026 ist der überwiegende Teil der EU-KI-Verordnung anwendbar. Welche Pflichten konkret greifen, hängt jedoch von der Rolle, der Risikoklasse und dem Einsatzgebiet des jeweiligen Systems ab. Als Nächstes sollten Verantwortliche deshalb Inventare, Verträge, Freigaben und mögliche Übergangsregeln prüfen.

Die praktische Lage vor dem 2. August

• Die meisten Vorschriften werden am 2. August 2026 anwendbar, aber nicht sämtliche Regelungen für jedes Produkt.
• Anbieter und Deployer tragen unterschiedliche Pflichten; ein Unternehmen kann je nach Anwendung mehrere Rollen haben.
• Besonders sorgfältig zu prüfen sind Systeme mit möglichem Hochrisiko-Einsatz, etwa in Personalentscheidungen.
• Neben dem AI Act können Datenschutz-, Arbeits- und Mitbestimmungsrecht weiterhin maßgeblich sein.

Der AI Act gilt in mehreren zeitlichen Stufen

Die Verordnung (EU) 2024/1689 trat nicht mit allen Vorschriften gleichzeitig in die praktische Anwendung. Artikel 113 nennt den 2. August 2026 als allgemeinen Anwendungstermin, sieht aber ausdrücklich frühere und spätere Stufen vor.

• Seit 2. Februar 2025 gelten unter anderem allgemeine Bestimmungen sowie Regeln zu verbotenen KI-Praktiken und KI-Kompetenz.
• Seit 2. August 2025 sind weitere Teile anwendbar, darunter wesentliche Vorgaben für KI-Modelle mit allgemeinem Verwendungszweck und institutionelle Regelungen.
• Ab 2. August 2026 greift der überwiegende Teil des Regelwerks.
• Für bestimmte Hochrisiko-Systeme, die mit unionsrechtlich regulierten Produkten verbunden sind, folgt eine weitere Stufe am 2. August 2027.

Damit ist die Aussage, ab Sonntag gelte ausnahmslos jede Vorschrift für jedes KI-Produkt, zu pauschal. Auch bestehende Systeme können besonderen Übergangsbedingungen unterliegen.

Anbieter und Deployer müssen ihre tatsächliche Rolle bestimmen

Anbieter entwickeln ein KI-System oder lassen es entwickeln und bringen es unter ihrem Namen in Verkehr oder nehmen es in Betrieb. Deployer setzen ein System unter eigener Verantwortung beruflich ein. Der deutsche Sprachgebrauch verwendet dafür teilweise weiterhin den Begriff Betreiber.

Ein Unternehmen kann zum Anbieter werden, obwohl es ursprünglich nur ein fremdes Werkzeug eingesetzt hat. Das kann etwa geschehen, wenn es das System wesentlich verändert, unter eigenem Namen anbietet oder den vorgesehenen Verwendungszweck so ändert, dass eine neue rechtliche Einordnung erforderlich wird.

Verträge und Produktbeschreibungen allein entscheiden deshalb nicht. Maßgeblich ist auch, wer das System tatsächlich konfiguriert, kontrolliert, verändert und für welchen Zweck es verwendet wird.

Die Risikoklasse entscheidet über den Umfang der Pflichten

Die Europäische Kommission beschreibt den AI Act als risikobasiertes Regelwerk. Verbotene Praktiken, Hochrisiko-KI, Systeme mit besonderen Transparenzanforderungen und Anwendungen mit geringem Risiko werden unterschiedlich behandelt.

Im Arbeitsalltag verdient vor allem KI in Personalprozessen Aufmerksamkeit. Systeme zur Bewerberauswahl, Bewertung von Beschäftigten, Aufgabenverteilung oder Überwachung können je nach konkreter Zweckbestimmung als Hochrisiko-KI eingeordnet werden. Ein gewöhnlicher Textassistent wird dagegen nicht allein deshalb zur Hochrisiko-KI, weil Beschäftigte ihn gelegentlich verwenden.

Auch Chatbots, synthetische Inhalte und Modelle mit allgemeinem Verwendungszweck können eigene Transparenz- oder Anbieterpflichten auslösen. Entscheidend sind stets Funktion, Nutzungskontext und rechtliche Rolle.

Diese Unterlagen und Abläufe sollten jetzt geprüft werden

Systeme und Verantwortlichkeiten erfassen

• Alle offiziell beschafften und informell genutzten KI-Werkzeuge in einem Systeminventar dokumentieren.
• Anbieter, Deployer, Importeur oder Händler je System bestimmen und vertragliche Rollen mit der Praxis abgleichen.
• Vorgesehenen Zweck, betroffene Personen, verwendete Daten und mögliche Auswirkungen festhalten.
• Risikoeinstufung dokumentieren und bei unklaren Fällen fachkundig prüfen lassen.

Kontrolle im laufenden Betrieb sichern

• Interne Freigaben, Beschaffungswege und Zuständigkeiten eindeutig zuweisen.
• Bedienungsanleitungen, technische Unterlagen, Protokolle und Nachweise zugänglich halten.
• Menschliche Aufsicht so organisieren, dass Entscheidungen tatsächlich geprüft und korrigiert werden können.
• Beschäftigte passend zu Aufgabe und Risiko schulen sowie Vorfälle und Beschwerden nachvollziehbar bearbeiten.

Bei Anwendungen mit Beschäftigtendaten sind zusätzlich insbesondere Datenschutz, Gleichbehandlung und Mitbestimmung zu prüfen. Eine Freigabe nach der KI-Verordnung ersetzt diese Prüfungen nicht.

Übergangs- und Änderungsregeln bleiben systemabhängig

Die konkrete Pflicht kann sich durch Sonderregeln für bestehende Systeme, harmonisierte Standards, Leitlinien oder spätere Änderungen unterscheiden. Dieser Überblick ersetzt daher keine Prüfung des einzelnen Einsatzfalls. Verantwortliche sollten am 2. August die konsolidierte Fassung der Verordnung, zuständige Behördenhinweise und einschlägige Verträge abgleichen. Der nächste bereits im AI Act vorgesehene große Anwendungstermin folgt am 2. August 2027 für bestimmte produktbezogene Hochrisiko-Systeme.

Quelle: EUR-Lex – Amt für Veröffentlichungen der Europäischen Union