KI-Ver­ordnung für den Mittel­stand: was seit August 2026 gilt

Kurz gesagt: Heute gelten drei Dinge: die verbotenen Praktiken nach Art. 5 seit dem 2. Februar 2025, die KI-Kompetenz nach Art. 4 seit demselben Tag, seit der Verordnung (EU) 2026/1744 als Pflicht zur Förderung ohne festes Niveau je Person, und die Transparenzpflichten nach Art. 50 seit dem 2. August 2026. Die Pflichten für Hochrisikosysteme nach Anhang III greifen ab dem 2. Dezember 2027, nach Anhang I ab dem 2. August 2028. Bewerbervorauswahl steht in Anhang III Nummer 4 Buchstabe a.

Rechtsstand: 28. September 2026, KI-VO in der Fassung der Verordnung (EU) 2026/1744.

Die KI-Verordnung gilt in Stufen.

Was schon gilt

Verbotene Praktiken. Art. 5 gilt seit dem 2. Februar 2025. Dazu gehört die Emotionserkennung am Arbeitsplatz, außer aus medizinischen Gründen oder Sicherheitsgründen. Erfasst sind KI-Systeme, die Emotionen von Beschäftigten aus biometrischen Daten wie Gesicht, Stimme oder Körperhaltung ableiten; die Abgrenzung steht unter Emotionserkennung am Arbeitsplatz.

KI-Kompetenz. Art. 4 gilt seit demselben Tag. Seit der Änderung durch die Verordnung (EU) 2026/1744 verlangt er von Anbietern und Betreibern Maßnahmen, die die KI-Kompetenz der Personen fördern, die in ihrem Auftrag mit dem System arbeiten. Ein bestimmtes Niveau je Person ist nicht geschuldet. Nachweisen lässt sich, was getan wurde; deshalb wird die Schulung dokumentiert.

Transparenz. Art. 50 ist seit dem 2. August 2026 verbindlich. Interagiert ein System unmittelbar mit Menschen, müssen die Betroffenen erfahren, dass sie es mit einem KI-System zu tun haben, soweit das nicht offensichtlich ist. Das betrifft jeden Chatbot auf der Website und jeden Agenten, der Mails beantwortet.

Für Texte ist die Regelung enger. Art. 50 Abs. 4 Unterabs. 2 betrifft Veröffentlichungen, mit denen die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informiert wird. Die Pflicht entfällt, wenn der Text einer menschlichen redaktionellen Kontrolle unterliegt und jemand die Verantwortung dafür trägt.

Ein Produkttext braucht kein Etikett, der Kundenservice braucht eines.

Was der Digital Omnibus geändert hat

Die Verordnung (EU) 2026/1744 („Digital Omnibus“ zur KI-VO) ist seit dem 27. Juli 2026 in Kraft.

Was noch nicht gilt

An der Hochrisikoeinstufung hängen Risikomanagement, Datenqualität, technische Dokumentation, Protokollierung, menschliche Aufsicht und Konformitätsbewertung. Für Anhang III greifen diese Pflichten ab dem 2. Dezember 2027, für Anhang I ab dem 2. August 2028. Die Fristen stammen aus dem Digital Omnibus; die politische Einigung datiert vom 6. Mai 2026, die Bestätigung durch den Rat vom 13. Mai 2026.

Nachweise über Überwachung und Fehlerbehandlung entstehen laufend. Rückwirkend lassen sie sich nicht erzeugen.

Der Fall, der im Mittelstand vorkommt

Personalauswahl. Anhang III Nummer 4 Buchstabe a nennt KI-Systeme für die Einstellung oder Auswahl natürlicher Personen, insbesondere zum Sichten von Bewerbungen und zum Bewerten von Bewerbern. Die Funktion wird derzeit in Bewerbermanagementsystemen breit angeboten.

Zwei Punkte gehen dabei durcheinander:

1. Die DSGVO gilt heute. Erforderlich sind eine Rechtsgrundlage, in aller Regel eine Datenschutz-Folgenabschätzung nach Art. 35, eine Information für die Bewerber und die Möglichkeit einer menschlichen Prüfung.
2. Wer einen automatisierten Vorschlag ungeprüft übernimmt, entscheidet automatisiert, auch bei formalem Klick eines Menschen. Der Mensch am Ende muss den Vorschlag verwerfen können.

Wie das in einer Stelle aussieht, steht in der Akte von AM-004, Bewerbervorauswahl.

Anbieter oder Betreiber

Betreiber ist, wer ein KI-System in eigener Verantwortung verwendet, etwa ein eingekauftes. Die Pflichten des Betreibers sind bestimmungsgemäße Verwendung, menschliche Aufsicht, Information der Betroffenen und Kompetenz der eigenen Leute.

Anbieter wird, wer ein System unter eigenem Namen anbietet oder ein fremdes System so verändert, dass es einem anderen Zweck dient. Der typische Fall: ein Haus baut auf ein eingekauftes Modell eine eigene Anwendung und verkauft sie weiter. An der Rollenfrage hängt die technische Dokumentation.

Was Sie an einem Vormittag erledigen können

1. Liste aller KI-Systeme, die im Haus tatsächlich benutzt werden. Gefragt ist, was läuft, nicht was bestellt wurde.
2. Je Eintrag drei Angaben: Wer ist verantwortlich, welche Daten sieht das System, spricht es unmittelbar mit Menschen, im Haus oder außerhalb.
3. Schulung mit Anwesenheitsliste. Die Liste ist der Nachweis dafür, was für Art. 4 getan wurde.
4. Kennzeichnung überall, wo Systeme unmittelbar mit Menschen sprechen, auch mit Beschäftigten.

Nach Schritt 2 bleiben meist ein bis zwei Fälle übrig, bei denen die Einstufung genauer zu prüfen ist. Die Regeln, nach denen wir das tun, stehen unter Leitplanken. Für einen ersten Anhaltspunkt genügen fünf Fragen unter Einstufung nach der KI-Verordnung.

Zwei Irrtümer

„Wir nutzen nur ChatGPT, das ist kein KI-System im Sinne der Verordnung.“ Es ist eines. Offen ist allein, in welche Risikoklasse der konkrete Einsatz fällt. Der Fall steht unter Darf ich ChatGPT im Unternehmen einsetzen?.

„Unser Lieferant hat gesagt, das ist alles konform.“ Konform ist immer ein Produkt in einem bestimmten Einsatz. Die Einstufung hängt an Ihrer Verwendung. Lassen Sie sich die Zusage schriftlich geben und nehmen Sie sie zu den Unterlagen.

Zahl zum Umfeld

Der Bitkom hat 2026 erhoben, was die Einführung von KI in deutschen Unternehmen bremst. Der Datenschutz steht mit 77 Prozent an der Spitze.