EU-KI-Verordnung: Diese Pflichten greifen ab 2. August

An diesem Samstag müssen Unternehmen ihre KI-Nutzung noch einmal prüfen: Ab 2. August 2026 ist die EU-KI-Verordnung grundsätzlich in weiten Teilen anwendbar. Betroffen sind Anbieter, Betreiber, Importeure und Händler. Entscheidend sind die eigene Rolle, der Verwendungszweck und die Risikoklasse des Systems – nicht allein die Bezeichnung „KI“.

Von der Monalita.de-Redaktion

Der Zeitplan der EU-KI-Verordnung

Die Verordnung (EU) 2024/1689 gilt gestaffelt. Verbote und einzelne Grundpflichten sind deshalb keine Neuerung dieses Wochenendes; ab Sonntag kommt jedoch die zentrale Anwendungsstufe hinzu.

Anbieter, Betreiber und Händler haben unterschiedliche Aufgaben

Ein Unternehmen kann KI selbst entwickeln, unter eigenem Namen anbieten, aus einem Drittstaat importieren, weiterverkaufen oder lediglich im Arbeitsalltag einsetzen. Daraus entstehen unterschiedliche Pflichten. Auch ein Betreiber kann zusätzliche Verantwortung übernehmen, wenn er ein System wesentlich verändert oder dessen vorgesehenen Zweck ändert.

Beschäftigte betrifft die Verordnung besonders dort, wo KI bei Bewerberauswahl, Personalentscheidungen, Aufgabenverteilung oder Leistungsüberwachung eingesetzt wird. Solche Anwendungen können je nach vorgesehenem Zweck als Hochrisiko-KI gelten. Nicht jedes Textprogramm, Assistenzsystem oder Analysewerkzeug fällt automatisch in diese Kategorie.

Verbot, Transparenz und Hochrisiko sind getrennt zu prüfen

Unzulässige Praktiken dürfen grundsätzlich nicht eingesetzt werden. Dazu zählen eng definierte Anwendungen, die Menschen manipulieren, Schutzbedürftigkeit ausnutzen oder bestimmte Formen sozialer Bewertung ermöglichen.

Transparenzpflichten verfolgen ein anderes Ziel: Menschen sollen beispielsweise erkennen können, dass sie mit einem KI-System interagieren. Für Deepfakes und bestimmte KI-generierte oder manipulierte Inhalte können Kennzeichnungspflichten gelten, wobei Ausnahmen und die konkrete Veröffentlichungssituation zu beachten sind.

Hochrisiko-Systeme unterliegen weitergehenden Anforderungen. Dazu können Risikomanagement, technische Dokumentation, Protokollierung, geeignete Daten, menschliche Aufsicht sowie Vorgaben zu Genauigkeit, Robustheit und Cybersicherheit gehören. Welche Pflichten das einzelne Unternehmen treffen, hängt von seiner gesetzlichen Rolle ab.

Was Unternehmen und Beschäftigte jetzt prüfen sollten

• Alle eingesetzten KI-Systeme samt Zweck, Anbieter und verantwortlicher Abteilung erfassen.
• Klären, ob das Unternehmen Anbieter, Betreiber, Importeur oder Händler ist.
• Verbotene Praktiken ausschließen und mögliche Hochrisiko-Einstufungen dokumentieren.
• Zuständigkeiten, menschliche Aufsicht, Protokolle und interne KI-Kompetenz prüfen.
• Kennzeichnungen für Chatbots, Deepfakes und andere betroffene Inhalte vorbereiten.
• Beschäftigte und gegebenenfalls ihre Vertretungen über relevante Einsatzformen informieren.

Die Einordnung sollte im Zweifel rechtlich und technisch geprüft werden. Übergangsfristen, Leitlinien der Europäischen Kommission und harmonisierte Standards können die praktische Umsetzung beeinflussen. Der nächste feste Termin ist der 2. August 2027 für bestimmte Hochrisiko-Systeme, die unter Artikel 6 Absatz 1 fallen.

Quelle: EUR-Lex