EU-KI-Verordnung: Was vor dem 2. August zu prüfen ist

Von der Redaktion Monalita.de | Stand: 31. Juli 2026

Am Sonntag, 2. August 2026, wird der überwiegende Teil der EU-KI-Verordnung anwendbar. Für deutsche Unternehmen, Behörden sowie berufliche Nutzer und Anbieter von KI bedeutet das vor allem: Sie sollten jetzt eingesetzte Systeme, ihre vertragliche Rolle, die Risikoeinstufung und vorhandene Kontrollprozesse überprüfen. Allerdings gelten nicht ab diesem Tag automatisch sämtliche Vorschriften für jedes KI-Produkt.

Auf einen Blick

• Der Hauptteil der Verordnung gilt grundsätzlich ab 2. August 2026.
• Einige Verbote und die Pflicht zur KI-Kompetenz gelten bereits seit 2025.
• Anbieter und Deployer haben unterschiedliche Verantwortlichkeiten.
• Die konkrete Pflicht hängt von Risikoklasse, Einsatzgebiet und Übergangsregeln ab.
• Besonders genau sind Anwendungen in Personalwesen, Bildung und kritischer Infrastruktur zu prüfen.

Der 2. August ist ein Haupttermin, aber nicht der einzige

Artikel 113 der Verordnung (EU) 2024/1689 legt den 2. August 2026 als grundsätzlichen Anwendungsbeginn fest. Der Zeitplan ist jedoch gestaffelt. Die allgemeinen Bestimmungen, Verbote bestimmter KI-Praktiken und Vorgaben zur KI-Kompetenz wurden bereits früher anwendbar. Seit August 2025 gelten zudem unter anderem Teile der Regeln für KI-Modelle mit allgemeinem Verwendungszweck sowie Vorschriften zu Aufsicht und Sanktionen.

Auch lesen: EU-KI-Verordnung: Diese Pflichten greifen ab 2. August

Andere Vorgaben folgen später. Das betrifft insbesondere bestimmte Hochrisiko-Systeme, die als Sicherheitskomponenten regulierter Produkte eingesetzt werden oder selbst solche Produkte sind. Für die mit Artikel 6 Absatz 1 verbundenen Pflichten sieht die veröffentlichte Verordnung grundsätzlich den 2. August 2027 vor.

Damit ist der bevorstehende Sonntag weder der Beginn aller KI-Regeln noch deren letzter Umsetzungstermin. Entscheidend ist die Vorschrift, die auf das konkrete System und den jeweiligen Akteur anwendbar ist.

Anbieter und Deployer müssen ihre tatsächliche Rolle klären

Ein Anbieter entwickelt ein KI-System oder lässt es entwickeln und bringt es unter eigenem Namen oder eigener Marke auf den Markt beziehungsweise nimmt es in Betrieb. Diese Rolle kann auch ein Unternehmen übernehmen, das ein fremdes System wesentlich verändert oder unter eigener Bezeichnung weitergibt.

Ein Deployer nutzt ein KI-System unter eigener Verantwortung im beruflichen oder behördlichen Umfeld. Dazu können Arbeitgeber gehören, die Software zur Bewerberauswahl einsetzen, ebenso Behörden mit automatisierter Fallpriorisierung oder Betriebe, die Beschäftigte durch KI-gestützte Werkzeuge unterstützen lassen.

Die Rollenbezeichnung im Vertrag allein ist nicht zwingend ausschlaggebend. Unternehmen sollten deshalb prüfen, wer das System auswählt, konfiguriert, verändert, überwacht und gegenüber Kunden oder Beschäftigten verantwortet. Je nach Lieferkette können außerdem Importeure, Händler oder Bevollmächtigte beteiligt sein.

Die Risikoklasse entscheidet über Umfang und Tiefe der Pflichten

Die Europäische Kommission beschreibt den AI Act als risikobasiertes Regelwerk. Verbotene Anwendungen, Hochrisiko-KI, Systeme mit besonderen Transparenzpflichten und Anwendungen mit geringem Risiko werden unterschiedlich behandelt.

Als Hochrisiko-KI können beispielsweise bestimmte Systeme zur Personalauswahl, Leistungsbewertung oder Steuerung des Zugangs zu Bildung und wesentlichen Diensten gelten. Die Einstufung ist jedoch anhand der gesetzlichen Kriterien und Ausnahmen vorzunehmen. Nicht jedes Analysewerkzeug im Personalbereich und nicht jede generative KI ist automatisch ein Hochrisiko-System.

Für Hochrisiko-Anwendungen können unter anderem Anforderungen an Risikomanagement, Datenqualität, technische Dokumentation, Protokollierung, menschliche Aufsicht, Genauigkeit und Cybersicherheit relevant sein. Deployer müssen insbesondere die Nutzungsanweisungen beachten, zuständige Personen benennen und die Nutzung soweit vorgeschrieben überwachen.

Diese Prüfungen sollten jetzt dokumentiert werden

Ein belastbarer Kurzcheck umfasst mindestens folgende Punkte:

• Systeminventar: Welche KI-Werkzeuge werden offiziell oder informell in Abteilungen, Standorten und Behördeneinheiten genutzt?
• Zweck und Betroffene: Welche Entscheidungen unterstützt das System, und wirken sich Ergebnisse auf Beschäftigte, Bewerber, Kunden oder Bürger aus?
• Rollenverteilung: Wer ist Anbieter, Deployer, Importeur oder Händler? Wurden Systeme verändert oder unter eigener Marke bereitgestellt?
• Risikoeinstufung: Fällt die Anwendung unter ein Verbot, eine Hochrisiko-Kategorie oder eine Transparenzpflicht?
• Dokumentation: Liegen Gebrauchsanweisungen, technische Unterlagen, Protokolle, Freigaben und Zuständigkeiten vor?
• Menschliche Aufsicht: Können qualifizierte Personen Ergebnisse nachvollziehen, hinterfragen und erforderlichenfalls übersteuern?
• KI-Kompetenz: Sind Beschäftigte entsprechend ihrer Aufgaben, Erfahrung und dem Nutzungskontext ausreichend geschult?
• Verträge und Datenschutz: Regeln Vereinbarungen Informationszugang, Änderungen, Vorfälle und Verantwortlichkeiten? Sind zusätzlich Datenschutz- und Mitbestimmungsvorgaben zu beachten?

Interne Freigaben sollten auch frei zugängliche Chatbots, Übersetzungsdienste und Analysewerkzeuge erfassen. Gerade solche Anwendungen werden häufig eingeführt, ohne dass Einkauf, Datenschutz, Informationssicherheit oder Arbeitnehmervertretung frühzeitig eingebunden sind.

Übergangsregeln können den Einzelfall verändern

Für bereits vor dem 2. August 2026 eingesetzte Systeme enthält die Verordnung besondere Übergangsbestimmungen. Dabei kann es unter anderem darauf ankommen, wann ein System in Verkehr gebracht oder in Betrieb genommen wurde und ob es später wesentlich verändert wird. Für öffentliche Stellen und Anbieter bestimmter Modelle gelten zusätzliche Zeitvorgaben.

Die Prüfung sollte deshalb nicht bei der ursprünglichen Fassung des AI Act stehen bleiben. Maßgeblich sind die am jeweiligen Tag geltende konsolidierte Rechtslage, mögliche Änderungs- oder Übergangsregelungen und einschlägige Leitlinien. Bei Hochrisiko-Einstufungen oder Auswirkungen auf Beschäftigte ist eine fachkundige rechtliche Prüfung sinnvoll.

Der nächste zentrale Kontrollpunkt nach dem 2. August 2026 ist 2. August 2027. Bis dahin sollten betroffene Organisationen insbesondere klären, ob sie produktbezogene Hochrisiko-KI nach Artikel 6 Absatz 1 anbieten oder einsetzen und welche Pflichten dann zusätzlich greifen.

Quelle: EUR-Lex – Amt für Veröffentlichungen der Europäischen Union