Schwerpunkt KI-Governance, Datenschutz & AI Act: 197 KI-Berater (Stand Oktober 2026)

• Die KI-Verordnung (EU) 2024/1689 ist eine EU-Verordnung. Sie gilt unmittelbar in jedem Mitgliedstaat.
• Seit dem 27. Juli 2026 gilt eine geänderte Fassung. Die Änderungen stammen aus der Verordnung (EU) 2026/1744, dem sogenannten Digital-Omnibus zur KI.
• In Deutschland ergänzt das KI-MIG vom 22. Juli 2026 die Verordnung. Zuständige Marktüberwachungsbehörde ist die Bundesnetzagentur, soweit das Gesetz nichts anderes bestimmt.
• Eine eigene EU-Richtlinie zur Haftung für KI kommt vorerst nicht. Die EU-Kommission hat ihren Vorschlag zurückgenommen (Amtsblatt vom 6. Oktober 2025). Für Software kommt aber neues Produkthaftungsrecht: Die Richtlinie (EU) 2024/2853 zählt Software als Produkt. Sie gilt für Produkte, die nach dem 9. Dezember 2026 in Verkehr kommen.

Die EU-Kommission beschreibt vier Risikostufen. Welche Pflichten gelten, hängt von der Stufe und von Ihrer Rolle ab.

Hochrisiko-KI-Systeme sind zum einen KI-Systeme, die als Sicherheitsbauteil eines Produkts dienen oder selbst ein solches Produkt sind. Das Produkt fällt unter das EU-Recht aus Anhang I und braucht eine Konformitätsbewertung durch Dritte (Artikel 6 Absatz 1). Zum anderen sind es Systeme in den acht Bereichen von Anhang III, zum Beispiel Bildung, Beschäftigung und Personal, Zugang zu wichtigen Diensten wie Krediten, Strafverfolgung und Justiz. Ein System aus Anhang III gilt ausnahmsweise nicht als hochriskant, wenn es kein erhebliches Risiko birgt. Ein Beispiel ist ein System, das nur eine eng gefasste Verfahrensaufgabe oder eine vorbereitende Aufgabe erledigt. Der Anbieter muss diese Bewertung vorher dokumentieren und das System registrieren. Ein System aus Anhang III, das ein Profiling von Personen vornimmt, gilt aber immer als hochriskant (Artikel 6 Absatz 3 und 4).

Seit dem Digital-Omnibus stehen Maschinen in Anhang I Abschnitt B, wie schon Kraftfahrzeuge. Für Hochrisiko-KI in diesen Produkten gelten die Hochrisiko-Pflichten der KI-Verordnung, auch die für Betreiber, nicht direkt (Artikel 2 Absatz 2). Ihre Anforderungen kommen über das Produktrecht, für Maschinen per delegiertem Rechtsakt ab dem 2. August 2028.

Für KI-Modelle mit allgemeinem Verwendungszweck gelten seit dem 2. August 2025 eigene Pflichten. Diese Pflichten treffen die Anbieter der Modelle.

Artikel 5 verbietet seit dem 2. Februar 2025 diese Praktiken (vereinfacht):

• Menschen unterschwellig oder gezielt täuschend beeinflussen und ihnen so erheblich schaden.
• Schwächen wegen Alter, Behinderung oder sozialer oder wirtschaftlicher Lage ausnutzen und so erheblich schaden.
• Menschen nach ihrem sozialen Verhalten oder ihrer Persönlichkeit bewerten (Social Scoring), wenn die Bewertung sie in einem anderen Lebensbereich benachteiligt oder die Benachteiligung ungerechtfertigt oder unverhältnismäßig ist.
• Das Risiko einer Straftat allein aus Profiling oder Persönlichkeitsmerkmalen vorhersagen.
• Datenbanken zur Gesichtserkennung durch ungezieltes Auslesen von Bildern aus dem Internet oder aus Überwachungskameras aufbauen.
• Emotionen am Arbeitsplatz und in Bildungseinrichtungen erkennen, außer aus medizinischen Gründen oder Sicherheitsgründen.
• Aus biometrischen Daten auf Merkmale wie Religion, politische Einstellung oder sexuelle Orientierung schließen.
• Biometrische Echtzeit-Fernidentifizierung in öffentlichen Räumen zur Strafverfolgung, mit engen Ausnahmen.

Der Digital-Omnibus hat zwei Verbote ergänzt. Sie gelten ab dem 2. Dezember 2026. Verboten sind dann KI-Systeme, die intime Deepfakes einer erkennbaren Person ohne deren ausdrückliche Zustimmung erzeugen, und KI-Systeme, die Darstellungen sexuellen Kindesmissbrauchs erzeugen.

Ihre Pflichten hängen von Ihrer Rolle ab. Prüfen Sie diese Fragen für jede KI-Anwendung:

1. Entwickeln Sie ein KI-System oder lassen Sie es entwickeln? Bringen Sie es unter Ihrem Namen oder Ihrer Marke auf den Markt, oder setzen Sie es so im eigenen Betrieb ein? Dann sind Sie Anbieter. Das gilt auch, wenn Sie es kostenlos anbieten (Artikel 3 Nummer 3 und 11).
2. Nutzen Sie ein KI-System in eigener Verantwortung im Beruf, zum Beispiel einen Chatbot oder eine KI-Funktion in Ihrer Software? Dann sind Sie Betreiber (Artikel 3 Nummer 4). Die rein private Nutzung zählt nicht.
3. Ändern Sie ein Hochrisiko-KI-System oder seinen Zweck? Wer ein Hochrisiko-KI-System mit dem eigenen Namen versieht oder es wesentlich verändert, gilt als dessen Anbieter. Das gilt auch, wenn jemand den Zweck eines KI-Systems so ändert, dass es hochriskant wird (Artikel 25 Absatz 1). Ein Beispiel kann ein allgemeiner Textassistent sein, den ein Betrieb zum Sichten von Bewerbungen einsetzt.
4. Bringen Sie das KI-System eines Unternehmens aus einem Land außerhalb der EU in der EU auf den Markt, oder verkaufen Sie KI-Systeme weiter? Dann sind Sie Einführer oder Händler, mit eigenen Pflichten.

Ein Betrieb, der fertige KI-Tools nutzt, ist in der Regel Betreiber. Für ihn gilt immer Artikel 4 zur KI-Kompetenz. Je nach Anwendung kommen die Transparenzpflichten aus Artikel 50 hinzu, zum Beispiel bei Deepfakes. Mehr zu Artikel 4 lesen Sie im Ratgeber KI-Schulungspflicht nach dem AI Act.

Ab dem 2. Dezember 2027 (Anhang III) oder dem 2. August 2028 (Anhang I Abschnitt A) müssen Betreiber unter anderem (Artikel 26):

• das System nach der Betriebsanleitung nutzen,
• die menschliche Aufsicht Personen übertragen, die dafür kompetent, ausgebildet und befugt sind,
• passende und repräsentative Eingabedaten verwenden, soweit sie diese kontrollieren,
• den Betrieb überwachen und Risiken sowie schwerwiegende Vorfälle melden,
• automatisch erzeugte Protokolle mindestens sechs Monate aufbewahren, soweit sie diese kontrollieren,
• als Arbeitgeber die Beschäftigten und ihre Vertretung vor dem Einsatz am Arbeitsplatz informieren.

Das gilt nicht für Systeme, die schon vor diesem Datum auf dem Markt waren. Für sie gelten die Pflichten erst, wenn sich ihre Konzeption danach erheblich ändert (Artikel 111 Absatz 2). Für Systeme, die Behörden nutzen sollen, gilt eine Frist bis zum 2. August 2030.

Vor dem Digital-Omnibus sollten die Regeln für Hochrisiko-KI-Systeme nach Anhang III schon ab dem 2. August 2026 gelten. Die EU hat sie verschoben, weil Normen, Leitlinien und nationale Behörden später als geplant bereitstanden.

• Verbotene Praktiken: bis 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes.
• Viele andere Pflichten, etwa für Betreiber nach Artikel 26 oder die Transparenzpflichten nach Artikel 50: bis 15 Millionen Euro oder 3 Prozent.
• Falsche oder irreführende Angaben gegenüber Behörden: bis 7,5 Millionen Euro oder 1 Prozent.

Für KMU gilt jeweils der niedrigere der beiden Beträge (Artikel 99 Absatz 6). Die Mitgliedstaaten berücksichtigen bei Sanktionen die Interessen und das wirtschaftliche Überleben von KMU. Das KI-MIG ergänzt Bußgelder bis 50.000 Euro für einige weitere Pflichten. Ein eigenes Bußgeld für Artikel 4 nennen weder die Verordnung noch das KI-MIG.

1. Überblick: Listen Sie die KI-Anwendungen in Ihrem Betrieb auf.
2. Rolle: Klären Sie je Anwendung, ob Sie Anbieter oder Betreiber sind.
3. Einstufung: Prüfen Sie, ob eine Anwendung unter Artikel 5, unter Anhang III oder unter Artikel 50 fällt.
4. KI-Kompetenz: Halten Sie fest, welche Maßnahmen Ihr Team nutzt.
5. Unterstützung: Die Mitgliedstaaten sollen KMU mit Schulungen und Ansprechstellen zur KI-Verordnung unterstützen (Artikel 62).

Die Firmen in der Liste oben haben im Atlas den Schwerpunkt KI-Governance, Datenschutz und AI Act. Wie Sie eine passende Beratung auswählen, erklärt der Ratgeber KI-Berater finden. Welche DSGVO-Fragen Sie vor dem Einsatz eines KI-Tools klären, zeigt der Ratgeber KI und Datenschutz.