KI-Verordnung: Was seit August 2026 für deinen Betrieb gilt

Worum es geht

Die KI-Verordnung (EU) 2024/1689 regelt, wie KI in der EU entwickelt und eingesetzt wird. Sie ist am 1. August 2024 in Kraft getreten und gilt seit 2. August 2026 allgemein ^[1]. Im Juli 2026 hat die EU sie mit dem Digital Omnibus geändert, der Verordnung (EU) 2026/1744, und einige Fristen verschoben ^[1][2].

Unklarheit bremst. In Österreich setzen 30 Prozent der Unternehmen ab zehn Beschäftigten KI ein, im EU-Schnitt 20 Prozent. Unter den Unternehmen ohne KI nennen 11 Prozent rechtliche Unklarheiten als Grund, genauso viele Datenschutzbedenken ^[5].

Welche Rolle du hast

Die Verordnung unterscheidet Anbieter und Betreiber. Anbieter entwickeln ein KI-System oder bringen es unter eigenem Namen auf den Markt. Betreiber verwenden es in eigener Verantwortung im Beruf ^[3].

Nutzt dein Betrieb ein Sprachmodell über einen Dienst, oder lässt du dir einen Ablauf bauen, der eines verwendet, bist du in aller Regel Betreiber. Gibst du ein KI-System unter eigenem Namen an andere weiter, können Anbieterpflichten dazukommen. Das lohnt eine Prüfung im Einzelfall.

Die Fristen im Überblick

Die Pflichten gelten gestaffelt. Für einen Betrieb, der KI einsetzt, zählen vor allem die Zeilen 1 und 3.

KI-Kompetenz: Was Art. 4 heute verlangt

Art. 4 gilt seit Februar 2025. Der Digital Omnibus hat ihn umformuliert. Anbieter und Betreiber ergreifen seither Maßnahmen, um die Entwicklung der KI-Kompetenz ihres Personals und anderer Personen in ihrem Auftrag zu unterstützen ^[4].

Die RTR empfiehlt dafür eine interne KI-Richtlinie, ein Schulungskonzept und im Personalakt je Person Art, Veranstalter, Inhalt, Zeitpunkt und Wiederholung der Schulung ^[4]. Eine eigene Strafe für Art. 4 sieht die Verordnung nicht vor. Entsteht ein Schaden und fehlten Schulungen, kann das laut RTR zu Schadenersatzpflichten führen ^[4].

• →Vorlage: KI-Richtlinie für dein Team
• →Vorlage: Schulungsnachweis

Transparenz: Wann du KI offenlegen musst

Die Transparenzpflichten gelten seit August 2026 ^[1]. Wer einen Chatbot anbietet, muss dafür sorgen, dass Menschen erfahren, dass sie mit einer KI sprechen. Als Betreiber kennzeichnest du Deepfakes und KI-erzeugte Texte, mit denen du die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informierst, solange kein Mensch sie redaktionell geprüft und verantwortet hat ^[3].

Ein Ablauf, der interne Entwürfe schreibt und vor dem Versand von einem Menschen freigegeben wird, berührt diese Pflichten meist wenig. Prüf trotzdem jeden Kanal, über den etwas nach außen geht.

Hochrisiko: Wo die Grenze liegt

Als hochriskant gelten unter anderem KI-Systeme, die Bewerbungen sichten, über Beförderungen oder Kündigungen mitentscheiden oder die Kreditwürdigkeit von Menschen bewerten. Für sie gelten ab 2. Dezember 2027 die strengsten Pflichten der Verordnung ^[1][2].

Solche Systeme bauen wir grundsätzlich nicht, auch keine Leistungs- oder Verhaltenskontrolle von Beschäftigten.

Was bei Verstößen droht

Für verbotene Praktiken sieht die Verordnung Bußgelder bis 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes vor, für andere Pflichtverletzungen bis 15 Millionen Euro oder 3 Prozent. Für KMU gilt jeweils der niedrigere der beiden Beträge ^[3].

Was du diese Woche erledigen kannst

Schreib auf, welche KI-Werkzeuge in deinem Betrieb im Einsatz sind, auch die privat genutzten. Leg eine kurze KI-Richtlinie fest. Halte fest, wer welche Schulung bekommen hat. Und prüf bei jedem Werkzeug, ob ein Auftragsverarbeitungsvertrag vorliegt.

• →Zwölf Fragen an jeden KI-Anbieter
• →Leitfaden: Datenschutz beim KI-Einsatz