Was am 2. August passiert ist
Die EU-KI-Verordnung wirkt in Stufen. Der 2. August 2026 war die Stufe, ab der die Verordnung Zähne bekommen hat.
Seither gelten die Transparenzpflichten nach Artikel 50, und die Aufsicht über Anbieter und Betreiber von Modellen mit allgemeinem Verwendungszweck ist aktiv. Die zuständige Stelle bei der Kommission kann seither ermitteln, Verfahren einleiten und Bußgelder verhängen. Vorher gab es Regeln ohne Vollzug, jetzt gibt es beides.
Die Bußgeldrahmen sind gestaffelt:
- Verbotene Praktiken nach Artikel 5: bis zu fünfunddreißig Millionen Euro oder sieben Prozent des weltweiten Jahresumsatzes
- Verstöße gegen die Anforderungen an Hochrisiko-Systeme: bis zu fünfzehn Millionen oder drei Prozent
- Falsche oder unvollständige Angaben gegenüber Behörden: bis zu siebeneinhalb Millionen oder ein Prozent
Diese Zahlen sind für einen planenden Betrieb theoretisch. Die praktische Gefahr liegt nicht im Höchstmaß, sondern darin, überhaupt in ein Verfahren zu geraten und dann Unterlagen vorlegen zu müssen, die nie erstellt wurden.
Was davon Ihre Leistungsphasen berührt
Für ein Planungsbüro ist die Einordnung überraschend entspannt: Eine Suche über den eigenen Bestand, ein Protokollentwurf aus Stichworten, eine vorsortierte Posteingangsliste — das sind Anwendungen mit minimalem Risiko. Keine Konformitätsbewertung, keine Zertifizierung.
Aufpassen müssen Sie an zwei Stellen. Erstens dort, wo ein System Menschen bewertet, etwa bei der Vorauswahl von Bewerbungen. Zweitens bei der Kompetenzpflicht aus Artikel 4: Wer im Büro mit KI arbeitet, muss verstehen, was das Werkzeug kann und wo es irrt. Das ist keine Schulung mit Zertifikat, sondern eine Stunde, in der jemand erklärt, warum eine Antwort ohne Fundstelle nichts wert ist.
Der Punkt, an dem die Berichterstattung auseinandergeht
Über die Hochrisiko-Anforderungen wird seit Monaten widersprüchlich berichtet, und das hat einen Grund.
Nach dem ursprünglichen Zeitplan der Verordnung greifen die Anforderungen an Systeme aus Anhang III ab August 2026 vollständig. Also Risikomanagement, Daten-Governance, technische Dokumentation, Aufzeichnung, menschliche Aufsicht, Qualitätsmanagement, Konformitätsbewertung und Registrierung.
Über ein Vereinfachungspaket der Kommission sollen Teile davon nach hinten rücken, Anhang III auf Dezember 2027 und Anhang I auf August 2028. Zum Stand dieses Beitrags lag dazu kein endgültiger Rechtsakt vor, die Verhandlungen zwischen den Organen liefen noch.
Wer heute liest, die Hochrisiko-Pflichten seien verschoben, liest also eine Absicht und kein geltendes Recht. Wir haben dazu selbst schon einmal geschrieben, und die Einschätzung von damals steht unter diesem Vorbehalt.
Für die Praxis folgt daraus eine unaufgeregte Haltung: Wer ein System betreibt, das in die Nähe der Hochrisiko-Kategorien kommt, sollte sich nicht auf eine Verschiebung verlassen, die noch nicht beschlossen ist.
Was einen Planungsbüros wirklich trifft
Die gute Nachricht zuerst: Die allermeisten Anwendungen, die wir in Planungsbüros umsetzen, sind nicht hochriskant im Sinne der Verordnung. Ein Assistent, der Protokolle entwirft, eine Suche über die eigene Ablage, ein Abgleich von Mengen: nichts davon fällt in die Kategorien aus Anhang III.
Die Ausnahme, auf die wir jeden Betrieb hinweisen, ist der Personalbereich. Systeme, die bei Einstellung, Auswahl oder Bewertung von Beschäftigten mitwirken, stehen ausdrücklich in der Liste. Wer dort etwas einsetzt oder plant, braucht eine juristische Einordnung und nicht die Einschätzung seines Dienstleisters.
Bleiben zwei Pflichten, die praktisch jeden betreffen.
Kompetenz. Seit Februar 2025 müssen Betriebe dafür sorgen, dass die Menschen, die mit KI-Systemen arbeiten, diese auch verstehen. Nicht auf Entwicklerniveau, sondern soweit sie ihre Aufgabe erfüllen können und wissen, wo die Grenzen liegen. In der Praxis bedeutet das eine Einweisung, die dokumentiert ist, und Ansprechpartner für Rückfragen.
Transparenz. Wo ein Mensch mit einem System spricht, muss er das erkennen können. Wo Inhalte maschinell erzeugt oder verändert wurden, muss das kenntlich sein. Für die technische Kennzeichnung maschinell erzeugter Inhalte gilt dabei eine Übergangsfrist bis Anfang Dezember 2026.
Beides ist mit geringem Aufwand zu erfüllen und wird trotzdem in den meisten Betrieben nicht gemacht, weil sich niemand zuständig fühlt.
Was wir in Projekten daraus gemacht haben
Wir sind keine Kanzlei und geben keine Rechtsberatung. Was wir tun, ist, Systeme so anzulegen, dass die Nachweise entstehen, ohne dass jemand extra dafür arbeitet.
- Aufzeichnung von Anfang an. Wer hat wann was gefragt, welche Quellen lagen der Antwort zugrunde, wer hat freigegeben. Das ist ohnehin nötig, um Qualität zu beurteilen, und es ist genau das, was eine Aufsicht sehen will.
- Kennzeichnung im Ablauf. Ein Entwurf, der maschinell entstanden ist, trägt das im Dokument, bis ein Mensch ihn freigibt.
- Einweisung als Teil der Einarbeitung. Nach der Implementierung folgt bei uns ohnehin die Einarbeitung. Dort gehört die Einweisung hinein, mit Teilnehmerliste, nicht als eigenes Projekt.
- Verzeichnis der eingesetzten Systeme. Welches System, welcher Zweck, welche Daten, wer verantwortet es. Eine Tabelle, die in einer Stunde entsteht und im Ernstfall Wochen spart.
Nichts davon ist aufwendig, wenn es beim Aufsetzen mitgedacht wird. Alles davon ist teuer, wenn es nachträglich für ein bestehendes System hergestellt werden muss.
Was Sie jetzt tun sollten
Drei Schritte, in dieser Reihenfolge:
- Bestandsaufnahme. Welche KI-Systeme laufen bei Ihnen, offiziell und inoffiziell. Der zweite Teil ist der interessante: In fast jedem Betrieb nutzen Mitarbeiter längst Werkzeuge, von denen die Geschäftsführung nichts weiß.
- Rolle klären. Betreiben Sie nur, oder bieten Sie etwas an, das KI enthält. Ein Betrieb, der ein Produkt mit KI-Funktion verkauft, steht anders da als einer, der intern eine Suche nutzt.
- Die zwei Pflichten erfüllen. Einweisung dokumentieren, Kennzeichnung einführen. Das ist der Teil, der unabhängig von jedem Verfahren gilt und in wenigen Wochen erledigt ist.
Was Sie nicht tun sollten: auf Klarheit warten. Die kommt bei diesem Thema nicht, und die beiden Pflichten, die sicher gelten, erledigen sich in der Zwischenzeit nicht von allein.
Stand: September 2026. Der Beitrag beruht auf der Einordnung von TÜV Rheinland Consulting zum Stichtag 2. August 2026 und auf dem Stand der Verhandlungen zum Vereinfachungspaket. Er ist eine Einordnung aus der Projektpraxis und keine Rechtsberatung. Für die Einordnung eines konkreten Systems ziehen Sie bitte eine Kanzlei hinzu.