top of page

KI-Verordnung: aktueller Stand

Zuletzt aktualisiert: 14. Oktober 2026

Die KI-Verordnung (VO (EU) 2024/1689, „AI Act“) wurde durch den Digital Omnibus (VO (EU) 2026/1744) geändert, in Kraft seit 27. Juli 2026. Hier finden Sie, was davon für Unternehmen heute gilt und welche Fristen anstehen.

Was bereits gilt

  • Seit 2. Februar 2025: Verbotene KI-Praktiken (Art. 5) und KI-Kompetenz (Art. 4)

  • Seit 2. August 2025: Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck (GPAI)

  • Seit 2. August 2026: Transparenzpflichten (Art. 50), z. B. Hinweis bei Chatbots und Kennzeichnung von Deepfakes. In Deutschland ist seit 29. Juli 2026 die Bundesnetzagentur zentrale Aufsichtsbehörde (KI-Marktüberwachungs- und Innovationsförderungsgesetz, KI-MIG).

Was sich durch den Digital Omnibus geändert hat

  • KI-Kompetenz (Art. 4): Unternehmen müssen ein ausreichendes Maß an KI-Kompetenz nicht mehr „sicherstellen“. Sie müssen aber Maßnahmen ergreifen, um sie zu fördern. Ein Zertifikat ist nicht vorgeschrieben, ein dokumentiertes, rollenbezogenes Schulungskonzept genügt. Strenger bleibt es für Personen, die Hochrisiko-KI beaufsichtigen (Art. 26 Abs. 2 KI-VO).

  • Hochrisiko-KI verschoben: eigenständige Systeme nach Anhang III (z. B. Personalauswahl, Kreditwürdigkeit) bis 2. Dezember 2027; KI in regulierten Produkten nach Anhang I (z. B. Maschinen, Spielzeug, Medizinprodukte) bis 2. August 2028.

  • Neue Verbote ab 2. Dezember 2026: KI-Systeme zur Erzeugung intimer Darstellungen identifizierbarer Personen ohne Einwilligung sowie von Darstellungen sexuellen Kindesmissbrauchs.

Keine Atempause: Diese Vorschriften gelten schon heute

Der Aufschub betrifft nur die Hochrisiko-Pflichten der KI-VO. Für dieselben KI-Anwendungen gelten andere Vorschriften bereits jetzt uneingeschränkt. Den Zeitplan einer KI-Einführung bestimmen deshalb in der Praxis eher Datenschutz und Mitbestimmung als die KI-VO.

  • DSGVO (gilt): Rechtsgrundlage (Art. 6), Auftragsverarbeitungsvertrag mit dem KI-Anbieter (Art. 28), Regeln für Datentransfers in Drittländer (Art. 44 ff.), Datenschutz-Folgenabschätzung bei hohem Risiko (Art. 35), Verbot rein automatisierter Entscheidungen (Art. 22)

  • Betriebsverfassungsgesetz (gilt): Mitbestimmung bei technischen Einrichtungen, die zur Leistungs- oder Verhaltenskontrolle geeignet sind (§ 87 Abs. 1 Nr. 6) – das trifft auf nahezu jedes KI-System zu, das Nutzungsdaten protokolliert; Unterrichtung bei der Planung (§ 90), Auswahlrichtlinien (§ 95)

  • Geschäftsgeheimnisgesetz (gilt): Schutz nur bei angemessenen Geheimhaltungsmaßnahmen (§ 2 Nr. 1 lit. b) – eine KI-Richtlinie, welche Daten in KI-Tools eingegeben werden dürfen, gehört dazu

  • Urheberrechtsgesetz (gilt): u. a. Text und Data Mining (§ 44b)

  • BSI-Gesetz / NIS-2 (gilt): Für betroffene Einrichtungen Risikomanagement einschließlich Sicherheit der Lieferkette (§ 30) – externe KI-Dienste gehören dazu

  • Neue Produkthaftungsrichtlinie (EU) 2024/2853 (Umsetzung bis 9. Dezember 2026): Software und damit auch KI gilt ausdrücklich als Produkt

Getrennte Projekte für KI-VO, Datenschutz und Mitbestimmung bedeuten doppelten Aufwand. Sinnvoller ist es, jede KI-Anwendung einmal unter allen Vorschriften zugleich zu prüfen.

Nächste Fristen

  • 2. Dezember 2026: Kennzeichnung KI-erzeugter Inhalte auch für Altsysteme; neue Verbote

  • 9. Dezember 2026: Umsetzung der neuen Produkthaftungsrichtlinie (Software/KI als Produkt)

  • 2. August 2027: GPAI-Modelle, die vor August 2025 auf dem Markt waren

  • 2. Dezember 2027: Hochrisiko-KI nach Anhang III

  • 2. August 2028: Hochrisiko-KI in Produkten nach Anhang I

Was das für Ihr Unternehmen bedeutet

  1. Überblick verschaffen: Welche KI-Tools werden genutzt, von wem, wofür? Auch KI-Funktionen in Standardsoftware und private „Schatten-KI“ erfassen. Das lässt sich in das Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO integrieren.

  2. Datenschutz und Betriebsrat einbinden: Rechtsgrundlage, Vertrag mit dem Anbieter, ggf. Datenschutz-Folgenabschätzung und eine Rahmenbetriebsvereinbarung für KI.

  3. KI-Richtlinie und KI-Kompetenz: Regeln für die Nutzung festlegen, Mitarbeitende rollenbezogen schulen und das dokumentieren.

  4. Hochrisiko prüfen: Die Zeit bis 2027/2028 nutzen, statt sie zu verschenken. Gerade Hersteller von Produkten mit KI-Funktionen sollten früh klären, ob Anhang I greift.

Unterstützung dabei: KI-Schnellbewertung, KI-Bestandsaufnahme und KI-Kompetenz-Training – siehe KI-Beratung.

Hinweis: Diese Übersicht dient der allgemeinen Information und ersetzt keine Rechtsberatung im Einzelfall.

bottom of page