Die KI-Verordnung gilt.Das musst du jetzt wirklich tun.
Seit dem 2. August 2026 ist der EU AI Act anwendbar. Was das für deinen Betrieb heißt, was der Digital Omnibus kurz vorher verschoben hat und welche drei Handgriffe die meisten Betriebe wirklich brauchen. Ohne Panik, mit Quellen.
Das Wichtigste
in sechzig Sekunden.
Kurzfassung- Der Termin stimmt, die Panik nicht
- Seit dem 2. August 2026 ist die KI-Verordnung allgemein anwendbar. Was für dich neu greift, ist im Kern ein einziger Artikel über Transparenz.
- Der große Block ist verschoben
- Die Pflichten für Hochrisiko-KI kommen erst am 2. Dezember 2027, bei KI in regulierten Produkten am 2. August 2028. Das hat der Digital Omnibus im Juli 2026 geändert.
- Die meisten sind nur Betreiber
- Wer KI einkauft und nutzt, hat deutlich weniger Pflichten als wer sie anbietet. Diese Unterscheidung entscheidet über fast alles.
- Drei Dinge musst du wirklich tun
- Chatbots und Voice-Agents kennzeichnen, KI-Bilder und Videos kennzeichnen, die echt wirken, und verbotene Funktionen wie Emotionserkennung abschalten.
Gesetztes Dokument im Brand-Layout, 3. August 2026. Zum Ausdrucken, Weitergeben und Ablegen. Ich aktualisiere es, wenn sich die Rechtslage ändert.
Vier Fragen,
in dieser Reihenfolge.
InhaltDer Leitfaden folgt den Fragen, die ein Betrieb tatsächlich in dieser Reihenfolge stellt. Wer wenig Zeit hat, liest Kapitel 1 und springt dann in Kapitel 4.
- 1Betrifft mich das überhaupt?Orientierung
- 2Was muss ich jetzt konkret tun?Deine Pflichten
- 3Was passiert, wenn ich nichts tue?Das Risiko
- 4Wie fange ich an?Die Umsetzung
- AnhangHäufige FragenQuellen und Abgrenzung
Betrifft mich das überhaupt?
Zuerst klären, in welcher Rolle du stehst und welcher Termin für dich gilt. Danach weißt du, welche der folgenden Kapitel du wirklich brauchst.
Erst die Rolle klären.
Sie entscheidet über alles Weitere.
1.1 · Deine RolleDie Verordnung unterscheidet nicht nach Branche, sondern nach Rolle. Fast jeder Betrieb im Mittelstand ist Betreiber und damit in der leichteren Klasse.
Du kaufst KI ein und nutzt sie im Betrieb
Der Normalfall. Du buchst einen Chatbot, nutzt ChatGPT für Texte, lässt einen Voice-Agent Anrufe annehmen oder setzt KI-Bilder in der Werbung ein. Deine Pflichten sind überschaubar und drehen sich fast ausschließlich um Offenlegung.
Du bringst ein KI-System unter deinem Namen in Umlauf
Gilt, wenn du selbst ein KI-Produkt entwickelst oder entwickeln lässt und es unter deiner Marke anbietest. Deutlich mehr Pflichten. Wichtig: Du kannst ungewollt hineinrutschen, siehe die Rollenfalle.
Vom Betreiber zum Anbieter, ohne es zu merken
Wer ein fremdes KI-System unter eigenem Namen anbietet, seinen Zweck wesentlich ändert oder ein Hochrisiko-System wesentlich umbaut, wird nach Art. 25 KI-VO selbst zum Anbieter. Ein weiß gelabelter Chatbot auf der eigenen Website kann genau das auslösen.
Merksatz: Betreiber heißt, du schuldest Offenlegung gegenüber deinen Kunden. Anbieter heißt, du schuldest zusätzlich Technik, Dokumentation und Nachweise. Wer die Rolle je System einmal schriftlich festhält, hat den größten Teil der Unsicherheit erledigt.
Die KI-Verordnung kommt
in Stufen, nicht auf einen Schlag.
1.2 · ZeitstrahlIn Kraft ist die Verordnung schon seit August 2024, anwendbar wird sie in acht Etappen. Drei davon liegen hinter dir, eine gilt seit diesem Monat, vier kommen noch.
- 2. Februar 2025gilt bereits
Verbote gelten
Die Verbotsliste der Verordnung ist seitdem scharf gestellt, die vollständige Aufstellung steht weiter unten. Ebenfalls seit diesem Tag gilt die Regel zur KI-Kompetenz im Betrieb.
- 2. August 2025gilt bereits
Regeln für die großen Modelle
Pflichten für Anbieter von Basismodellen wie GPT, Claude oder Gemini, dazu der Bußgeldrahmen und die Aufsichtsstruktur. Für dich als Anwender ändert das direkt nichts, es betrifft deine Werkzeuglieferanten.
- 27. und 29. Juli 2026gilt bereits
Zwei neue Gesetze kurz vor Torschluss
Am 27. Juli tritt die Digital-Omnibus-Verordnung (EU) 2026/1744 in Kraft und verschiebt den größten Pflichtenblock. Am 29. Juli folgt das deutsche KI-Durchführungsgesetz, das die Bundesnetzagentur zur zentralen Aufsicht macht.
- 2. August 2026gilt ab jetzt
Transparenzpflichten sind da
Ab jetzt muss erkennbar sein, wenn Menschen mit KI sprechen oder KI-Inhalte vor sich haben. Das ist der Teil, der fast jeden Betrieb betrifft, der eine Website, einen Chatbot oder KI-Bilder einsetzt. Die Marktüberwachung nimmt den Betrieb auf.
- 2. Dezember 2026kommt noch
Schonfrist endet, zwei neue Verbote
Für Systeme, die vor dem 2. August 2026 auf dem Markt waren, läuft die Übergangsfrist für die maschinenlesbare Markierung von KI-Inhalten aus. Gleichzeitig greifen neue Verbote für Nacktbild-Generatoren und Darstellungen von Kindesmissbrauch.
- 2. August 2027kommt noch
Altmodelle und Reallabore
Anbieter von Basismodellen, die vor August 2025 auf dem Markt waren, müssen nachziehen. Die Mitgliedstaaten müssen ihre Reallabore für KI-Tests bereitstellen.
- 2. Dezember 2027kommt noch
Hochrisiko-Systeme
Der verschobene Hauptblock: KI in Personalauswahl, Kreditwürdigkeitsprüfung, Bildung, kritischer Infrastruktur und Behörden. Ursprünglich war das der 2. August 2026, der Omnibus gibt sechzehn Monate mehr.
- 2. August 2028kommt noch
KI in regulierten Produkten
KI als Sicherheitsbauteil in Maschinen, Medizinprodukten, Fahrzeugen und Aufzügen. Betrifft Hersteller, nicht Anwender.
Was muss ich jetzt konkret tun?
Der Teil, der seit dem 2. August 2026 anwendbar ist. Erst die vier Regeln, dann in Bildern, wie erfüllte und verfehlte Kennzeichnung aussieht, dann fertige Sätze zum Übernehmen. Zum Schluss, was gar nicht geht.
Vier Pflichten.
Mehr ist es für die meisten nicht.
2.1 · Art. 50 KI-VODer gesamte Transparenzteil der Verordnung steckt in einem einzigen Artikel mit vier Absätzen. Zwei davon richten sich an die Hersteller der Werkzeuge, zwei an dich als Anwender. Die Kommission hat dazu am 20. Juli 2026 endgültige Leitlinien veröffentlicht.
Menschen müssen wissen, dass sie mit einer Maschine sprechen
Jedes KI-System, das direkt mit Menschen interagiert, muss so gebaut sein, dass die Person das erkennt. Die Information muss spätestens beim Start der ersten Interaktion kommen und dort stehen, wo die Interaktion stattfindet.
Gilt zum Beispiel für: Chatbot auf der Website, Voice-Agent, der Anrufe annimmt, KI-Avatar im Kundenportal, WhatsApp- oder Messenger-Bot.
Die Grenze: Die Pflicht entfällt nur, wenn es für einen aufmerksamen Durchschnittsnutzer offensichtlich ist. Die Kommission legt das eng aus. Ein Roboter-Symbol oder ein Fantasiename reichen nicht.
KI-Inhalte müssen maschinenlesbar markiert sein
Wer ein System anbietet, das Bild, Ton, Video oder Text erzeugt, muss die Ausgabe technisch als künstlich erzeugt markieren, etwa über Wasserzeichen oder Metadaten. Die Markierung muss wirksam, robust und interoperabel sein.
Gilt zum Beispiel für: Bildgeneratoren, Sprachsynthese und Stimmklone, Videomodelle, Textgeneratoren.
Die Grenze: Diese Pflicht liegt bei deinem Werkzeuglieferanten, nicht bei dir als Anwender. Für Systeme, die vor dem 2. August 2026 auf dem Markt waren, gilt eine Schonfrist bis zum 2. Dezember 2026. Deine Aufgabe ist die Auswahl: Frag beim Einkauf nach, ob markiert wird.
Emotionserkennung und biometrische Einordnung offenlegen
Wer solche Systeme einsetzt, muss die betroffenen Personen darüber informieren. Praktisch ist die Vorschrift schmal, weil der wichtigste Anwendungsfall im Betrieb ohnehin verboten ist.
Gilt zum Beispiel für: Emotionsanalyse in Kundengesprächen, Biometrische Kategorisierung von Besuchern.
Die Grenze: Bei Mitarbeitenden und in Schulungen ist Emotionserkennung seit Februar 2025 verboten, nicht nur kennzeichnungspflichtig. Ausnahmen gibt es nur aus medizinischen oder Sicherheitsgründen.
Deepfakes offenlegen, KI-Texte zu öffentlichen Themen kennzeichnen
Bild, Ton oder Video, das echt wirkt, aber künstlich erzeugt oder verändert wurde, muss als solches offengelegt werden. Bei Texten gilt die Kennzeichnung nur, wenn sie der Information der Öffentlichkeit über Angelegenheiten von öffentlichem Interesse dienen.
Gilt zum Beispiel für: Fotorealistische Werbebilder mit Menschen, Synthetische Stimme im Werbespot, KI-Avatar im Social-Video, Beitrag zu einem gesellschaftlichen Thema.
Die Grenze: Zwei Entlastungen: Bei Kunst, Satire und Fiktion darf der Hinweis so gesetzt werden, dass er die Darstellung nicht stört. Und bei Texten entfällt die Kennzeichnung, wenn ein Mensch den Inhalt redaktionell geprüft hat und jemand die Verantwortung dafür trägt. Rechtschreibprüfung genügt dafür nicht.
So sieht es aus,
wenn es richtig gemacht ist.
2.2 · BildbeispieleNachbauten typischer Oberflächen. Links jeweils die Fassung, die die Transparenzpflicht erfüllt, rechts der Fehler, den die Leitlinien der Kommission ausdrücklich benennen.
Der Hinweis steht in der ersten Nachricht und zusätzlich in der Kopfzeile. Er ist ohne Klick sichtbar, in einfacher Sprache, und der Weg zum Menschen ist gleich mit angeboten.
Ein menschlich klingender Name, ein Roboter-Symbol oder ein Satz in den Nutzungsbedingungen genügen nicht. Verlangt ist ein Hinweis, der in der Interaktion selbst wahrnehmbar ist.
„Guten Tag, Sie sprechen mit dem KI-Assistenten von Müller Haustechnik. Das Gespräch führt eine Software, kein Mitarbeiter. Sagen Sie jederzeit Mitarbeiter, dann stelle ich Sie durch."
„Ich hätte gern einen Termin."
Der Hinweis kommt vor dem eigentlichen Anliegen, nicht nach der ersten Frage. Die Weiterleitung an einen Menschen wird aktiv angeboten.
„Guten Tag, Müller Haustechnik, was kann ich für Sie tun?"
„Ich hätte gern einen Termin."
„Hinweis: Dieses Gespräch wurde von einem KI-System geführt."
Zu spät. Die Information muss ab dem Start der ersten Interaktion vorliegen, damit die Person entscheiden kann, ob sie so weiterreden will.
Fotorealistische Darstellungen von Menschen brauchen einen Hinweis, auch wenn niemand getäuscht werden soll und die abgebildete Person gar nicht existiert.
Eine Bildunterschrift, die das erzeugte Bild als echte Aufnahme ausgibt, ist der klassische Fall. Bei Werbung kommt zum KI-Verstoß noch das Irreführungsrisiko dazu.
Ein Beitrag zu einem gesellschaftlichen Thema. Mit benannter redaktioneller Verantwortung entfällt die Kennzeichnungspflicht sogar, der Hinweis schafft trotzdem Vertrauen.
Eine Leistungsseite ist keine Information der Öffentlichkeit über Angelegenheiten von öffentlichem Interesse. Der Warnhinweis ist hier nicht verlangt und kostet nur Vertrauen.
Sechs Sätze,
die den größten Teil abdecken.
2.3 · FormulierungenRedaktionelle Vorschläge aus der Praxis, keine geprüften Rechtstexte. Sie zeigen die Tonlage, die funktioniert: klar, kurz, an der Stelle, wo die Interaktion passiert.
Hallo, hier schreibt der KI-Assistent von [Firma]. Ich bin kein Mensch. Wenn du lieber persönlich sprichst, sag Bescheid und ich verbinde dich weiter.
Guten Tag, Sie sprechen mit dem KI-Assistenten von [Firma]. Das Gespräch führt eine Software, kein Mitarbeiter. Sagen Sie jederzeit Mitarbeiter, dann stelle ich Sie durch.
KI-generiertes Symbolbild. Zeigt keine realen Personen, Orte oder Ereignisse.
Recherche und Entwurf sind mit KI-Unterstützung entstanden. Der Beitrag wurde von [Name] inhaltlich geprüft und verantwortet, Zahlen und Quellen wurden gegen die Originale abgeglichen.
Stimme und Darstellung in diesem Video sind KI-generiert.
Wir setzen KI an folgenden Stellen ein: [Aufzählung]. Wo KI Inhalte erzeugt, kennzeichnen wir das am Inhalt selbst. Entscheidungen über Angebote, Preise und Verträge trifft bei uns immer ein Mensch.
Sieben Praktiken,
die niemand einsetzen darf.
2.4 · Verbote, seit Februar 2025Diese Liste ist kein Zukunftsthema, sie gilt seit dem 2. Februar 2025 und trägt den höchsten Bußgeldrahmen der ganzen Verordnung. Für Betriebe ist vor allem der erste Punkt relevant, weil Emotions- und Stimmungsanalyse als Zusatzfunktion in Software steckt, die längst im Haus ist.
- Emotionserkennung am Arbeitsplatz und in Schulungen
Der praktisch wichtigste Fall für Betriebe. Ausnahmen nur aus medizinischen oder Sicherheitsgründen.
- Manipulation und Ausnutzen von Schwäche
Techniken unterhalb der Wahrnehmungsschwelle oder das gezielte Ausnutzen von Alter, Behinderung oder wirtschaftlicher Notlage.
- Soziale Bewertung von Menschen
Verhalten aus einem Lebensbereich in einen anderen übertragen und daraus Nachteile ableiten.
- Biometrische Kategorisierung nach sensiblen Merkmalen
Rückschlüsse auf politische Meinung, Weltanschauung, Gewerkschaftszugehörigkeit oder sexuelle Orientierung.
- Ungezieltes Sammeln von Gesichtsbildern
Aufbau von Gesichtserkennungs-Datenbanken durch Abgreifen aus dem Internet oder aus Überwachungsaufnahmen.
- Straftaten-Vorhersage anhand von Persönlichkeitsmerkmalen
Risikoeinschätzungen, die allein auf Profiling beruhen.
- Nacktbild-Generatoren und Missbrauchsdarstellungen
Neu durch den Digital Omnibus, verboten ab dem 2. Dezember 2026.
Was passiert, wenn ich nichts tue?
Wer kontrolliert, was es kostet, und welcher Pflichtenblock im Dezember 2027 nachkommt. Dieses Kapitel entscheidet, wie dringend das Vorherige für dich ist.
Wer kontrolliert
und was es kostet.
3.1 · Bußgelder und AufsichtSeit dem 29. Juli 2026 ist in Deutschland das KI-Durchführungsgesetz in Kraft. Es macht die Bundesnetzagentur zur zentralen Marktüberwachungsbehörde, dort sitzt auch die Beschwerdestelle für Verstöße. Für einzelne Bereiche bleiben Fachbehörden zuständig, etwa die BaFin für den Finanzsektor.
Die Bundesnetzagentur betreibt zusätzlich einen KI-Service-Desk und einen Compliance-Kompass, beides kostenfrei und ausdrücklich für kleinere Unternehmen gedacht.
Verbotene Praktiken
Verstoß gegen sonstige Pflichten, auch Art. 50
Falsche Angaben gegenüber Behörden
Für kleine und mittlere Unternehmen und für Start-ups gilt jeweils der niedrigere der beiden Werte, also der Millionenbetrag oder der Prozentsatz, je nachdem was weniger ist. Zusätzlich sieht das deutsche Durchführungsgesetz eigene Bußgelder bis 50.000 Euro für bestimmte nationale Pflichtverstöße vor.
Und noch eine nüchterne Einordnung: Eine Behörde, die am Stichtag mit dem Aufbau beginnt, wird kaum am ersten Tag Bußgelder gegen Handwerksbetriebe verhängen. Der realistische Auslöser ist eine Beschwerde, und Beschwerden entstehen dort, wo Menschen sich getäuscht fühlen.
Der große Block
ist aufgeschoben, nicht aufgehoben.
3.2 · Hochrisiko ab Dezember 2027Das war der eigentliche Grund für die Aufregung um den 2. August 2026. Der Grund für die Verschiebung war nüchtern: Die technischen Normen und die Prüfstellen waren nicht rechtzeitig fertig.
Wichtig für dich: Wenn du Personalauswahl oder Bonitätsprüfung mit KI unterstützen willst, ist die Verschiebung kein Freibrief. Datenschutzrecht und Mitbestimmung gelten unverändert, und wer erst Ende 2027 anfängt, baut anschließend unter Zeitdruck um. Diese sechs Bereiche sind gemeint.
- Personalauswahl und Personalentscheidungen
Bewerbungsvorauswahl, Ranking von Kandidaten, Beförderung, Kündigung, Aufgabenzuteilung.
- Kreditwürdigkeit natürlicher Personen
Bonitätsbewertung und Scoring, ausgenommen Erkennung von Zahlungsbetrug.
- Bildung und Prüfungen
Zulassung, Bewertung von Lernergebnissen, Überwachung von Prüfungen.
- Zugang zu wesentlichen Leistungen
Vergabe öffentlicher Leistungen, Risikobewertung in der Lebens- und Krankenversicherung, Notrufe.
- Kritische Infrastruktur
Sicherheitsbauteile in Verkehr, Wasser, Gas, Wärme, Strom und digitaler Infrastruktur.
- Behörden, Strafverfolgung, Migration, Justiz
Von der Verdachtsbewertung bis zur Unterstützung richterlicher Entscheidungen.
Wie fange ich an?
Die Handlungsebene. Acht Dinge tun, acht lassen, zehn Punkte abhaken. Alles darin bezieht sich auf Regeln, die in den Kapiteln davor erklärt sind.
Acht Dinge tun.
Acht Dinge lassen.
4.1 · Do's and Don'tsSortiert nach dem, was in Betrieben tatsächlich passiert, nicht nach der Reihenfolge der Paragrafen. Die linke Spalte kostet dich einen halben Tag. Die rechte Spalte kostet nichts und verhindert die teuren Fehler.
- 01
Schreib auf, welche KI bei dir läuft
Eine Liste reicht: Werkzeug, wofür es genutzt wird, wer der Anbieter ist, ob Kundendaten hineingehen. Fast immer ist das die zeitaufwendigste Aufgabe und gleichzeitig die, die alles andere leicht macht. Denk an die versteckten Fälle: KI-Funktionen in CRM, Telefonanlage, Bewerbungsportal und Support-Software.
- 02
Setz den KI-Hinweis dorthin, wo gesprochen wird
Beim Chatbot in die erste Nachricht oder ins Kopffeld des Fensters. Beim Voice-Agent in den ersten Satz der Ansage. Sichtbar, in einfacher Sprache, ohne dass jemand klicken muss.
- 03
Kennzeichne Bilder und Videos, die echt wirken
Sobald ein KI-Bild aussieht wie eine Fotoaufnahme von Menschen, Orten oder Ereignissen, gehört ein Hinweis daran. Ein kurzer Zusatz an der Bildunterschrift genügt, etwa KI-generiertes Symbolbild.
- 04
Halt die redaktionelle Freigabe fest
Wenn ein Mensch KI-Texte inhaltlich prüft und dafür geradesteht, entfällt die Kennzeichnungspflicht bei Texten. Diese Entlastung bekommst du aber nur, wenn du sie auch belegen kannst. Ein Namenskürzel im Redaktionssystem oder eine kurze Freigabezeile reichen.
- 05
Schalt verbotene Funktionen aktiv ab
Viele Systeme bringen Emotionsanalyse oder Stimmungserkennung als Zusatzfunktion mit, häufig in Kundenservice- und Schulungssoftware. Bei Mitarbeitenden ist das verboten und trägt den höchsten Bußgeldrahmen der Verordnung. Prüfen, deaktivieren, Deaktivierung dokumentieren.
- 06
Bring deinem Team bei, wie die Werkzeuge funktionieren
Die harte Pflicht dazu wurde im Juli 2026 abgeschwächt, das Haftungsrisiko nicht. Wenn ein Fehler passiert, weil niemand wusste, dass ein Modell Dinge erfindet, hilft der weichere Gesetzestext dir nicht weiter. Eine Stunde Einweisung und eine Seite Hausregeln sind realistisch.
- 07
Frag beim Einkauf nach der Markierung
Zwei Fragen an jeden KI-Anbieter: Markiert ihr eure Ausgaben maschinenlesbar nach Art. 50 Abs. 2, und wo liegen die Daten. Antworten schriftlich geben lassen und zur Werkzeugliste legen.
- 08
Setz dir zwei Wiedervorlagen
Den 2. Dezember 2026 für das Ende der Markierungs-Schonfrist und den 2. Dezember 2027 für die Hochrisiko-Regeln. Wer Personalauswahl oder Bonitätsprüfung mit KI plant, fängt spätestens Anfang 2027 mit der Vorbereitung an.
- 01
Nicht denken, alles sei verschoben
Verschoben wurden die Hochrisiko-Pflichten. Der Transparenzteil gilt seit dem 2. August 2026, und genau dieser Teil betrifft die Werkzeuge, die im Mittelstand tatsächlich im Einsatz sind.
- 02
Den Hinweis nicht in Datenschutz oder AGB verstecken
Die Kommission sagt es ausdrücklich: Ein Satz in den Nutzungsbedingungen erfüllt die Pflicht nicht, ein reines Metadaten-Wasserzeichen ebenfalls nicht. Der Hinweis muss in der Interaktion selbst wahrnehmbar sein.
- 03
Nicht alles kennzeichnen, was mit KI entstanden ist
Ein mit KI-Hilfe geschriebener Leistungstext auf deiner Website ist kein kennzeichnungspflichtiger Fall. Die Textpflicht greift nur bei Angelegenheiten von öffentlichem Interesse und auch dort nicht, wenn redaktionell geprüft wurde. Wer überall Warnhinweise setzt, verliert Vertrauen ohne rechtlichen Gewinn.
- 04
KI nicht im Team einsickern lassen
Wenn jede Abteilung sich ihr eigenes Werkzeug zieht, weißt du im Ernstfall nicht, wo Kundendaten gelandet sind und welche Ausgabe gekennzeichnet gehört. Eine kurze Freigabeliste löst das: Diese Werkzeuge sind erlaubt, für neue fragt ihr vorher.
- 05
Dich nicht blind auf den Anbieter verlassen
Dass dein Werkzeug aus der EU kommt oder ein Konformitätsversprechen im Marketing steht, nimmt dir deine eigenen Betreiberpflichten nicht ab. Die Offenlegung gegenüber deinen Kunden bleibt deine Aufgabe.
- 06
Nicht ungewollt zum Anbieter werden
Wer einen zugekauften Chatbot unter eigenem Namen vermarktet oder seinen Zweck wesentlich ändert, kann nach Art. 25 KI-VO selbst in die Anbieterrolle rutschen, mit deutlich mehr Pflichten. Weiße Labels bewusst setzen, nicht nebenbei.
- 07
Keine Kundendaten ungeprüft in fremde Werkzeuge kippen
Die KI-Verordnung ersetzt die Datenschutz-Grundverordnung nicht, sie kommt obendrauf. Personenbezogene Daten in einem KI-Werkzeug brauchen weiterhin Rechtsgrundlage, Auftragsverarbeitung und eine saubere Antwort zur Frage, wo verarbeitet wird.
- 08
Kein Compliance-Siegel kaufen, das nichts belegt
Rund um den Stichtag werben viele mit Zertifikaten und Konformitätsnachweisen. Für Systeme außerhalb der Hochrisiko-Klasse gibt es gar kein förmliches Verfahren, das ein solches Siegel tragen würde. Nachweise entstehen aus deiner Dokumentation, nicht aus einem Logo.
Zehn Punkte.
Dann bist du für den Anfang durch.
4.2 · ChecklisteZum Abhaken, allein oder mit deinem Team. Die Liste ersetzt keine Prüfung durch einen Anwalt, sie zeigt dir aber in zehn Minuten, wo du wirklich noch Lücken hast.
- Liste aller KI-Werkzeuge im Betrieb steht, inklusive der versteckten Funktionen in Bestandssoftware.
- Für jedes Werkzeug ist notiert, ob du Betreiber oder Anbieter bist.
- Chatbot, Voice-Agent und Formular-Assistenten weisen zu Beginn auf die KI hin.
- KI-Bilder und Videos, die echt wirken, tragen einen Hinweis.
- Für KI-Texte ist geregelt, wer redaktionell freigibt und wie das festgehalten wird.
- Emotionserkennung und biometrische Kategorisierung sind geprüft und, wo nötig, abgeschaltet.
- Das Team wurde eingewiesen, es gibt eine kurze Hausregel zur KI-Nutzung.
- Von den Anbietern liegen Aussagen zu Markierung und Datenverarbeitung schriftlich vor.
- Datenschutzerklärung und Verarbeitungsverzeichnis kennen die KI-Werkzeuge.
- Wiedervorlagen für den 2. Dezember 2026 und den 2. Dezember 2027 stehen im Kalender.
Die Fragen,
die mir Kunden gerade stellen.
Sortiert nach Grundlagen, Website, Personal und Aufsicht. Wenn deine Frage fehlt, schreib mir, ich nehme sie auf.
Beides, je nach Teil. Die Verordnung ist seit dem 2. August 2026 allgemein anwendbar, insbesondere die Transparenzpflichten aus Art. 50. Verschoben wurden nur die Pflichten für Hochrisiko-Systeme, auf den 2. Dezember 2027 beziehungsweise den 2. August 2028. Diese Verschiebung kam durch die Digital-Omnibus-Verordnung (EU) 2026/1744, die am 27. Juli 2026 in Kraft getreten ist.
Alles nachprüfbar.
Stand 3. August 2026.
Anhang · QuellenJede Aussage auf dieser Seite ist gegen die Primärquellen geprüft. Wenn dir etwas widersprüchlich erscheint, liegt es meist an Beiträgen, die vor dem Digital Omnibus vom Juli 2026 geschrieben wurden und noch die alten Fristen nennen.
- Verordnung (EU) 2024/1689 (KI-Verordnung)
Der Verordnungstext selbst, konsolidiert und in allen Amtssprachen.
- Verordnung (EU) 2026/1744 (Digital Omnibus zur KI)
Die Änderungsverordnung vom 8. Juli 2026, veröffentlicht am 24. Juli, in Kraft seit dem 27. Juli 2026. Sie enthält die neuen Anwendungsdaten.
- Leitlinien der EU-Kommission zu Art. 50
Endgültige Fassung vom 20. Juli 2026, dazu der als angemessen bestätigte Verhaltenskodex zur Transparenz KI-generierter Inhalte.
- Bundesnetzagentur, KI-Service-Desk und Beschwerdestelle
Die zuständige deutsche Aufsicht, mit kostenfreiem Compliance-Kompass für den Einstieg.
- Gesetz zur Durchführung der KI-Verordnung
Die nationale Umsetzung, verkündet im Bundesgesetzblatt 2026 I Nr. 233 vom 28. Juli 2026, in Kraft seit dem 29. Juli 2026.
Diese Unterlage ist Aufklärung, keine Rechtsberatung. Ich bin Entwickler und KI-Dienstleister, kein Anwalt. Rechtsberatung im Einzelfall darf und will ich nicht leisten. Was ich für dich tun kann, ist die technische Seite: Hinweise an der richtigen Stelle einbauen, KI-Werkzeuge sauber aufsetzen, den Bestand aufnehmen und dokumentieren. Die rechtliche Bewertung deines Falls gehört zu einem Anwalt für IT-Recht, gerade wenn Personalauswahl, Bonitätsprüfung oder Behördenkontakt im Spiel sind.
