KI-Risikoklassen-Check nach der EU-KI-Verordnung

Betreiber. Anbieter ist nach Art. 3 Nr. 3 KI-VO, wer ein KI-System entwickelt oder entwickeln lässt und es unter eigenem Namen in Verkehr bringt. Wer ein fertiges Werkzeug einkauft und im eigenen Betrieb einsetzt, ist Betreiber nach Art. 3 Nr. 4 — im englischen Text „deployer". Zum Anbieter werden Sie erst, wenn Sie das System unter Ihrem Namen weitergeben, es wesentlich verändern oder seinen Zweck so verschieben, dass es hochriskant wird (Art. 25 Abs. 1).

Nicht automatisch, aber häufig. Anhang III Nr. 4 der KI-Verordnung erfasst Systeme, die Bewerbungen vorsortieren oder bewerten, Stellenanzeigen gezielt ausspielen, über Beförderung oder Kündigung entscheiden, Aufgaben nach Verhalten zuteilen oder die Leistung von Beschäftigten überwachen. Art. 6 Abs. 3 nimmt Systeme wieder heraus, die nur eine eng begrenzte Verfahrensaufgabe erledigen oder rein vorbereitend tätig sind. Diese Ausnahme entfällt jedoch immer, wenn das System Profiling betreibt — also aus persönlichen Merkmalen Aussagen über Personen ableitet.

Für eigenständige Hochrisiko-Systeme nach Anhang III: ja. Die Verordnung (EU) 2026/1744 — der Digital-Omnibus zur künstlichen Intelligenz — ist am 27. Juli 2026 in Kraft getreten und hat den Geltungsbeginn vom 2. August 2026 auf den 2. Dezember 2027 verschoben. Für KI als Sicherheitsbauteil in regulierten Produkten nach Anhang I gilt statt des 2. August 2027 nun der 2. August 2028. Verschoben ist allerdings nur der Termin, nicht der Inhalt: Die Anforderungen selbst sind im Wesentlichen unverändert geblieben.

Die Transparenzpflichten nach Art. 50 — Chatbots müssen sich zu erkennen geben, erzeugte Inhalte müssen markiert und Deepfakes offengelegt werden. Sie wurden ausdrücklich nicht verschoben. Ebenfalls in Kraft: die Marktüberwachung und die Zuständigkeit der Behörden. Für Systeme, die vor dem 2. August 2026 schon auf dem Markt waren, läuft die Übergangsfrist zur maschinenlesbaren Markierung am 2. Dezember 2026 ab. Unabhängig davon gelten die Verbote des Art. 5 und die KI-Kompetenzpflicht des Art. 4 bereits seit dem 2. Februar 2025.

Anbieter und Betreiber müssen Maßnahmen ergreifen, damit ihr Personal KI-Systeme sachkundig einsetzt — abgestuft nach Vorkenntnissen, Aufgabe und den betroffenen Personen. Der Digital-Omnibus hat klargestellt, dass kein bestimmtes Kompetenzniveau einzelner Personen garantiert werden muss; es ist eine Bemühens-, keine Erfolgspflicht. Art. 99 sieht dafür keinen eigenen Bußgeldtatbestand vor. Nachweisen sollten Sie es trotzdem: Aufsichtsbehörden, Kunden und Versicherer fragen danach, und ohne Schulungsnachweis steht man bei anderen Verstößen schlechter da.

Ja, sofern nicht ohnehin offensichtlich ist, dass eine Maschine antwortet. Nach dem Wortlaut des Art. 50 Abs. 1 trifft die Pflicht den Anbieter des Systems: Er muss es so gestalten, dass Nutzer informiert werden. Als Betreiber prüfen Sie deshalb, ob der eingekaufte Chatbot diesen Hinweis mitbringt — und ergänzen ihn, wenn er fehlt. Ein Satz vor dem ersten Dialog genügt. Aufwendiger wird es bei Deepfakes und bei KI-Texten über Themen von öffentlichem Interesse: Dort trifft die Offenlegungspflicht nach Art. 50 Abs. 4 ausdrücklich den Betreiber.

Nein. Die Grundrechte-Folgenabschätzung nach Art. 27 KI-VO fragt nach Auswirkungen auf Grundrechte insgesamt, die Datenschutz-Folgenabschätzung nach Art. 35 DSGVO nach Risiken der Verarbeitung personenbezogener Daten. Der Digital-Omnibus erlaubt ausdrücklich, einschlägige Teile einer vorhandenen Datenschutz-Folgenabschätzung zu übernehmen — die eine ersetzt die andere aber nicht. Praktisch relevant ist außerdem der Zeitversatz: Die Datenschutz-Folgenabschätzung gilt heute, die Grundrechte-Folgenabschätzung erst ab dem 2. Dezember 2027.

Art. 99 kennt drei Stufen: bis 35 Mio. € oder 7 % des weltweiten Jahresumsatzes bei verbotenen Praktiken, bis 15 Mio. € oder 3 % bei Verstößen gegen Anbieter-, Betreiber- oder Transparenzpflichten, bis 7,5 Mio. € oder 1 % bei falschen Angaben gegenüber Behörden. Für kleine und mittlere Unternehmen einschließlich Start-ups gilt jeweils der niedrigere der beiden Werte (Art. 99 Abs. 6). Bei 8 Mio. € Jahresumsatz liegt die mittlere Stufe damit bei 240.000 €, nicht bei 15 Mio. €.

Seit dem 29. Juli 2026 die Bundesnetzagentur. Grundlage ist das Gesetz zur Marktüberwachung und Innovationsförderung von künstlicher Intelligenz (KI-MIG). Die Behörde ist zentrale Marktüberwachungs-, Anlauf- und Beschwerdestelle und betreibt das Koordinierungs- und Kompetenzzentrum KoKIVO mit einem KI-Service-Desk für Unternehmen. In regulierten Sektoren bleiben die bisherigen Behörden zuständig: die BaFin für Finanzdienstleistungen, das BfArM für Medizinprodukte, die Datenschutzaufsicht für Datenschutzverstöße, das BSI für IT-Sicherheit. Bußgelder verhängt jeweils die sachlich zuständige Behörde.