Auf einen Blick
- Verbotene KI-Praktiken sind seit Februar 2025 untersagt, Pflichten für Anbieter allgemeiner KI-Modelle gelten seit August 2025.
- Transparenzpflichten – etwa die Kennzeichnung von Chatbots und KI-generierten Inhalten – gelten seit 2. August 2026.
- Die Pflichten für Hochrisiko-KI wurden 2026 verschoben: auf den 2. Dezember 2027 bzw. 2. August 2028.
- Die meisten Unternehmen sind „Betreiber“: Sie brauchen ein KI-Inventar, klare Regeln und geschulte Mitarbeitende.
Der Zeitplan nach dem Omnibus 2026
Die KI-Verordnung (EU 2024/1689) ist am 1. August 2024 in Kraft getreten. Mit dem „Digital Omnibus“ zur KI hat die EU im Sommer 2026 vor allem die Fristen für Hochrisiko-Systeme verschoben. Der aktuelle Stand:
| Seit / ab | Was gilt |
|---|---|
| 2. Februar 2025 | Verbotene Praktiken (z. B. Social Scoring, Emotionserkennung am Arbeitsplatz); KI-Kompetenz der Beschäftigten |
| 2. August 2025 | Pflichten für Anbieter allgemeiner KI-Modelle (GPAI), Aufsichtsstrukturen, Sanktionen |
| 2. August 2026 | Transparenzpflichten nach Art. 50: Chatbots, Deepfakes und KI-generierte Inhalte kennzeichnen |
| 2. Dezember 2027 | Hochrisiko-KI nach Anhang III, z. B. in Personalauswahl, Kreditwürdigkeitsprüfung, kritischer Infrastruktur |
| 2. August 2028 | Hochrisiko-KI als Teil regulierter Produkte nach Anhang I, z. B. Maschinen und Medizinprodukte |
Wichtig: Die Verschiebung betrifft nur die Hochrisiko-Pflichten. Verbote, GPAI-Pflichten und Transparenzpflichten gelten unverändert – ebenso die DSGVO für jede KI, die personenbezogene Daten verarbeitet.
Anbieter oder Betreiber?
Die Verordnung unterscheidet vor allem zwischen Anbietern, die ein KI-System entwickeln oder unter eigenem Namen in Verkehr bringen, und Betreibern, die es in eigener Verantwortung nutzen. Die meisten Unternehmen sind Betreiber: Sie setzen einen Assistenten im Büro ein, automatisieren Dokumente oder werten Daten aus.
Vorsicht bei Eigenentwicklungen: Wer ein Modell wesentlich verändert, unter eigener Marke anbietet oder für einen Hochrisiko-Zweck einsetzt, kann selbst zum Anbieter werden – mit deutlich mehr Pflichten.
Was Unternehmen jetzt tun sollten
- KI-Inventar anlegenWelche KI-Systeme sind im Einsatz – offiziell und inoffiziell? Schatten-KI, also private Konten bei Chat-Diensten, ist in vielen Unternehmen der größte blinde Fleck.
- Risiko einordnenJedes System einer Risikoklasse zuordnen: verboten, hohes Risiko, Transparenzpflicht oder minimales Risiko. Hochrisiko-Anwendungen früh erkennen – 2027 ist schneller da als gedacht.
- Regeln festlegenEine KI-Richtlinie klärt, welche Werkzeuge erlaubt sind, welche Daten hineindürfen und wer freigibt. Datenschutz und Informationssicherheit gehören von Anfang an dazu.
- Kompetenz aufbauenMitarbeitende, die mit KI arbeiten, brauchen ein Grundverständnis von Möglichkeiten, Grenzen und Risiken – passend zu ihrer Rolle.
- Transparenz sicherstellenChatbots als solche erkennbar machen und KI-generierte Inhalte kennzeichnen, wo die Verordnung es verlangt.
Wann eigene KI im Haus sinnvoll ist
Nicht jede KI muss aus der Cloud kommen. Leistungsfähige offene Sprachmodelle laufen heute auf eigenen Servern oder direkt am Gerät. Das lohnt sich vor allem, wenn:
- vertrauliche Daten verarbeitet werden – Verträge, Konstruktionsdaten, Personal- oder Gesundheitsdaten – und kein Byte das Haus verlassen soll,
- Verfügbarkeit zählt, auch bei schlechter oder fehlender Netzverbindung, etwa in Produktion, Logistik oder im Außendienst,
- Kosten planbar sein sollen, weil die Nutzung hoch und gleichmäßig ist,
- Nachvollziehbarkeit gefordert ist: Modellversion, Daten und Protokolle bleiben unter Ihrer Kontrolle.
Cloud-Dienste bleiben die bessere Wahl, wenn Sie schnell starten wollen, die Nutzung schwankt oder Sie die stärksten verfügbaren Modelle brauchen. Häufig ist eine Kombination sinnvoll: sensible Aufgaben lokal, alles andere in der Cloud – über eine gemeinsame Schnittstelle.
In unserer eigenen, von der BSFZ bescheinigten Forschung arbeiten wir an Systemen, die auch offline verlässlich arbeiten – einschließlich KI-Funktionen direkt am Gerät. Diese Erfahrung fließt in unsere Kundenprojekte ein.
Häufige Fragen
Müssen wir den Einsatz von ChatGPT & Co. melden?
Nein, eine Meldepflicht für Betreiber gewöhnlicher KI-Anwendungen gibt es nicht. Sie sollten den Einsatz aber dokumentieren, regeln und die Beschäftigten schulen – und die DSGVO beachten.
Was passiert bei Verstößen?
Die Bußgelder sind gestaffelt: bis zu 35 Mio. € oder 7 % des weltweiten Jahresumsatzes bei verbotenen Praktiken, bis zu 15 Mio. € oder 3 % bei anderen Pflichten. Für KMU gelten jeweils die niedrigeren Beträge.
Ist lokale KI automatisch DSGVO-konform?
Nein, aber vieles wird einfacher: Es gibt keine Übermittlung an Dritte und keine Drittlandfrage. Zweckbindung, Löschkonzepte und Zugriffsrechte müssen Sie trotzdem regeln.
Hinweis: Dieser Beitrag gibt einen fachlichen Überblick (Stand: Oktober 2026) und ersetzt keine Rechtsberatung. Für die verbindliche Einordnung Ihres Unternehmens arbeiten wir auf Wunsch mit Ihrer Rechtsberatung zusammen.
Passende Leistung