Der 2. August 2026 kam ohne Feuerwerk, ohne Pressekonferenz und ohne Panik. Er hat die Linie der Konformität dennoch für jedes Unternehmen verschoben, das einen KI-Chat vor einen Kunden gestellt hat oder Texte veröffentlicht, die ein Modell geschrieben hat. Die Transparenzpflichten aus Artikel 50 der Verordnung 2024/1689 begannen zu gelten und wurden, anders als die Anforderungen an Hochrisikosysteme, nicht verschoben.
Hier steht, was tatsächlich zu tun ist und was nicht, ganz gleich was der Schulungsmarkt erzählt.
Der Zeitplan, damit die Regime nicht verschwimmen
| Datum | Was zu gelten beginnt |
|---|---|
| 2. Februar 2025 | Verbotene Praktiken nach Artikel 5, KI-Kompetenz nach Artikel 4 |
| 2. August 2025 | Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck |
| 2. August 2026 | Transparenzpflichten nach Artikel 50 |
| 2. Dezember 2027 | Anforderungen an Hochrisikosysteme nach Anhang III |
Der häufigste Fehler in einem Gespräch über Konformität ist, dass jemand “die KI-Verordnung” hört, sich Konformitätsbewertung, technische Dokumentation und Registrierung in einer EU-Datenbank vorstellt, das Ganze für zu groß hält und alles vertagt. All das gehört zu Hochrisikosystemen, die ein gewöhnliches Unternehmen nicht betreibt. Ein Assistent, der E-Mails entwirft, ist keines.
Vier Lagen, in denen Sie es sagen müssen
Das Gespräch mit einer Maschine. Ein KI-System, das unmittelbar mit einer Person interagiert, muss sie darüber informieren, dass sie es mit einem System zu tun hat, sofern das für eine angemessen informierte Person nicht offensichtlich ist. Der Hinweis muss bei der ersten Interaktion kommen und nicht in Bedingungen, die niemand öffnet. Die Ausnahme der Offensichtlichkeit ist eng und eine schlechte Grundlage für eine interne Richtlinie.
Die Kennzeichnung der Ausgabe. Ein Anbieter eines Systems, das Audio, Bilder, Video oder Text erzeugt, muss sicherstellen, dass die Ausgabe in einem maschinenlesbaren Format gekennzeichnet und als künstlich erzeugt erkennbar ist. Das ist eine Pflicht des Entwurfs, deshalb liegt sie beim Anbieter, wenn Sie eine Plattform kaufen. Prüfen Sie den Punkt vor der Unterschrift, denn die Frage kommt bei der ersten Prüfung zurück.
Emotionserkennung und Biometrie. Ein Betreiber von Emotionserkennung oder biometrischer Kategorisierung informiert die Personen, die ihr ausgesetzt sind. In der Praxis geht es um Recruiting, Sprachanalyse im Kundendienst und Systeme am Arbeitsplatz, also um Bereiche, in denen Sie ohnehin mit Ihrer Datenschutzbeauftragten sprechen.
Deepfakes und Texte von öffentlichem Interesse. Ein Betreiber, der einen Deepfake veröffentlicht oder einen generierten Text, der die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informiert, legt dessen künstlichen Ursprung offen. Hier gibt es eine Tür, die sich zu nutzen lohnt: die Pflicht gilt nicht für einen Text, den ein Mensch geprüft und für den er die redaktionelle Verantwortung übernommen hat.
Anbieter gegen Betreiber
Die Verordnung trennt durchgängig den Anbieter, der das System baut und in Verkehr bringt, vom Betreiber, der es unter eigener Verantwortung nutzt. Ein Unternehmen, das eine KI-Plattform kauft, ist in der Regel der Betreiber.
Die Aufteilung sieht so aus:
| Pflicht | Anbieter | Betreiber |
|---|---|---|
| Einer Person sagen, dass das Gegenüber eine KI ist | ja | nein |
| Maschinenlesbare Kennzeichnung erzeugter Ausgaben | ja | nein |
| Über Emotionserkennung informieren | nein | ja |
| Deepfakes und Texte von öffentlichem Interesse offenlegen | nein | ja |
| KI-Kompetenz der nutzenden Personen (Artikel 4) | beide | ja |
Schreiben Sie diese Aufteilung in den Vertrag mit dem Anbieter. Nicht weil eine Aufsicht den Vertrag sehen wollen wird, sondern weil jemand sagen muss, wessen Pflicht es war, wenn eine Kennzeichnung fehlt, und niemand will, dass dieses Gespräch mit Auslegung beginnt.
Was diese Woche zu tun ist
Drei Dinge tragen den größten Teil des Gewichts bei geringstem Aufwand.
Erstens ein Hinweis in der Chatoberfläche. Ein Satz, sichtbar vor der ersten Nachricht, in der Sprache der Oberfläche, ohne Juristendeutsch. “Sie sprechen mit einem KI-Assistenten” genügt.
Zweitens eine schriftliche Redaktionsregel: alles, was nach außen veröffentlicht wird, geht über einen Menschen, der dafür geradesteht. Das nimmt die Kennzeichnungspflicht aus Artikel 50 Absatz 4 weg und ist meist ohnehin das, was das Marketing wollte.
Drittens die Kompetenz. Artikel 4 gilt seit Februar 2025 und verlangt ein ausreichendes Maß an KI-Kenntnis bei den Personen, die KI im Namen des Unternehmens nutzen. Es gibt kein Zertifikat zu sammeln. Eine dokumentierte interne Schulung und eine Teilnehmerliste sind die passende Form.
Was die Verordnung nicht verlangt
Sie verlangt keine Einwilligung für die Nutzung eines Assistenten. Sie verlangt nicht, einen gewöhnlichen Chat irgendwo zu registrieren. Sie verlangt weder Konformitätsbewertung noch technische Dokumentation für ein Werkzeug, das Besprechungsnotizen zusammenfasst. Sie verbietet auch keine Modelle von außerhalb der Union, auch wenn diese Frage in der öffentlichen Beschaffung aus Gründen auftaucht, die mit ihr nichts zu tun haben.
Zu merken bleibt allerdings, dass die Transparenz aus Artikel 50 die gesetzliche Untergrenze ist und nicht die Obergrenze. Wenn eine Kundin fragt, welche Teile einer Antwort aus ihren Dokumenten stammen und welche aus dem Modell, ist das eine Frage nach Vertrauen und nicht nach Konformität. “Wir geben Belege mit Seitenzahlen” kommt besser an als “wir halten die Verordnung ein”.