Ihre Cookie-Einstellungen

EDSA-Leitlinien · Art. 7 DSGVO

Wir verwenden technisch notwendige Cookies für den Betrieb der Plattform (Anmeldung, Sicherheit, Sitzungen). Zusätzlich möchten wir Analyse-Cookies verwenden, um die Plattform zu verbessern.

Sie können alles annehmen, alles ablehnen oder auswählen, welche Kategorien aktiv sein sollen.Ihre Einwilligung gilt 6 Monate und kann jederzeit über die Fußzeile widerrufen werden.

Alles Weitere finden Sie in unserer Datenschutzerklärung.

DPO WorkspaceKostenlos starten

EU AI Act · KI-Verordnung

KI-Verordnung Software: Pflichten für Unternehmen und fertige Dokumente

Die KI-Verordnung (EU AI Act) betrifft nicht nur Unternehmen, die eigene KI-Systeme entwickeln. Wer KI-Werkzeuge einsetzt – von einfachen Assistenten bis zu Systemen zur Entscheidungsunterstützung – gilt als Betreiber und muss ab 2026 eine wachsende Zahl an Pflichten erfüllen. Eine KI-Verordnung Software hält fest, welches System wozu genutzt wird, mit welcher Risikoklasse und mit welchen Nachweisen.

Für Datenschutzbeauftragte, die bereits das Verarbeitungsverzeichnis und die DSFA-Praxis ihrer Mandanten kennen, liegt der AI Act nah an vertrautem Terrain: Auch hier geht es um Risikobewertung, Dokumentation und Nachweisbarkeit gegenüber einer Behörde – nur mit einem eigenen Regelwerk und eigenen Fristen.

KI-Kompetenz ist keine Kür (Art. 4 AI Act)

Anbieter und Betreiber müssen sicherstellen, dass Personal und andere mit dem Betrieb von KI-Systemen befasste Personen über ausreichende KI-Kompetenz verfügen. Diese Pflicht gilt unabhängig von der Unternehmensgröße und unabhängig davon, ob das eingesetzte System als hochriskant eingestuft ist.

Aktualisierung: das Digital-Omnibus-Paket hat die Fristen verschoben

Zwei Jahre lang galt der 2. August 2026 als Beginn der Hochrisiko-Pflichten. Das ist er nicht mehr: Anhang III wurde auf den 2. Dezember 2027 verschoben, Anhang I auf den 2. August 2028. Die Transparenzpflichten nach Art. 50 bleiben dagegen für den 2. August 2026 bestätigt. Viele Beiträge im Umlauf nennen weiterhin den alten Zeitplan.

Welche Nachweise eine KI-Verordnung-Software führen sollte

  • KI-Systeminventar pro Mandant, mit Risikoklasse
  • KI-Kompetenz-Nachweis (Art. 4 AI Act) mit Schulungsprotokoll
  • Transparenzhinweise für Nutzer von KI-Systemen
  • Grundrechte-Folgenabschätzung (FRIA, Art. 27) verknüpft mit der DSFA
  • Dokumentation der Ausnahmen und Einstufungsentscheidung

AI Act und DSGVO im selben Mandantenprofil

In DPO Workspace steht das KI-Systeminventar neben Verzeichnis, DSFA und Datenpannen jedes Mandanten – dieselbe Struktur, dieselbe Nachweisbarkeit. 30 Tage kostenlos testen, keine Kreditkarte nötig.

Kostenlos testen

Häufige Fragen

Gilt die KI-Verordnung auch für Unternehmen, die nur ChatGPT oder ähnliche Tools nutzen?

Ja: Wer KI-Systeme einsetzt, gilt als Betreiber (Deployer) im Sinne des AI Act – unabhängig davon, ob das System selbst entwickelt oder von einem Anbieter bezogen wird. Die Pflichten für Betreiber sind schlanker als für Anbieter, bestehen aber unabhängig von der Unternehmensgröße.

Was tritt am 2. August 2026 in Kraft?

Die Transparenzpflichten nach Art. 50: Offenlegung von Chatbots, KI-generierten Inhalten und Deepfakes. Nicht mehr die Pflichten für Hochrisiko-KI-Systeme – das Digital-Omnibus-Paket hat sie auf den 2. Dezember 2027 (Anhang III, eigenständige Systeme) und den 2. August 2028 (Anhang I, in regulierte Produkte eingebettete KI) verschoben. Das Verbot bestimmter Praktiken und die Pflicht zur KI-Kompetenz nach Art. 4 gelten bereits seit dem 2. Februar 2025.

Hat das Digital-Omnibus-Paket Pflichten gestrichen?

Nein. Es hat die Fristen verschoben, nicht den Inhalt: Konformitätsbewertung, technische Dokumentation, Qualitätsmanagementsystem, CE-Kennzeichnung, Registrierung in der EU-Datenbank, menschliche Aufsicht und die Grundrechte-Folgenabschätzung bleiben unverändert. Wer die Verschiebung als Grund nimmt, nicht anzufangen, steht später vor derselben Arbeit mit weniger Zeit.

Was bedeutet KI-Kompetenz (Art. 4 AI Act) konkret?

Anbieter und Betreiber müssen sicherstellen, dass ihr Personal und andere Personen, die mit dem Betrieb und der Nutzung von KI-Systemen befasst sind, über ausreichende Kenntnisse im Umgang mit KI verfügen – bezogen auf technisches Wissen, Erfahrung, Ausbildung und den jeweiligen Einsatzkontext.

Welche Praktiken sind nach dem AI Act verboten?

Unter anderem Systeme zur unterschwelligen Beeinflussung mit Schädigungspotenzial, Ausnutzung von Schutzbedürftigkeit, bestimmte Formen des Social Scoring und bestimmte biometrische Echtzeit-Fernidentifizierung im öffentlichen Raum, jeweils mit den im AI Act vorgesehenen Ausnahmen.

Wie hängen KI-Verordnung und DSGVO zusammen?

Beide Regelwerke überschneiden sich, wo KI-Systeme personenbezogene Daten verarbeiten: Eine bereits vorhandene Datenschutz-Folgenabschätzung liefert Fakten, auf denen die Grundrechte-Folgenabschätzung nach Art. 27 AI Act aufbauen kann, statt beide Bewertungen getrennt zu erstellen.

Bereit für die Pflichten ab 2026

KI-Systeminventar, KI-Kompetenz-Nachweis und FRIA, verknüpft mit der DSGVO-Dokumentation jedes Mandanten.

Kostenlos starten