Pflichten der KI‑Verordnung nach Rolle, Risikoklasse und Frist

Änderung durch VO 2026/1744: Die Verordnung (EU) 2026/1744 hat Art. 4 neu gefasst. Aus der Pflicht, KI-Kompetenz sicherzustellen, ist die Pflicht geworden, ihre Entwicklung zu unterstützen. Ausdrücklich klargestellt ist nun: Ein bestimmtes individuelles Kompetenzniveau ist nicht zu garantieren. Die Pflicht als solche bleibt bestehen und gilt seit dem 2. Februar 2025. Der Wortlaut knüpft an KI-Systeme an; wer ausschließlich ein Modell mit allgemeinem Verwendungszweck anbietet, wird davon erfasst, soweit er auch Systeme anbietet oder betreibt.

Was die Verordnung verlangt: Betreiber eines Emotionserkennungssystems oder eines Systems zur biometrischen Kategorisierung informieren die betroffenen Personen über den Betrieb und verarbeiten die personenbezogenen Daten im Einklang mit dem Datenschutzrecht.

Hinweise zur Umsetzung: Prüfen Sie vor dem Einsatz die Zulässigkeit der vorgesehenen Anwendung. Beachten Sie insbesondere das grundsätzliche Verbot der Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen sowie die Ausnahmen für medizinische Zwecke und Sicherheitsgründe.

Mögliche Nachweise: Information der betroffenen Personen, datenschutzrechtliche Grundlage, Prüfung gegen Art. 5.

Was die Verordnung verlangt: Betreiber, die mit einem KI-System Deepfakes erzeugen oder manipulieren, legen offen, dass die Inhalte künstlich erzeugt oder manipuliert wurden. Wer Texte veröffentlicht, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren, legt dies ebenfalls offen, sofern die Inhalte nicht einer menschlichen Überprüfung mit redaktioneller Verantwortung unterlagen.

Hinweise zur Umsetzung: Legen Sie für jeden Veröffentlichungskanal fest, wie die Kennzeichnung erfolgt. Berücksichtigen Sie die besonderen Regelungen für Kunst und Satire. Prüfen Sie bei Texten die Voraussetzungen einer Ausnahme aufgrund menschlicher Überprüfung und redaktioneller Verantwortung und dokumentieren Sie diese.

Mögliche Nachweise: Kennzeichnungsregel je Kanal, Regelung der redaktionellen Verantwortung.

Was die Verordnung verlangt: Betroffene Personen haben gegenüber dem Betreiber ein Recht auf klare und aussagekräftige Erläuterung, wenn eine Entscheidung auf der Grundlage der Ausgabe eines Anhang-III-Systems getroffen wird und rechtliche Wirkung entfaltet oder sie in Bezug auf Gesundheit, Sicherheit oder Grundrechte erheblich beeinträchtigt. Systeme nach Anhang III Nummer 2 sind ausgenommen. Zu erläutern sind die Rolle des Systems im Verfahren und die wesentlichen Elemente der Entscheidung.

Hinweise zur Umsetzung: Bereiten Sie verständliche Erläuterungen für die jeweiligen Anwendungsfälle vor. Nutzen Sie die Angaben des Anbieters und legen Sie fest, wie Auskunftsverlangen bearbeitet und auf den konkreten Einzelfall bezogen werden.

Mögliche Nachweise: Vorlage der Erläuterung, Bearbeitungsweg und Frist für Auskunftsverlangen.

Was die Verordnung verlangt: Ob ein System hochriskant ist, entscheidet sich nach Art. 6. Wer sich auf die Ausnahme des Art. 6 Abs. 3 stützt, weil das System nur eine eng begrenzte, vorbereitende oder unterstützende Aufgabe erfüllt, muss diese Bewertung dokumentieren, bevor das System in Verkehr gebracht oder in Betrieb genommen wird.

Hinweise zur Umsetzung: Dokumentieren Sie für jedes System, welche Bereiche des Anhangs III Sie geprüft haben und wie Sie zu Ihrer Einstufung gelangt sind. Halten Sie außerdem Datum und verantwortliche Person fest. Die Begründung bildet die Grundlage für die Zuordnung der einschlägigen Pflichten.

Mögliche Nachweise: Einstufungsvermerk je System mit Fundstelle, Begründung, Datum und verantwortlicher Person.

Änderung durch VO 2026/1744: Die Verordnung (EU) 2026/1744 hat Art. 6 um die Absätze 1a bis 1c ergänzt. Systeme, die ausschließlich nicht sicherheitsrelevante Aspekte wie Nutzerunterstützung, Leistungsoptimierung oder Benutzerfreundlichkeit betreffen, gelten danach nicht als Sicherheitsbauteil. Umgekehrt bleibt es ein Sicherheitsbauteil, wenn Ausfall oder Fehlfunktion Gesundheit und Sicherheit gefährden würden.

Was die Verordnung verlangt: Wer seinen Namen oder seine Marke auf ein bereits in Verkehr gebrachtes Hochrisiko-System setzt, es wesentlich verändert oder seine Zweckbestimmung so ändert, dass es hochriskant wird, gilt als Anbieter dieses Systems und trägt die vollen Anbieterpflichten.

Hinweise zur Umsetzung: Prüfen Sie vor einer Vermarktung unter eigenem Namen, einer wesentlichen Anpassung oder einer Änderung der Zweckbestimmung, ob Ihre Organisation die Anbieterrolle übernimmt. Berücksichtigen Sie die daraus entstehenden Pflichten bereits bei der Planung.

Mögliche Nachweise: Vermerk je Anpassung: Art der Änderung, Bewertung nach Art. 25 Abs. 1, Ergebnis.

Was die Verordnung verlangt: Betreiber treffen geeignete technische und organisatorische Maßnahmen, um sicherzustellen, dass sie die Systeme entsprechend der beigefügten Betriebsanleitung verwenden.

Hinweise zur Umsetzung: Gleichen Sie die Betriebsanleitung vor der Einführung mit dem geplanten Einsatz ab. Prüfen Sie bei Abweichungen von der Zweckbestimmung, ob sich die rechtliche Einordnung oder die Rolle Ihrer Organisation verändert.

Mögliche Nachweise: Abgleichvermerk zwischen Zweckbestimmung und geplantem Einsatz, interne Nutzungsregel.

Was die Verordnung verlangt: Die menschliche Aufsicht ist natürlichen Personen zu übertragen, die die erforderliche Kompetenz, Ausbildung und Befugnis besitzen und die nötige Unterstützung erhalten.

Hinweise zur Umsetzung: Benennen Sie die aufsichtführenden Personen und legen Sie ihre Eingriffsbefugnisse schriftlich fest. Sorgen Sie dafür, dass sie über ausreichende Kenntnisse, Unterstützung und Handlungsmöglichkeiten verfügen, um bei Bedarf wirksam einzugreifen.

Mögliche Nachweise: Benennung der aufsichtführenden Personen, Kompetenznachweis, schriftliche Eingriffsbefugnis.

Was die Verordnung verlangt: Soweit der Betreiber die Kontrolle über die Eingabedaten hat, sorgt er dafür, dass sie der Zweckbestimmung des Systems entsprechen und hinreichend repräsentativ sind.

Hinweise zur Umsetzung: Prüfen Sie die Eignung und Repräsentativität der Eingabedaten, die Ihrer Kontrolle unterliegen. Berücksichtigen Sie insbesondere mögliche Verzerrungen in eigenen Datenbeständen, etwa in Personalakten oder früheren Entscheidungen.

Mögliche Nachweise: Beschreibung der Eingabedaten, Prüfung auf Eignung und Repräsentativität.

Was die Verordnung verlangt: Betreiber überwachen den Betrieb anhand der Betriebsanleitung. Ergibt sich ein Risiko im Sinne des Art. 79 Abs. 1, unterrichten sie unverzüglich Anbieter oder Händler und die Marktüberwachungsbehörde und setzen die Verwendung aus. Bei einem schwerwiegenden Vorfall ist zunächst der Anbieter, dann der Einführer oder Händler und die Behörde zu unterrichten.

Hinweise zur Umsetzung: Legen Sie Kriterien fest, anhand derer Risiken erkannt und Maßnahmen eingeleitet werden. Bestimmen Sie, wer über die Aussetzung des Betriebs entscheidet und wie Anbieter sowie zuständige Behörden informiert werden.

Mögliche Nachweise: Überwachungsregel mit Schwellen, Eskalationsweg, dokumentierte Meldungen.

Was die Verordnung verlangt: Soweit die automatisch erzeugten Protokolle der Kontrolle des Betreibers unterliegen, sind sie mindestens sechs Monate aufzubewahren, soweit nicht anderes Recht etwas anderes bestimmt.

Hinweise zur Umsetzung: Klären Sie mit dem Anbieter, wer die Protokolle speichert und wie Sie darauf zugreifen können. Stimmen Sie technische Einstellungen und vertragliche Regelungen auf die erforderliche Aufbewahrungsdauer ab, insbesondere bei Cloud-Diensten.

Mögliche Nachweise: Vertragliche Zusicherung des Protokollzugriffs, dokumentierte Aufbewahrungsfrist.

Was die Verordnung verlangt: Arbeitgeber, die ein Hochrisiko-System am Arbeitsplatz in Betrieb nehmen, informieren vorab die Arbeitnehmervertreter und die betroffenen Beschäftigten darüber, dass sie der Verwendung des Systems unterliegen.

Hinweise zur Umsetzung: Planen Sie die Information der betroffenen Beschäftigten und ihrer Vertretung vor der Inbetriebnahme ein. Prüfen Sie zusätzlich die einschlägigen Beteiligungsrechte nach nationalem Arbeitsrecht.

Mögliche Nachweise: Informationsschreiben mit Datum, Nachweis der Beteiligung der Vertretung.

Was die Verordnung verlangt: Betreiber, die Behörden oder Organe, Einrichtungen und sonstige Stellen der Union sind, registrieren sich vor der Inbetriebnahme oder Verwendung eines Anhang-III-Systems in der EU-Datenbank und registrieren dort das System; ausgenommen sind Systeme nach Anhang III Nummer 2, also Sicherheitsbauteile kritischer Infrastruktur. Organe und Einrichtungen der Union dürfen ein nicht registriertes System nach Art. 26 Abs. 8 nicht verwenden und unterrichten Anbieter oder Händler.

Hinweise zur Umsetzung: Prüfen Sie vor der Inbetriebnahme die erforderlichen Einträge in der EU-Datenbank. Klären Sie fehlende oder unvollständige Anbieterangaben im Beschaffungsprozess und dokumentieren Sie das Ergebnis.

Mögliche Nachweise: Registrierungseintrag, Prüfung des Anbietereintrags vor der Inbetriebnahme.

Was die Verordnung verlangt: Soweit einschlägig, verwenden Betreiber die nach Art. 13 erhaltenen Informationen, um ihrer Pflicht zur Datenschutz-Folgenabschätzung nach Art. 35 DSGVO oder Art. 27 der Richtlinie (EU) 2016/680 nachzukommen.

Hinweise zur Umsetzung: Beziehen Sie die relevanten Anbieterangaben in die Datenschutz-Folgenabschätzung ein. Verknüpfen Sie die Unterlagen nachvollziehbar, insbesondere Angaben zu Leistungsgrenzen und bekannten Fehlerarten.

Mögliche Nachweise: Datenschutz-Folgenabschätzung mit Verweis auf die Anbieterangaben.

Was die Verordnung verlangt: Wer ein System zur nachträglichen biometrischen Fernidentifizierung im Rahmen von Ermittlungen einsetzt, beantragt vorab oder unverzüglich, spätestens binnen 48 Stunden, die Genehmigung einer Justiz- oder Verwaltungsbehörde. Wird sie abgelehnt, ist die Verwendung sofort einzustellen und sind die Daten zu löschen. Jede Verwendung wird dokumentiert; über die Verwendung sind der Marktüberwachungsbehörde und der Datenschutzbehörde Jahresberichte vorzulegen.

Hinweise zur Umsetzung: Richten Sie einen Genehmigungsprozess ein, der die einschlägigen Fristen auch außerhalb regulärer Dienstzeiten berücksichtigt. Dokumentieren Sie für jeden Einsatz den konkreten Ermittlungsbezug sowie Antrag, Entscheidung und weitere Verfahrensschritte.

Mögliche Nachweise: Genehmigungsanträge und Entscheidungen, Eintrag in der Verfahrensakte, Jahresbericht an Marktüberwachungs- und Datenschutzbehörde.

Änderung durch VO 2026/1744: Eine Verwendung ohne Zusammenhang mit einer Straftat, einem Strafverfahren, einer konkreten Gefahr oder der Suche nach einer vermissten Person ist ausgeschlossen. Eine ausschließlich auf die Systemausgabe gestützte nachteilige Entscheidung ist unzulässig.

Was die Verordnung verlangt: Betreiber eines Anhang-III-Systems, das Entscheidungen über natürliche Personen trifft oder dabei unterstützt, informieren diese Personen darüber, dass sie der Verwendung des Systems unterliegen.

Hinweise zur Umsetzung: Platzieren Sie den Hinweis so, dass betroffene Personen ihn im jeweiligen Verfahren wahrnehmen können, etwa während einer Bewerbung oder Kreditanfrage. Prüfen Sie, ob allgemeine Datenschutzhinweise dafür ausreichen oder gezielte Informationen erforderlich sind.

Mögliche Nachweise: Wortlaut und Platzierung des Hinweises je Prozess.

Was die Verordnung verlangt: Auf begründetes Verlangen der zuständigen Behörden sind alle Informationen und Unterlagen zur Verfügung zu stellen, die für den Nachweis der Konformität erforderlich sind, in einer der Amtssprachen der Union.

Hinweise zur Umsetzung: Klären Sie, in welcher Sprache die zuständige Behörde die Unterlagen benötigt. Vereinbaren Sie mit Zulieferern die rechtzeitige Bereitstellung der erforderlichen Informationen und Übersetzungen.

Mögliche Nachweise: Benannte Anlaufstelle, vollständige Unterlagen in der erforderlichen Sprache.

Was die Verordnung verlangt: Vor der Inbetriebnahme führen bestimmte Betreiber eine Grundrechte-Folgenabschätzung durch: Einrichtungen des öffentlichen Rechts, private Einrichtungen, die öffentliche Dienste erbringen, sowie Betreiber von Systemen nach Anhang III Nummer 5 Buchstaben b und c, also zur Bewertung der Kreditwürdigkeit und zur Risikobewertung und Preisbildung in der Lebens- und Krankenversicherung. Systeme nach Anhang III Nummer 2 sind ausgenommen. Zu beschreiben sind Verfahren, Zeitraum und Häufigkeit der Verwendung, betroffene Personengruppen, Schadensrisiken, Aufsichtsmaßnahmen und Abhilfen.

Hinweise zur Umsetzung: Prüfen Sie zunächst, ob Ihre Organisation und der vorgesehene Einsatz unter die Pflicht fallen. Planen Sie die Abschätzung und die erforderliche Mitteilung an die zuständige Marktüberwachungsbehörde vor der Inbetriebnahme ein.

Mögliche Nachweise: Ausgefüllte Grundrechte-Folgenabschätzung, Anzeige an die Marktüberwachungsbehörde.

Änderung durch VO 2026/1744: Die Verordnung (EU) 2026/1744 hat die Doppelarbeit reduziert: Wo eine Datenschutz-Folgenabschätzung dieselben Punkte bereits abdeckt, dürfen deren einschlägige Abschnitte als Verweis oder als Auszug übernommen werden. Das Büro für Künstliche Intelligenz erarbeitet dafür einen Musterfragebogen, auch als automatisiertes Instrument.

Was die Verordnung verlangt: Für Hochrisiko-Systeme, die vor dem Beginn der Anwendung des Kapitels III in Verkehr gebracht oder in Betrieb genommen wurden, gilt die Verordnung nur, wenn sie danach in ihrer Konzeption erheblich verändert wurden. Die Verbote des Art. 5 bleiben davon unberührt.

Hinweise zur Umsetzung: Dokumentieren Sie für jedes Bestandssystem den Zeitpunkt des Inverkehrbringens oder der Inbetriebnahme sowie den damaligen Entwicklungsstand. Halten Sie spätere Änderungen fest, damit sich die Anwendbarkeit der Übergangsregel nachvollziehen lässt.

Mögliche Nachweise: Bestandsverzeichnis mit Stichtag je System und Änderungshistorie.

Änderung durch VO 2026/1744: Die Verordnung (EU) 2026/1744 hat den Bezugspunkt angepasst: Maßgeblich ist nun der Beginn der Anwendung des Kapitels III nach Art. 113, also der 2. Dezember 2027 für Anhang III und der 2. August 2028 für Anhang I.

Was die Verordnung verlangt: Anbieter und Betreiber von Hochrisiko-Systemen, die bestimmungsgemäß von Behörden verwendet werden sollen, treffen in jedem Fall bis zum 2. August 2030 die erforderlichen Maßnahmen zur Erfüllung der Anforderungen und Pflichten der Verordnung.

Hinweise zur Umsetzung: Erfassen Sie die betroffenen Bestandssysteme und erstellen Sie einen Umsetzungsplan bis zum 2. August 2030. Berücksichtigen Sie notwendige Anpassungen, Beschaffungsverfahren und die Abstimmung mit Anbietern.

Mögliche Nachweise: Umsetzungsplan je Bestandssystem mit Meilensteinen bis 2030.