Bin ich Anbieter oder Betreiber?
Die KI-Verordnung (Verordnung (EU) 2024/1689) verteilt Pflichten nach Rollen. Anbieter ist, wer ein KI-System entwickelt oder entwickeln lässt und es unter eigenem Namen oder eigener Marke in Verkehr bringt oder in Betrieb nimmt (Art. 3 Nr. 3). Betreiber ist, wer ein KI-System in eigener Verantwortung nutzt, außer im Rahmen einer persönlichen, nicht beruflichen Tätigkeit (Art. 3 Nr. 4).
Ein Mittelständler, der ChatGPT, Microsoft 365 Copilot oder eine KI-Funktion in seiner Branchensoftware einsetzt, ist damit in aller Regel Betreiber. Die meisten Pflichten der Verordnung treffen Anbieter. Das entlastet, aber es entbindet nicht. Und die Rolle kann kippen: Nach Art. 25 Abs. 1 gilt als Anbieter eines Hochrisiko-KI-Systems auch, wer ein solches System mit eigenem Namen versieht, es wesentlich verändert oder den Zweck eines bisher harmlosen Systems so ändert, dass es zum Hochrisiko-System wird. Wie sich das in eine KI-Richtlinie für dein Unternehmen übersetzt, steht auf unserer Leitseite.
Was hat die Verordnung (EU) 2026/1744 geändert?
Die Digital-Omnibus-Verordnung zur KI, Verordnung (EU) 2026/1744 vom 8. Juli 2026, ist am 27. Juli 2026 in Kraft getreten. Für Betreiber im Mittelstand sind vier Änderungen wichtig:
- KI-Kompetenz: Art. 4 verlangt jetzt Maßnahmen zur Förderung der KI-Kompetenz des Personals, nicht mehr deren Sicherstellung. Ein bestimmtes Kompetenzniveau für jede einzelne Person ist nicht mehr geschuldet.
- Hochrisiko-KI nach Anhang III: Die Betreiber- und Anbieterpflichten sind verschoben und gelten ab 2. Dezember 2027.
- Hochrisiko-KI in Produkten nach Anhang I: Die Pflichten sind verschoben und gelten ab 2. August 2028.
- Neue Verbote: Ab 2. Dezember 2026 sind KI-Systeme verboten, die intime Bilder identifizierbarer Personen ohne deren Zustimmung erzeugen oder manipulieren, ebenso Systeme zur Erzeugung von Darstellungen sexuellen Kindesmissbrauchs.
Welche Pflichten gelten ab wann?
Die folgende Übersicht nennen wir die Pflichten-Landkarte für Betreiber. Sie folgt Art. 113 in der geänderten Fassung:
- Seit 2. Februar 2025: Förderung der KI-Kompetenz (Art. 4) und Verbot bestimmter KI-Praktiken (Art. 5).
- Seit 2. August 2026: Transparenzpflichten für Betreiber nach Art. 50, unter anderem die Offenlegung von Deepfakes.
- Ab 2. Dezember 2026: die neuen Verbote zu intimen Inhalten und Missbrauchsdarstellungen.
- Ab 2. Dezember 2027: Betreiberpflichten für Hochrisiko-KI-Systeme nach Anhang III, zum Beispiel in Personalauswahl und Personalführung.
- Ab 2. August 2028: Pflichten für Hochrisiko-KI als Sicherheitsbauteil von Produkten nach Anhang I, etwa Maschinen.
KI-Kompetenz fördern (Art. 4)
Das ist die Pflicht, die fast jedes Unternehmen betrifft. Was dazu gehört und wie du sie mit vertretbarem Aufwand erfüllst, steht im Artikel Was ist KI-Kompetenz nach Artikel 4 der KI-Verordnung? Wer das koordinieren soll, klärt der Artikel Braucht mein Unternehmen einen KI-Beauftragten?
Verbotene Praktiken meiden (Art. 5)
Für Arbeitgeber ist vor allem Art. 5 Abs. 1 Buchstabe f relevant: Verboten ist die Verwendung von KI-Systemen, die Emotionen von Menschen am Arbeitsplatz ableiten, außer aus medizinischen oder Sicherheitsgründen. Eine Software, die aus Stimme oder Mimik im Kundengespräch die Stimmung deiner Beschäftigten auswertet, gehört damit auf den Prüfstand.
Transparenz bei KI-Inhalten (Art. 50)
Als Betreiber musst du offenlegen, wenn Bild-, Ton- oder Videoinhalte, die du verbreitest, Deepfakes sind, also künstlich erzeugt oder manipuliert. Für künstlerische, satirische oder fiktionale Werke genügt ein Hinweis, der das Werk nicht stört. Veröffentlichst du KI-erzeugte Texte, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren, gilt eine Offenlegungspflicht. Sie entfällt, wenn der Text menschlich geprüft oder redaktionell kontrolliert wurde und eine Person die redaktionelle Verantwortung trägt. Für Blogartikel und Pressemitteilungen, die jemand bei euch prüft und verantwortet, ist das der Normalfall.
Hochrisiko-KI im Betrieb (Anhang III und Art. 26)
Im Mittelstand ist der wichtigste Hochrisiko-Bereich das Personalwesen. Anhang III Nr. 4 erfasst KI-Systeme für die Auswahl von Bewerbern, etwa zum Sichten und Filtern von Bewerbungen, sowie Systeme, die Entscheidungen über Beförderung, Kündigung oder Arbeitsbedingungen beeinflussen oder Leistung und Verhalten von Beschäftigten überwachen und bewerten. Daneben nennt Anhang III unter anderem die Bonitätsbewertung natürlicher Personen und die Risikobewertung in der Lebens- und Krankenversicherung.
Wer ein solches System betreibt, muss ab 2. Dezember 2027 nach Art. 26 unter anderem geeignete technische und organisatorische Maßnahmen treffen, damit das System nach Betriebsanleitung genutzt wird, die menschliche Aufsicht Personen mit der nötigen Kompetenz, Schulung und Befugnis übertragen, den Betrieb überwachen und Risiken oder schwerwiegende Vorfälle melden. Arbeitgeber müssen vor dem Einsatz am Arbeitsplatz die Arbeitnehmervertretung und die betroffenen Beschäftigten informieren (Art. 26 Abs. 7). Mehr dazu in den Artikeln KI im Recruiting: Was ist erlaubt? und Muss der Betriebsrat bei der Einführung von KI mitbestimmen?
Was droht bei Verstößen?
Art. 99 sieht für Verstöße gegen die Verbote des Art. 5 Geldbußen bis 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes vor. Für Verstöße unter anderem gegen die Betreiberpflichten nach Art. 26 und die Transparenzpflichten nach Art. 50 sind es bis 15 Millionen Euro oder 3 Prozent. Für kleine und mittlere Unternehmen gilt jeweils der niedrigere der beiden Beträge (Art. 99 Abs. 6). Art. 4 steht nicht in der Liste des Art. 99 Abs. 4. Das ist kein Freibrief: Fehlende Schulung wird spätestens dann zum Thema, wenn nach einem Fehler gefragt wird, ob das Unternehmen seine Leute vorbereitet hat.
Der Pflichten-Check in fünf Fragen
Mit diesen fünf Fragen ordnest du dein Unternehmen in wenigen Minuten ein. Notiere zu jeder Frage die betroffenen Werkzeuge:
- Welche KI-Systeme nutzen wir beruflich, auch als Funktion in vorhandener Software? Jedes davon löst die Förderpflicht nach Art. 4 aus.
- Bringen wir KI unter eigenem Namen auf den Markt, etwa einen Chatbot oder eine Funktion in unserem Produkt? Dann prüfe die Anbieterpflichten gesondert.
- Setzen wir KI in Personalauswahl, Beförderung, Leistungsbewertung oder Aufgabenzuteilung ein? Dann gilt ab 2. Dezember 2027 Art. 26.
- Wertet ein System Emotionen unserer Beschäftigten aus? Dann sofort stoppen oder rechtlich prüfen lassen.
- Veröffentlichen wir KI-erzeugte Bilder, Videos oder Tonaufnahmen, die echt wirken? Dann kennzeichnen.
Unsere Einordnung: Was ist wichtig, was wird überschätzt?
Unsere Position: Für die meisten Mittelständler ist Hochrisiko-KI kein Alltagsthema. Die Fristverschiebung auf Dezember 2027 ist aber kein Grund, das Personalwesen zu vergessen. Gerade dort ziehen KI-Funktionen über Bewerbermanagement-Software und HR-Plattformen leise ein. Wir raten dazu, jetzt eine Liste aller KI-Funktionen im Personalbereich anzulegen, statt im Herbst 2027 zu suchen.
Unabhängig von der KI-Verordnung gilt die DSGVO weiter. Was das für Eingaben in Chat-Assistenten bedeutet, steht im Artikel KI und Datenschutz: Welche Daten dürfen in ChatGPT?
Wann dieser Überblick nicht reicht: Wenn ihr selbst KI-Systeme entwickelt, unter eigenem Namen anbietet oder in eigene Produkte einbaut, seid ihr Anbieter. Dann kommen Pflichten zu Dokumentation, Risikomanagement und Konformität hinzu, die dieser Artikel nicht abdeckt.
Wie geht es weiter?
Wenn du wissen willst, wo dein Unternehmen beim Thema KI insgesamt steht, beantworte die zehn Fragen im kostenlosen KI-Reifegrad-Check. Wie du aus den Pflichten verständliche Regeln für deine Leute machst, zeigt die Leitseite zur KI-Richtlinie im Unternehmen. Wenn du deine Einordnung mit einem Gegenüber prüfen willst, buch dir ein kostenloses Erstgespräch (15 Minuten).
Dieser Artikel ist keine Rechtsberatung. Lass Fragen zur Auslegung im Einzelfall von deiner Rechtsberatung prüfen.