Kaum ein Thema erzeugt so viel Verunsicherung wie die KI-Verordnung. Meist geht es dabei durcheinander, wen sie überhaupt betrifft. Deshalb zuerst der Punkt, der die meisten entlastet: Für einen Betrieb, der KI im Büro einsetzt, ist der Aufwand überschaubar. Streng wird es dort, wo KI über Menschen entscheidet.
Sie fragt nicht nach Technik, sondern nach Risiko
Das ist der Kerngedanke. Die Verordnung ordnet KI-Systeme nach dem, was passiert, wenn sie danebenliegen:
Verboten. Manipulative Systeme, die Menschen schaden, soziale Bewertung von Menschen durch Behörden, bestimmte biometrische Überwachung. Gilt seit 2. Februar 2025.
Hohes Risiko. Systeme, die über Menschen entscheiden oder Sicherheit beeinflussen: Personalauswahl, Kreditvergabe, Zugang zu Bildung, medizinische Anwendungen, Sicherheitsbauteile in Produkten. Hier hängen die eigentlichen Pflichten dran: Risikomanagement, Datenqualität, Dokumentation, menschliche Aufsicht, Protokollierung.
Begrenztes Risiko. Vor allem Transparenz: Menschen müssen wissen, dass sie mit einer KI sprechen, und KI-erzeugte Inhalte sollen erkennbar sein.
Geringes Risiko. Alles andere, und das ist der Großteil dessen, was in Betrieben läuft. Zusammenfassen, übersetzen, Entwürfe schreiben, in eigenen Dokumenten suchen. Keine besonderen Pflichten.
Die Fristen
| Datum | Was gilt |
|---|---|
| 1. August 2024 | Verordnung in Kraft |
| 2. Februar 2025 | verbotene Praktiken, KI-Kompetenz nach Art. 4 |
| 2. August 2025 | Regeln für Anbieter allgemeiner KI-Modelle, Sanktionen, nationale Behörden |
| 2. August 2026 | Transparenzpflichten und der überwiegende Teil der Anforderungen an Hochrisiko-Systeme nach Anhang III |
| 2027/2028 | verlängerte Übergänge für bestehende Modelle und für KI als Sicherheitsbauteil |
Zu den Fristen gab es 2025 und 2026 Diskussionen über Verschiebungen einzelner Teile. Wer betroffen ist, sollte den aktuellen Stand prüfen, statt sich auf eine Tabelle in einem Blog zu verlassen, auch nicht auf diese.
Was für einen normalen Betrieb übrig bleibt
Artikel 4, seit Februar 2025. Wer KI einsetzt, muss dafür sorgen, dass die Leute, die damit arbeiten, ausreichend KI-Kompetenz haben. Der Wortlaut verlangt Maßnahmen „nach besten Kräften", abgestimmt auf Vorkenntnisse und Einsatzzweck. Keine Prüfung, kein Zertifikat, aber nachweisbar. Dazu gibt es einen eigenen Beitrag.
Transparenz. Wenn Kunden mit einem Chatbot sprechen, sollen sie das wissen.
Ehrlich prüfen, ob man doch in die Hochrisiko-Klasse rutscht. Der häufigste Fall in normalen Betrieben ist die Personalauswahl. Wer Bewerbungen von einer KI vorsortieren lässt, ist schnell in einem Bereich mit echten Pflichten. Das wird oft übersehen, weil es sich nach einer Kleinigkeit anfühlt.
Meine Einordnung
Die Verordnung ist nicht das Bürokratiemonster, als das sie gern dargestellt wird, und sie ist auch nicht folgenlos. Sie zwingt zu einer Frage, die man ohnehin stellen sollte: Was passiert, wenn das Ding danebenliegt, und wer merkt es?
Für jemanden, der aus der Bauprüfung kommt, ist das vertraut. Auch dort hängen die Anforderungen nicht am Produkt, sondern an den Folgen eines Fehlers.