Am 2. und 3. November 2026 tagt der Digital-Gipfel der Bundesregierung in Berlin, in diesem Jahr mit Künstlicher Intelligenz als Schwerpunkt. Für IT-Verantwortliche in Kommunen und Mittelstand ist das ein guter Anlass für einen nüchternen Blick auf den eigenen Bestand. Denn die Pflichten der KI-Verordnung (EU) 2024/1689 gelten seit dem 2. August 2026 im Grundsatz vollständig.
Was viele nicht auf dem Schirm haben: Die EU hat kurz vor diesem Stichtag mit dem Digital Omnibus nachgesteuert. Die Verordnung (EU) 2026/1744, am 24. Juli 2026 im Amtsblatt veröffentlicht und seit dem 27. Juli 2026 in Kraft, verschiebt die strengen Hochrisiko-Pflichten – aber nur diese. Transparenz und KI-Kompetenz bleiben akut.
Was seit dem 2. August 2026 tatsächlich gilt
Die KI-Verordnung ist seit dem 1. August 2024 in Kraft. Art. 113 regelt die schrittweise Anwendung: Verbote nach Art. 5 gelten seit Februar 2025, die Pflichten für Allzweck-KI-Modelle seit August 2025, der Rest seit dem 2. August 2026.
Transparenz nach Art. 50
Wer einen Chatbot auf der Website betreibt, muss erkennbar machen, dass die Gegenseite mit einer Maschine schreibt. Die Pflicht trifft Anbieter und Betreiber. Für KI-erzeugte Inhalte gilt zusätzlich die maschinenlesbare Kennzeichnung; Systeme, die vor dem 2. August 2026 in Verkehr kamen, haben dafür Zeit bis zum 2. Dezember 2026.
KI-Kompetenz nach Art. 4
Der Digital Omnibus hat diese Pflicht abgeschwächt: Aus der Schulungspflicht wurde eine Pflicht, Maßnahmen für das Personal zu ergreifen. Praktisch bleibt es dabei – wer Beschäftigte schult und das dokumentiert, ist auf der sicheren Seite. Diese Dokumentation lässt sich mit der ohnehin laufenden Datenschutzschulung verbinden.
Was verschoben wurde
Hochrisiko-KI nach Anhang III – etwa Systeme zur Personalauswahl, Kreditwürdigkeitsprüfung oder Bewertung im Bildungsbereich – ist erst ab dem 2. Dezember 2027 vollständig reguliert, Hochrisiko-KI in regulierten Produkten nach Anhang I ab dem 2. August 2028. Inhaltlich bleibt es bei den bisherigen Anforderungen, nur der Zeitplan ist gestreckt. Neu hinzu kommen nach Angaben mehrerer Fachquellen weitere Verbote des Art. 5 zum 2. Dezember 2026.
Fünf Handlungsempfehlungen für IT-Verantwortliche
1. KI-Inventar anlegen, nicht nur für die DSGVO
Erfassen Sie jedes KI-Werkzeug im Haus: Chatbot, Copilot in M365, Übersetzungsdienste, Bildgeneratoren, Fachverfahren mit KI-Modul. Zu jedem Eintrag gehören Zweck, Anbieter, Datenkategorien, Verantwortlicher und eine Einschätzung, ob eine Anhang-III-Nutzung denkbar ist. Diese Liste ist die Grundlage für alles Weitere – ohne sie wird jede Risikobewertung zum Ratespiel.
2. Kennzeichnung im Webauftritt nachziehen
Prüfen Sie den Chatbot und alle automatisiert erzeugten Textbausteine auf sichtbare Hinweise. Ein schlichter Satz im Eingabefeld genügt in der Regel. Bei generierten Bildern, Audio- und Videoinhalten muss die Kennzeichnung technisch mitgeliefert werden – hier lohnt ein Blick in die Doku des eingesetzten Dienstes, ob Metadaten oder Wasserzeichen gesetzt werden.
3. Schulung dokumentieren statt Zertifikate sammeln
Art. 4 verlangt Maßnahmen, keine Zertifikate. Eine 45-minütige Unterweisung mit Teilnehmerliste, Inhalten und Datum reicht als Nachweis. Sinnvoll ist ein festes Modul im Onboarding und eine jährliche Auffrischung – die Inhalte sollten Halluzinationen, Datenschutz, Urheberrecht und Meldewege abdecken.
4. Beschaffung und AVV um KI-Klauseln ergänzen
Nehmen Sie in Ausschreibungen und Verträge auf, ob und wie der Anbieter KI-Funktionen einsetzt, ob Trainingsdaten aus Ihren Eingaben verwendet werden und welche Kennzeichnungspflichten er übernimmt. Ändert ein Hersteller nachträglich die Rechtsgrundlage für die Datenverarbeitung, muss das als Vertragsänderung behandelt werden, nicht als stilles Update.
5. Rollen festlegen, bevor die Aufsicht fragt
Benennen Sie eine verantwortliche Person für KI-Fragen und eine Stellvertretung, idealerweise angebunden an IT-Sicherheit und Datenschutz. In der Bundesnetzagentur ist die Marktüberwachung für die KI-Verordnung angesiedelt; bei Rückfragen ist ein benannter Ansprechpartner mit Dokumentation deutlich angenehmer als eine Ad-hoc-Suche im Postfach.
Was tun, wenn eine KI-Funktion schon im Einsatz ist
Erster Schritt: Funktion vorübergehend deaktivieren, wenn personenbezogene Daten ungeprüft verarbeitet werden oder eine Bewertung von Menschen erfolgt. Zweiter Schritt: Datenfluss dokumentieren – welche Eingaben gehen wohin, mit welcher Aufbewahrungsfrist. Dritter Schritt: Anbieter schriftlich zu Trainingsnutzung, Subunternehmern und Löschkonzept befragen und die Antwort zur Akte nehmen.
Vierter Schritt: Betroffene informieren, falls Daten ohne Rechtsgrundlage verarbeitet wurden. Fünfter Schritt: Vorfall intern festhalten, auch wenn keine Meldepflicht greift – bei einer späteren Prüfung zählt die nachvollziehbare Reaktion mehr als ein lückenloses Protokoll.
Die nächsten 30 Tage
Woche 1: KI-Inventar vervollständigen und Anhang-III-Verdacht markieren. Woche 2: Kennzeichnung von Chatbot und generierten Inhalten prüfen und nachziehen, Frist 2. Dezember 2026 im Kalender eintragen. Woche 3: Schulungsmodul aufsetzen und erste Termine buchen. Woche 4: Vertrags- und Beschaffungsvorlagen um KI-Klauseln ergänzen und die Rollen schriftlich festlegen.
Wer diese vier Schritte abarbeitet, hat die Pflichten erfüllt, die heute wirklich greifen – und ist für den 2. Dezember 2027 nicht im Blindflug unterwegs.
Quellen
Europäische Kommission / Amtsblatt der EU: Verordnung (EU) 2026/1744 (Digital Omnibus), CELEX 32026R1744, veröffentlicht am 24. Juli 2026. eur-lex.europa.eu
KDSB Service GmbH: „Pflichten der KI-Verordnung: Was seit August 2026 gilt“, 23. Oktober 2026. kdsb.gmbh
Anwalt.de: „EU-KI-Verordnung ab 2026: Wann Arbeitgeber KI-Inhalte kennzeichnen müssen“, 26. Oktober 2026. anwalt.de
Bundesnetzagentur: Themenübersicht Künstliche Intelligenz, abgerufen am 3. November 2026. bundesnetzagentur.de
Digitale Verwaltung / Bundesregierung: Digital-Gipfel 2026 am 2. und 3. November in Berlin. digitale-verwaltung.de
Hinweis: Dieser Beitrag wurde mit Unterstützung künstlicher Intelligenz (KI) erstellt.
No responses yet