KI-Verordnung: welche Termine für Büros zählen, die KI nutzen

Ein Büro, das KI nur nutzt und nicht selbst anbietet, ist nach der KI-Verordnung ein Betreiber. Für Sie zählen drei Stufen. Die KI-Kompetenz nach Art. 4 gilt seit dem 2. Februar 2025, die Transparenzregeln nach Art. 50 gelten seit dem 2. August 2026. Die Hochrisiko-Regeln sind für typische Büroanwendungen meist nicht einschlägig und greifen für Anhang III erst ab dem 2. Dezember 2027. Das ist eine allgemeine Übersicht, Stand November 2026, und keine Rechtsberatung. Den Einzelfall klärt ein Anwalt oder Ihr Datenschutzbeauftragter.

Die Termine auf einen Blick

Die Verordnung (EU) 2024/1689 ist stufenweise in Kraft getreten. Im Juli 2026 wurde sie durch die Verordnung (EU) 2026/1744 geändert, die im Titel „Digital Omnibus on AI“ heißt. Die Termine in der Grafik habe ich am Wortlaut im Amtsblatt und an den Seiten der Kommission geprüft.

Wer Betreiber ist

Art. 3 Nr. 4 der KI-Verordnung definiert den Betreiber als natürliche oder juristische Person, Behörde, Einrichtung oder sonstige Stelle, die ein KI-System in eigener Verantwortung verwendet, außer bei einer persönlichen, nicht beruflichen Tätigkeit. Ein Büro, das KI-Dienste beruflich einsetzt, fällt dem Wortlaut nach darunter. Viele Pflichten der Verordnung richten sich an Anbieter, also an die Stellen, die KI-Dienste bereitstellen, und nicht an Sie als Nutzer.

Art. 4: KI-Kompetenz

Die Pflicht gilt seit dem 2. Februar 2025. Die Verordnung (EU) 2026/1744 hat sie neu gefasst. Vorher mussten Anbieter und Betreiber Maßnahmen ergreifen, um nach besten Kräften ein ausreichendes Maß an KI-Kompetenz des Personals sicherzustellen. Jetzt müssen sie Maßnahmen ergreifen, um die Entwicklung der KI-Kompetenz ihres Personals und anderer Personen zu unterstützen, die in ihrem Auftrag mit KI-Systemen befasst sind. Die Pflicht verlangt ausdrücklich nicht, dass sie ein bestimmtes Maß an KI-Kompetenz einzelner Personen garantieren. Die Kommission und die Mitgliedstaaten sollen vor allem kleine und mittlere Unternehmen dabei unterstützen.

Die Kommission schreibt dazu: Erfasst sind auch Personen im Organisationsbereich, etwa Auftragnehmer oder Dienstleister. Es gebe keine festen Vorgaben und keine Pflichtschulungen, und es sei kein Zertifikat nötig. Sie können intern festhalten, welche Schulungen oder anderen Maßnahmen stattgefunden haben. Die bloße Anweisung, die Gebrauchsanleitung zu lesen, sei oft unwirksam. Ein Beispiel der Kommission: Nutzen Beschäftigte einen KI-Chatdienst für Werbetexte, sollten sie über die Risiken informiert werden, zum Beispiel über erfundene Inhalte.

Aufsicht und Durchsetzung liegen bei den nationalen Marktüberwachungsbehörden und gelten laut Kommission ab dem 2. August 2026. Die Behörden könnten Sanktionen verhängen, die verhältnismäßig sein müssten. Wie das in Deutschland ausgestaltet ist, habe ich nicht geprüft.

Was in eine Hausregelung gehört, steht im Beitrag zur KI-Richtlinie fürs Büro. Zur privaten Nutzung von Chatdiensten im Betrieb gibt es den Beitrag zur Schatten-KI.

Art. 50: Transparenz

Art. 50 gilt ab dem 2. August 2026. Der Wortlaut unterscheidet nach Rolle. Die Pflichten aus Absatz 1 (Hinweis, dass man mit einer KI spricht) und Absatz 2 (maschinenlesbare Kennzeichnung erzeugter Inhalte) treffen Anbieter. Für Betreiber nennt der Artikel zwei Bereiche. Betreiber eines Systems zur Emotionserkennung oder biometrischen Kategorisierung müssen die betroffenen Personen über den Betrieb informieren (Absatz 3). Wer Bild-, Ton- oder Videoinhalte erzeugt oder verändert, die ein Deepfake sind, muss offenlegen, dass sie künstlich erzeugt oder verändert wurden. Dasselbe gilt für Text, der veröffentlicht wird, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren, außer er wurde menschlich geprüft oder redaktionell kontrolliert und jemand trägt die redaktionelle Verantwortung (Absatz 4).

Die Information muss spätestens bei der ersten Interaktion oder dem ersten Kontakt mit dem Inhalt klar und eindeutig gegeben werden (Absatz 5). Meine Einschätzung, keine Rechtsauskunft: Interne Entwürfe, Protokolle, Zusammenfassungen und Recherchen, die ein Mensch prüft, kommen in diesen Bereichen nicht vor. Ob eine Veröffentlichung von Ihnen als Information der Öffentlichkeit über Angelegenheiten von öffentlichem Interesse gilt, ist eine Auslegungsfrage, die ich hier nicht beurteile.

Am 2. Dezember 2026 greift ein Übergang für Art. 50 Abs. 2 (Art. 111 Abs. 4 neu). Er betrifft Anbieter von Systemen, die vor dem 2. August 2026 auf dem Markt waren, nicht Sie als Betreiber. Zum selben Datum gelten zwei neue Verbote in Art. 5: KI-Systeme, die ohne Einwilligung realistische intime oder sexuell explizite Darstellungen identifizierbarer Personen erzeugen, und KI-Systeme, die Darstellungen sexuellen Kindesmissbrauchs erzeugen.

Hochrisiko: meist nicht einschlägig

Hochrisiko-Systeme sind die, die in Anhang III zu Art. 6 Abs. 2 aufgeführt sind (oder in regulierten Produkten eingebettet sind, Anhang I, laut Kommission etwa Medizinprodukte, Spielzeug und Aufzüge). Anhang III nennt acht Bereiche: Biometrie, kritische Infrastruktur, Bildung, Beschäftigung und Personalmanagement, wesentliche private und öffentliche Dienste, Strafverfolgung, Migration und Grenzkontrolle, Rechtspflege und demokratische Prozesse.

Für ein Büro ist der Bereich Beschäftigung der naheliegende. Er nennt KI zur Einstellung oder Auswahl von Personen, etwa zum Sichten oder Filtern von Bewerbungen, und KI für Entscheidungen über Arbeitsverhältnisse, etwa Beförderung, Kündigung, Aufgabenverteilung nach persönlichen Merkmalen sowie Beobachtung und Bewertung von Leistung und Verhalten. Besprechungsprotokolle, Suche in der Projektablage, Entwürfe für Schreiben oder Zusammenfassungen von Normen stehen in der Liste nicht. Das ist meine Lesart der Liste, die Einordnung eines konkreten Einsatzes ist Sache eines Anwalts.

Art. 113 Absatz 3 Buchstabe c der KI-Verordnung lautet seit der Änderung: Kapitel III Abschnitte 1 bis 3 gelten ab dem 2. Dezember 2027 für Hochrisiko-Systeme nach Art. 6 Abs. 2 und Anhang III und ab dem 2. August 2028 für solche nach Art. 6 Abs. 1 und Anhang I. Ursprünglich waren es der 2. August 2026 und der 2. August 2027. Bei Betreibern von Hochrisiko-Systemen bleibt laut Kommission die Pflicht bestehen, dass das Personal für die menschliche Aufsicht geschult ist.

Was „Digital Omnibus“ meint

Es gibt zwei Vorhaben unter ähnlichem Namen.

Der Teil zur KI hat folgenden Verlauf, nach der Seite des Europäischen Parlaments: Vorschlag der Kommission am 19. November 2025, Einigung im Trilog am 7. Mai 2026, Abstimmung im Parlament am 16. Juni 2026, Annahme im Rat am 29. Juni 2026, Unterzeichnung am 8. Juli 2026, Veröffentlichung im Amtsblatt am 24. Juli 2026. Die Verordnung tritt nach ihrem Art. 4 am dritten Tag nach der Veröffentlichung in Kraft, also am 27. Juli 2026. Das nennt auch die Kommission.

Der Teil zu DSGVO, ePrivacy und Datenrecht ist ein eigener Vorschlag derselben Kommission. Die Mitgliedstaaten haben das Verhandlungsmandat des Rates am 21. Oktober 2026 im Ausschuss der Ständigen Vertreter vereinbart (Dokument 14756/26). Verhandelt wird erst, wenn das Parlament seine Position festgelegt hat, nach einem Kanzleibeitrag voraussichtlich im Februar 2027. Bis zum Inkrafttreten gilt das bisherige Recht unverändert. Die Angabe zum Parlament stützt sich auf diese Sekundärquelle.

Welche Stufen Ihr Büro betreffen

Die Grafik fasst zusammen, was oben steht. Sie ist eine Orientierung nach dem Verordnungstext und ersetzt keine Prüfung Ihres Einsatzes. Art. 4 gilt in jedem Fall, in dem Sie KI beruflich nutzen.

Was ich nicht prüfen konnte

Die EUR-Lex-Seiten ließen sich am 13. November 2026 nicht automatisch abrufen. Ich habe stattdessen die Amtsblatt-Fassungen über das Veröffentlichungsportal der EU gelesen: die Verordnung (EU) 2026/1744 vom 24. Juli 2026 und die Verordnung (EU) 2024/1689 im deutschen Wortlaut. Von Art. 50 betrifft die Änderung nur Absatz 7. Sanktionen und zuständige Behörden in Deutschland habe ich nicht geprüft.

Was Sie jetzt tun können

1. Listen Sie auf, welche KI-Dienste in Ihrem Büro genutzt werden, und prüfen Sie je Dienst, ob einer der Bereiche aus Anhang III berührt ist, besonders bei Bewerbungen und Leistungsbewertung.
2. Halten Sie schriftlich fest, welche Schulungen oder Einweisungen zur KI Sie durchgeführt haben, mit Datum und Teilnehmenden.
3. Klären Sie, ob Sie KI-erzeugte Bilder, Videos oder Texte veröffentlichen, und lassen Sie die Kennzeichnung von Ihrem Anwalt prüfen.
4. Setzen Sie sich einen Termin für den 2. Dezember 2027 und prüfen Sie bis dahin, ob sich Ihr Einsatz ändert.