Redaktioneller Quellenabgleich vom 9. Oktober 2026: Die Angaben zur KI-Kompetenz wurden an die Mitteilung der EU-Kommission zum AI Omnibus angepasst. Der ursprüngliche Veröffentlichungszeitpunkt bleibt erhalten.
Kaum ein europäischer Rechtsakt der jüngeren Vergangenheit ist von so vielen Missverständnissen begleitet worden wie die KI-Verordnung. Erst galt sie als Innovationsbremse, dann als Papiertiger, und seit dem Digital Omnibus vom Juni 2026 kursiert in manchen Geschäftsleitungen die bequeme Erzählung, Brüssel habe die KI-Regulierung ohnehin „abgeräumt". Nichts davon trifft zu. Die Verordnung (EU) 2024/1689 ist seit dem 1. August 2024 in Kraft, ihre ersten Pflichten gelten seit Februar 2025, und am 2. August 2026 erreicht sie ihre allgemeine Geltung. Verschoben wurde – gezielt und begrenzt – allein der anspruchsvollste Teil: die Pflichten für Hochrisiko-Systeme. Dieser Beitrag zeichnet den risikobasierten Ansatz und die Zeitschiene nach, ordnet den Digital Omnibus ein, erläutert die Rollenverteilung zwischen Anbietern und Betreibern, stellt das seit dem 29. Juli 2026 geltende deutsche KI-Durchführungsgesetz vor und benennt, was Unternehmen jetzt konkret veranlassen sollten.
Der risikobasierte Ansatz: vier Stufen und ein Sonderregime
Die KI-Verordnung reguliert nicht „die künstliche Intelligenz" als Technologie, sondern konkrete Einsatzszenarien – abgestuft nach dem Risiko für Gesundheit, Sicherheit und Grundrechte. An der Spitze der Pyramide stehen die verbotenen Praktiken des Art. 5 KI-VO, darunter manipulative Techniken, die Ausnutzung von Schutzbedürftigkeit und das Social Scoring. Darunter liegt die Kategorie der Hochrisiko-Systeme nach Art. 6 KI-VO, die sich aus zwei Quellen speist: KI als Sicherheitsbauteil regulierter Produkte nach Anhang I und die eigenständigen Einsatzfelder des Anhangs III, zu denen etwa Personalauswahl, Kreditwürdigkeitsprüfung, kritische Infrastruktur und Bildung zählen. Für diese Systeme gelten die dichtesten Anforderungen – von Risikomanagement über Daten-Governance bis zur menschlichen Aufsicht. Die dritte Stufe bilden Systeme mit begrenztem Risiko, für die Art. 50 KI-VO Transparenzpflichten anordnet: Wer mit einem Chatbot interagiert, muss dies erkennen können; synthetische Inhalte und Deepfakes sind als solche zu kennzeichnen; über den Einsatz von Emotionserkennung und biometrischer Kategorisierung ist zu informieren. Der weit überwiegende Rest der Anwendungen bleibt weitgehend pflichtenfrei. Quer zu dieser Pyramide liegt das Sonderregime des Kapitels V für KI-Modelle mit allgemeinem Verwendungszweck (GPAI), das die Anbieter der großen Basismodelle adressiert – einschließlich der urheberrechtlichen Pflichten des Art. 53 KI-VO, eine Urheberrechts-Policy vorzuhalten und eine Zusammenfassung der Trainingsinhalte vorzulegen.
Die Zeitschiene: Was seit wann gilt
Die bisherige Regelung zur KI-Kompetenz ist im Licht des AI Omnibus neu zu bewerten. Die EU-Kommission beschreibt die Anforderung für Unternehmen seit Juli 2026 als vereinfacht. Die ursprüngliche Fassung des Art. 4 KI-VO darf daher nicht ohne Prüfung als unverändert fortgeltende pauschale Schulungspflicht dargestellt werden. Schulung, sichere Nutzung und klare Zuständigkeiten bleiben wichtige Bestandteile einer sachgerechten KI-Governance.
Anbieter oder Betreiber: Warum fast jedes Unternehmen betroffen ist
Die Verordnung verteilt ihre Pflichten entlang von Rollen. Anbieter ist nach Art. 3 Nr. 3 KI-VO, wer ein KI-System entwickelt oder entwickeln lässt und es unter eigenem Namen oder eigener Marke in Verkehr bringt oder in Betrieb nimmt. Betreiber ist nach Art. 3 Nr. 4 KI-VO, wer ein KI-System in eigener Verantwortung im beruflichen Kontext verwendet. Diese zweite Definition hat es in sich: Sie erfasst die Bank ebenso wie den Maschinenbauer und das mittelständische Handelsunternehmen, das seinen Beschäftigten einen KI-Assistenten zur Verfügung stellt. Wer generative KI-Werkzeuge im Unternehmen einsetzt – und sei es nur zur Texterstellung oder Recherche –, ist Betreiber im Sinne der Verordnung. Der Pflichtenumfang hängt dann von der Risikoklasse des jeweiligen Systems ab: Beim Einsatz von Hochrisiko-Systemen greifen künftig insbesondere die Betreiberpflichten des Art. 26 KI-VO – Verwendung entsprechend der Betriebsanleitung, wirksame menschliche Aufsicht, Kontrolle der Eingabedaten, Aufbewahrung der Protokolle und Information der betroffenen Beschäftigten –, für bestimmte Betreiber zudem die Grundrechte-Folgenabschätzung nach Art. 27 KI-VO. Vorsicht ist geboten, wo Unternehmen fremde Systeme unter eigener Marke vermarkten oder wesentlich verändern: Wer so agiert, läuft Gefahr, in die deutlich pflichtenintensivere Anbieterrolle einzurücken.
Das deutsche KI-Durchführungsgesetz: Die BNetzA als zentrale Aufsicht
Mit dem Stichtag der allgemeinen Geltung vor Augen hat auch der deutsche Gesetzgeber geliefert. Das KI-Durchführungsgesetz passierte im Juni 2026 den Bundestag, am 10. Juli 2026 den Bundesrat und ist seit dem 29. Juli 2026 in Kraft. Es bestimmt die Bundesnetzagentur zur zentralen Marktüberwachungsbehörde für die KI-Verordnung und zugleich zur Anlauf- und Beschwerdestelle; außerdem betreibt die BNetzA künftig KI-Reallabore, in denen innovative Systeme unter behördlicher Begleitung erprobt werden können. Deutschland folgt dabei einem hybriden Aufsichtsmodell: Für den Finanzsektor bleibt die BaFin zuständig, für den Medienbereich die Landesmedienanstalten. Für Unternehmen bedeutet das zweierlei. Zum einen gibt es nun einen klaren Ansprechpartner – wer Zweifelsfragen zur Einstufung oder zu einzelnen Pflichten hat, weiß, an wen er sie richten kann, und wer mit Beschwerden rechnen muss, weiß, wo sie landen werden. Zum anderen beginnt jetzt die Phase, in der sich eine Verwaltungspraxis herausbildet. Es lohnt sich, deren erste Signale genau zu beobachten, denn sie werden die Auslegungsspielräume der Verordnung für die Praxis konkretisieren.
Sanktionen nach Art. 99 KI-VO und das Haftungsumfeld
Der Sanktionsrahmen der Verordnung ist empfindlich. Verstöße gegen die Verbote des Art. 5 KI-VO können nach Art. 99 KI-VO mit Geldbußen von bis zu 35 Mio. Euro oder 7 % des gesamten weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist. Für die meisten übrigen Verstöße – etwa gegen Hochrisiko- oder Transparenzpflichten – reicht der Rahmen bis zu 15 Mio. Euro oder 3 % des weltweiten Jahresumsatzes. Damit bewegt sich die KI-Verordnung auf dem Sanktionsniveau der DSGVO und teilweise darüber. Hinzu tritt das zivilrechtliche Umfeld: Die neue Produkthaftungsrichtlinie (EU) 2024/2853, von den Mitgliedstaaten bis zum 9. Dezember 2026 umzusetzen, erfasst Software und KI-Systeme ausdrücklich als Produkte und bringt Beweiserleichterungen für Geschädigte. Und schließlich der Blick nach innen: Die Legalitäts- und Compliance-Organisationspflicht der Geschäftsleitung aus § 43 GmbHG und § 93 AktG umfasst selbstverständlich auch die Einhaltung der KI-Verordnung. Ein Organisationsdefizit beim KI-Einsatz kann damit zur persönlichen Haftungsfrage für Geschäftsführer und Vorstände werden – mit allen bekannten Folgefragen bis hin zur D&O-Deckung.
Häufige Fragen
Wer beaufsichtigt die Einhaltung der KI-Verordnung in Deutschland? Seit dem 29. Juli 2026 ist die Bundesnetzagentur die zentrale Marktüberwachungsbehörde sowie Anlauf- und Beschwerdestelle; sie betreibt zudem KI-Reallabore. Im Finanzsektor bleibt die BaFin zuständig, im Medienbereich die Landesmedienanstalten. Bei Verstößen drohen Geldbußen nach Art. 99 KI-VO von bis zu 35 Mio. Euro oder 7 % des weltweiten Jahresumsatzes.
Dieser Beitrag gibt einen allgemeinen Überblick auf dem Rechtsstand 2026 und ersetzt keine Rechtsberatung im Einzelfall. Für eine Einschätzung Ihres konkreten Anliegens vereinbaren Sie gern ein Erstgespräch mit KALER.
