KI-Verordnung (AI Act) für Beratungen: was sich geändert hat
7 Minuten Lesezeit
Die Frist, auf die alle geschaut haben, ist gerade auf Dezember 2027 gerückt. Zwei andere gelten schon seit August. Das muss ein Beratungshaus jetzt tun.
Die KI-Verordnung der EU (AI Act) hat drei Stichtage, die bereits gelten, und einen, der gerade verschoben wurde. Wenn Ihr Haus auf die eine „Frist der KI-Verordnung“ wartet, um danach zu planen, war das nie ganz richtig, und seit dem Digital-Omnibus vom Juli 2026 stimmt es noch weniger. Manche Pflichten gelten seit über einem Jahr, während die Frist, auf die sich die meisten vorbereitet haben, um fünfzehn Monate nach hinten gerückt ist. Dieser Beitrag erklärt, was das für eine Beratung oder ein Research-Unternehmen bedeutet, das KI in der Kundenarbeit einsetzt.
Was seit dem 2. August 2026 gilt
An diesem Tag ist zweierlei passiert, und keins davon war die große Frist. Die Transparenzpflichten nach Artikel 50 wurden durchsetzbar: Anbieter und Betreiber müssen offenlegen, wenn Inhalte KI-generiert sind, synthetische Audio- und Videoinhalte kennzeichnen und Menschen darauf hinweisen, wenn sie mit einem Chatbot statt mit einer Person sprechen. Außerdem hat das KI-Büro (AI Office) seine Durchsetzungsbefugnisse gegenüber Anbietern von KI-Modellen mit allgemeinem Verwendungszweck (GPAI) erhalten, also gegenüber den Unternehmen hinter den Modellen, die Beratungen im Alltag tatsächlich nutzen.
Die Pflichten für eigenständige Hochrisiko-Systeme nach Anhang III waren ursprünglich für denselben Tag vorgesehen, sind aber nicht gestartet. Der Digital-Omnibus, der am 27. Juli 2026 in Kraft getreten ist, hat diese Frist auf den 2. Dezember 2027 verschoben. Steht in Ihrem Compliance-Kalender für die Hochrisiko-Anforderungen noch August 2026, ist der Eintrag veraltet.
Der vollständige Zeitplan
| Datum | Was in Kraft trat | Für wen es gilt |
|---|---|---|
| 2. Februar 2025 | Verbotene KI-Praktiken untersagt; Pflicht zur KI-Kompetenz der Mitarbeitenden beginnt | Alle Anbieter und Betreiber |
| 2. August 2025 | Pflichten für KI-Modelle mit allgemeinem Verwendungszweck: Dokumentation, Transparenz, Minderung systemischer Risiken | Anbieter von KI-Modellen mit allgemeinem Verwendungszweck |
| 2. August 2026 | Transparenzpflichten (Offenlegung KI-generierter Inhalte, Kennzeichnung von Deepfakes, Hinweis auf Chatbots); Durchsetzung durch das KI-Büro gegenüber GPAI-Anbietern | Anbieter und Betreiber, deren Systeme Inhalte erzeugen oder mit Menschen interagieren |
| 2. Dezember 2027 (verschoben von August 2026) | Hochrisiko-Pflichten für eigenständige Systeme nach Anhang III: Personalauswahl, Kreditwürdigkeitsprüfung, Bildung, kritische Infrastruktur | Anbieter und Betreiber genau dieser Systemarten |
| 2. August 2028 | Hochrisiko-Pflichten für KI in bereits regulierten Produkten nach Anhang I: Medizinprodukte, Maschinen, Spielzeug | Hersteller dieser Produkte |
Die maßgebliche Fassung dieses Zeitplans pflegt der AI Act Service Desk der Europäischen Kommission. Die früheren Pflichten hat der Omnibus nicht angetastet: verbotene Praktiken, KI-Kompetenz, Pflichten der GPAI-Anbieter und die Transparenzregeln. Verschoben wurden nur die Hochrisiko-Termine nach Anhang III und Anhang I.
Warum die verschobene Frist für Sie wohl nie die entscheidende war
Der Hochrisiko-Status nach Anhang III erfasst nicht jede KI, die für wichtige Arbeit eingesetzt wird. Anhang III nennt bestimmte Systemarten: Beschäftigung und Personalmanagement, Kreditwürdigkeit und Bonitätsbewertung, Bildung und Prüfungsbewertung, Strafverfolgung, Migration und Grenzkontrolle sowie einige weitere aufgeführte Bereiche. Hinzu kommt KI in Produkten wie Medizinprodukten oder Maschinen nach Anhang I.
Ein Recherche-Assistent, ein Entwurfstool oder eine Plattform für Kundenarbeit, mit der Analysen, Berichte oder Erstentwürfe entstehen, fällt nicht schon für sich genommen unter Anhang III. Relevant wird es erst, wenn das Ergebnis direkt in einen der aufgeführten Anwendungsfälle einfließt. Ein Haus, das für einen Kunden ein Tool für automatisierte Einstellungsentscheidungen oder ein Kreditscoring-Modell baut, steht anders da als ein Haus, das mit KI recherchiert und den Bericht entwirft, den dann ein Mensch prüft und übergibt. Die meisten Beratungen, Agenturen und anderen wissensbasierten Dienstleister gehören in die zweite Gruppe. Für ihren KI-Einsatz im Alltag ist die Frist im Dezember 2027 also gar nicht maßgeblich.
Für die meisten Häuser zählen die Pflichten, die schon gelten.
Was jetzt für fast jedes Haus gilt
Zwei Pflichten verlangen eine echte Antwort von Ihrem Haus, eine dritte liegt überwiegend beim Anbieter.
Die Pflicht zur KI-Kompetenz der Mitarbeitenden gilt seit Februar 2025, und man behandelt sie leicht als Punkt zum Abhaken statt als etwas, das die Leute tatsächlich können müssen. Gefordert ist, dass Menschen, die KI-Systeme nutzen, deren Fähigkeiten, Grenzen und angemessenen Einsatz verstehen. Für ein Haus, das mit KI Kundenarbeit erstellt, heißt das: Die prüfende Person weiß, dass ein KI-Entwurf selbstsicher formulierte, falsche Aussagen enthalten kann, und kontrolliert die Quellen, bevor die Arbeit beim Kunden ankommt. Eine Richtlinie, die niemand gelesen hat, erfüllt das nicht.
Transparenzpflichten greifen, wenn Inhalte KI-generiert sind oder ein System wie ein Mensch interagiert. Ob ein bestimmtes Arbeitsergebnis darunterfällt, hängt aber vom jeweiligen Ergebnis ab. Klären Sie das mit Ihrer eigenen Rechtsberatung, statt es sich selbst zu bescheinigen. Eines sollten Sie intern schon jetzt ansprechen: Jeder Chatbot, den Kunden nutzen, und jeder KI-generierte Inhalt, der die Öffentlichkeit informieren soll, unterliegt einer Offenlegungspflicht, die es vor August 2026 nicht gab.
Die Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck liegen beim Modellanbieter, nicht bei dem Haus, das das Modell nutzt. Ist Ihr Haus Betreiber, liegen die Pflichten zu Dokumentation und systemischen Risiken bei dem Unternehmen, das das Modell gebaut hat. Fragen Sie Ihren eigenen Anbieter deshalb, ob die Modelle auf seiner Plattform von Anbietern stammen, die diese Pflichten erfüllen. Dieses Risiko trägt der Modellanbieter, eine Stufe vor jedem einzelnen Betreiber.
Fragen an KI-Anbieter, bevor Sie dem Versprechen „AI-Act-konform“ trauen
Sagt ein Anbieter ohne Details „Wir sind konform“, beantwortet er eine Frage, die Sie nicht gestellt haben. Stellen Sie stattdessen diese.
- Welche Transparenzpflichten nach Artikel 50 deckt die Plattform standardmäßig ab, und welche muss das Haus je Anwendungsfall selbst konfigurieren?
- Unterstützt der Anbieter die KI-Kompetenz der Mitarbeitenden mit echtem Schulungsmaterial, oder bleibt das ganz dem Haus überlassen?
- Braucht ein Ergebnis der Plattform, das an Kunden geht, einen Hinweis, den das Haus von Hand ergänzen muss?
- Hat der Anbieter einen Plan für den Fall, dass ein Anwendungsfall später eine Kategorie aus Anhang III berührt, oder liegt das komplett außerhalb seines Angebots?
Kann ein Anbieter alle vier klar beantworten, hat er eine echte Compliance-Position. „Wir verfolgen die Regulierung genau“ beantwortet keine davon.
Wie das mit Hosting und Zugriff zusammenhängt
Der regulatorische Zeitplan ist nur ein Teil des KI-Risikos eines Hauses. Die anderen Teile: wo die Daten gehostet werden, wer sie sehen kann und ob Aktivitäten protokolliert werden. Diese Fragen richten sich nicht nach dem Zeitplan der KI-Verordnung, und sie zählen unabhängig davon, welche Frist nach Anhang III für Sie gilt. Der Beitrag zu KI-Sicherheit und Vertrauen in der Kundenarbeit beschreibt, was Sie von jedem KI-Tool bei Hosting, Training und Audit-Logs verlangen sollten. Der Beitrag zur Zugriffskontrolle für KI behandelt die Berechtigungen: ob das KI-Tool die Zugriffsregeln einhält, die in Ihrem Haus schon gelten. Das ist eine Frage des Kundenvertrauens, unabhängig vom regulatorischen Status.
Wo Hebno steht
Hebno hostet die Daten seiner Kunden in der EU oder in den USA, je nachdem, was sie wählen, und mit ihren Eingaben wird kein Modell trainiert. Aktivitäten werden in Audit-Logs festgehalten, damit ein Haus antworten kann, wenn ein Kunde wissen will, wie KI bei seiner Arbeit eingesetzt wurde. Nichts davon ist eine Rechtsberatung dazu, wie die KI-Verordnung auf die konkreten Arbeitsergebnisse Ihres Hauses anzuwenden ist. Es ist ein Ausgangspunkt für dieses Gespräch mit Ihrer eigenen Rechtsberatung und mit jedem Anbieter, dessen Plattform mit Kundenarbeit in Berührung kommt. Alle Details finden Sie auf der Sicherheitsseite, oder Sie vereinbaren eine Demo und gehen die konkrete Einrichtung Ihres Hauses mit uns durch.
