KI-Verordnung: Was seit August gilt – und warum Abwarten trotzdem keine Strategie ist

„Die KI-Verordnung ist doch verschoben worden.“ Diesen Satz hören wir seit dem Sommer oft; meist in Projekten, in denen gerade Copilot oder ein anderer KI-Assistent eingeführt wird. Falsch ist er nicht. Aber er ist nur die halbe Wahrheit. Und wer auf der falschen Hälfte plant, verschenkt genau die Zeit, die der Gesetzgeber gerade gewährt hat.

Was im Sommer passiert ist

Mit dem sogenannten Digital Omnibus hat die EU die KI-Verordnung nachjustiert. Die Änderungsverordnung (EU) 2026/1744 ist seit dem 27. Juli 2026 in Kraft. Ihr Kern: Die Pflichten für Hochrisiko-KI-Systeme greifen später. Für eigenständige Hochrisiko-Anwendungen – etwa im Personalwesen, in der Bildung oder bei der Bewertung der Kreditwürdigkeit – gelten sie ab dem 2. Dezember 2027 statt ab August 2026. Für KI in regulierten Produkten wie Maschinen oder Medizinprodukten ab dem 2. August 2028.

Wichtig ist, was sich nicht geändert hat: die Anforderungen selbst. Risikomanagement, Datenqualität, Dokumentation, menschliche Aufsicht – alles bleibt.

Auch in Deutschland hat die KI-Aufsicht inzwischen eine Adresse. Seit dem 29. Juli 2026 ist das KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG) in Kraft. Es macht die Bundesnetzagentur zur zentralen Marktüberwachungsbehörde – mit Koordinierungs- und Kompetenzzentrum, Beschwerdestelle und mindestens einem KI-Reallabor.

Was heute schon gilt

Die KI-Verordnung tritt in Stufen in Kraft. Einige davon liegen bereits hinter uns:

• Seit Februar 2025: Verbotene Praktiken sind untersagt; dazu gehören Social Scoring oder Emotionserkennung am Arbeitsplatz.
• Seit August 2025: Anbieter von KI-Modellen mit allgemeinem Verwendungszweck – also der großen Sprachmodelle hinter Copilot & Co. – haben eigene Pflichten.
• Seit August 2026: Es gelten Transparenzpflichten. Wer Menschen mit einem KI-System interagieren lässt, etwa mit einem Chatbot auf der Website, muss darauf hinweisen. Deepfakes sind zu kennzeichnen.
• Bis Dezember 2026: Auch KI-Systeme, die schon vor August auf dem Markt waren, müssen ihre generierten Inhalte maschinenlesbar markieren.

Für die meisten Unternehmen heißt das: Die Verschiebung betrifft einen wichtigen Teil der Verordnung, aber eben nicht alles. Zwei Punkte sind im Alltag besonders relevant.

KI-Kompetenz: „fördern“ heißt nicht „ignorieren“

Seit Februar 2025 verlangt Artikel 4 der KI-Verordnung, dass Unternehmen für ausreichende KI-Kompetenz ihrer Mitarbeitenden sorgen. Der Digital Omnibus hat diese Formulierung entschärft: Statt KI-Kompetenz sicherzustellen, müssen Anbieter und Betreiber sie nun fördern. Ein bestimmtes Kompetenzniveau je Person ist nicht mehr geschuldet.

Mancherorts wird daraus geschlossen, Schulungen seien jetzt optional. Das halten wir für den falschen Schluss: Die Pflicht besteht weiter, nur der Maßstab ist realistischer geworden. Das eigentliche Risiko bleibt bestehen: die Fehlbedienung. Vertrauliche Daten im Prompt, ungeprüfte KI-Ergebnisse in Kundendokumenten oder ein Assistent, der Dokumente findet, die nie für alle hätten sichtbar sein sollen. Wie wir in unserer Copilot-Serie geschrieben haben: Die KI vergisst nichts. Wer seine Mitarbeitenden nachweisbar befähigt, schützt also vor allem sich selbst.

Copilot im Unternehmen: Der Zweck entscheidet, nicht das Werkzeug

Wer Copilot oder einen vergleichbaren Assistenten einsetzt, ist im Sinne der Verordnung in aller Regel Betreiber, nicht Anbieter. Solange der Einsatz nicht in eine Hochrisiko-Kategorie fällt, sind die Pflichten überschaubar: KI-Kompetenz fördern, Transparenz herstellen, wo sie verlangt ist – und natürlich die DSGVO einhalten, die unabhängig von der KI-Verordnung gilt.

Entscheidend ist dabei der Einsatzzweck. Derselbe Assistent, der heute Protokolle zusammenfasst, wird zum Hochrisiko-Thema, sobald er Bewerbungen vorsortiert oder Leistung bewertet. Dann greifen ab Dezember 2027 zusätzliche Betreiberpflichten, etwa menschliche Aufsicht, Protokollierung und die vorherige Information der Beschäftigten und ihrer Vertretung. Die Mitbestimmung des Betriebsrats bei technischen Einrichtungen, die Verhalten oder Leistung überwachen können (§ 87 Abs. 1 Nr. 6 BetrVG), gilt ohnehin schon heute.

Ein typisches Muster aus der Praxis: Ein mittelständisches Dienstleistungsunternehmen führt Copilot für die Büroarbeit ein – E-Mails, Protokolle, Präsentationen. Ein paar Monate später nutzt das Recruiting-Team das Werkzeug, um Bewerbungen nach Passung zu sortieren. Entschieden hat das niemand. Es ist einfach passiert. Genau solche „Schatten-Anwendungsfälle“ sind es, die ein sauberes KI-Inventar sichtbar macht – lange bevor sie zum Compliance-Problem werden.

Noch ein Punkt, der oft übersehen wird: KI-generierte Texte, die veröffentlicht werden, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren, müssen grundsätzlich gekennzeichnet werden. Das gilt nicht, wenn ein Mensch den Text prüft und redaktionell verantwortet. Wer KI für Pressemitteilungen oder Fachbeiträge nutzt, sollte diesen Redaktionsprozess also bewusst gestalten und dokumentieren.

Fünf Schritte, die sich jetzt lohnen

1. KI-Inventar anlegen. Welche KI-Systeme sind im Einsatz? Dazu zählen auch KI-Funktionen in Standardsoftware – im Office-Paket, im CRM, im HR-Tool – und die Anwendungen, die „nur mal getestet“ werden.
2. Anwendungsfälle einstufen. Für jeden Einsatzzweck – nicht für jedes Werkzeug – klären: verboten, hochriskant, transparenzpflichtig oder unkritisch?
3. Transparenz umsetzen. Chatbot-Hinweise, Kennzeichnung von KI-Inhalten, ein dokumentierter Redaktionsprozess für veröffentlichte Texte.
4. Verantwortung und Freigabe regeln. Wer entscheidet über neue Anwendungsfälle? Wie wird der Betriebsrat eingebunden? Ein schlanker Freigabeprozess verhindert, dass aus Experimenten unbemerkt Hochrisiko-Anwendungen werden.
5. Mit dem Datenschutz verzahnen. Viele Fragen der KI-Verordnung überschneiden sich mit der Datenschutz-Folgenabschätzung. Ein gemeinsamer Prüfprozess spart doppelte Arbeit – und bringt Datenschutz und KI-Governance an einen Tisch.

Fazit: Die gewonnene Zeit nutzen

Bis die Hochrisiko-Pflichten greifen, bleibt gut ein Jahr. Das klingt nach viel Zeit. Wer jedoch schon einmal ein Inventar über gewachsene IT-Landschaften erstellt, Verantwortlichkeiten zwischen IT, Fachbereich, Datenschutz und Betriebsrat geklärt und Prozesse angepasst hat, weiß: Ein Jahr ist schnell vorbei.

Unsere Empfehlung folgt deshalb einem Grundsatz, der bei NOVEDAS nicht ohne Grund weit oben steht: Better done than perfect. Ein pragmatisches KI-Inventar heute ist mehr wert als ein perfektes Governance-Konzept in einem Jahr.

Sie möchten wissen, wo Ihr Unternehmen steht? Sprechen Sie uns an – wir unterstützen Sie bei Inventar, Risikoeinstufung und der Verzahnung von KI-Governance und Datenschutz.

Hinweis: Dieser Beitrag gibt einen allgemeinen Überblick (Stand: Oktober 2026) und ersetzt keine Rechtsberatung im Einzelfall