KI-Verordnung ab August 2026: der einfache Teil – und der, über den niemand spricht

Zwei Pflichten, die man nicht verwechseln darf

Wenn über die KI-Verordnung geredet wird, geraten zwei völlig verschiedene Dinge durcheinander. Trennen wir sie einmal sauber:

• Die Kennzeichnungspflicht (Artikel 50) – für alle, die KI-Inhalte nutzen: Bilder, Stimmen, Chatbots. Unabhängig von der Unternehmensgröße. Das ist der einfache Teil.
• Die Pflichten rund um Hochrisiko-KI – Risikomanagement, Dokumentation, menschliche Aufsicht, Nachweise. Den vollen Katalog tragen die Anbieter solcher Systeme. Aber – und das wird fast überall unterschlagen – auch wer ein solches System nur einsetzt, hat eigene Pflichten.

Fangen wir mit dem einfachen Teil an. Danach kommt der, über den kaum jemand schreibt.

Die Kennzeichnungspflicht – das betrifft fast jeden

Der Kern von Artikel 50 ist einfach: Menschen müssen erkennen können, wenn Bilder, Stimmen oder Antworten von einer KI stammen. Diese Transparenzpflicht gilt ab dem 2. August 2026 – für Anbieter genauso wie für Betreiber, und unabhängig davon, wie groß dein Unternehmen ist. Es gibt hier keine Erleichterung für kleine Betriebe.

Konkret solltest du kennzeichnen:

• KI-Bilder und Profilbilder. Wirkt ein Bild fotorealistisch, wurde aber nicht real fotografiert, gehört ein Hinweis dran – zum Beispiel „Bild mit KI erstellt".
• KI-Stimmen und Audio. Synthetische Stimmen, Voice-Cloning, KI-Stimmen im Erklärvideo oder Podcast – zum Beispiel „Audio mit KI-Stimme erzeugt".
• Chatbots und virtuelle Assistenten. Nutzerinnen und Nutzer müssen erkennen, dass keine reale Person antwortet – zum Beispiel „Antworten dieses Assistenten werden von KI unterstützt".

Und genauso wichtig – was du eher nicht kennzeichnen musst: rein interne KI-Nutzung wie Recherche, Rechtschreibprüfung, interne Auswertungen oder Folien, die du danach selbst prüfst – solange das Ergebnis nicht als „menschlich" nach außen präsentiert wird. Ebenfalls entschärft sind Fälle, in denen ohnehin offensichtlich ist, dass eine KI im Spiel ist, und Werkzeuge, die lediglich unterstützend bearbeiten, ohne das Ergebnis wesentlich zu verändern. Die Faustregel: Entscheidend ist, ob jemand ein KI-Ergebnis für echt menschlich halten könnte – oder sofort erkennt, dass KI im Spiel ist.

Damit ist der einfache Teil erledigt – und genau hier hören die meisten Ratgeber auf. Mit dem beruhigenden Gefühl, das Thema sei abgehakt. Ist es aber nicht.

Jetzt kommt der zweite Punkt, und der ist ungleich schwieriger. Er lässt sich nicht an einem Nachmittag erledigen, er betrifft weit mehr Unternehmen als gedacht – und er entscheidet sich nicht daran, ob du KI anbietest, sondern daran, wofür du sie einsetzt. Bevor du das Thema also weglegst, gehört eine Frage geprüft.

Welche Rolle hast du eigentlich?

Die Verordnung unterscheidet nicht nach Branche oder Größe, sondern nach Rolle. Und die meisten Unternehmen sind mehr als eine:

Worüber gerade fast niemand spricht

In den meisten Leitfäden endet der Text hier – mit der beruhigenden Botschaft, dass die schweren Pflichten ja nur ein paar Tech-Firmen treffen. Das stimmt für die Rolle des Anbieters. Es stimmt nicht für den Rest.

Denn nicht die Technik entscheidet über Hochrisiko, sondern der Zweck. Anhang III der Verordnung listet Einsatzbereiche auf, die als hochriskant gelten – darunter Beschäftigung und Personalmanagement. Wer also ein KI-Werkzeug einkauft, das Bewerbungen vorsortiert, betreibt ein Hochrisiko-System. Ohne eine Zeile Code geschrieben zu haben.

Ein Beispiel aus dem Mittelstand

Ein Maschinenbauer mit 120 Beschäftigten bekommt zu viele Bewerbungen und führt ein KI-Werkzeug ein, das Lebensläufe vorsortiert. Eine völlig normale Entscheidung, getroffen in der Personalabteilung, ohne dass die Geschäftsführung von KI-Verordnung spricht. Was damit ins Haus kommt:

• Menschliche Aufsicht – die Vorauswahl muss von Menschen überwacht werden, die dafür befähigt sind. „Die KI hat aussortiert" reicht nicht.
• Protokolle – die automatisch erzeugten Logs sind aufzubewahren, mindestens sechs Monate.
• Information der Beschäftigten – Belegschaft und Interessenvertretung müssen vor der Inbetriebnahme informiert werden.
• Information der Betroffenen – Bewerberinnen und Bewerber müssen erfahren, dass ein KI-System an der Entscheidung beteiligt ist.
• Eingabedaten prüfen – die Daten müssen für den Zweck geeignet und repräsentativ sein. Wer ein System mit schiefen Altdaten füttert, haftet dafür mit.
• Betriebsanleitung einhalten – das System darf nur so eingesetzt werden, wie der Anbieter es vorsieht. Zweckentfremdung kann aus dem Betreiber einen Anbieter machen – mit dem gesamten Pflichtenkatalog.

Nichts davon ist mit einem Satz auf der Website erledigt. Das ist Dokumentation, Verantwortlichkeiten, Nachweisführung – also genau das, was ein Managementsystem leistet. Und dazu kommt eine Pflicht, die schon seit Februar 2025 gilt und trotzdem regelmäßig übersehen wird: KI-Kompetenz nach Artikel 4. Wer KI einsetzt, muss dafür sorgen, dass die Menschen, die damit arbeiten, sie auch verstehen. Nachweisbar wird das durch Schulungen – und durch die Dokumentation dieser Schulungen.

Der Teil für echte Anbieter

Wer tatsächlich Hochrisiko-KI anbietet, bekommt den vollen Katalog. Der Vollständigkeit halber, damit die Größenordnung klar wird:

Der Punkt an dieser Liste ist nicht, Angst zu machen. Der Punkt ist: Wer sie liest, erkennt sofort etwas wieder. Risikomanagement, Dokumentenlenkung, Schulungsnachweise, Aufzeichnungen, Vorfallmeldung, ein Qualitätsmanagementsystem in schriftlicher Form – das ist die Struktur einer ISO-9001-Welt. Wer ein lebendiges Managementsystem hat, muss für die KI-Verordnung kein zweites bauen. Er hängt sie hinein.

Wie gehst du das an, ohne im Papier zu ertrinken?

Der erste Schritt ist keine Software, sondern eine ehrliche Bestandsaufnahme in drei Fragen: Wo setzen wir KI nach außen sichtbar ein? Wo setzen wir sie an Stellen ein, die Menschen betreffen – Personal, Zugang, Bewertung? Und wer bei uns arbeitet damit, ohne dafür geschult worden zu sein?

Die erste Frage beantwortet die Checkliste oben. Die zweite entscheidet, ob ihr im Hochrisiko-Bereich seid – und die klärt man besser jetzt als nach der ersten Bewerberbeschwerde. Die dritte ist die günstigste von allen: Schulung und Nachweis.

Für alles, was danach an Dokumentation ansteht, gilt unser gewohnter Weg: Die KI macht die Vorarbeit. Unsere KI-Coworkerin ISA liest zum Beispiel die Anforderungen der KI-Verordnung, gleicht sie mit unserem System ab und schreibt die Dokumentation als Entwurf – dort, wo zulässig, in der vereinfachten Form für KMU. Freigegeben wird jede Zeile von einem Menschen. Und weil die geforderten Nachweise ohnehin in die Struktur eines Managementsystems gehören, entsteht kein zweiter Ordner neben dem QM, sondern ein Kapitel darin.

Was heißt das für dich?

Ein Satz vorweg: Das hier ist praktische Orientierung, keine Rechtsberatung – für Grenzfälle lohnt der Blick einer Fachanwältin. Aber die Richtung ist klar, und sie ist eine andere als die, die man derzeit überall liest.

Für die meisten Unternehmen ist die Kennzeichnung tatsächlich schnell erledigt. Das ist der Teil, über den alle reden – er ist einfach, und deshalb wird er so gerne erzählt. Die eigentliche Frage ist eine andere: Setzt ihr KI irgendwo ein, wo sie über Menschen mitentscheidet? Dann seid ihr in einer Kategorie, in der Dokumentation, Aufsicht und Nachweise verlangt werden – und zwar unabhängig davon, dass ihr die Software nur gekauft habt.

Wer das jetzt klärt, hat eine überschaubare Aufgabe. Wer es aussitzt, klärt es später unter Zeitdruck – und mit Bußgeldrahmen, die bis in zweistellige Millionenhöhe oder einen Prozentsatz des weltweiten Jahresumsatzes reichen.

Wie sich KI-Vorarbeit anfühlt, erlebst du mit unseren kostenlosen ISO-9001:2026-Prompts – oder live im Webinar am 23.09.2026, 10:00–11:30 Uhr: jetzt anmelden.

Häufige Fragen

Wen trifft die KI-Verordnung ab 2. August 2026?
Drei Gruppen, nicht zwei: Alle, die KI-Inhalte einsetzen, müssen diese kennzeichnen – das betrifft nahezu jedes Unternehmen. Wer Hochrisiko-KI anbietet oder entwickelt, trägt den vollen Katalog aus Risikomanagement, technischer Dokumentation und Qualitätsmanagement. Und wer ein Hochrisiko-System lediglich einsetzt – etwa KI zur Vorauswahl von Bewerbungen – hat als Betreiber ebenfalls eigene Pflichten.

Gilt die Kennzeichnungspflicht auch für kleine Unternehmen?
Ja. Die Transparenzpflichten nach Artikel 50 hängen nicht an der Risikoklasse und nicht an der Unternehmensgröße. Sie gelten für Anbieter und Betreiber gleichermaßen – auch für das kleine Unternehmen, das KI nur nutzt.

Was muss ich kennzeichnen – und was nicht?
Kennzeichnen: KI-Bilder und Profilbilder, synthetische Stimmen und Audio, Chatbots (klar erkennbar als KI) und Deepfakes. Meist nicht nötig: rein interne KI-Nutzung wie Recherche oder Rechtschreibung, solange das Ergebnis nicht als menschlich nach außen präsentiert wird, sowie offensichtliche Fälle.

Wer braucht ein Qualitätsmanagement und technische Dokumentation?
Anbieter von Hochrisiko-KI-Systemen. Kleine und mittlere Unternehmen (unter 250 Mitarbeitende) dürfen die technische Dokumentation in vereinfachter Form führen. Wer KI nur einsetzt, braucht kein eigenes Qualitätsmanagement für die KI – aber Achtung: Auch Betreiber von Hochrisiko-Systemen haben eigene Pflichten, unter anderem menschliche Aufsicht, Protokollaufbewahrung und Informationspflichten gegenüber Beschäftigten.

Kann mich Hochrisiko treffen, obwohl ich gar keine KI anbiete?
Ja. Anhang III der Verordnung stuft bestimmte Einsatzzwecke als hochriskant ein – darunter KI im Bereich Beschäftigung und Personalmanagement, also zum Beispiel die automatisierte Vorauswahl von Bewerbungen. Wer ein solches Werkzeug einkauft und einsetzt, ist Betreiber eines Hochrisiko-Systems und hat eigene Pflichten. Nicht die Technik entscheidet, sondern der Zweck.

Was ist die KI-Kompetenz-Pflicht?
Artikel 4 verlangt von allen, die KI anbieten oder betreiben, dass ihr Personal über ausreichende KI-Kompetenz verfügt. Diese Pflicht gilt bereits seit Februar 2025 und wird in der Praxis oft übersehen. Nachweisbar wird sie durch Schulungen und deren Dokumentation.