Was müssen wir tun, wenn wir KI nutzen? Die Pflichten der Betreiber nach der KI-Verordnung
Kurze Antwort
Jedes Unternehmen, das KI nutzt, muss für KI-Kompetenz sorgen (Art. 4), verbotene KI-Praktiken vermeiden (Art. 5) und offenlegen, wenn Menschen mit Deepfakes oder Emotionserkennung zu tun haben (Art. 50). Nutzen Sie Hochrisiko-KI, kommt ab 2. Dezember 2027 Art. 26 hinzu: das System gemäß Betriebsanleitung verwenden, die menschliche Aufsicht kompetenten Personen übertragen, für relevante Eingabedaten sorgen, den Betrieb überwachen, Protokolle mindestens 6 Monate aufbewahren, Beschäftigte und Betroffene informieren und mit den Behörden zusammenarbeiten.
Pflichten für jede KI-Nutzung
| Pflicht | Ab wann | Artikel |
|---|---|---|
| KI-Kompetenz | Seit 2. Februar 2025 | Art. 4 |
| Keine verbotenen KI-Praktiken | Seit 2. Februar 2025 | Art. 5 |
| Deepfakes und Emotionserkennung offenlegen | Ab 2. August 2026 | Art. 50 Abs. 3 und 4 |
Zusätzliche Pflichten bei Hochrisiko-KI
Art. 26 gilt ab 2. Dezember 2027 für Nutzungen nach Anhang III. Das Wichtigste ist die menschliche Aufsicht: eine Person, die das System versteht, Fehler erkennt und befugt ist, Nein zu sagen. In GoalCube entscheidet ein Mensch jeden Fall, der eine Person betrifft, und das Protokoll zeigt, wer was wann und warum entschieden hat.
Und die DSGVO?
Viele Pflichten überschneiden sich mit der DSGVO: Informationspflicht (Art. 13 und 14), das Recht auf eine menschliche Entscheidung (Art. 22) und die Datenschutz-Folgenabschätzung (Art. 35). Die KI-Verordnung sagt ausdrücklich, dass Sie die Informationen des Anbieters für Ihre DSFA nutzen müssen (Art. 26 Abs. 9).
So gehen Sie vor
- Halten Sie sich an die Betriebsanleitung.Nutzen Sie die KI für den Zweck, für den sie gebaut ist und den der Anbieter beschreibt.
- Bestimmen Sie die Aufsicht.Namentlich benannte Personen mit Kompetenz, Schulung und Befugnis.
- Steuern Sie die Eingabedaten.Daten, die Sie selbst liefern, müssen für den Zweck relevant und repräsentativ sein.
- Überwachen Sie und handeln Sie.Stoppen Sie die Nutzung und melden Sie es, wenn die KI ein Risiko darstellt oder ein schwerwiegender Vorfall eintritt.
- Bewahren Sie Protokolle auf.Die automatisch erzeugten Protokolle, die Sie kontrollieren, mindestens 6 Monate lang.
- Informieren Sie.Beschäftigte und ihre Vertretung vor dem Einsatz am Arbeitsplatz; Personen, über die entschieden wird.
Das sagt das Gesetz
- Art. 26 KI-VO – Pflichten der Betreiber von Hochrisiko-KI-Systemen
- Inhalt durch den Digital Omnibus unverändert; gilt für Anhang III ab 2. Dezember 2027.
- Art. 27 KI-VO – Grundrechte-Folgenabschätzung (FRIA)
- Für öffentliche Stellen, private Anbieter öffentlicher Dienste sowie bei Kreditwürdigkeit und Lebens- und Krankenversicherung.
- Art. 86 KI-VO – Recht auf Erläuterung
- Betroffene können eine Erläuterung verlangen, welche Rolle die KI bei einer Entscheidung gespielt hat.
Fragen und Antworten
Sind wir Betreiber, wenn unsere Mitarbeitenden ChatGPT nutzen?
Ja, wenn sie es bei der Arbeit für Sie nutzen. Persönliche, nicht berufliche Nutzung ist ausgenommen.
Wie lange müssen wir Protokolle aufbewahren?
Mindestens 6 Monate für die Protokolle, die Sie kontrollieren – sofern andere Gesetze nichts anderes vorschreiben.
Wie informieren wir die Beschäftigten?
Bevor Sie Hochrisiko-KI am Arbeitsplatz einsetzen, müssen die Beschäftigten und ihre Vertretung informiert werden. GoalCube hat dafür eine fertige Vorlage.
Quellen
Geschrieben von GoalCube-Redaktion. Zuletzt aktualisiert 11. Oktober 2026. GoalCube hilft Ihnen, die KI-Verordnung und die DSGVO einzuhalten. Es ist keine Rechtsberatung.
Seien Sie unter den Ersten.
Wir planen den Start im November 2026. Merken Sie sich vor, dann hören Sie von uns, sobald Sie loslegen können.