KI-Verordnung: Pflichten und Fristen im Überblick, Stand nach dem Digital-Omnibus

Die KI-Verordnung regelt KI-Systeme nach ihrem Risiko und gilt in allen Mitgliedstaaten unmittelbar. Sie ist am 01.08.2024 in Kraft getreten, ihre Teile gelten gestaffelt (Art. 113). Die Digital-Omnibus-Verordnung zur KI, die VO (EU) 2026/1744 vom 08.07.2026, wurde am 24.07.2026 im Amtsblatt veröffentlicht und ist am dritten Tag danach, dem 27.07.2026, in Kraft getreten. Sie fasst unter anderem Art. 4 neu, ergänzt die Verbote in Art. 5, verschiebt die Pflichten für Hochrisiko-KI-Systeme und erstreckt Erleichterungen bei Geldbußen auf kleine Midcap-Unternehmen.

Österreich: Laut KI-Servicestelle der RTR gibt es derzeit noch keine nationale Umsetzung der Zuständigkeiten, weder für die Marktüberwachungsbehörden noch für die notifizierende Behörde. Die KI-Servicestelle versteht sich als Ansprechpartner und Informationsdrehscheibe für Unternehmen. Die Übersicht der Kommission (Seite vom 07.09.2026, abgerufen am 25.10.2026) nannte für Österreich noch keine zentrale Anlaufstelle der Marktüberwachung.

Vom Betreiber zum Anbieter: Wer ein Hochrisiko-KI-System mit eigenem Namen oder eigener Marke versieht, es wesentlich verändert oder die Zweckbestimmung eines KI-Systems, auch eines KI-Systems mit allgemeinem Verwendungszweck, so ändert, dass es zum Hochrisiko-KI-System wird, gilt selbst als Anbieter mit allen Anbieterpflichten (Art. 25 Abs. 1). Prüfen Sie diese Fälle besonders, wenn Sie KI-Werkzeuge anpassen oder für neue Zwecke einsetzen.

• a) Unterschwellige, absichtlich manipulative oder täuschende Techniken, die das Verhalten wesentlich verändern und erheblichen Schaden zufügen können.
• b) Ausnutzen von Schutzbedürftigkeit wegen Alters, Behinderung oder sozialer oder wirtschaftlicher Lage mit erheblichem Schaden.
• c) Soziale Bewertung von Personen, die zu ungerechtfertigter oder sachfremder Benachteiligung führt.
• d) Vorhersage des Risikos einer Straftat allein auf Grundlage von Profiling oder Persönlichkeitsmerkmalen.
• e) Gesichtserkennungsdatenbanken durch ungezieltes Auslesen von Gesichtsbildern aus dem Internet oder von Überwachungsaufnahmen.
• f) Ableitung von Emotionen am Arbeitsplatz und in Bildungseinrichtungen, außer aus medizinischen oder Sicherheitsgründen.
• g) Biometrische Kategorisierung, um Rasse, politische Einstellung, Gewerkschaftszugehörigkeit, religiöse oder weltanschauliche Überzeugung, Sexualleben oder sexuelle Ausrichtung abzuleiten.
• h) Biometrische Echtzeit-Fernidentifizierung in öffentlich zugänglichen Räumen zur Strafverfolgung, mit engen Ausnahmen.
• ba) Neu ab 02.12.2026: KI-Systeme, die realistische intime oder sexuelle Darstellungen bestimmbarer Personen ohne deren ausdrückliche Zustimmung erzeugen oder manipulieren.
• bb) Neu ab 02.12.2026: KI-Systeme, die Darstellungen sexuellen Kindesmissbrauchs im Sinne der Richtlinie 2011/93/EU erzeugen oder manipulieren.

Die neuen Verbote ba und bb grenzt Art. 5 Abs. 1a ein: Anbieter trifft das Verbot, wenn das Erzeugen solcher Inhalte Zweck des Systems ist oder ohne erhebliche technische Änderungen absehbar und reproduzierbar gelingt und zumutbare Schutzvorkehrungen fehlen; Betreiber nur, wenn sie das System zu diesem Zweck verwenden. Die Leitlinien der Kommission zu den Verboten vom 04.02.2025 sind nicht verbindlich; verbindlich auslegen kann nur der Gerichtshof der EU.

Anhang III nennt acht Bereiche: Biometrie, kritische Infrastruktur, Bildung, Beschäftigung und Personalmanagement, Zugang zu grundlegenden Diensten, Strafverfolgung, Migration, Asyl und Grenzkontrolle sowie Rechtspflege und demokratische Prozesse. Für Unternehmen besonders relevant: KI zum Sichten, Filtern und Bewerten von Bewerbungen, für Entscheidungen über Beförderung oder Kündigung und zur Leistungsbewertung (Nr. 4) sowie zur Kreditwürdigkeitsprüfung natürlicher Personen und zur Preisbildung bei Lebens- und Krankenversicherungen (Nr. 5 lit. b und c). Ausnahme: Ein System nach Anhang III ist nicht hochriskant, wenn es kein erhebliches Risiko birgt und eine der vier Bedingungen des Art. 6 Abs. 3 erfüllt, etwa nur eine eng gefasste Verfahrensaufgabe oder eine vorbereitende Aufgabe übernimmt; mit Profiling natürlicher Personen ist es immer hochriskant.

Wer sich als Anbieter auf diese Ausnahme beruft, dokumentiert die Bewertung, bevor das System in Verkehr gebracht oder in Betrieb genommen wird, und registriert es (Art. 6 Abs. 4, Art. 49 Abs. 2).

• System nach der Betriebsanleitung des Anbieters verwenden (Art. 26 Abs. 1).
• Menschliche Aufsicht Personen mit Kompetenz, Ausbildung und Befugnis übertragen (Abs. 2).
• Eingabedaten, soweit unter eigener Kontrolle, auf Zweck und Repräsentativität prüfen (Abs. 4).
• Betrieb überwachen; bei Risiko Anbieter und Marktüberwachung informieren und die Verwendung aussetzen, schwerwiegende Vorfälle unverzüglich melden (Abs. 5).
• Automatisch erzeugte Protokolle mindestens sechs Monate aufbewahren, soweit unter eigener Kontrolle (Abs. 6).
• Vor dem Einsatz am Arbeitsplatz Arbeitnehmervertretung und betroffene Beschäftigte informieren (Abs. 7).
• Betroffene informieren, wenn das System Entscheidungen über sie trifft oder unterstützt (Abs. 11).
• Informationen des Anbieters für die Datenschutz-Folgenabschätzung nutzen (Abs. 9).
• Grundrechte-Folgenabschätzung, wenn Sie als Betreiber Einrichtung des öffentlichen Rechts oder private Einrichtung sind, die öffentliche Dienste erbringt (außer bei kritischer Infrastruktur, Anhang III Nr. 2), oder KI zur Kreditwürdigkeit oder für Lebens- und Krankenversicherungen einsetzen (Art. 27).

Diese Pflichten gelten nach der Änderung durch die VO (EU) 2026/1744 für Systeme nach Anhang III ab 02.12.2027 und für Systeme nach Anhang I ab 02.08.2028. Systeme, die vorher in Verkehr gebracht wurden, fallen nur bei erheblicher Änderung ihrer Konzeption darunter; Systeme für Behörden müssen bis 02.08.2030 angepasst sein (Art. 111 Abs. 2).

Die Information muss spätestens bei der ersten Interaktion oder Konfrontation klar und eindeutig erfolgen und barrierefrei sein (Art. 50 Abs. 5).

Anbieter und Betreiber von KI-Systemen ergreifen Maßnahmen, um die Entwicklung der KI-Kompetenz ihres Personals und anderer Personen zu unterstützen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind. Zu berücksichtigen sind technische Kenntnisse, Erfahrung, Aus- und Fortbildung, der Einsatzkontext und die Personen, bei denen die Systeme eingesetzt werden. Ein bestimmtes Kompetenzniveau müssen Anbieter und Betreiber nicht garantieren (Art. 4 Abs. 1 in der Fassung der VO (EU) 2026/1744). Kommission und Mitgliedstaaten unterstützen dabei, besonders KMU; die Kommission veröffentlicht praktische Beispiele (Abs. 2).

Vorher verlangte Art. 4 Maßnahmen, um nach besten Kräften ein ausreichendes Maß an KI-Kompetenz des Personals sicherzustellen. Dieses Ziel entfällt; die Maßnahmen unterstützen nun die Entwicklung der Kompetenz. Naheliegend ist eine interne KI-Richtlinie mit Schulung (Empfehlung von TOMORIS); eine Vorlage dafür bietet der Download „KI-Nutzungsrichtlinie“.

Für KMU einschließlich Start-ups gilt jeweils der niedrigere der beiden Beträge (Abs. 6), für kleine Midcap-Unternehmen bei den Geldbußen nach Abs. 4 und 5 ebenso (Abs. 6a, neu). Die Sanktionsvorschriften erlassen die Mitgliedstaaten; sie berücksichtigen die Interessen von KMU und kleinen Midcaps (Abs. 1).

• Alle eingesetzten und geplanten KI-Systeme erfasst, auch KI-Funktionen in bestehender Software und Cloud-Diensten.
• Je System die eigene Rolle bestimmt: Betreiber, Anbieter oder beides; Fälle nach Art. 25 Abs. 1 geprüft.
• Verbote nach Art. 5 ausgeschlossen, besonders Emotionserkennung am Arbeitsplatz und, ab 02.12.2026, die neuen Verbote ba und bb.
• Einsatz in Bereichen nach Anhang III geprüft, etwa Bewerbungen, Leistungsbewertung, Kreditwürdigkeit; Ergebnis dokumentiert.
• Transparenz nach Art. 50 umgesetzt, je nach Rolle: als Anbieter Hinweis bei Chatbots und maschinenlesbare Kennzeichnung (Abs. 1 und 2), als Betreiber Information bei Emotionserkennung, Kennzeichnung von Deepfakes und von KI-Texten zu öffentlichen Angelegenheiten (Abs. 3 und 4).
• Maßnahmen zur KI-Kompetenz festgelegt und dokumentiert, etwa Richtlinie, Schulung, Ansprechperson.
• Bei Anbietern Betriebsanleitungen und Informationen angefordert, die Sie für Ihre Pflichten und die Datenschutz-Folgenabschätzung brauchen.
• Zuständigkeit im Unternehmen festgelegt und Entwicklung verfolgt: Leitlinien der Kommission, Normen, nationale Behörden.