AI Act: Veränderte Fristen, gleicher Handlungsdruck

Mit der Verordnung über künstliche Intelligenz, dem AI Act, wurde mit Wirkung zum 1. August 2024 erstmals ein einheitlicher europäischer Rechtsrahmen für den Einsatz Künstlicher Intelligenz (KI) geschaffen. Er soll ein hohes Schutzniveau für Gesundheit, Sicherheit und Grundrechte gewährleisten und zugleich die Entwicklung sowie den freien Verkehr rechtmäßiger KI-Systeme im EU-Binnenmarkt fördern. Entsprechend der gestaffelten Umsetzungsfristen, sollte zum 2. August 2026 das Kernstück des AI Acts, die umfangreichen Pflichten bei der Nutzung von Hochrisiko-KI, zur Anwendung kommen.

Mit der Digital-Omnibus-Verordnung (EU) zur KI 2026/1744 vom 8. Juli 2026 hat die EU jedoch die Umsetzung dieser Pflichten verschoben. Darüber hinaus enthält die Verordnung verschiedene inhaltliche Anpassungen des AI Acts, wobei einzelne Pflichten gelockert werden.

Bedeutung des AI Acts

Der AI Act gilt nicht nur für Anbieter von KI-Systemen, sondern für alle Unternehmen, die KI im Rahmen ihrer Geschäftstätigkeit einsetzen. Branche und Unternehmensgröße sind irrelevant; daher müssen beispielweise auch Start-Ups bei entsprechender Nutzung von KI die Regeln des AI Acts umsetzen.

Für Arbeitgeber hat insbesondere der Einsatz von KI im Personalwesen erhebliche Bedeutung gewonnen. Mittlerweile wird KI u. a. im Recruiting, bei der Personalplanung oder im Personalservice genutzt. Konkret handelt es sich z. B. um KI-Systeme, die Bewerber auswählen oder bewerten, Beschäftigten Aufgaben zuweisen, Leistungsbewertungen vornehmen oder Beförderungsentscheidungen unterstützen. Der AI Act stuft solche KI-Systeme, also Systeme, die Einfluss auf Beschäftigungsentscheidungen nehmen, regelmäßig als Hochrisiko-KI ein.

Nicht jede im Unternehmen eingesetzte KI fällt jedoch in diese Kategorie. Anwendungen mit rein unterstützender Funktion, etwa ein Textassistent zur Erstellung von Stellenanzeigen oder ein HR-Chatbot zur Beantwortung von Standardanfragen, werden regelmäßig keine Hochrisiko-KI darstellen. Anders kann dies sein, wenn ein System maßgeblich zur Auswahl, Bewertung, Einordnung oder Überwachung von Bewerbern oder Beschäftigten eingesetzt wird.

Was gilt bereits heute?

Der durch die Digital-Omnibus-Verordnung verschobene Zeitplan betrifft nicht alle Regelungen des AI Acts. Es sind gestaffelte Umsetzungsfristen vorgesehen.

Zum 2. Februar 2025 traten allgemeine Bestimmungen sowie Verbote im Rahmen der KI Nutzung und zum 2. August 2025 Regeln zur KI mit allgemeinem Verwendungszweck sowie zu Steuerungsmechanismen in Kraft. Arbeitgeber sollten daher z. B. folgende Themen bereits im Blick haben:

• Emotionserkennung am Arbeitsplatz: KI darf nach Art. 5 nicht eingesetzt werden, um aus Stimme, Mimik oder Gesichtsausdruck auf Emotionen oder innere Zustände von Beschäftigten zu schließen.

• KI-Kompetenz (AI Literacy): Nach Art. 4 müssen Arbeitgeber dafür sorgen, dass Beschäftigte, die mit KI-Anwendungen befasst sind, deren Grenzen kennen. Beispielweise müssen sie wissen, welche Daten nicht eingegeben werden dürfen oder wann Ergebnisse kontrolliert werden müssen.

Mit der Digital-Omnibus-Verordnung wurden nicht alle Pflichten verschoben. Seit dem 2. August 2026 greifen nunmehr vor allem auch die Transparenz- und Kennzeichnungspflichten nach Art. 50: Menschen müssen erkennen können, wann sie mit einer KI interagieren. Praktisch heißt das etwa, dass ein Bewerbungs- oder HR-Chatbot offenlegen muss, dass am anderen Ende kein Mensch antwortet. Zudem müssen Unternehmen kenntlich machen, wenn Inhalte mithilfe von KI erstellt oder wesentlich verändert wurden – das betrifft vor allem Deepfakes und synthetisch erzeugte Bild-, Audio- oder Videoinhalte.

Mehr Zeit für den Umgang mit Hochrisiko KI

Hintergrund für die Verschiebung dieser Fristen ist, dass wichtige praktische Hilfsmittel für die Umsetzung noch fehlen: Die vorgesehenen technischen Standards sind noch nicht vollständig fertig, und in vielen Mitgliedstaaten sind die zuständigen Prüf- und Aufsichtsstrukturen noch nicht aufgebaut. Unternehmen hätten die neuen Vorgaben daher erfüllen sollen, ohne verlässlich zu wissen, woran sie sich technisch und organisatorisch konkret orientieren können.

Für viele eigenständige Hochrisiko-KI-Systeme im Sinne von Art. 6 Abs. 2 i. V. m. Anhang III des AI Acts gelten die umfassenden Vorgaben – insbesondere zu Risikomanagement, Datenqualität, menschlicher Aufsicht und Transparenzdokumentation – nun grundsätzlich erst ab dem 2. Dezember 2027. Für KI-Systeme, die als Produkt oder Sicherheitsbauteil nach Art. 6 Abs. 1 i. V. m. Anhang I des AI Acts gelten, beginnt die Anwendung erst am 2. August 2028.

Für Arbeitgeber bedeutet das: Die Verschiebung soll diesen Umsetzungsdruck abfedern – sie nimmt Arbeitgebern aber nicht die Pflicht, KI schon heute datenschutzkonform, diskriminierungsfrei und mit Blick auf die Mitbestimmung einzusetzen.

Entlastung bei der Umsetzung

Neben den Fristverlängerungen bringt die Digital-Omnibus-Verordnung aber auch inhaltliche Änderungen am AI Act. Der risikobasierte Ansatz bleibt unverändert, jedoch sollen mit den inhaltlichen Änderungen die Hürden zur Umsetzung der umfangreichen Pflichten erleichtert werden.

Insbesondere folgende Änderungen wurden beschlossen:

• Die Definition „Sicherheitsbauteil“ nach 3 Nr. 14 des AI Acts, die im Rahmen der Einstufung als Hochrisiko-KI-System nach Art. 6 Abs. 1 des AI Acts i. V. m. Anhang I maßgeblich ist, wurde enger gefasst. Nicht jede KI, die in ein Produkt integriert ist, gilt automatisch als Hochrisiko-KI-System, sondern nur solche, deren Ausfall tatsächlich Gesundheits- oder Sicherheitsrisiken birgt.
• Die AI-Literacy-Pflicht nach Art. 4 wurde abgemildert: Anbieter und Betreiber von KI müssen die KI-Kompetenz ihrer Mitarbeiter fördern, sind aber nicht mehr verpflichtet, ein bestimmtes Kompetenzniveau zu garantieren
• Für KI-Systeme mit allgemeinem Verwendungszweck, die bereits vor dem 2. August 2026 in Verkehr gebracht wurden, wird ein Übergangszeitraum zur Umsetzung der technischen Anforderungen an die Kennzeichnung KI-generierter Inhalte nach Art. 50 Abs. 2 gewährt. Spätestens zum 2. Dezember 2026 müssen betroffene Personen darüber informiert werden, dass ein solches System eingesetzt wird. An den Transparenz- und Kennzeichnungspflichten nach Art. 50 KI-VO sowie deren Anwendung auf KI-Systeme, die nicht als KI-Systeme mit allgemeinem Verwendungszweck eingestuft sind, ändert sich hierdurch nichts.
• Schließlich werden bestimmte Erleichterungen für kleine und mittlere Unternehmen (KMU) auf kleine mittelständische Unternehmen ausgedehnt, und die Registrierungspflichten in der EU-Datenbank für Hochrisiko-KI-Systeme werden vereinfacht.

Praxishinweise für Arbeitgeber

Die Digital-Omnibus-Verordnung verschafft Zeit und erleichterte Anforderung bei der Umsetzung der Pflichten nach dem AI Act. Nichtsdestotrotz sollten Arbeitgeber zügig erfassen, welche KI-Systeme tatsächlich im Unternehmen zum Einsatz kommen, und prüfen, welche davon vor allem als Hochrisiko-KI einzustufen sind. Für diese Systeme sollten bereits jetzt Prozesse für Risikomanagement, Qualitätssicherung, menschliche Aufsicht und dokumentierte Änderungen aufgebaut werden. Parallel sind die bereits geltenden Pflichten umzusetzen, insbesondere Transparenzanforderungen, KI-Kompetenzschulungen und die Überprüfung generativer KI-Systeme auf mögliche Verstöße gegen Art. 5 des AI Acts.

Da Regeln zum Datenschutz, zur Gleichbehandlung und in Bezug auf die Mitbestimmung des Betriebsrats unabhängig von den Regelungen des AI Acts unverändert fortgelten, kann die finale Umsetzung dieser Pflichten erheblichen Zeitvorlauf erfordern. Vor diesem Hintergrund – und da bei Verstößen gegen den AI Act erhebliche Bußgelder drohen können – sollte die Umsetzung dieser Pflichten nicht unterschätzt werden.