KI-VO: was schon gilt und was aufgeschoben ist
DP+
Bild: Bild: KI generiert
Regulierung von künstlicher Intelligenz
Kaum ein Digitalgesetz hat die Compliance-Abteilungen 2026 so beschäftigt wie die KI-Verordnung (KI-VO, auch AI Act). Für Datenschutzbeauftragte (DSB) ist sie relevant, weil sie an zahlreichen Stellen in die DSGVO hineinwirkt. Zudem entstand mit dem KI-MIG eine KI-Aufsichtsbehörde, die sich die Zuständigkeit mit den Datenschutzbehörden teilt.
Anzeige
Die KI-VO trat bereits am 1. August 2024 in Kraft, entfaltet ihre Wirkung aber gestaffelt: Seit 2. Februar 2025 gelten die Verbote bestimmter KI-Praktiken nach Art. 5 – etwa Social Scoring durch Behörden oder manipulative, unterschwellig wirkende Systeme – sowie die Pflicht zur Förderung von KI-Kompetenz nach Art. 4 bei Personal, das KI-Systeme betreibt oder nutzt.
Seit 2. August 2025 sind die Governance-Regeln sowie die Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck (General Purpose AI, GPAI) anzuwenden. Das betrifft die Anbieter von Basismodellen wie großen Sprachmodellen, nicht in erster Linie deren Anwender in Unternehmen.
Seit 2. August 2026 sind die Transparenzpflichten nach Art. 50 verbindlich: die Kennzeichnungspflicht für Chatbots und Sprachagenten sowie für synthetische Inhalte und Deepfakes. Für generative KI-Systeme, die bereits vor diesem Stichtag auf dem Markt waren, gilt für die maschinenlesbare Kennzeichnung ihrer Ausgaben eine verlängerte Umsetzungsfrist bis zum 2. Dezember 2026.
Digital Omnibus ändert den Fahrplan
Ursprünglich sollten am 2. August 2026 auch die vollständigen Pflichten für eigenständige Hochrisiko-KI-Systeme nach Anhang III KI-VO greifen. Aufgrund des KI-Omnibus ist diese Frist verschoben.
Die entsprechende Verordnung (EU) 2026/1744 trat am 27. Juli 2026 in Kraft. Sie ändert viele Artikel der KI-VO:
- Die vollen Pflichten für Hochrisiko-Systeme verschieben sich vom 2. August 2026 auf den 2. Dezember 2027.
- Hochrisiko-KI in bereits regulierten Produkten (Anhang I …
Verfasst von
Dr. Klaus Meffert
Dr. Klaus Meffert ist Diplom-Informatiker und seit 30 Jahren in der IT-Beratung und Software-Entwicklung tätig. Kunden wie T-Systems, Fresenius und SAP begleitete er über viele Jahre. Seit 2017 ist er im digitalen Datenschutz tätig und berät Datenschutzbeauftragte, Internet-Agenturen sowie Endkunden.
