Inhalt6
Am 27. Juli 2026 hat das Inkrafttreten der Verordnung (EU) 2026/1744 die Regeln des AI Act für Hochrisiko-KI, die zur Personalgewinnung, zur Personalverwaltung oder zur Kreditvergabe eingesetzt wird, auf den 2. Dezember 2027 verschoben. Am 20. Oktober 2026 bleiben etwas mehr als dreizehn Monate. Das ist wenig, wenn das betroffene Werkzeug eine Software ist, die man auswählt, konfiguriert und einführt, bevor man sie nutzt.
Dieser Artikel unserer Rubrik KI im Unternehmen stützt sich auf den konsolidierten Text der Verordnung und auf den Entwurf der Leitlinien der Kommission. Er ist keine Rechtsberatung: Um eine bestimmte Nutzung einzustufen, hat Ihr Datenschutzbeauftragter oder ein Anwalt das letzte Wort. Den vollständigen Überblick über die Pflichten finden Sie in unserem Leitfaden zu AI Act und DSGVO für KMU.
Kurz gesagt
- Zwei Daten: der 2. Dezember 2027 für die Nutzungen aus Anhang III (Personalgewinnung, Personal, Kredit, Versicherung), der 2. August 2028 für KI in regulierten Produkten.
- Die Leitlinien, die genau sagen werden, was als hohes Risiko gilt, liegen noch als Entwurf vor, veröffentlicht am 19. Mai 2026.
- Ein Unternehmen, das ein solches Werkzeug nutzt, muss eine menschliche Aufsicht sicherstellen, die Protokolle aufbewahren und seine Beschäftigten informieren.
- Die DSGVO gilt bereits, und ein 2027 gewähltes Werkzeug wird in Betrieb sein, wenn die neuen Regeln greifen: Jetzt werden die Garantien verhandelt.
Wann gelten die Hochrisiko-Regeln?
Der konsolidierte Artikel 113 legt zwei Daten fest, die die des ursprünglichen Textes (2. August 2026 und 2. August 2027) ersetzen:
- 19. Mai 2026
Die Kommission veröffentlicht ihren Entwurf der Leitlinien zur Einstufung von Hochrisiko-Systemen.
- 23. Juli 2026
Ende der Konsultation zu diesem Entwurf.
- 27. Juli 2026
Die Verordnung (EU) 2026/1744 tritt in Kraft und verschiebt die Hochrisiko-Termine.
- 2. Dezember 2027
Die Regeln gelten für die Nutzungen aus Anhang III (Personalgewinnung, Personal, Kredit, Versicherung, Bildung, Biometrie).
- 2. August 2028
Sie gelten für KI, die Sicherheitsbauteil eines regulierten Produkts ist (Medizinprodukt, Spielzeug, Aufzug).
Das Datum der Konsultation ist das von der Kanzlei Osborne Clarke angegebene. Die Verschiebung selbst beschreiben wir in was der digitale Omnibus am AI Act geändert hat.
Welche Nutzungen eines Unternehmens gelten als hohes Risiko?
Anhang III listet acht Bereiche auf. Für ein privates Unternehmen kommen fünf Nutzungen am häufigsten vor:
- Personal gewinnen: gezielte Stellenanzeigen schalten, Bewerbungen analysieren und filtern, Bewerber bewerten.
- Personal verwalten: über eine Beförderung oder Kündigung entscheiden, Aufgaben nach Verhalten oder Persönlichkeit zuweisen, Leistung überwachen und bewerten.
- Kredite vergeben: die Kreditwürdigkeit einer Person bewerten oder ihre Bonitätsbewertung erstellen, ausgenommen die Aufdeckung von Finanzbetrug.
- Versichern: das Risiko bewerten und den Preis einer Lebens- oder Krankenversicherung für eine Person festlegen.
- Ausbilden: über den Zugang zu einer beruflichen Weiterbildung entscheiden oder bewerten, was eine Person dort gelernt hat.
Die Biometrie (Kategorisierung von Personen, Emotionserkennung) steht ebenfalls auf der Liste. In allen Fällen geht es um Entscheidungen, die natürliche Personen betreffen: Ein Werkzeug, das Firmenkunden bewertet oder Support-Tickets sortiert, fällt nicht aus diesem Grund darunter.
Ist meine Nutzung wirklich ein hohes Risiko?
In einem Bereich des Anhangs III aufzutauchen, reicht nicht immer. Artikel 6 sieht eine Ausnahme für Systeme vor, die das Ergebnis der Entscheidung nicht wesentlich beeinflussen. Die Prüfung erfolgt in vier Schritten:
- Der Bereich.
Steht die Nutzung in Anhang III? Wenn nicht, gelten die Hochrisiko-Regeln nicht.
- Das Profiling.
Bewertet das System Personen anhand ihrer Daten (Profiling)? Wenn ja, bleibt es ein Hochrisiko-System, ohne mögliche Ausnahme.
- Die Rolle bei der Entscheidung.
Beschränkt es sich auf eine eng gefasste Verfahrensaufgabe, verbessert es eine bereits abgeschlossene menschliche Tätigkeit, erkennt es Abweichungen, ohne die menschliche Bewertung zu ersetzen, oder bereitet es eine Bewertung vor, kann es aus dem hohen Risiko herausfallen.
- Der Nachweis.
Der Anbieter, der sein System außerhalb des hohen Risikos sieht, muss seine Bewertung vor dem Inverkehrbringen dokumentieren und sie den Behörden auf Anfrage vorlegen.
Schritt 2 wiegt schwer: Laut der Analyse von Osborne Clarke betreiben Werkzeuge zur Personalgewinnung oder Kreditbewertung in der Regel Profiling, was die Tür zur Ausnahme oft schließt. Der Entwurf der Leitlinien, den die Kommission laut Artikel 6 spätestens am 2. Februar 2026 veröffentlichen sollte, wird auf seiner am 23. Juli 2026 aktualisierten Seite weiterhin als Entwurf dargestellt.
Was ein nutzendes Unternehmen tun muss
Der AI Act nennt das Unternehmen, das das System in eigener Verantwortung nutzt, „Betreiber“. Artikel 26 verlangt von ihm insbesondere:
- Das System gemäß seiner Gebrauchsanweisung verwenden und seinen Betrieb überwachen.
- Die menschliche Aufsicht Personen übertragen, die über die nötige Kompetenz, Schulung und Befugnis verfügen.
- Die vom System erzeugten Protokolle aufbewahren, mindestens sechs Monate.
- Die Arbeitnehmervertreter und die betroffenen Beschäftigten informieren, bevor das System am Arbeitsplatz eingesetzt wird; in Frankreich geschieht das über den Sozial- und Wirtschaftsausschuss (CSE).
- Ein Risiko oder einen schwerwiegenden Vorfall dem Anbieter und der Behörde melden und die Nutzung bei Bedarf aussetzen.
Unternehmen, die Kreditwürdigkeit bewerten oder Lebens- und Krankenversicherungen tarifieren, müssen zusätzlich eine Grundrechte-Folgenabschätzung durchführen (Artikel 27). Und die Behörde, die all das in Frankreich kontrollieren wird, ist noch nicht benannt: Der französische Gesetzentwurf überträgt den Bereich Beschäftigung der CNIL, wie wer den AI Act in Frankreich kontrolliert erklärt.
Warum Sie nicht bis Dezember 2027 warten sollten
Dreizehn Monate lassen Zeit, es gut zu machen, nicht alles im letzten Quartal zu erledigen. Vier Gründe, jetzt anzufangen:
- Die DSGVO gilt bereits. Ihr Artikel 22 regelt vollständig automatisierte Entscheidungen mit rechtlicher oder erheblicher Wirkung, etwa die Ablehnung einer Bewerbung oder eines Kredits. Worum es geht, steht in KI, die über eine Kündigung oder einen Kredit entscheidet.
- Werkzeuge werden ausgewählt, bevor sie dienen. Eine im Laufe des Jahres 2027 gewählte Recruiting-Software wird in Betrieb sein, wenn die Regeln greifen. Beim Vertragsabschluss erhält man vom Anbieter seine Gebrauchsanweisung, seine Protokolle und seinen Compliance-Plan, nicht danach.
- Die Bestandsaufnahme dient allem. Zu wissen, welche Werkzeuge Personen betreffen und welche allein entscheiden, dient der DSGVO, dem AI Act und der Sicherheit. Das ist der erste Schritt unseres Leitfadens zur KI-Governance wie auch unseres Leitfadens zur Einführung von KI im Unternehmen.
- Die menschliche Aufsicht muss organisiert werden. Festzulegen, wer freigibt, mit welcher Schulung und welcher Befugnis, braucht in einem Team von 20 bis 500 Personen Zeit; es ist auch das, was die Entscheidung vertretbar macht, wie die Rolle des Menschen gegenüber dem Urteil der KI zeigt.
Achtung
Artikel 111 sieht vor, dass ein vor dem 2. Dezember 2027 in Betrieb genommenes Hochrisiko-System den neuen Regeln nur unterliegt, wenn es danach erheblich in seiner Konzeption verändert wird. Das ist kein Grund zu warten: Was diese Ausnahme für eine fortlaufend aktualisierte Online-Software bedeutet, sollten Sie von Ihrem Berater klären lassen, und sie deckt weder die DSGVO noch die bereits geltenden Pflichten ab.
Aus der Praxis
Die menschliche Aufsicht ist keine Formalität, das haben wir auf einer Website gesehen, die wir betreiben. Palmora Property, ein Immobilienportal, hat es auf eigene Kosten gelernt: Ein KI-Modell veröffentlichte dort Artikel, die drei nicht existierende Immobilienprojekte vorstellten, inzwischen zurückgezogen (interne Feststellung, aus unserem eigenen Projekt für diesen Kunden, in unserem Leistungskatalog festgehalten). Seitdem geht dort nichts, was ein Modell erzeugt, ohne eine Person hinaus, die es liest und freigibt. Eine Sortierung von Bewerbungen verdient mindestens dieselbe Sorgfalt wie ein Blogartikel.
Datum zum Merken: der 2. Dezember 2027. Die übrigen Fristen, von der Kennzeichnung generierter Inhalte am 2. Dezember 2026 bis zum Anhang I im Jahr 2028, stehen in unserem Kalender der KI-Regulierung. Um eine Bestandsaufnahme Ihrer Nutzungen zu machen und diejenigen zu erkennen, die dem hohen Risiko nahekommen, setzt unser Angebot KI zum fairen Preis bei Ihren tatsächlichen Werkzeugen an.
Häufige Fragen
Wann gelten die Regeln des AI Act für Hochrisiko-KI?
Am 2. Dezember 2027 für die Nutzungen aus Anhang III, darunter Personalgewinnung, Personalverwaltung, Kreditwürdigkeitsprüfung sowie Lebens- und Krankenversicherung, und am 2. August 2028 für KI, die als Sicherheitsbauteil eines regulierten Produkts dient. Diese Daten ergeben sich aus der Verordnung (EU) 2026/1744, in Kraft seit dem 27. Juli 2026.
Ist eine Software zur Sortierung von Lebensläufen eine Hochrisiko-KI?
Grundsätzlich ja: Bewerbungen zu analysieren und zu filtern, steht in Anhang III. Die Ausnahme nach Artikel 6 greift nicht, wenn die Software Profiling betreibt, was bei dieser Art von Werkzeug häufig ist. Die endgültigen Leitlinien der Kommission, noch im Entwurf, werden die Grenzfälle präzisieren.
Was muss ein Unternehmen tun, das eine Hochrisiko-KI nutzt?
Ab dem 2. Dezember 2027: sie gemäß ihrer Gebrauchsanweisung verwenden, die menschliche Aufsicht geschulten Personen übertragen, die Protokolle mindestens sechs Monate aufbewahren, die Arbeitnehmervertreter und die betroffenen Beschäftigten informieren und schwerwiegende Vorfälle melden. Die DSGVO gilt bereits jetzt.
Muss man auf die Leitlinien der Kommission warten, um sich vorzubereiten?
Nein. Der Entwurf vom 19. Mai 2026 liefert bereits die Methode, und die Bestandsaufnahme der Werkzeuge, die Personen betreffen, nützt unabhängig vom endgültigen Text. Die Leitlinien werden die Grenzfälle präzisieren; sie werden die Liste des Anhangs III nicht ändern, die durch die Verordnung festgelegt ist.
Quellen
- Konsolidierte Artikel 113 (neuer Tab)ai-act-service-desk.ec.europa.eu
- Der Kanzlei Osborne Clarke (neuer Tab)osborneclarke.com
- Anhang III (neuer Tab)ai-act-service-desk.ec.europa.eu
- Artikel 6 (neuer Tab)ai-act-service-desk.ec.europa.eu
- Weiterhin als Entwurf dargestellt (neuer Tab)digital-strategy.ec.europa.eu
- Artikel 26 (neuer Tab)ai-act-service-desk.ec.europa.eu
- Artikel 27 (neuer Tab)ai-act-service-desk.ec.europa.eu
- Artikel 111 (neuer Tab)ai-act-service-desk.ec.europa.eu
Jim · Gründer von Brain Plus AI
Ebenfalls lesenswert zu ki im unternehmen
Praxisleitfaden9 Min.
AI Act und DSGVO: Was ein KMU tun muss, das KI nutzt
Ein KMU, das ChatGPT oder ein CRM mit KI nutzt, hat bereits Pflichten. Dieser Leitfaden gibt den Stand im Oktober 2026 wieder: Ihre Rolle im Sinne des AI Act, der im Juli 2026 überarbeitete Zeitplan, was die DSGVO verlangt, und die Schritte, um die Regeln einzuhalten.
Verstehen9 Min.
Zeitplan AI Act und Digitalrecht: die Fristen 2026 bis 2028
AI Act, Data Act, Cyber Resilience Act, NIS2, elektronische Rechnungsstellung und die ersten US-Gesetze: alle Termine, die für ein Unternehmen zählen, vom Herbst 2026 bis August 2028, auf einer einzigen, laufend aktualisierten Seite. Zu jeder Frist: wer betroffen ist und was vorzubereiten ist.
Einordnen7 Min.
Automatisierte Entscheidung: Darf KI allein entscheiden?
Der Algorithmus wäre konsequenter als ein gehetzter Vorgesetzter, doch eine Entscheidung, die ein Leben berührt, muss erklärt und angefochten werden können. Das Recht neigt deutlich zu einer Seite: die beiden Positionen, unsere Meinung und die Regel, die man einführen sollte, ohne auf 2027 zu warten.