Was die Verordnung tatsächlich verlangt
Die Verordnung (EU) 2024/1689 ordnet jede Anwendung einer von vier Stufen zu: verbotene Praktiken, hohes Risiko, Transparenzpflicht und minimales Risiko. An der Stufe hängen die Pflichten.
Für den ganz überwiegenden Teil dessen, was im Mittelstand gebaut wird, greifen Transparenzpflichten und nicht die Anforderungen an Hochrisikosysteme. Das ist die wichtigste und am seltensten ausgesprochene Nachricht: die meisten Vorhaben sind umsetzbar, sie müssen nur sauber beschrieben sein.
Die Fristen, die praktisch relevant sind
Seit dem 2. Februar 2025 gelten die Verbote aus Artikel 5 und die Pflicht, für ausreichende KI-Kompetenz der eigenen Beschäftigten zu sorgen.
Seit dem 2. August 2025 gelten die Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck.
Seit dem 2. August 2026 gelten die Transparenzpflichten aus Artikel 50. Dazu gehört die Kennzeichnung KI-erzeugter Inhalte, und zwar pro Medium: eine pauschale Fußnote auf der Website genügt dafür nicht.
Die Anforderungen an Hochrisikosysteme greifen gestaffelt danach. Wer heute ein System baut, das später in diese Klasse fällt, spart erheblich, wenn die Dokumentation von Anfang an mitläuft.
Anbieter oder Betreiber, das entscheidet den Aufwand
Wer ein KI-System entwickelt und unter eigenem Namen bereitstellt, ist Anbieter. Wer ein fremdes System im eigenen Betrieb einsetzt, ist Betreiber. Die Pflichten unterscheiden sich deutlich.
Der Punkt, an dem es für Unternehmen unangenehm wird: wer ein zugekauftes System wesentlich verändert oder unter eigenem Namen anbietet, kann vom Betreiber zum Anbieter werden. Das ist eine Vertrags- und Architekturfrage, die vor dem Einkauf gehört und nicht danach.
Was wir konkret liefern
Eine Bestandsaufnahme aller KI-gestützten Abläufe im Haus, auch der eingekauften, denn die Einstufung gilt pro Anwendungsfall und nicht pro System.
Eine begründete Einstufung je Anwendungsfall mit der Konsequenz daraus, und dort, wo eine Einstufung strittig ist, die Angabe, woran sie hängt.
Die technische Umsetzung der Transparenzpflichten: Kennzeichnung erzeugter Inhalte am Medium statt am Seitenfuß, sichtbar und maschinenlesbar, dazu Protokollierung und eine Systembeschreibung, die eine Prüfung übersteht.
Wie wir das auf der eigenen Seite gelöst haben
Diese Website führt ein Register über jedes verwendete Bild mit seiner Herkunft. Wo ein Medium KI-erzeugt ist, trägt es einen sichtbaren Hinweis am Bild, einen Text für Screenreader und den passenden IPTC-Herkunftstyp in der Bilddatei und in den strukturierten Daten.
Das ist keine Zusatzleistung, sondern genau die Arbeit, die Artikel 50 verlangt, an einem Beispiel, das Sie nachprüfen können. Das Verzeichnis steht als Bildnachweise im Seitenfuß dieser Website.
Was die Verordnung nicht verlangt
Sie verlangt keinen Verzicht auf KI, keine Zertifizierung für jede Anwendung und keine Offenlegung Ihrer Geschäftsgeheimnisse.
Sie verlangt auch nicht, dass Modelle in Europa trainiert wurden. Datensouveränität ist in vielen Fällen die einfachere Datenschutzarchitektur, aber sie ist eine eigene Entscheidung und keine Auflage aus der KI-Verordnung.
