Aktualisiert am 26.10.2026: KI-Verordnung und DSGVO in einer Checkliste, Stand nach der Änderungsverordnung vom Juli 2026.
Wer KI im Betrieb nur einsetzt, also Chatbot, Telefonassistent oder Schreibhilfe nutzt, hat aus der KI-Verordnung 2026 meist eine kurze Liste: keine verbotenen Praktiken, KI-Kompetenz fördern, seit dem 2. August 2026 offenlegen, wo Menschen mit einer KI sprechen, und Deepfakes kennzeichnen. Die größere Baustelle ist oft die DSGVO, denn sie greift bei jedem Personenbezug. Die Hochrisiko-Pflichten sind auf Dezember 2027 und August 2028 verschoben.
Zwei Gesetze, zwei Blickwinkel. Die KI-Verordnung fragt: Was macht dieses System, und wie riskant ist das? Die DSGVO fragt: Welche Daten über Menschen fließen hier, und auf welcher Grundlage? Ein Website-Chatbot kann nach der einen Seite harmlos und nach der anderen heikel sein, je nachdem, was Kunden ihm erzählen. Deshalb lohnt es sich, beide in einem Durchgang zu prüfen. Mit einer Liste, nicht mit zwei Projekten.
Seit diesem Tag gelten die Transparenzpflichten nach Art. 50, etwa der KI-Hinweis bei Chatbot und Telefonassistent.
Ab diesem Tag gelten die Hochrisiko-Pflichten für Systeme nach Anhang III, etwa in der Bewerberauswahl.
der Unternehmen ab 20 Beschäftigten sehen sich als Anwender vom AI Act betroffen, weitere 34 Prozent prüfen das noch.
Quellen: KI-Verordnung (EU) 2024/1689 · Verordnung (EU) 2026/1744 (Digital-Omnibus zur KI) · Bitkom, Presseinformation vom 14.09.2026. Stand: 26.10.2026.
Was sich im Juli 2026 geändert hat
Am 8. Juli 2026 haben Parlament und Rat die Digital-Omnibus-Verordnung zur KI unterzeichnet, die Verordnung (EU) 2026/1744. Sie wurde am 24. Juli im Amtsblatt veröffentlicht und gilt seit dem 27. Juli 2026. Für den Mittelstand zählen vier Punkte:
Hochrisiko kommt später. Die Pflichten für Systeme nach Anhang III, etwa in Personalauswahl oder Kreditwürdigkeitsprüfung, gelten ab dem 2. Dezember 2027. Für KI, die als Sicherheitsbauteil in Produkten nach Anhang I steckt, etwa in Medizinprodukten oder Spielzeug, ab dem 2. August 2028.
Transparenz bleibt pünktlich. Art. 50 gilt seit dem 2. August 2026. Nur Anbieter von Systemen, die synthetische Texte, Bilder, Audio oder Video erzeugen und schon vorher auf dem Markt waren, haben für die maschinenlesbare Kennzeichnung bis zum 2. Dezember 2026 Zeit.
KI-Kompetenz ist weicher formuliert. Art. 4 verlangt nun, dass Anbieter und Betreiber Maßnahmen ergreifen, um die KI-Kompetenz ihres Personals zu fördern. Ein bestimmtes Niveau müssen sie nicht mehr sicherstellen.
Zwei neue Verbote ab dem 2. Dezember 2026. Untersagt werden KI-Systeme, die ohne Zustimmung sexualisierte Darstellungen realer Personen erzeugen, und solche, die Darstellungen von Kindesmissbrauch erzeugen. Für seriöse Betriebe ändert das praktisch nichts, gehört aber in jede vollständige Übersicht.
In Deutschland ist seit dem 29. Juli 2026 außerdem geregelt, wer die KI-Verordnung überwacht: Die Bundesnetzagentur ist zentrale Marktüberwachungs-, Anlauf- und Beschwerdestelle. Ihr KI-Service-Desk bietet unter anderem ein Online-Werkzeug für eine erste Einschätzung der Risikoklasse.
Quellen: Verordnung (EU) 2026/1744 · Verlag Dr. Otto Schmidt, 14.08.2026 · IHK Lüneburg-Wolfsburg (2026) · Bundesnetzagentur, Pressemitteilung vom 29.07.2026. Stand: 26.10.2026.
Der Fahrplan auf einen Blick
| Seit / ab | Was gilt |
|---|---|
| 1. August 2024 | KI-Verordnung in Kraft |
| 2. Februar 2025 | Verbotene Praktiken (Art. 5) und KI-Kompetenz (Art. 4) |
| 2. August 2025 | Regeln für KI-Modelle mit allgemeinem Verwendungszweck, Aufsicht, Sanktionen |
| 27. Juli 2026 | Änderungsverordnung (EU) 2026/1744 in Kraft, Art. 4 in neuer Fassung |
| 2. August 2026 | Allgemeiner Geltungsbeginn, darunter die Transparenzpflichten (Art. 50) |
| 2. Dezember 2026 | Übergangsfrist für Art. 50 Abs. 2 bei Bestandssystemen endet, neue Verbote gelten |
| 2. Dezember 2027 | Hochrisiko-Pflichten für Systeme nach Anhang III |
| 2. August 2028 | Hochrisiko-Pflichten für Systeme nach Anhang I |
Quellen: KI-Verordnung (EU) 2024/1689, Art. 113 · Verordnung (EU) 2026/1744. Fristen können sich durch weitere Änderungen verschieben. Stand: 26.10.2026.
Erst klären: Welche Rolle haben Sie?
Die KI-Verordnung unterscheidet vor allem Anbieter, die ein KI-System entwickeln oder unter eigenem Namen auf den Markt bringen, und Betreiber, die es in eigener Verantwortung beruflich einsetzen. Die meisten Mittelständler sind Betreiber. Wer allerdings ein fremdes System unter eigenem Namen anbietet oder es wesentlich verändert, kann selbst zum Anbieter werden.
Bei der DSGVO sind Sie als Unternehmen der Verantwortliche. Der KI-Dienstleister, der in Ihrem Auftrag Daten verarbeitet, ist in der Regel Auftragsverarbeiter. Wer welche Rolle hat, entscheidet darüber, wer welche Pflicht trägt. Im Zweifel gehört diese Frage an den Anfang, nicht ans Ende.
Checkliste Teil 1: KI-Verordnung
- KI-Inventar anlegen. Jedes Werkzeug kommt auf die Liste: Chatbot, Telefonassistent, Schreibhilfe, Übersetzung, Bilderzeugung, die KI-Funktion im CRM oder in der Bewerbersoftware. Dazu Zweck, Anbieter, Nutzer und die Daten, die hineinfließen. Diese Liste ist die Grundlage für alle weiteren Punkte und für die DSGVO gleich mit.
- Verbote ausschließen. Seit dem 2. Februar 2025 sind bestimmte Praktiken untersagt (Art. 5), darunter manipulative Techniken, Social Scoring und Emotionserkennung am Arbeitsplatz, außer aus medizinischen oder Sicherheitsgründen. Für die meisten Betriebe ist das ein Haken. Setzen Sie ihn bewusst.
- KI-Kompetenz fördern. Eine kurze Schulung für alle, die mit KI arbeiten, schriftliche Regeln für den Umgang mit KI-Werkzeugen und ein Ansprechpartner im Haus. Halten Sie fest, wer wann geschult wurde. Ein bestimmtes Zertifikat schreibt die Verordnung nicht vor.
- Transparenz herstellen. Wo Menschen mit einer KI sprechen oder schreiben, müssen sie das erkennen können, spätestens beim ersten Kontakt, es sei denn, es ist ohnehin offensichtlich. Deepfakes, also täuschend echte Bilder, Töne oder Videos, sind als künstlich erzeugt zu kennzeichnen. KI-Texte, die veröffentlicht werden, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren, ebenfalls, außer ein Mensch hat sie geprüft und trägt die redaktionelle Verantwortung. Details zu Bildern und Videos stehen im Beitrag zur KI-Kennzeichnungspflicht.
- Hochrisiko prüfen. Bewerberauswahl, Beförderung oder Leistungsbewertung von Beschäftigten, Kreditwürdigkeit von Privatpersonen, Risiko- und Preisbewertung in der Lebens- und Krankenversicherung, bestimmte biometrische Systeme: Hier wird es ernst (Anhang III). Betreiber müssen ab dem 2. Dezember 2027 unter anderem für menschliche Aufsicht durch geschulte Personen sorgen, automatisch erzeugte Protokolle aufbewahren und Beschäftigte vor dem Einsatz am Arbeitsplatz informieren (Art. 26). Wer solche Systeme jetzt einführt, baut besser gleich danach. Umbauen kostet mehr als richtig bauen.
Checkliste Teil 2: DSGVO
- Rechtsgrundlage benennen. Für jede KI-Anwendung mit personenbezogenen Daten braucht es eine Grundlage nach Art. 6 DSGVO, etwa Vertrag, Einwilligung oder berechtigtes Interesse.
- Datenklassen festlegen. Welche Daten dürfen in welches Werkzeug? Öffentliche Texte überallhin, Kundendaten nur in Dienste mit Vertrag, Gesundheits- oder Personaldaten nur in besonders geschützte Systeme. Private KI-Konten sind für Firmendaten tabu. Wie eine Lösung mit eigenem Firmenwissen aussieht, zeigt der Beitrag Eigene KI statt ChatGPT.
- Auftragsverarbeitung regeln. Mit jedem Anbieter, der Daten in Ihrem Auftrag verarbeitet, besteht ein Vertrag nach Art. 28 DSGVO. Verbraucher-Tarife bieten den meist nicht, Business-Tarife schon.
- Drittländer prüfen. Wo stehen die Server, wer hat Zugriff, welche Garantien gelten für Übermittlungen außerhalb der EU (Art. 44 ff.)?
- Verzeichnis ergänzen. Jede neue KI-Anwendung mit personenbezogenen Daten gehört ins Verzeichnis der Verarbeitungstätigkeiten (Art. 30).
- Informieren. Die Datenschutzerklärung erklärt, dass und wie Chatbot oder Telefonassistent Daten verarbeiten, auch ob Gespräche aufgezeichnet oder verschriftlicht werden (Art. 13 und 14).
- Folgenabschätzung prüfen. Bei voraussichtlich hohem Risiko für Betroffene ist eine Datenschutz-Folgenabschätzung Pflicht (Art. 35).
- Mensch entscheidet. Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung für Menschen darf eine KI grundsätzlich nicht allein treffen (Art. 22).
- Betriebsrat einbinden. Gibt es einen, hat er beim Einsatz technischer Systeme, die Verhalten oder Leistung von Beschäftigten überwachen können, ein Mitbestimmungsrecht. Früh fragen spart späten Streit.
Für Betriebe in Baden-Württemberg ist der Landesbeauftragte für den Datenschutz mit Sitz in Stuttgart zuständig. Sein Diskussionspapier zu Rechtsgrundlagen beim Einsatz von KI, Version 2.0 vom Oktober 2024, ist eine der praxisnächsten Lektüren zu Punkt 1.
Am Rand: Ein zweiter Teil des Digital-Omnibus soll auch die DSGVO ändern, etwa bei der Frage, wann pseudonymisierte Daten als personenbezogen gelten. Dieser Teil wird zwischen den EU-Institutionen noch verhandelt, ein Abschluss wird frühestens 2027 erwartet. Bis dahin gilt die DSGVO unverändert.
Quellen: DSGVO (EU) 2016/679 · LfDI Baden-Württemberg, Rechtsgrundlagen im Datenschutz beim Einsatz von KI, Version 2.0 (2024) · Heuking, Fachbeitrag vom 24.09.2026. Stand: 26.10.2026.
Was Sie nicht brauchen
- Kein Konformitätsverfahren für den Chatbot. Prüfverfahren, technische Dokumentation und Registrierung sind Sache von Hochrisiko-Systemen und treffen vor allem deren Anbieter.
- Keinen gesetzlich vorgeschriebenen KI-Beauftragten. Einen festen Ansprechpartner zu benennen, ist trotzdem klug.
- Kein Zertifikat für KI-Kompetenz. Nachvollziehbare Maßnahmen reichen.
- Keine 80 Seiten Dokumentation für eine Schreibhilfe. Eintrag im KI-Inventar, Transparenzhinweis, DSGVO-Unterlagen.
- Keine Compliance-Software, die mehr kostet als das KI-Projekt selbst. Erst die Liste, dann das Werkzeug.
Zwei typische Fälle
Ein Betrieb mit Website-Chatbot und KI-Telefonassistent. Nach der KI-Verordnung in der Regel begrenztes Risiko: ein klarer Hinweis zu Beginn jedes Gesprächs, ein Eintrag im Inventar, geschulte Mitarbeiter. Nach der DSGVO: Rechtsgrundlage, Vertrag mit dem Anbieter, ergänzte Datenschutzerklärung, geregelte Speicherdauer für Gesprächsprotokolle. Wie das bei einem KI-Telefonassistenten konkret aussieht, beginnt beim ersten Satz der Begrüßung.
Ein Betrieb, der Bewerbungen von einer KI vorsortieren lassen will. Hier landet man schnell in Anhang III, also Hochrisiko, mit Betreiberpflichten ab Dezember 2027. Nach der DSGVO kommen Art. 22, sehr wahrscheinlich eine Folgenabschätzung und der Betriebsrat dazu. Ob schon eine reine Zusammenfassungsfunktion darunter fällt, hängt von der Ausgestaltung ab. Das gehört vor dem Start auf den Tisch eines Anwalts.
Drei typische Fehler
„Ist doch verschoben.“ Verschoben wurden die Hochrisiko-Pflichten. Der KI-Hinweis bei Chatbot und Telefonassistent gilt seit dem 2. August 2026, ohne Aufschub.
Erst kaufen, dann fragen. Wer ein KI-Werkzeug bestellt und den Datenschutzbeauftragten nach der Unterschrift informiert, baut sich eine teure Nachbesserung. Datenklassen vor Werkzeugwahl, Vertrag vor Einführung.
Panik statt Prüfung. Manche Beratungen verkaufen monatelange Programme für Anwendungen, die in einer Stunde eingeordnet sind. Fragen Sie zuerst nach der Risikoklasse, dann nach dem Umfang.
Kurz gesagt
Für Betriebe, die KI einsetzen, ist die KI-Verordnung 2026 eine kurze Liste: Inventar, Verbote ausschließen, KI-Kompetenz fördern, Transparenz seit dem 2. August 2026. Hochrisiko-Pflichten kommen erst im Dezember 2027 und August 2028, betreffen aber jeden, der KI über Bewerber, Beschäftigte oder Kredite urteilen lässt. Die DSGVO gilt daneben unverändert und ist im Alltag meist die größere Aufgabe. Wer beide in einem Durchgang prüft, hat danach eine Akte statt zwei Baustellen. Dieser Beitrag ist keine Rechtsberatung. Verbindlich klärt das im Einzelfall ein Anwalt.
REWLO Medienwerk setzt KI-Projekte für Unternehmen in Stuttgart, Heidelberg, der Metropolregion Rhein-Neckar und ganz Süddeutschland so auf, dass KI-Verordnung und DSGVO von Anfang an mitgedacht sind. Mehr unter /leistungen. Dieser Beitrag ersetzt keine Rechtsberatung.
