EU-KI-Verordnung: Welche Pflichten lassen sich überprüfen und wie lässt sich ihre Anwendung nachvollziehen?

Die Verordnung (EU) 2024/1689, bekannt als KI-Verordnung, schafft einen gemeinsamen Rahmen für Systeme der künstlichen Intelligenz in der Europäischen Union. Sie als Regelwerk zu beschreiben, das auf einen Schlag „in Kraft tritt“, kann jedoch irreführend sein: Ihre Pflichten gelten zu unterschiedlichen Zeitpunkten und hängen vom jeweiligen System und von der Rolle der einzelnen Organisation ab. Wer eine Meldung verstehen oder eine Pflicht beurteilen will, sollte zunächst den konkreten Artikel bestimmen und sich nicht mit einer allgemeinen Schlagzeile begnügen. Die offizielle Übersicht der Europäischen Kommission stellt den Rahmen als risikobasiertes Regelwerk für Entwickler und Betreiber im Zusammenhang mit bestimmten KI-Anwendungen dar. Diese Übersicht hilft bei der Orientierung, entscheidet aber nicht automatisch jeden Einzelfall.

Der maßgebliche Rechtstext ist die auf EUR-Lex veröffentlichte Verordnung. Um eine Behauptung zu überprüfen, sollten ihre Artikel und Übergangsbestimmungen herangezogen werden, statt sich allein auf Zusammenfassungen oder Auslegungen Dritter zu stützen. Die Kommission bietet außerdem eine Informationsseite zur KI-Verordnung, die zur Orientierung nützlich ist; eine Erläuterungsseite ersetzt jedoch nicht den Verordnungstext. Dieser Beitrag unterscheidet zwischen den Aussagen offizieller Quellen und den praktischen Schlussfolgerungen, die sich daraus ziehen lassen. Eine jüngste Änderung wird nicht als Tatsache dargestellt, wenn die verfügbaren Quellen sie nicht belegen. Bei der Prüfung einer Pflicht sollte man daher den Gesetzestext von Kommentaren dazu trennen und feststellen, welche Fassung des Rechtstextes verwendet wird.

Die Systematik der Verordnung behandelt nicht alle KI-Anwendungen gleich. Die Kommission beschreibt einen risikobasierten Ansatz für Entwickler und Betreiber von Systemen, der an bestimmte Verwendungen anknüpft. Die Aussage „Mein Unternehmen nutzt KI“ reicht deshalb nicht aus, um festzustellen, ob eine bestimmte Pflicht gilt. Es muss geklärt werden, um welches System es geht, in welchem Zusammenhang es eingesetzt wird und welche Rolle die Organisation übernimmt. Ein universell einsetzbares Werkzeug unterliegt nicht automatisch denselben Anforderungen wie jedes System, das in einer regulierten Tätigkeit verwendet wird; ebenso wenig entscheidet die Produktbezeichnung allein über die Einstufung. Maßgeblich ist nicht nur, ob KI eingesetzt wird, sondern auch, wie das System genutzt wird und welche Vorschriften für diese Nutzung gelten.

Bei einer ersten Prüfung sollten mindestens folgende Fragen getrennt betrachtet werden: Entwickelt oder betreibt die Organisation das System, oder setzt sie es in ihrer Tätigkeit ein? Welche Funktion hat die KI, und wer erhält oder verwendet ihre Ergebnisse? Bezieht sich die angeführte Vorschrift auf diese Nutzung oder auf eine andere Systemkategorie? Die Antwort ergibt sich nicht allein daraus, dass ein Anbieter sein Produkt als rechtskonform bewirbt. Die rechtliche Einstufung hängt von den tatsächlichen Umständen und den einschlägigen Vorschriften ab. Wirkt ein System an Entscheidungen mit erheblichen Folgen mit oder ist seine Einstufung unklar, kann eine fachliche Prüfung erforderlich sein. Dieser Leitfaden ist keine Rechtsberatung und ersetzt nicht die Beurteilung des konkreten Systems, seines Zwecks und der Verantwortlichkeiten der Organisation.

Die schrittweise Anwendung der Verordnung erfordert eine sorgfältige Prüfung jedes Zeitplans. In ihren offiziellen Informationen zur Transparenz KI-generierter Inhalte gibt die Kommission an, dass die Pflichten aus Artikel 50 ab dem 2. August 2026 gelten. Dieselbe Seite erläutert, dass der dort behandelte Verhaltenskodex freiwillig ist, während die gesetzlichen Transparenzpflichten des Artikels Anforderungen der Verordnung sind. Dieser Unterschied ist wichtig: Der Beitritt zu einem freiwilligen Instrument ist nicht dasselbe wie die Pflicht, die gesetzliche Vorgabe einzuhalten, zu deren Umsetzung das Instrument beitragen soll. Außerdem darf ein Datum für bestimmte Vorschriften nicht mit einem einheitlichen Anwendungsbeginn der gesamten Verordnung verwechselt werden.

Um einen Termin zu überprüfen, sollte der angeführte Artikel oder die Übergangsbestimmung auf EUR-Lex gesucht und mit der offiziellen Erläuterung der Kommission zur Umsetzung abgeglichen werden. Prüfen Sie auch, ob die Quelle vom Inkrafttreten, vom Anwendungsdatum, von einer Übergangsfrist oder von einer Frist spricht: Diese Begriffe bedeuten nicht zwangsläufig dasselbe. Der auf EUR-Lex verlinkte konsolidierte Text weist ein erkennbares Versionsdatum auf und sollte nicht ohne Weiteres mit dem ursprünglichen Text im Amtsblatt gleichgesetzt werden. Aus einem isoliert betrachteten Datum folgt nicht, dass sämtliche Pflichten der Verordnung bereits für alle Akteure gelten. Kündigt eine Nachricht eine Verschiebung oder Änderung an, sollte zunächst der Rechtsakt gefunden werden, der sie festlegen würde, bevor die Meldung als bestätigt gilt. Eine sorgfältige Prüfung sollte außerdem klären, welche Vorschrift, Tätigkeiten und Akteure von dem Datum betroffen sind.

Artikel 50 zeigt, warum pauschale Aussagen vermieden werden sollten. Die Kommission erläutert, dass die Transparenzpflichten unter anderem die Kennzeichnung und Erkennung KI-generierter Inhalte sowie die Kennzeichnung von Deepfakes und bestimmten generierten Veröffentlichungen umfassen. Nach dieser Quelle gelten sie ab dem 2. August 2026. Daraus lässt sich keine allgemeine Regel ableiten, nach der jeder generierte Inhalt stets dasselbe sichtbare Etikett tragen muss: Der Anwendungsbereich richtet sich nach den im Verordnungstext festgelegten Kategorien und Bedingungen. Eine präzise Darstellung muss daher die verschiedenen Pflichten des Artikels auseinanderhalten, statt sie auf eine pauschale Aussage zur Kennzeichnung zu reduzieren.

Die Kommission beschreibt den Verhaltenskodex als Hilfsmittel für Anbieter und Nutzer generativer KI-Systeme, um die einschlägigen Pflichten zu erfüllen. Zugleich stellt sie klar, dass die Teilnahme am Kodex freiwillig ist und die rechtliche Pflicht in Artikel 50 steht. Ein Unternehmen kann den Kodex in der Praxis als Orientierung für die Umsetzung heranziehen. Es sollte die Teilnahme oder Nichtteilnahme jedoch nicht als automatische Antwort auf die Frage der Rechtskonformität verstehen. Entscheidend ist, was der Artikel im konkreten Fall verlangt und welche Nachweise belegen können, dass die Anforderungen erfüllt sind. Der Kodex kann die praktische Umsetzung veranschaulichen, ersetzt aber nicht die Prüfung der Vorschrift, die für das jeweilige System und die betreffenden Inhalte gilt.

Eine hilfreiche Dokumentenprüfung kann in vier Schritten erfolgen:

1. Die konkrete Behauptung bestimmen. Geht es um einen Termin, eine Systemkategorie, einen Anbieter oder einen professionellen Nutzer?
2. Die Primärquelle öffnen. Die Verordnung auf EUR-Lex aufrufen und den genannten Artikel suchen; die Kommissionsseite zur Orientierung bei der Umsetzung heranziehen.
3. Den Anwendungsbereich prüfen. Feststellen, was das System tut, in welchem Zusammenhang es genutzt wird und welche Rolle die einzelnen Akteure haben.
4. Den angeführten Rechtsakt oder die Leitlinien suchen. Wird eine jüngste Änderung behauptet, prüfen, ob ein offizieller Text sie belegt, und Datum sowie Umfang feststellen.

Die verfügbaren Informationen stützen den risikobasierten Ansatz und den von der Kommission für die Transparenzpflichten aus Artikel 50 genannten Termin. Sie reichen dagegen nicht aus, um eine jüngste Änderung des allgemeinen Zeitplans zu belegen oder eine vollständige Liste aller derzeit geltenden Pflichten nach Branche und Betreiberart vorzulegen. Die vorsichtige Schlussfolgerung ist begrenzt: Jede Vorschrift muss im Verordnungstext überprüft werden; die KI-Verordnung ist nicht als einheitliche Pflicht zu behandeln. Für konkrete unternehmerische Entscheidungen, insbesondere wenn die Einstufung eines Systems strittig ist, bedarf es einer kontextbezogenen rechtlichen Bewertung. Aus Informationen zu einem einzelnen Artikel, einem Kodex oder einer Umsetzungsmaßnahme sollte außerdem keine allgemeine Änderung abgeleitet werden.