Das Gesetz gilt. Aber wie ist es mit den Zuständigkeiten?

Seit dem 2. August 2026 gelten die Transparenzpflichten nach Art. 50 des EU AI Act. Wer einen Chatbot betreibt, der mit Menschen interagiert, muss das offenlegen. Wer KI-generierte Inhalte veröffentlicht, muss diese kennzeichnen. Die Europäische Kommission hat am 20. Juli 2026 Leitlinien veröffentlicht, die den Anwendungsbereich konkretisieren.

Gleichzeitig hat der Rat der EU am 29. Juni 2026 per „Digital Omnibus"-Paket die Pflichten für Hochrisiko-KI, darunter KI in Personalauswahl, Bildung und Grenzkontrolle, auf den 2. Dezember 2027 verschoben.

Art. 50 betrifft nicht nur Anbieter von KI-Systemen, sondern ausdrücklich auch „Deployer" – jede Organisation, die ein solches System einsetzt. Für Unternehmen drohen Bußgelder bis 15 Millionen Euro oder 3 % des Jahresumsatzes (Art. 99 Abs. 4). Für Behörden legt Art. 99 Abs. 8 fest, dass die Mitgliedstaaten eigene Sanktionsregeln schaffen; was bislang kaum geschehen ist. Das Risiko für Verwaltungen ist daher weniger finanziell als politisch: Wer als Behörde bei KI-Transparenz nicht compliant ist, hat ein Aufsichts- und Reputationsproblem.

Konkret heißt das: Die Stadtverwaltung mit Bürger-Chatbot muss seit dem 2. August offenlegen, dass Bürger:innen mit KI interagieren, auch wenn der Chatbot extern eingekauft wurde. Das Ministerium, das einen Textgenerator für Bürgerinformationen nutzt, muss KI-generierte Inhalte kennzeichnen. Der Energieversorger mit automatisierten Kundenantworten ebenso. Art. 50 unterscheidet im Übrigen nicht danach, ob eine Organisation die KI selbst entwickelt hat.

Das eigentliche Problem ist hier, dass in vielen Organisationen niemand den vollständigen Überblick hat, welche KI-Anwendungen überhaupt im Einsatz sind. Der Chatbot kam über die Kommunikationsabteilung, das Übersetzungstool über die Fachabteilung, der Textgenerator über das Presseteam. Keine dieser Stellen fühlt sich automatisch zuständig für Art. 50. Hinzu kommt, dass die Verschiebung der Hochrisiko-Pflichten nicht zeigt, dass Organisationen Zeit haben. Sie zeigt lediglich, dass der Gesetzgeber Zeit brauchte.

Stellen Sie sich daher folgende Fragen:

Wer ist in Ihrer Organisation seit dem 2. August dafür verantwortlich, dass alle KI-Anwendungen mit Außenkontakt die Transparenzpflichten erfüllen?

Existiert ein Inventar aller KI-Systeme im Einsatz? Und zwar einschließlich der Tools, die Fachabteilungen eigenständig beschafft haben?

Ist geklärt, welche Ihrer KI-Anwendungen ab Dezember 2027 als Hochrisiko eingestuft werden könnten, und wer das prüft?