Inhalt dieses Beitrags
Die EU hat den Pflichtenkatalog für Hochrisiko-KI verschoben. Im Personalbereich gilt er erst ab dem 2. Dezember 2027 statt ab dem 2. August 2026. Grundlage ist die Digital-Omnibus-Verordnung zur KI, die Verordnung (EU) 2026/1744 vom 8. Juli 2026, veröffentlicht im Amtsblatt vom 24. Juli 2026 und in Kraft seit dem 27. Juli 2026. Sie ändert die Verordnung (EU) 2024/1689 über künstliche Intelligenz (KI-VO), auf die sich alle folgenden Artikelangaben beziehen. Was heute schon gilt, bleibt davon unberührt.
Welche Fristen sind verschoben worden?
Verschoben ist der Pflichtenkatalog für Hochrisiko-Systeme, sonst nichts. Art. 113 Abs. 3 der KI-Verordnung ist neu gefasst. Für KI-Systeme, die nach Art. 6 Abs. 2 KI-VO in Verbindung mit Anhang III KI-VO als hochriskant gelten, greifen die Anforderungen an Risikomanagement, Datenqualität, Dokumentation, menschliche Aufsicht und Registrierung nun ab dem 2. Dezember 2027. Für Systeme, die nach Art. 6 Abs. 1 KI-VO in Verbindung mit Anhang I KI-VO als Produkt oder Sicherheitsbauteil erfasst sind, beginnt die Anwendung am 2. August 2028.
Warum hat die EU die Hochrisiko-Pflichten verschoben?
Weil die Werkzeuge zur Umsetzung fehlten. Der Verordnungsgeber begründet die Verschiebung damit, dass die harmonisierten Normen, an denen sich Anbieter technisch orientieren sollen, noch nicht fertig ausgearbeitet sind und die Governance- und Konformitätsbewertungsstrukturen in den Mitgliedstaaten noch nicht stehen. Der Befolgungsaufwand fiel dadurch höher aus als erwartet. Unternehmen hätten Pflichten erfüllen sollen, ohne verlässlich zu wissen, woran sie sich technisch und organisatorisch ausrichten können.
Was gilt für Arbeitgeber unverändert weiter?
Drei Blöcke sind bereits scharf gestellt. Die Verbote des Art. 5 KI-VO gelten seit dem 2. Februar 2025. Für den Betrieb bedeutsam ist vor allem Art. 5 Abs. 1 lit. f KI-VO, der KI-Systeme zur Ableitung von Emotionen einer natürlichen Person am Arbeitsplatz untersagt, soweit sie nicht aus medizinischen Gründen oder aus Sicherheitsgründen eingesetzt werden. Daneben verbietet lit. g die biometrische Kategorisierung, mit der auf Gewerkschaftszugehörigkeit, religiöse oder weltanschauliche Überzeugungen oder die sexuelle Ausrichtung geschlossen wird. Was das für Softwarelösungen bedeutet, die Stimmung, Aufmerksamkeit oder Stress messen wollen, ordnen wir im Beitrag zur KI-Verordnung für Arbeitgeber ein.
Ebenfalls seit dem 2. Februar 2025 gilt die KI-Kompetenz nach Art. 4 KI-VO. Welche Regeln daneben arbeitsvertraglich für die Nutzung durch Beschäftigte gelten, behandeln wir im Beitrag zu KI am Arbeitsplatz. Und seit dem 2. August 2026 gelten die Transparenzpflichten des Art. 50 KI-VO, die der Digital Omnibus in der Sache nicht angetastet hat.
Bei Art. 50 KI-VO lohnt der genaue Blick, weil hier viel durcheinandergerät. Die Pflicht, KI-Ausgaben maschinenlesbar zu kennzeichnen, trifft nach Art. 50 Abs. 2 KI-VO den Anbieter des Systems, nicht den Arbeitgeber, der es nutzt. Betreiberpflichten enthält Art. 50 KI-VO in den Absätzen 3 und 4. Nach Art. 50 Abs. 4 KI-VO muss der Betreiber Deepfakes als künstlich erzeugt kenntlich machen und ebenso Texte, die veröffentlicht werden, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren. Für redaktionell geprüfte Inhalte, für die eine Person die Verantwortung trägt, entfällt die Pflicht. Nach Art. 50 Abs. 3 KI-VO muss er die betroffenen Personen über den Betrieb eines Emotionserkennungs- oder Kategorisierungssystems informieren, soweit ein solches System überhaupt zulässig ist. Ob ein mit KI erstellter Text unter Art. 50 Abs. 4 KI-VO fällt, hängt danach davon ab, ob er veröffentlicht wird, um die Öffentlichkeit über eine Angelegenheit von öffentlichem Interesse zu informieren. Das ist im Einzelfall zu prüfen.
Unabhängig von der KI-Verordnung laufen Datenschutz, Gleichbehandlung und Mitbestimmung ohnehin weiter. Wo ein Betriebsrat besteht, ist die Frage der Mitbestimmung beim KI-Einsatz für den Zeitplan der Einführung meist wichtiger als die Fristen aus Brüssel.
Welche Pflichten hat der Digital Omnibus inhaltlich gelockert?
Vor allem die KI-Kompetenz und die Einstufung als Sicherheitsbauteil. Art. 4 KI-VO ist vollständig neu gefasst. Anbieter und Betreiber ergreifen Maßnahmen, um die Entwicklung der KI-Kompetenz ihres Personals und anderer Personen zu unterstützen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind. Ausdrücklich verpflichtet die Vorschrift nicht mehr dazu, für irgendeine Person ein bestimmtes Niveau an KI-Kompetenz zu garantieren. Wer bisher auf Zertifikate und Prüfungen gesetzt hat, kann den Aufwand zurückfahren, muss die Maßnahme aber weiterhin nachweisen können.
Der Begriff des Sicherheitsbauteils in Art. 3 Nr. 14 KI-VO ist enger gefasst worden, und Art. 6 KI-VO stellt in den neuen Absätzen 1a bis 1c klar, dass Systeme, die ausschließlich der Nutzerunterstützung, der Leistungsoptimierung, der Automatisierung, dem Bedienkomfort oder der nicht sicherheitsrelevanten Qualitätskontrolle dienen, keine Sicherheitsbauteile sind. Nicht jede KI in einem Produkt wird damit automatisch zum Hochrisiko-System.
Weitere Erleichterungen betreffen die Grundrechte-Folgenabschätzung, die nach Art. 27 Abs. 4 KI-VO nun auf die einschlägigen Teile einer bereits durchgeführten Datenschutz-Folgenabschätzung verweisen darf, den Bußgeldrahmen, der für kleine Unternehmen mit mittlerer Kapitalisierung nach dem neuen Art. 99 Abs. 6a KI-VO auf den jeweils niedrigeren Betrag begrenzt ist, und einen Übergang bis zum 2. Dezember 2026 für Anbieter generativer Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden.
Neu hinzugekommen ist Art. 4a KI-VO. Er erlaubt es ausnahmsweise, besondere Kategorien personenbezogener Daten zu verarbeiten, soweit das zur Erkennung und Korrektur von Verzerrungen unbedingt erforderlich ist. Nach Absatz 2 gilt das auch für Betreiber von Hochrisiko-Systemen und damit für Arbeitgeber, die prüfen wollen, ob ihr Auswahlwerkzeug bestimmte Gruppen benachteiligt. Die Bedingungen sind streng, unter anderem müssen die Daten gelöscht werden, sobald die Verzerrung korrigiert ist. Eine Pflicht, solche Prüfungen durchzuführen, begründet die Vorschrift nicht.
Was Arbeitgeber jetzt tun sollten
Die gewonnene Zeit ist Vorbereitungszeit, keine Pause. Vier Schritte lohnen sich unabhängig vom verschobenen Termin.
- Erfassen, welche Systeme im Personalbereich tatsächlich laufen, einschließlich der KI-Funktionen, die in bestehender HR-Software mitgeliefert werden.
- Für jedes System bestimmen, ob es unter Anhang III Nr. 4 KI-VO fällt, ob eine der Ausnahmen des Art. 6 Abs. 3 KI-VO greift und ob ein Profiling stattfindet, das die Ausnahme wieder ausschließt.
- Prüfen, ob eines der eingesetzten Werkzeuge auf Emotionen oder biometrische Merkmale zugreift, denn dieser Punkt ist bereits heute bußgeldbewehrt.
- Die Einführung mit Datenschutz und Betriebsrat zusammen denken. Eine Betriebsvereinbarung zum KI-Einsatz braucht Vorlauf, und der Beschäftigtendatenschutz gilt ohne Übergangsfrist.
Eine geordnete Bestandsaufnahme dauert je nach Betriebsgröße wenige Tage. Sie ist zugleich die Grundlage für die Unterrichtung der Arbeitnehmervertreter, die Art. 26 Abs. 7 KI-VO verlangt, sobald ein Hochrisiko-System am Arbeitsplatz in Betrieb genommen wird. Einen Überblick über den gesamten Bereich gibt unser Hub zum IT-Arbeitsrecht.
Wie belastbar sind die Einstufungen derzeit?
Der Zeitplan steht, die Zuordnung im Einzelfall nicht. Die KI-Verordnung ist ein junges Regelwerk, zu ihren Einstufungsfragen liegt bislang praktisch keine Rechtsprechung vor, und die harmonisierten Normen und Leitlinien sind noch nicht abgeschlossen. Welche Risikostufe für ein konkretes System gilt, ist deshalb im Einzelfall zu prüfen, und die Zuordnung kann sich verschieben, wenn ein System um eine Funktion erweitert wird oder Leitlinien erscheinen.
Häufige Fragen zum Digital Omnibus
Ab wann gelten die Hochrisiko-Pflichten im Personalbereich?
Ab dem 2. Dezember 2027. Der Digital Omnibus hat den ursprünglichen Termin 2. August 2026 für alle Hochrisiko-Systeme nach Anhang III KI-VO verschoben. Für Systeme nach Anhang I KI-VO gilt der 2. August 2028.
Muss ein Arbeitgeber KI-generierte Texte kennzeichnen?
In aller Regel nicht. Die maschinenlesbare Kennzeichnung nach Art. 50 Abs. 2 KI-VO trifft den Anbieter des Systems. Den Arbeitgeber als Betreiber trifft die Offenlegung nach Art. 50 Abs. 4 KI-VO bei Deepfakes und bei Texten, die veröffentlicht werden, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren. Ob ein konkreter Text darunter fällt, ist im Einzelfall zu prüfen.
Ist die Schulungspflicht nach Art. 4 KI-VO entfallen?
Nein, sie ist neu gefasst. Anbieter und Betreiber müssen Maßnahmen ergreifen, um die Entwicklung der KI-Kompetenz ihres Personals zu unterstützen. Ein bestimmtes Kompetenzniveau müssen sie ausdrücklich nicht mehr garantieren.
Als Anwalt für Arbeitsrecht in Köln begleiten wir Arbeitgeber bei der Einführung von KI im Personalbereich, von der Einstufung der Systeme über die KI-Richtlinie und die Betriebsvereinbarung bis zur Abgrenzung zulässiger Kontrollmaßnahmen. Als Kanzlei für Arbeitsrecht beraten wir dabei Arbeitgeber ebenso wie Betriebsräte, die über eine Betriebsvereinbarung zum KI-Einsatz verhandeln.
Sie wollen wissen, welche Ihrer Systeme unter die KI-Verordnung fallen und was bis wann zu tun ist? Nehmen Sie Kontakt mit uns auf – die Erstberatung ist für Sie kostenfrei.
