EU-Verordnung · KI-Verordnung
Sightadel führt Sie von der Bestandsaufnahme Ihrer KI-Systeme über Rolle und Risikoklasse bis zu den Pflichten, die daraus folgen – mit Vorlagen aus der Praxis, Formulierungshilfe und echten Beratern für die schwierigen Stellen. Was davon für Sie gilt, entscheiden Sie mit belegter Begründung.
Worum es geht
Die KI-Verordnung, Verordnung (EU) 2024/1689, regelt den Einsatz künstlicher Intelligenz in der EU. Sie gilt unmittelbar, ohne Umsetzungsgesetz. Ihr Ansatz ist risikobasiert: Je größer die möglichen Folgen für Gesundheit, Sicherheit und Grundrechte, desto strenger die Pflichten. Einige Praktiken sind ganz verboten, Hochrisiko-Systeme unterliegen umfangreichen Anforderungen, für bestimmte Systeme gelten Transparenzpflichten, der Rest bleibt weitgehend frei.
Entscheidend ist Ihre Rolle. Anbieter entwickeln ein KI-System oder bringen es unter eigenem Namen auf den Markt und tragen die meisten Pflichten. Betreiber setzen ein System in eigener Verantwortung ein, etwa im Personalwesen oder im Kundenservice. Auch Betreiber haben Pflichten: Sie müssen das System bestimmungsgemäß nutzen, menschliche Aufsicht sicherstellen und in bestimmten Fällen Betroffene informieren.
Die Pflichten greifen schrittweise. Verbote und die Pflicht zur KI-Kompetenz gelten seit Februar 2025, die Regeln für KI-Modelle mit allgemeinem Verwendungszweck seit August 2025, die Transparenzpflichten seit August 2026. Mit einer Änderungsverordnung von 2026 wurden die Hochrisiko-Pflichten verschoben: für eigenständige Hochrisiko-Systeme auf Dezember 2027, für KI in regulierten Produkten auf August 2028. Ein Zertifikat für die Verordnung als Ganzes gibt es nicht.
KI steckt in Standardsoftware, Chatbots und Auswertungen. Als Betreiber brauchen Sie ein Inventar, geschulte Beschäftigte und Klarheit, ob ein System in einen Hochrisiko-Bereich fällt, etwa bei Bewerberauswahl oder Kreditprüfung.
Als Anbieter tragen Sie die Hauptlast: Risikomanagement, technische Dokumentation, Qualitätsmanagement und bei Hochrisiko-Systemen eine Konformitätsbewertung vor dem Inverkehrbringen.
Auftraggeber wollen wissen, wie Sie KI steuern, bevor sie Ihr Produkt einsetzen. Ein gepflegter Nachweisstand und ein Trust Center beantworten das einmal statt in jedem Fragebogen neu.
Anforderungen
In eigenen Worten zusammengefasst. Maßgeblich ist immer der Originaltext in der geltenden Fassung.
Sie wissen, welche KI-Systeme Sie anbieten oder einsetzen, welche Rolle Sie jeweils haben und in welche Risikoklasse ein System fällt.
In SightadelDas KI-Inventar erfasst jedes System mit Zweck, Verantwortlichem, Rolle und Einstufung. Leitfragen führen durch die Einstufung, die Entscheidung und ihre Begründung halten Sie fest.
Bestimmte Anwendungen sind untersagt, etwa manipulative Techniken, Bewertung sozialen Verhaltens oder Emotionserkennung am Arbeitsplatz, von eng gefassten Ausnahmen abgesehen.
In SightadelEin Prüfpunkt je verbotener Praktik, beantwortet für jedes System im Inventar. Das Ergebnis wird mit Datum abgelegt und bei Änderungen wieder vorgelegt.
Anbieter und Betreiber ergreifen Maßnahmen, damit ihre Beschäftigten die Kenntnisse für den Umgang mit den eingesetzten Systemen aufbauen. Die Änderung von 2026 hat die Vorgabe neu gefasst, nicht gestrichen.
In SightadelSchulungen als wiederkehrende Zyklen mit Teilnahmenachweis und Ablaufdatum. Dieselben Belege zählen für ISO 42001.
Für Hochrisiko-Systeme ein Risikomanagement über den gesamten Lebenszyklus sowie Anforderungen an Herkunft, Qualität und Repräsentativität der Trainings-, Validierungs- und Testdaten.
In SightadelRisikoregister je System, verknüpft mit Maßnahmen und Wiedervorlage. Angaben zu Datenquellen und Datenqualität werden geführt abgefragt und als Nachweis abgelegt.
Eine technische Dokumentation, die die Erfüllung der Anforderungen belegt, und eine automatische Aufzeichnung von Ereignissen während des Betriebs.
In SightadelGliederung der Dokumentation als Prüfpunkte mit Vorlage. Fehlende Teile werden zu Aufgaben mit Frist, Versionen bleiben nachvollziehbar.
Verständliche Gebrauchsanweisungen für Betreiber, wirksame menschliche Aufsicht sowie angemessene Genauigkeit, Robustheit und Cybersicherheit.
In SightadelFür Aufsicht und Cybersicherheit verknüpfen Sie vorhandene Nachweise aus ISO 27001. Wer das System beaufsichtigt und wann eingegriffen wird, legen Sie fest.
Anbieter von Hochrisiko-Systemen betreiben ein Qualitätsmanagementsystem, durchlaufen eine Konformitätsbewertung, bringen die CE-Kennzeichnung an, registrieren das System in der EU-Datenbank und beobachten es nach dem Inverkehrbringen.
In SightadelJeder Schritt als Prüfpunkt mit Nachweis. Konformitätserklärung und Registrierung werden mit Datum abgelegt, die Marktbeobachtung läuft als Zyklus mit Termin.
Betreiber von Hochrisiko-Systemen nutzen sie gemäß Gebrauchsanweisung, sichern menschliche Aufsicht, bewahren Protokolle auf und führen in bestimmten Fällen eine Grundrechte-Folgenabschätzung durch.
In SightadelEigene Prüfpunkte für Betreiber, getrennt von denen für Anbieter. Die Folgenabschätzung wird geführt abgefragt und neben der Datenschutz-Folgenabschätzung abgelegt.
Menschen erfahren, dass sie mit einer KI interagieren. Künstlich erzeugte oder veränderte Inhalte sind als solche erkennbar.
In SightadelPrüfpunkte je betroffenem System, Belege wie Hinweistexte oder Kennzeichnungsverfahren werden als Nachweis verknüpft.
Ablauf
Inventar, Einstufung und Grundpflichten sind in zwei bis vier Monaten belegt. Wer Hochrisiko-Systeme anbietet, plant eher ein Jahr, und das sollte vor Dezember 2027 abgeschlossen sein.
Alle KI-Systeme erfassen, auch eingebettete in Standardsoftware und Cloud-Diensten. Ohne Inventar lässt sich nichts einstufen.
Je System die Rolle als Anbieter oder Betreiber bestimmen, verbotene Praktiken ausschließen und die Risikoklasse festhalten. Grenzfälle rechtlich klären lassen.
Beschäftigte schulen, Transparenzhinweise umsetzen, Zuständigkeiten und eine KI-Richtlinie beschließen. Diese Pflichten gelten bereits.
Nur wenn betroffen: Risikomanagement, Datenanforderungen, technische Dokumentation, Protokollierung und menschliche Aufsicht umsetzen und belegen.
Anbieter von Hochrisiko-Systemen durchlaufen die Konformitätsbewertung, erstellen die Konformitätserklärung und registrieren das System.
Inventar bei jeder neuen Anwendung ergänzen, Schulungen wiederholen, Vorfälle erfassen, Marktbeobachtung und Wiedervorlage der Einstufung.
Startklar
Wer diese Fragen früh klärt, spart später Wochen. In Sightadel sind sie als erste Aufgaben angelegt.
Arbeitsteilung
Würde eine Software alles ausfüllen, erfüllte die Norm ihren Zweck nicht – und der Auditor würde es merken. Deshalb ist klar geregelt, was bei Ihnen bleibt.
Aus der Praxis
Aus langjähriger Beratungs- und Zertifizierungspraxis: Diese Stellen kosten die meiste Zeit oder führen zu Abweichungen im Audit.
KI steckt auch in Standardsoftware, Cloud-Diensten und Browser-Erweiterungen. Fragen Sie Fachbereiche und Einkauf gezielt ab und erfassen Sie auch eingebettete Funktionen.
Dasselbe Unternehmen kann für ein System Anbieter und für ein anderes Betreiber sein. Bestimmen Sie die Rolle für jedes System einzeln und begründen Sie sie.
Wer sich darauf beruft, dass ein System in einem Anhang-III-Bereich kein erhebliches Risiko birgt, muss das belegen. Halten Sie die Bewertung schriftlich fest, bevor das System eingesetzt wird.
Ein Hinweis an alle ersetzt keine aufgabenbezogene Schulung. Unterscheiden Sie nach Rollen, wiederholen Sie die Schulung bei neuen Systemen und belegen Sie die Teilnahme.
Die Hochrisiko-Fristen wurden verschoben, Verbote, KI-Kompetenz und Transparenz gelten aber. Erledigen Sie die geltenden Pflichten jetzt und planen Sie Hochrisiko-Arbeiten rückwärts vom Stichtag.
Wer ein Hochrisiko-System wesentlich verändert oder unter eigenem Namen anbietet, kann zum Anbieter werden. Prüfen Sie vor jeder Anpassung, ob sich Ihre Rolle ändert.
Ein Nachweis, mehrere Frameworks
Eine Prozentzahl nennen wir bewusst nicht – sie hängt von Ihrem Geltungsbereich ab. Wo sich Anforderungen decken, hängt ein Nachweis an allen.
Das KI-Managementsystem liefert die Struktur: Inventar, Zuständigkeiten, Risikobeurteilung, Folgenabschätzung, Lebenszyklus. Viele organisatorische Pflichten der Verordnung lassen sich darüber erfüllen. Konformitätsbewertung und Registrierung ersetzt es nicht.
DSGVOVerarbeitet ein KI-System personenbezogene Daten, gilt die DSGVO daneben. Verarbeitungsverzeichnis, Datenschutz-Folgenabschätzung und Grundrechte-Folgenabschätzung greifen ineinander.
ISO/IEC 27001Cybersicherheit, Zugriffssteuerung, Protokollierung und Lieferantenbewertung sind dort bereits belegt. Diese Nachweise tragen in die Anforderungen an Robustheit und Sicherheit.
ISO 9001Anbieter von Hochrisiko-Systemen brauchen ein Qualitätsmanagementsystem. Wer nach ISO 9001 arbeitet, nutzt Dokumentenlenkung, Freigaben und Korrekturmaßnahmen weiter.
Prüfung und Nachweis
Für die Verordnung als Ganzes vergibt niemand ein Zertifikat. Anbieter von Hochrisiko-Systemen weisen die Konformität vor dem Inverkehrbringen nach, je nach System im Rahmen einer internen Kontrolle oder über eine notifizierte Stelle, und bringen danach die CE-Kennzeichnung an. Die Marktüberwachung liegt bei nationalen Behörden. Sightadel zertifiziert nicht und gibt keine Rechtsberatung.
Wer prüft, erhält in Sightadel einen eigenen Zugang: Er liest, kommentiert und legt nach Ihrer Freigabe Einträge an oder bearbeitet sie, löschen kann er nichts. Eine Zertifizierung nach ISO/IEC 42001 ist eine strukturierte Grundlage, aber keine Pflicht. Wenn Sie eine externe Prüfung wünschen, wählen Sie einen Prüfer aus unserem unabhängigen Partnernetz oder einen eigenen. Für Audits fließt keine Provision – weder an uns noch an die Partner.
Zum unabhängigen AuditorennetzDie KI-Verordnung ist im August 2024 in Kraft getreten und gilt seitdem in Stufen. Seit Februar 2025 gelten die Verbote bestimmter Praktiken und die Vorgaben zur KI-Kompetenz. Seit August 2025 gelten die Regeln für KI-Modelle mit allgemeinem Verwendungszweck, die Governance-Strukturen und die Sanktionsvorschriften. Seit August 2026 gelten die Transparenzpflichten für bestimmte KI-Systeme, etwa Hinweise bei Chatbots und die Kennzeichnung künstlich erzeugter Inhalte.
Im Sommer 2026 trat eine Änderungsverordnung in Kraft, die als Teil des sogenannten digitalen Omnibus der EU entstanden ist. Sie hat vor allem die Hochrisiko-Pflichten verschoben: für eigenständige Hochrisiko-Systeme nach Anhang III auf den 2. Dezember 2027, für KI in Produkten, die bereits einer EU-Produktregulierung nach Anhang I unterliegen, auf den 2. August 2028. Für einzelne Pflichten, etwa die maschinenlesbare Kennzeichnung bei bereits angebotenen generativen Systemen, gibt es kurze Übergangsfristen. Außerdem wurden Erleichterungen für kleine und mittlere Unternehmen ausgeweitet und die Vorgabe zur KI-Kompetenz neu gefasst.
Die Verschiebung ist kein Grund zum Abwarten. Wer ein Hochrisiko-System anbietet, braucht für Risikomanagement, Datenanforderungen, technische Dokumentation und Qualitätsmanagement erfahrungsgemäß deutlich mehr als ein Jahr. Und die bereits geltenden Pflichten zu Verboten, KI-Kompetenz und Transparenz treffen fast jedes Unternehmen. Die genauen Daten und Übergangsregeln prüfen Sie im Zweifel im aktuellen Verordnungstext nach.
Die Verordnung verteilt Pflichten nach Rollen. Anbieter entwickeln ein KI-System oder lassen es entwickeln und bringen es unter eigenem Namen oder eigener Marke in Verkehr oder in Betrieb. Betreiber verwenden ein KI-System in eigener Verantwortung, außer für rein private Zwecke. Daneben gibt es Einführer, die Systeme aus Drittstaaten in die EU bringen, Händler, die sie weiterverkaufen, und Produkthersteller, die KI in ihre Produkte einbauen.
Ein Unternehmen kann für verschiedene Systeme verschiedene Rollen haben. Wer ein eigenes Bewertungswerkzeug für Kunden entwickelt, ist dort Anbieter. Wer im selben Haus eine Standardsoftware mit KI für die Personalauswahl nutzt, ist dort Betreiber. Die Rolle wird deshalb je System bestimmt, nicht je Unternehmen.
Vorsicht ist bei Anpassungen geboten. Wer ein Hochrisiko-System wesentlich verändert, seinen Zweck so ändert, dass es zum Hochrisiko-System wird, oder es unter eigenem Namen vertreibt, kann selbst zum Anbieter werden und übernimmt dann dessen Pflichten. Das betrifft etwa Unternehmen, die ein zugekauftes Modell mit eigenen Daten weitertrainieren und als eigenes Produkt anbieten.
In Sightadel halten Sie die Rolle je System im KI-Inventar fest, mit Begründung. Je nach Rolle erscheinen die passenden Prüfpunkte. Grenzfälle lassen Sie rechtlich klären und legen das Ergebnis als Nachweis ab.
Ein KI-System ist auf zwei Wegen hochriskant. Erstens, wenn es ein Sicherheitsbauteil eines Produkts ist oder selbst ein Produkt, das unter bestimmte EU-Produktvorschriften fällt und eine Konformitätsbewertung durch Dritte braucht, etwa Medizinprodukte, Maschinen oder Spielzeug. Diese Vorschriften stehen in Anhang I. Zweitens, wenn es in einem der Bereiche aus Anhang III eingesetzt wird.
Anhang III nennt unter anderem bestimmte biometrische Anwendungen, kritische Infrastruktur, allgemeine und berufliche Bildung, Beschäftigung und Personalmanagement, den Zugang zu wesentlichen privaten und öffentlichen Leistungen wie Kreditwürdigkeitsprüfung und bestimmte Versicherungen, Strafverfolgung, Migration und Grenzkontrolle sowie Justiz und demokratische Prozesse. Für Unternehmen außerhalb des öffentlichen Sektors sind Personalwesen, Kredit und Versicherung die häufigsten Berührungspunkte.
Nicht jedes System in einem dieser Bereiche ist automatisch hochriskant. Die Verordnung kennt Ausnahmen, wenn ein System kein erhebliches Risiko birgt, etwa weil es nur eine eng begrenzte Verfahrensaufgabe erledigt oder eine bereits abgeschlossene menschliche Tätigkeit verbessert. Systeme, die ein Profiling natürlicher Personen vornehmen, fallen nicht unter diese Ausnahme. Wer sich auf die Ausnahme beruft, muss seine Bewertung dokumentieren.
In Sightadel führen Leitfragen durch die Einstufung. Die Entscheidung und ihre Begründung halten Sie fest, und bei Änderungen am System wird die Einstufung wieder vorgelegt.
Für den EU AI Act gibt es in Sightadel keinen Listenpreis. Wir erstellen Ihnen ein Angebot passend zu Zahl der Systeme, Rolle und Edition. Ist ISO 27001 oder ISO 9001 in Ihrer Lizenz, gilt der dauerhafte Nachlass auch für den EU AI Act. Sie können 14 Tage ohne Zahlungsdaten testen.
Der Aufwand hängt fast ausschließlich davon ab, ob Sie Hochrisiko-Systeme anbieten. Für Betreiber, die KI in Standardsoftware nutzen, sind Inventar, Einstufung, Schulung und Transparenzhinweise in einigen Wochen zu schaffen. Beteiligt sind typischerweise IT, Datenschutz, Personal, Einkauf und die Fachbereiche, die KI tatsächlich einsetzen.
Anbieter von Hochrisiko-Systemen stehen vor einem Projekt, das an eine Produktzulassung erinnert: Risikomanagement über den Lebenszyklus, Anforderungen an Trainings- und Testdaten, technische Dokumentation, Protokollierung, menschliche Aufsicht, Qualitätsmanagementsystem, Konformitätsbewertung, Registrierung und Marktbeobachtung. Muss eine notifizierte Stelle eingebunden werden, rechnet sie ihren Aufwand unabhängig ab. Für Einstufungsfragen und schwierige Einzelfälle buchen Sie Beratung als Paket in der App dazu. Rechtsberatung ersetzt das nicht.
Die meisten Unternehmen sind Betreiber. Für sie gelten zunächst zwei Pflichten unabhängig von der Risikoklasse. Erstens Maßnahmen zur KI-Kompetenz: Wer KI-Systeme bedient oder ihre Ergebnisse nutzt, soll die nötigen Kenntnisse haben, zugeschnitten auf Aufgabe und Kontext. Mit der Änderung von 2026 wurde die Vorgabe so gefasst, dass Unternehmen Maßnahmen zur Förderung der Kompetenz ergreifen, statt ein bestimmtes Niveau zu garantieren. Belegen sollten Sie diese Maßnahmen trotzdem. Zweitens Transparenz: Erzeugt oder verändert ein System Bild-, Ton- oder Videoinhalte, die echt wirken, oder Texte zur Information der Öffentlichkeit, ist das in bestimmten Fällen offenzulegen.
Setzen Sie ein Hochrisiko-System ein, kommt mehr hinzu. Sie nutzen es gemäß Gebrauchsanweisung, übertragen die menschliche Aufsicht an kompetente Personen, sorgen dafür, dass Eingabedaten zum Zweck passen, überwachen den Betrieb, bewahren die automatisch erzeugten Protokolle mindestens sechs Monate auf und melden schwerwiegende Vorfälle. Vor dem Einsatz am Arbeitsplatz informieren Sie die Beschäftigten und ihre Vertretungen. Öffentliche Stellen und bestimmte private Betreiber, etwa bei Kreditwürdigkeitsprüfung oder Lebens- und Krankenversicherung, führen zusätzlich eine Grundrechte-Folgenabschätzung durch.
In Sightadel sind Betreiberpflichten als eigene Prüfpunkte angelegt, getrennt von denen der Anbieter. Schulungen laufen als Zyklen mit Teilnahmenachweis, die Folgenabschätzung liegt neben der Datenschutz-Folgenabschätzung.
Anbieter von Hochrisiko-Systemen erstellen eine technische Dokumentation, bevor das System in Verkehr gebracht wird. Sie beschreibt unter anderem Zweck, Aufbau, Entwicklung, Daten, Tests, Leistungsgrenzen, Risikomanagement, menschliche Aufsicht und Änderungen über den Lebenszyklus. Dazu kommen Gebrauchsanweisung, Qualitätsmanagementsystem, EU-Konformitätserklärung, CE-Kennzeichnung, Registrierung in der EU-Datenbank und ein Plan zur Beobachtung nach dem Inverkehrbringen. Kleine und mittlere Unternehmen dürfen die Dokumentation in vereinfachter Form führen.
Für die meisten Systeme aus Anhang III führt der Anbieter die Konformitätsbewertung selbst durch, im Wege der internen Kontrolle. Bei bestimmten biometrischen Systemen und bei Produkten nach Anhang I ist eine notifizierte Stelle beteiligt. Harmonisierte Normen, deren Einhaltung eine Vermutung der Konformität begründet, werden auf europäischer Ebene erarbeitet. Wo sie noch fehlen, ist der Nachweis aufwendiger.
Die Marktüberwachung liegt bei nationalen Behörden. In Deutschland ist nach dem 2026 verabschiedeten Durchführungsgesetz die Bundesnetzagentur zentrale Marktüberwachungsbehörde, sektorale Aufsichtsbehörden behalten Zuständigkeiten in ihren Bereichen. Für KI-Modelle mit allgemeinem Verwendungszweck ist das KI-Büro der EU-Kommission zuständig. Wer prüft, erhält in Sightadel einen eigenen Zugang ohne Löschrecht zu Inventar, Einstufungen und Nachweisen.
Was es kostet
Sie zahlen nur für die Frameworks, die Sie wirklich brauchen. Die Editionen unterscheiden sich in Kapazität und Reaktionszeit, nicht im fachlichen Umfang. Wer mehrere Frameworks führt, spart dauerhaft. Alle Preise, Rabatte und einen Rechner finden Sie auf der Preisseite.
Die Kosten der Zertifizierungs- oder Prüfstelle rechnet diese direkt mit Ihnen ab. Beratung buchen Sie bei Bedarf als Paket in der App dazu.
Arbeitsmaterial
Checklisten und Vorlagen zu weiteren Frameworks finden Sie unter Ressourcen.
Arbeitshilfen, keine Rechtsberatung.
Begriffe
Sehr wahrscheinlich, sobald Sie KI-Systeme anbieten oder beruflich einsetzen. Die Pflicht zur KI-Kompetenz gilt für alle Anbieter und Betreiber. Wie viel darüber hinaus hinzukommt, hängt von Ihrer Rolle und der Risikoklasse der Systeme ab. Rein private Nutzung fällt nicht darunter.
Verbote und KI-Kompetenz seit Februar 2025, Regeln für KI-Modelle mit allgemeinem Verwendungszweck seit August 2025, Transparenzpflichten seit August 2026, für einzelne bereits angebotene Systeme mit Übergangsfristen. Die Hochrisiko-Pflichten wurden 2026 verschoben: auf Dezember 2027 für eigenständige Systeme, auf August 2028 für KI in regulierten Produkten.
Bei verbotenen Praktiken bis zu 35 Mio. Euro oder 7 % des weltweiten Jahresumsatzes, bei Verstößen gegen andere Pflichten bis zu 15 Mio. Euro oder 3 %, bei falschen Angaben gegenüber Behörden bis zu 7,5 Mio. Euro oder 1 %. Für große Unternehmen gilt der höhere, für kleine und mittlere der niedrigere Betrag.
Nein, nicht für die Verordnung insgesamt. Hochrisiko-Systeme durchlaufen eine Konformitätsbewertung und tragen eine CE-Kennzeichnung. Für das Managementsystem dahinter können Sie sich nach ISO/IEC 42001 zertifizieren lassen. Ein angebotenes „AI-Act-Zertifikat“ hat keine rechtliche Wirkung.
Sie sind in der Regel Betreiber. Erfassen Sie die Systeme, schulen Sie die Beschäftigten und prüfen Sie, ob ein Einsatz in einen Hochrisiko-Bereich fällt, etwa in Personalentscheidungen. Für die meisten Anwendungen bleibt es bei KI-Kompetenz und Transparenz.
Ja. Die Norm liefert Inventar, Zuständigkeiten, Risikobeurteilung und Folgenabschätzung, also das organisatorische Fundament. Gesetzliche Schritte wie Konformitätsbewertung, Registrierung oder bestimmte Transparenzpflichten prüfen Sie gesondert.
In der aktuellen Preisliste ist die KI-Verordnung nicht als eigenes Regelwerk aufgeführt. Sprechen Sie uns an, wir sagen Ihnen, wie Sie sie in Sightadel nutzen können.
Nein, mit Absicht. Sie liefert Entwürfe aus Vorlagen und hilft beim Formulieren. Rolle, Risikoklasse und Restrisiken entscheiden Sie selbst. Sightadel gibt dazu keine Rechtsberatung.
Grundsätzlich ja. Sie sind dann in der Regel Betreiber. Erfassen Sie den Dienst im Inventar, schulen Sie die Nutzenden, legen Sie Regeln für vertrauliche und personenbezogene Daten fest und prüfen Sie, ob ein Einsatz in einen Hochrisiko-Bereich fällt oder Transparenzpflichten auslöst. Die DSGVO gilt daneben.
Nach dem 2026 verabschiedeten Durchführungsgesetz ist die Bundesnetzagentur die zentrale Marktüberwachungsbehörde. Sektorale Aufsichtsbehörden behalten Zuständigkeiten in ihren Bereichen. Für KI-Modelle mit allgemeinem Verwendungszweck ist das KI-Büro der EU-Kommission zuständig.
14 Tage, voller Zugriff, keine Zahlungsdaten. Was Sie anlegen, bleibt im bezahlten Plan erhalten.
