Belege zu Kompakt Nr. 3

Hier steht zu jeder Aussage aus Kompakt Nr. 3, worauf sie beruht. Verordnungstexte sind wörtlich übernommen, Auslassungen mit „…“ gekennzeichnet. Abgerufen am 7. November 2026, ausgewertet am 8. November 2026.

Verlässlichkeitsstufen: A = amtliche Quelle oder Primärquelle (Gesetz, Verordnung, Gerichtsentscheidung). B = seriöse Sekundärquelle. C = Blog oder Anbieter. Diese Ausgabe stützt sich nur auf Stufe A.

Rechtsstand

Verordnung (EU) 2024/1689 (AI Act) und die Änderungsverordnung (EU) 2026/1744 vom 8. Juli 2026, beide im Amtsblatt bei EUR-Lex, Stufe A. Ich habe alle Änderungspunkte der Änderungsverordnung zur Verordnung 2024/1689 durchgesehen. Unverändert sind Anhang III, Art. 6 Abs. 2 bis 4, Art. 25 Abs. 1 und Art. 26. Für diese Ausgabe relevant geändert sind Art. 25 Abs. 2, Art. 99, Art. 111 Abs. 2 und Art. 113 Abs. 3.

Art. 113 Abs. 3 Buchst. c in der Fassung der Verordnung 2026/1744:

„Kapitel III Abschnitte 1, 2 und 3, mit Ausnahme von Artikel 6 Absatz 5, gelten ab dem: i) 2. Dezember 2027 in Bezug auf KI-Systeme, die gemäß Artikel 6 Absatz 2 und Anhang III als hochriskant eingestuft sind, und ii) 2. August 2028 in Bezug auf KI-Systeme, die gemäß Artikel 6 Absatz 1 und Anhang I als hochriskant eingestuft sind.“

Art. 6 steht in Kapitel III Abschnitt 1, Art. 25 und 26 in Abschnitt 3 („Pflichten der Anbieter und Betreiber von Hochrisiko-KI-Systemen und anderer Beteiligter“). Ursprünglich war der 2. August 2026 vorgesehen.

Übergangsregel, Art. 111 Abs. 2 Satz 1 in der Fassung der Verordnung 2026/1744:

„Unbeschadet der Anwendung des Artikels 5 gemäß Artikel 113 Absatz 3 Buchstabe a gilt diese Verordnung für Akteure von Hochrisiko-KI-Systemen …, die vor dem Beginn der Anwendung des Kapitels III gemäß Artikel 113 in Verkehr gebracht oder in Betrieb genommen wurden, nur dann, wenn diese Systeme danach in ihrer Konzeption erheblich verändert wurden.“

Meine Einordnung: Ob laufend aktualisierte Software aus der Cloud als „erheblich verändert“ gilt und ob es auf das Produkt oder die einzelne Installation ankommt, ist offen. Neue Werkzeuge ab dem 2. Dezember 2027 sind erfasst. Deshalb steht das Datum der Inbetriebnahme in der Bestandsliste.

1 · Personalauswahl und Leistungsbewertung gelten als Hochrisiko-KI

Anhang III Nr. 4:

„Beschäftigung, Personalmanagement und Zugang zur Selbstständigkeit a) KI-Systeme, die bestimmungsgemäß für die Einstellung oder Auswahl natürlicher Personen verwendet werden sollen, insbesondere um gezielte Stellenanzeigen zu schalten, Bewerbungen zu sichten oder zu filtern und Bewerber zu bewerten; b) KI-Systeme, die bestimmungsgemäß für Entscheidungen, die die Bedingungen von Arbeitsverhältnissen, Beförderungen und Kündigungen von Arbeitsvertragsverhältnissen beeinflussen, für die Zuweisung von Aufgaben aufgrund des individuellen Verhaltens oder persönlicher Merkmale oder Eigenschaften oder für die Beobachtung und Bewertung der Leistung und des Verhaltens von Personen in solchen Beschäftigungsverhältnissen verwendet werden soll.“

Ausnahme nach Art. 6 Abs. 3: Ein System in Anhang III gilt nicht als hochriskant, „wenn es kein erhebliches Risiko der Beeinträchtigung in Bezug auf die Gesundheit, Sicherheit oder Grundrechte natürlicher Personen birgt, indem es unter anderem nicht das Ergebnis der Entscheidungsfindung wesentlich beeinflusst“, etwa bei einer „eng gefasste[n] Verfahrensaufgabe“ oder einer „vorbereitende[n] Aufgabe für eine Bewertung“. Und weiter:

„Ungeachtet des Unterabsatzes 1 gilt ein in Anhang III aufgeführtes KI-System immer dann als hochriskant, wenn es ein Profiling natürlicher Personen vornimmt.“

„Profiling“ meint nach Art. 3 Nr. 52 das Profiling im Sinne von Art. 4 Nr. 4 der Datenschutz-Grundverordnung.

Wer die Ausnahme in Anspruch nimmt, ist nach Art. 6 Abs. 4 der Anbieter: „Ein Anbieter, der der Auffassung ist, dass ein in Anhang III aufgeführtes KI-System nicht hochriskant ist, dokumentiert seine Bewertung, bevor dieses System in Verkehr gebracht oder in Betrieb genommen wird.“ Daher der Rat auf Seite 2, bei zugekauften Werkzeugen die Einstufung des Anbieters anzufordern.

2 · Umwidmen kann zum Anbieter machen

Art. 25 Abs. 1: Betreiber „gelten … als Anbieter eines Hochrisiko-KI-Systems für die Zwecke dieser Verordnung und unterliegen den Anbieterpflichten gemäß Artikel 16“, unter anderem

„c) wenn sie die Zweckbestimmung eines KI-Systems, einschließlich eines KI-Systems mit allgemeinem Verwendungszweck, das nicht als hochriskant eingestuft wurde und bereits in Verkehr gebracht oder in Betrieb genommen wurde, so verändern, dass das betreffende KI-System zu einem Hochrisiko-KI-System im Sinne von Artikel 6 wird.“

Betreiber ist nach Art. 3 Nr. 4, wer „ein KI-System in eigener Verantwortung verwendet, es sei denn, das KI-System wird im Rahmen einer persönlichen und nicht beruflichen Tätigkeit verwendet“.

Meine Einordnung: Wer einen allgemeinen Chat-Assistenten gezielt einsetzt, um Bewerbungen zu sichten oder Bewerbende zu bewerten, ändert dessen Zweckbestimmung naheliegend in diesem Sinn. Wo die Grenze zu einer bloßen Hilfstätigkeit nach Art. 6 Abs. 3 liegt, ist nicht entschieden; im Einzelfall prüfen. Meine Empfehlung bis zur Klärung: Bewerbende nicht von Chat-Assistenten bewerten oder sortieren lassen.

Art. 25 Abs. 2 in der Fassung der Verordnung 2026/1744 verpflichtet den ursprünglichen Anbieter, mit dem neuen Anbieter zusammenzuarbeiten und Unterlagen bereitzustellen, mit einer Ausnahme: „Dieser Absatz gilt nicht in Fällen, in denen der Erstanbieter eindeutig festgelegt hat, dass sein KI-System nicht in ein Hochrisiko-KI-System umgewandelt werden darf …“. Wer umwidmet, steht dann als Anbieter ohne diese Unterlagen da.

3 · Informieren: vorher Betriebsrat und Beschäftigte, dazu Betroffene

Art. 26 Abs. 7:

„Vor der Inbetriebnahme oder Verwendung eines Hochrisiko-KI-Systems am Arbeitsplatz informieren Betreiber, die Arbeitgeber sind, die Arbeitnehmervertreter und die betroffenen Arbeitnehmer darüber, dass sie der Verwendung des Hochrisiko-KI-Systems unterliegen werden. Diese Informationen werden gegebenenfalls im Einklang mit den Vorschriften und Gepflogenheiten auf Unionsebene und nationaler Ebene in Bezug auf die Unterrichtung der Arbeitnehmer und ihrer Vertreter bereitgestellt.“

Art. 26 Abs. 11: Betreiber von Systemen aus Anhang III, „die natürliche Personen betreffende Entscheidungen treffen oder bei solchen Entscheidungen Unterstützung leisten“, informieren „die natürlichen Personen darüber, dass sie der Verwendung des Hochrisiko-KI-Systems unterliegen“.

Abs. 11 nennt anders als Abs. 7 keinen Zeitpunkt. Meine Einordnung: Zu diesen Personen gehören auch Bewerberinnen und Bewerber. In Betrieben mit Betriebsrat gelten daneben die Rechte aus dem Betriebsverfassungsgesetz, siehe Kompakt Nr. 2.

Was Betreiber tun müssen (Art. 26)

• Abs. 1: Verwendung „entsprechend der den Systemen beigefügten Betriebsanleitungen“.
• Abs. 2: Die menschliche Aufsicht geht an Personen, „die über die erforderliche Kompetenz, Ausbildung und Befugnis verfügen“. Zur Kompetenz siehe auch Kompakt Nr. 1.
• Abs. 4: Soweit die Eingabedaten ihrer Kontrolle unterliegen, sorgen Betreiber dafür, dass sie der Zweckbestimmung entsprechen und „ausreichend repräsentativ sind“.
• Abs. 5: „Die Betreiber überwachen den Betrieb des Hochrisiko-KI-Systems anhand der Betriebsanleitung …“. „Haben Betreiber Grund zu der Annahme, dass die Verwendung gemäß der Betriebsanleitung dazu führen kann, dass dieses Hochrisiko-KI-System ein Risiko im Sinne des Artikels 79 Absatz 1 birgt, so informieren sie unverzüglich den Anbieter oder Händler und die zuständige Marktüberwachungsbehörde und setzen die Verwendung dieses Systems aus.“ Einen schwerwiegenden Vorfall melden sie „unverzüglich zuerst den Anbieter und dann den Einführer oder Händler und die zuständigen Marktüberwachungsbehörden“.
• Abs. 6: Automatisch erzeugte Protokolle, soweit sie ihrer Kontrolle unterliegen, für einen angemessenen „Zeitraum von mindestens sechs Monaten“, sofern Datenschutzrecht oder anderes Recht nichts anderes bestimmt.
• Abs. 9: Betreiber nutzen die Informationen des Anbieters, „um ihrer Pflicht zur Durchführung einer Datenschutz-Folgenabschätzung gemäß Artikel 35 der Verordnung (EU) 2016/679 … nachzukommen“. Datenschutzrecht gilt also daneben; diese Ausgabe behandelt es nicht.

Schon jetzt verboten

Art. 5 Abs. 1 Buchst. f gilt nach Art. 113 Abs. 3 Buchst. a seit dem 2. Februar 2025. Verboten ist „… die Verwendung von KI-Systemen zur Ableitung von Emotionen einer natürlichen Person am Arbeitsplatz und in Bildungseinrichtungen, es sei denn, die Verwendung des KI-Systems soll aus medizinischen Gründen oder Sicherheitsgründen eingeführt oder auf den Markt gebracht werden“.

Der Wortlaut spricht von Emotionen „einer natürlichen Person am Arbeitsplatz“, nicht nur von Beschäftigten.

Was droht

Art. 99 Abs. 4: Geldbußen „von bis zu 15 000 000 EUR oder … von bis zu 3 % des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres …, je nachdem, welcher Betrag höher ist“ (die Auslassung in der Mitte: „im Falle von Unternehmen“), unter anderem für „e) Pflichten der Betreiber gemäß Artikel 26“. Abs. 6: „Im Falle von KMU, einschließlich Start-up-Unternehmen, gilt für jede in diesem Artikel genannte Geldbuße der jeweils niedrigere Betrag …“. Abs. 6a in der Fassung der Verordnung 2026/1744 regelt dasselbe für kleine Midcap-Unternehmen. KMU sind nach Art. 3 Nr. 14a in der neuen Fassung Unternehmen im Sinne der Empfehlung 2003/361/EG. Für Verstöße gegen Art. 5 nennt Abs. 3 bis 35 Mio. EUR oder 7 %. Welche deutsche Behörde zuständig ist, behandelt diese Ausgabe nicht.

Recht auf Erläuterung

Art. 86 Abs. 1 gibt Personen, die von einer Entscheidung auf Grundlage eines Systems aus Anhang III erheblich betroffen sind, das Recht auf „eine klare und aussagekräftige Erläuterung zur Rolle des KI-Systems im Entscheidungsprozess und zu den wichtigsten Elementen der getroffenen Entscheidung“. Ab wann dieses Recht bei Personal-KI praktisch greift, hängt mit dem Geltungsbeginn der Einstufung zusammen; das habe ich nicht abschließend geklärt und deshalb nicht in die zwei Seiten aufgenommen.

Die vier Schritte (Seite 2)

Die Zuordnung zu den Schritten meiner Methode „Erst das Problem, dann die KI“ ist meine. Meine Empfehlungen, keine Vorgaben: die Bestandsliste, auch genutzte Chat-Assistenten aufzunehmen, und eine Prüfung einmal im Jahr und bei jedem neuen Werkzeug.

Vorlage als Tabelle

Die Bestandsliste von Seite 2 als CSV-Datei zum Öffnen in Excel, mit dem fiktiven Beispiel in der ersten Zeile und zusätzlichen Spalten für Begründung, Schulung und Protokolle.

Quellen

1. Verordnung (EU) 2024/1689 (AI Act), EUR-Lex, Amtsblatt vom 12. Juli 2024. Stufe A.
2. Verordnung (EU) 2026/1744 vom 8. Juli 2026 zur Änderung der Verordnung (EU) 2024/1689, EUR-Lex. Stufe A.

Fehler gefunden? Bitte eine kurze Mail an kontakt@janrummel.eu.

Keine Rechtsberatung. Diese Seite belegt die Aussagen der Ausgabe. Sie ersetzt keine Prüfung im Einzelfall.