KI-Verordnung · 17. August 2026

EU AI Act: Was nach dem Digital Omnibus für Behörden gilt

Seit der Digital Omnibus (Verordnung (EU) 2026/1744) am 27. Juli 2026 in Kraft getreten ist, herrscht in vielen Behörden Unsicherheit darüber, welche Anforderungen der KI-Verordnung wann gelten. Die wichtigste Klarstellung vorab: Verschoben wurden ausschließlich die Fristen für Hochrisiko-Systeme. Die Pflichten, die bereits in Anwendung sind, bleiben unverändert — und sie treffen die öffentliche Verwaltung unmittelbar.

Was gilt seit dem 2. August 2026?

Drei Pflichtenbereiche der KI-Verordnung sind bereits anzuwenden und wurden vom Omnibus nicht angetastet:

• Transparenzpflichten (Art. 50): KI-Systeme im direkten Bürgerkontakt — etwa Chatbots auf Behördenportalen — müssen als solche erkennbar sein. KI-generierte Inhalte sind zu kennzeichnen.
• KI-Kompetenz (Art. 4): Beschäftigte, die mit KI-Systemen arbeiten, müssen über ein ausreichendes Verständnis dieser Systeme verfügen. Das ist eine Organisationspflicht der Behörde, keine freiwillige Fortbildung.
• Verbote unzulässiger KI-Praktiken: Sie gelten seit Anfang 2025 und sind von keiner Verschiebung betroffen.

Wer in der Verwaltung also heute einen Chatbot im Bürgerkontakt einsetzt oder KI-generierte Texte veröffentlicht, handelt bereits in einem geregelten Raum — unabhängig von jeder Fristverschiebung. Gerade der Chatbot-Fall betrifft viele Behörden unmittelbar: Wo Bürger mit einem automatisierten System kommunizieren, muss für sie erkennbar sein, dass sie es mit einem KI-System zu tun haben. Diese Kennzeichnung ist keine technische Großaufgabe, aber eine organisatorische Pflicht, die jemand benennen, umsetzen und dokumentieren muss.

Was wurde auf den 2. Dezember 2027 verschoben?

Der Omnibus verschiebt die Hochrisiko-Pflichten für Systeme nach Anhang III auf den 2. Dezember 2027. In vielen Behörden war diese Nachricht eine Erleichterung — zu Recht, aber nur teilweise. Denn das ist für die Verwaltung erheblich: Anhang III nennt explizit Verwaltungsbereiche wie wesentliche öffentliche Dienste, die Rechtspflege und die Migration. Verfahren in diesen Feldern fallen perspektivisch unter die strengsten Anforderungen der Verordnung. Wer in diesen Bereichen IT-Verfahren betreibt oder neu beschafft, sollte die Frist nicht als Aufschub der Auseinandersetzung lesen, sondern als verlängerte Vorbereitungszeit.

Für Bestandssysteme, die Behörden bereits nutzen, gilt eine Übergangsfrist bis zum 2. August 2030. Diese Frist ist jedoch als Migrationsprogramm zu verstehen, nicht als Freifahrtschein: Jede wesentliche Änderung am System beendet den Bestandsschutz. Wer ein Bestandssystem fachlich oder technisch weiterentwickelt, sollte die Hochrisiko-Anforderungen daher frühzeitig einplanen.

Welche Pflichten haben Behörden als Betreiber?

Behörden treten in der Regel nicht als Anbieter, sondern als Betreiber von KI-Systemen auf. Diese Rollenklärung ist der erste Prüfschritt für jedes eingesetzte System, denn sie bestimmt das Pflichtenheft. Aus Artikel 26 ergeben sich für Betreiber konkrete Pflichten:

• Aufbewahrung der automatisch erzeugten Protokolle (Logs),
• Sicherstellung menschlicher Aufsicht über das System,
• Qualität und Eignung der Eingabedaten im eigenen Verantwortungsbereich.

Hinzu kommt für öffentliche Stellen eine spezifische Verpflichtung: Für Hochrisiko-Systeme ist eine Grundrechte-Folgenabschätzung (FRIA) nach Artikel 27 durchzuführen. Diese Abschätzung verlangt belastbare Evidenz — sie stellt die Frage, wie das System geprüft wurde, mit welchem Ergebnis und durch wen. Damit wird die Grundrechte-Folgenabschätzung zur Schnittstelle zwischen Rechtspflicht und Qualitätssicherung: Ohne dokumentierte Test- und Abnahmeprozesse lässt sie sich nicht sachgerecht ausfüllen.

Wer überwacht die Einhaltung in Deutschland?

In Deutschland ist die Aufsichtsstruktur inzwischen benannt: Mit dem KI-Marktüberwachungs- und Innovationsgesetz (KI-MIG), das am 29. Juli 2026 in Kraft getreten ist, wurde die Bundesnetzagentur als zentrale Marktüberwachungsbehörde bestimmt. Es gibt damit eine konkrete Aufsichtsadresse, an der sich Anfragen und Kontrollen orientieren.

Was bedeutet das für die Qualitätssicherung?

Die gewonnene Zeit bis Dezember 2027 ist vor allem eines: Aufbauzeit. Drei Arbeitsfelder lassen sich jetzt ohne Zeitdruck angehen:

• Inventarisierung: Eine vollständige Übersicht der eingesetzten KI-Systeme, inklusive der Rollenklärung — ist die Behörde Anbieter oder Betreiber?
• Dokumentierte Prüfprozesse: Systematische Testfälle pro Release und versionierte Testnachweise zu Genauigkeit und Robustheit, die später als Evidenz in der Grundrechte-Folgenabschätzung dienen.
• Kontrollierte Änderung von Bestandssystemen: Jede wesentliche Anpassung muss erkennbar und nachvollziehbar sein, um den Übergangsstatus bewusst steuern zu können.

Qualitätssicherung wird damit vom Projektanhang zur Rechtspflicht. Wer Anforderungen, Testfälle und Ergebnisse heute bereits nachvollziehbar dokumentiert, muss 2027 nicht improvisieren — und beantwortet die Fragen der Aufsicht mit Unterlagen statt mit nachträglichen Rekonstruktionen.