Viele Unternehmen haben diesen Sommer vor allem eines über die KI-Verordnung gehört: „Sie wurde verschoben.“ Das ist nur die halbe Wahrheit. Der Digital Omnibus, im Juni beschlossen und seit Ende Juli 2026 in Kraft, hat die Regeln für Hochrisiko-KI-Systeme verschoben. Nicht verschoben hat er die Regeln, die eine normale Unternehmenswebsite am wahrscheinlichsten betreffen.
Hat Ihre Website einen Chatbot, veröffentlicht sie KI-generierte Bilder oder erstellen Sie Inhalte mit KI, gelten die einschlägigen Pflichten bereits.
Transparenz ist der Teil der KI-Verordnung, der fast alle erreicht — und er wurde nie verschoben.
Der Zeitplan, Stand heute
- 1. August 2024 — die KI-Verordnung tritt in Kraft.
- 2. Februar 2025 — verbotene Praktiken (etwa manipulative oder ausbeuterische KI) und die Pflicht zur KI-Kompetenz gelten.
- 2. August 2025 — Regeln für KI-Modelle mit allgemeinem Verwendungszweck gelten.
- 2. August 2026 — Transparenzpflichten (Art. 50) und die meisten übrigen Regeln gelten.
- 2. Dezember 2026 — neues Verbot von KI-Systemen, die nicht einvernehmliche intime Bilder erzeugen; Ende der Übergangsfrist für maschinenlesbare Kennzeichnung bei bereits vermarkteten Systemen.
- 2. Dezember 2027 — Hochrisiko-Regeln für eigenständige Systeme (Anhang III), etwa KI bei Personalauswahl oder Kreditentscheidungen — durch den Omnibus verschoben.
- 2. August 2028 — Hochrisiko-Regeln für KI in regulierten Produkten (Anhang I).
Was heute für eine Unternehmenswebsite gilt
1. Chatbots müssen als KI erkennbar sein
KI-Systeme, die direkt mit Menschen interagieren, müssen so gestaltet sein, dass Menschen wissen, dass sie es mit einer Maschine zu tun haben — es sei denn, das ist aus dem Kontext offensichtlich (Art. 50 Abs. 1). Formal trifft diese Pflicht den Anbieter des Systems. In der Praxis sind es aber Ihre Besucher, die informiert werden müssen — der Hinweis gehört also in Ihr Design: ein klares Label zu Beginn des Gesprächs, kein versteckter Satz in der Datenschutzerklärung.
2. Deepfakes müssen offengelegt werden
Veröffentlichen Sie KI-generierte oder manipulierte Bilder, Audio- oder Videoinhalte, die echt wirken — ein realistisches „Foto“ einer Person, eines Ortes oder eines Ereignisses —, müssen Sie offenlegen, dass sie künstlich sind (Art. 50 Abs. 4). Für erkennbar künstlerische, satirische oder fiktionale Werke gilt eine abgeschwächte Form. Eine stilisierte Illustration ist nicht das Problem; ein realistisches gefälschtes „Kundenfoto“ schon.
3. KI-geschriebene Texte von öffentlichem Interesse
KI-generierte Texte, die veröffentlicht werden, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren, müssen gekennzeichnet werden — es sei denn, sie wurden von Menschen geprüft und jemand trägt die redaktionelle Verantwortung. Für einen Unternehmensblog heißt das schlicht: Behalten Sie eine menschliche Redaktion und stehen Sie zu dem, was Sie veröffentlichen.
4. KI-Kompetenz im Team
Seit Februar 2025 müssen Organisationen, die KI-Systeme einsetzen, Maßnahmen ergreifen, um bei den Personen, die diese in ihrem Auftrag nutzen, ausreichende KI-Kompetenz aufzubauen (Art. 4). Der Omnibus hat das abgeschwächt — Sie müssen nicht mehr für jede Person ein bestimmtes Niveau garantieren —, die Pflicht, Maßnahmen zu ergreifen, bleibt aber. Eine kurze interne Richtlinie und eine Grundschulung zählen.
Wann KI zum Hochrisiko wird
Manche Anwendungen gelten als hochriskant, weil sie über Chancen von Menschen entscheiden können: Bewerbungen sichten, Beschäftigte bewerten, Kreditwürdigkeit prüfen, Zugang zu Bildung oder grundlegenden Leistungen. Nutzt Ihre Website oder Ihr HR-Prozess KI, um Bewerber zu ranken, sind Sie nah an dieser Kategorie. Die detaillierten Pflichten — Risikomanagement, Dokumentation, menschliche Aufsicht — gelten nun ab Dezember 2027. Das ist kein Grund zu warten; es ist Vorbereitungszeit.
Hier hat das Gesetz auch noch Lücken. Wie ich an anderer Stelle argumentiert habe, müssen private Arbeitgeber, die KI bei der Personalauswahl einsetzen, vor dem Einsatz keine Grundrechte-Folgenabschätzung durchführen — eine Prüfung, die die Verordnung für Kredite und Versicherungen sehr wohl verlangt. Rechtliches Wissen heißt hier, nicht nur zu wissen, was vorgeschrieben ist, sondern auch, was klug ist.
Die KI-Verordnung ersetzt nicht die DSGVO
Ein Chatbot-Gespräch ist voller personenbezogener Daten. Die DSGVO gilt parallel: Sie brauchen eine Rechtsgrundlage, einen Auftragsverarbeitungsvertrag mit dem Chatbot-Anbieter, einen Hinweis in Ihrer Datenschutzerklärung und einen Plan, wie lange Gespräche gespeichert werden. Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung dürfen nicht ausschließlich automatisiert getroffen werden (Art. 22 DSGVO). Die meisten KI-Compliance-Probleme auf Websites sind am Ende Datenschutzprobleme.
Wie Bußgelder aussehen
Verstöße gegen die verbotenen Praktiken können bis zu 35 Mio. Euro oder 7 % des weltweiten Umsatzes kosten; die meisten anderen Verstöße, auch gegen die Transparenzpflichten, bis zu 15 Mio. Euro oder 3 %. Für KMU und Start-ups gilt jeweils der niedrigere Betrag. Wie bei der DSGVO ist das realistische Risiko für ein kleines Unternehmen weniger ein Höchstbußgeld als eine Beschwerde, eine Anordnung zur Korrektur — oder verlorenes Vertrauen.
Eine kurze Checkliste
- Listen Sie jedes KI-Tool auf Ihrer Website und in Ihren Abläufen auf.
- Kennzeichnen Sie Ihren Chatbot zu Beginn jedes Gesprächs klar als KI.
- Legen Sie realistische KI-generierte Bilder, Audio- und Videoinhalte offen.
- Lassen Sie eine verantwortliche Person veröffentlichte Inhalte redigieren.
- Aktualisieren Sie Datenschutzerklärung und Auftragsverarbeitungsverträge für KI-Tools.
- Schreiben Sie eine einseitige interne KI-Richtlinie für Ihr Team.
Worauf es ankommt
Mit KI lassen sich an einem Nachmittag beeindruckende Funktionen in eine Website einbauen. Das Recht stellt eine langsamere Frage: Wissen die Menschen auf der anderen Seite, womit sie es zu tun haben? Diese Ehrlichkeit von Anfang an ins Design einzubauen ist keine Last. Sie ist es, was die Funktion vertrauenswürdig genug macht, um sie zu nutzen.
Sie möchten einen Chatbot oder KI-Funktionen auf Ihrer Website einsetzen? Wir gestalten sie mit den richtigen Hinweisen und sauberem Datenschutz — nehmen Sie Kontakt auf.
Jurist von der Ausbildung, Webdesigner aus Überzeugung. Goran schreibt über EU-Digitalrecht — DSGVO, DSA und KI-Verordnung — und darüber, was es für alle bedeutet, die Websites bauen und betreiben.
Quellen
Dieser Artikel ist eine allgemeine Information und keine Rechtsberatung. Er gibt die Rechtslage zum Zeitpunkt der Veröffentlichung wieder.