Welche KI setzen wir eigentlich ein, und welche Pflichten folgen daraus?

Fragt ein Kunde, ein Prüfer oder die eigene Geschäftsführung, wo im Unternehmen KI im Einsatz ist, kann das selten jemand vollständig beantworten. Das liegt weniger an Nachlässigkeit als daran, dass Softwareanbieter KI-Funktionen in bestehende Produkte eingebaut haben, ohne dass jemand im Haus sie bewusst eingeführt hat. Ein Verzeichnis schließt diese Lücke und macht aus einer unbequemen Frage eine Seite, die man vorlegen kann.

Die Pflichten der KI-Verordnung hängen an Rolle und Zweck, nicht am Werkzeug. Wer ein System unter eigener Verantwortung nutzt, ist Betreiber; wer eines unter eigenem Namen anbietet, ist Anbieter. Verbotene Praktiken nach Art. 5 sind seit dem 02.02.2025 untersagt, Art. 4 verlangt Maßnahmen zur KI-Kompetenz, und seit dem 02.08.2026 gilt Art. 50 mit Transparenzpflichten, etwa für Systeme, die direkt mit Menschen sprechen. Die Pflichten für Hochrisiko-Systeme nach Anhang III, etwa im Personalbereich, gelten nach dem Digital Omnibus ab dem 02.12.2027. Bei den meisten Anwendungen folgt aus der Einordnung wenig, bei manchen viel.

Wir führen ein solches Verzeichnis im eigenen Betrieb, für die intern genutzten Systeme ebenso wie für die Lösungen, die wir für Kunden bauen. Es hält je System Zweck, Betroffene, Rolle, Risikobereich und offene Maßnahmen fest. Die Aussagen zur Rechtslage auf dieser Seite geben den genannten Stand wieder und ersetzen keine Prüfung im Einzelfall.