Was der AI Act ist
Die Verordnung (EU) 2024/1689, kurz AI Act oder KI-Verordnung, ist am 1. August 2024 in Kraft getreten. Sie regelt KI nach dem Risiko, das von ihr ausgeht: Manche Anwendungen sind verboten, manche gelten als Hochrisiko mit strengen Pflichten, für die meisten gelten nur wenige Regeln. Als EU-Verordnung gilt sie unmittelbar, ohne deutsches Umsetzungsgesetz.
Wichtig für den aktuellen Stand: Die Verordnung (EU) 2026/1744, der sogenannte Digital-Omnibus, hat den AI Act geändert. Sie wurde am 24. Juli 2026 im Amtsblatt veröffentlicht und gilt seit dem 27. Juli 2026. Viele Merkblätter von Kammern aus 2024 und 2025 geben deshalb noch den alten Stand wieder.
Sind Sie Betreiber?
Nach Art. 3 Nr. 4 AI Act ist Betreiber, wer ein KI-System „in eigener Verantwortung verwendet, es sei denn, das KI-System wird im Rahmen einer persönlichen und nicht beruflichen Tätigkeit verwendet“. Eine Arztpraxis, eine Kanzlei oder ein Steuerbüro, die KI im Alltag nutzen, sind damit Betreiber. Die Bundesrechtsanwaltskammer kommt in ihren Hinweisen zum KI-Einsatz für Anwälte zum selben Ergebnis.
Anbieter ist dagegen, wer ein KI-System entwickelt oder unter eigenem Namen in Verkehr bringt. Anbieter haben deutlich mehr Pflichten. Wenn Sie eine fertige Lösung nutzen, sind Sie in aller Regel Betreiber.
Die Kernpflicht: KI-Kompetenz nach Art. 4
Art. 4 gilt bereits seit dem 2. Februar 2025. In der ursprünglichen Fassung mussten Anbieter und Betreiber sicherstellen, dass ihr Personal über ein ausreichendes Maß an KI-Kompetenz verfügt. So steht es auch noch in den Papieren von BRAK und Bundessteuerberaterkammer.
Seit der Änderung durch die Verordnung 2026/1744 lautet die Pflicht, dass Anbieter und Betreiber „Maßnahmen, um die Entwicklung der KI-Kompetenz ihres Personals“ ergreifen. Nach Einschätzung von Fachjuristen ist das eine Bemühens- und Organisationspflicht, kein garantiertes Kompetenzniveau mehr. Abgeschafft ist die Pflicht aber nicht. In der Praxis heißt das:
- Das Team weiß, was die eingesetzte KI kann und was nicht.
- Es kennt typische Fehler wie erfundene Angaben und weiß, dass jedes Ergebnis geprüft wird.
- Es weiß, welche Daten in welche Anwendung dürfen.
- Es gibt eine kurze Einweisung, und diese ist schriftlich festgehalten.
Die Dokumentation ist nicht ausdrücklich vorgeschrieben, aber ratsam, um im Zweifel zeigen zu können, was Sie getan haben.
Was als Hochrisiko gilt und was nicht
Anhang III des AI Act listet Bereiche auf, in denen KI als Hochrisiko gilt. Für Praxen und Kanzleien sind vor allem diese relevant:
- Beschäftigung: KI, die Bewerbungen sichtet, filtert oder Bewerber bewertet
- Grundlegende Dienste: darunter die Triage von Patienten bei der Notfallversorgung
- Rechtspflege: KI, die Justizbehörden bei der Rechtsfindung unterstützt. Nach den BRAK-Hinweisen bezieht sich das auf Justizbehörden und nicht auf die Anwaltschaft.
Post sortieren, Textentwürfe schreiben, Notizen verschriften und eigene Dokumente durchsuchen sind dort nicht aufgeführt. Nach unserer Einschätzung sind solche Büroanwendungen daher kein Hochrisiko. Im Gesundheitsbereich kommt hinzu: KI-Software, die als Medizinprodukt Diagnosen oder Behandlungen unterstützt, kann nach dem Medizinprodukterecht ebenfalls als Hochrisiko gelten, darauf weist die Bundespsychotherapeutenkammer hin.
Die wichtigsten Fristen
| Datum | Was gilt |
|---|---|
| 2. Februar 2025 | Allgemeine Bestimmungen und Verbote, darunter Art. 4 KI-Kompetenz |
| 2. August 2026 | Allgemeiner Geltungsbeginn, darunter die Transparenzpflichten nach Art. 50 |
| 2. Dezember 2027 | Pflichten für Hochrisiko-Systeme nach Anhang III, etwa Bewerberauswahl |
| 2. August 2028 | Pflichten für Hochrisiko-Systeme nach Anhang I, also KI in regulierten Produkten |
Die beiden letzten Termine sind durch die Omnibus-Verordnung nach hinten verschoben worden. Die besonderen Betreiberpflichten nach Art. 26 betreffen nur Hochrisiko-Systeme.
Was die KI für Ihre Praxis oder Kanzlei übernehmen kann
Im kostenlosen Erstgespräch schauen wir uns Ihren Alltag an und sagen offen, was die KI im eigenen Haus übernehmen kann und was nicht. 30 Minuten, vor Ort oder per Video.
Erstgespräch vereinbarenTransparenz nach Art. 50
Art. 50 regelt, wann offengelegt werden muss, dass KI im Spiel ist. Pflichten wie der Hinweis, dass man mit einem Chatbot spricht, richten sich vor allem an Anbieter. Für Betreiber kann Art. 50 Abs. 4 relevant werden, etwa bei sogenannten Deepfakes oder bei KI-Texten, die veröffentlicht werden, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren. Nach den BRAK-Hinweisen entfällt die Offenlegungspflicht, wenn ein Mensch den Text geprüft hat und redaktionell verantwortet. Für interne Bürotexte und Antworten an Patienten oder Mandanten ist Art. 50 Abs. 4 meist nicht einschlägig.
Was Sie jetzt tun sollten
- Notieren Sie, welche KI-Anwendungen in Ihrem Haus genutzt werden, auch private Zugänge des Teams.
- Prüfen Sie, ob eine davon in einen Hochrisiko-Bereich fällt, etwa bei der Personalauswahl.
- Geben Sie Ihrem Team eine kurze Einweisung und halten Sie diese schriftlich fest.
- Legen Sie fest, wer KI-Ergebnisse prüft und freigibt.
Der AI Act steht neben DSGVO und Berufsrecht, er ersetzt sie nicht. Dieser Text ist keine Rechtsberatung. Die rechtliche Bewertung liegt bei Ihnen und Ihrem Datenschutzbeauftragten.
Wenn wir eine KI bei Ihnen im Haus einrichten, beschränken wir uns bewusst auf Büroaufgaben und bieten keine Bewerberauswahl, keine Patienten-Triage und keine diagnostischen Funktionen an. Zur Einrichtung gehört eine Einweisung Ihres Teams. Im Erstgespräch klären wir, was das für Ihre Praxis oder Kanzlei bedeutet.
Was die KI für Ihre Praxis oder Kanzlei übernehmen kann
Im kostenlosen Erstgespräch schauen wir uns Ihren Alltag an und sagen offen, was die KI im eigenen Haus übernehmen kann und was nicht. 30 Minuten, vor Ort oder per Video.
Erstgespräch vereinbarenHäufige Fragen
Gilt der AI Act auch für kleine Praxen und Kanzleien?
Ja. Wer KI beruflich in eigener Verantwortung nutzt, ist Betreiber, unabhängig von der Größe. Für Büroanwendungen bleibt im Kern die Pflicht zu Maßnahmen für die KI-Kompetenz des Teams.
Muss mein Team eine Prüfung oder ein Zertifikat ablegen?
Nein. Seit der Änderung durch die Verordnung 2026/1744 verlangt Art. 4 Maßnahmen zur Entwicklung der KI-Kompetenz, kein bestimmtes Kompetenzniveau. Eine dokumentierte Einweisung ist ein guter Nachweis.
Ist eine KI, die E-Mails sortiert, Hochrisiko?
Nach unserer Einschätzung nein. E-Mail-Sortierung, Textentwürfe und Dokumentensuche sind in Anhang III nicht aufgeführt. Anders wäre es etwa bei KI zur Auswahl von Bewerbern.
Muss ich KI-Texte an Patienten oder Mandanten kennzeichnen?
Die Offenlegungspflicht des Art. 50 Abs. 4 betrifft vor allem Deepfakes und veröffentlichte Texte zu Angelegenheiten von öffentlichem Interesse. Für geprüfte Antworten im Einzelfall ist sie meist nicht einschlägig.
Ersetzt der AI Act die DSGVO?
Nein. Beide gelten nebeneinander, ebenso das Berufsrecht. Eine nach dem AI Act zulässige KI kann trotzdem gegen Datenschutz oder Verschwiegenheit verstoßen.
Weiterlesen
Quellen
- AI Act Art. 3, Begriffsbestimmungen
- AI Act Art. 4, KI-Kompetenz
- AI Act Art. 113, Inkrafttreten und Geltungsbeginn
- AI Act Art. 50, Transparenzpflichten
- AI Act Anhang III, Hochrisiko-Bereiche
- ITMR: Digitaler Omnibus in Kraft
- umwelt-online: Verordnung (EU) 2026/1744
- BRAK: Hinweise zum Einsatz von künstlicher Intelligenz, Stand 12/2024
- BPtK Praxis-Info: Administrative KI in Ihrer Praxis
Stand: 2026-10-05. Dieser Beitrag dient der allgemeinen Information und ist keine Rechtsberatung. Die Bewertung Ihres konkreten Einsatzes liegt bei Ihnen und Ihrem Datenschutzbeauftragten.