Perspektiven · Briefing · Regulierung
Was ab Dezember 2027 für künstliche Intelligenz in Unternehmen gilt
Die europäische Verordnung über künstliche Intelligenz stuft den Einsatz in der Personalauswahl und bei Personalentscheidungen als Anwendung mit hohem Risiko ein, bei Finanzdienstleistern zusätzlich die Kreditprüfung und die Preisbildung in der Lebensversicherung und der Krankenversicherung. Nach einer Änderung vom Juli 2026 gelten die Pflichten dafür ab dem 2. Dezember 2027.
Auf einen Blick
- Systeme, die Bewerbungen sichten, Bewerber bewerten oder Entscheidungen über Beförderung und Kündigung beeinflussen, gelten nach Anhang III als Systeme mit hohem Risiko. Das betrifft jedes Unternehmen, das solche Werkzeuge einsetzt.
- Für Finanzdienstleister kommen die Prüfung der Kreditwürdigkeit natürlicher Personen und die Risikobewertung und Preisbildung in der Lebensversicherung und der Krankenversicherung hinzu. Ausgenommen ist die Aufdeckung von Finanzbetrug.
- Die Verordnung (EU) 2026/1744 vom 8. Juli 2026 hat den Beginn dieser Pflichten auf den 2. Dezember 2027 festgesetzt, für KI in Produkten nach Anhang I auf den 2. August 2028.
Betroffene Anwendungen
Die Verordnung über künstliche Intelligenz ordnet Anwendungen nach ihrem Risiko. In Anhang III nennt sie unter anderem Systeme für Beschäftigung und Personalmanagement. Dazu zählen Systeme, die Stellenanzeigen schalten, Bewerbungen sichten oder Bewerber bewerten, und Systeme, die Entscheidungen über Arbeitsbedingungen, Beförderung und Kündigung beeinflussen oder Leistung und Verhalten von Beschäftigten bewerten. Diese Fälle betreffen Industrieunternehmen ebenso wie Banken.
Anhang III Nummer 4 Buchstaben a und b der Verordnung (EU) 2024/1689.
Für Finanzdienstleister nennt Anhang III zusätzlich Systeme, die die Kreditwürdigkeit natürlicher Personen prüfen oder ihre Bonität bewerten, sowie Systeme zur Risikobewertung und Preisbildung in der Lebensversicherung und der Krankenversicherung. Systeme zur Aufdeckung von Finanzbetrug sind ausdrücklich ausgenommen.
Anhang III Nummer 5 Buchstaben b und c der Verordnung (EU) 2024/1689.
Viele Anwendungen im Arbeitsalltag dienen anderen Zwecken, etwa der Suche in Arbeitsanweisungen und technischen Dokumentationen oder der Zuordnung von Kundenanfragen. Wie eine Anwendung einzustufen ist, hängt von ihrem Zweck und ihrem Einsatz ab und ist im Einzelfall zu prüfen.
- 1. August 2024Die Verordnung über künstliche Intelligenz tritt in Kraft.
- 17. Januar 2025DORA gilt für Banken, Versicherer und weitere Finanzunternehmen.
- 2. Dezember 2027Pflichten für Systeme mit hohem Risiko nach Anhang III, etwa in Personalauswahl und Kreditprüfung.
- 2. August 2028Pflichten für Systeme mit hohem Risiko in Produkten nach Anhang I.
Quelle: Verordnungen (EU) 2024/1689, 2026/1744 und 2022/2554, EUR-Lex (öffnet in neuem Fenster)
Pflichten für Systeme mit hohem Risiko
Für solche Systeme regelt die Verordnung unter anderem Risikomanagement, Daten und Datenverwaltung, technische Dokumentation, Aufzeichnungen, Transparenz, menschliche Aufsicht sowie Genauigkeit und Robustheit. Die meisten Unternehmen werden solche Systeme als Betreiber einsetzen und von Dienstleistern beziehen. Bei Banken und Versicherern treffen die Pflichten aus der Verordnung zusätzlich auf die Anforderungen aus DORA an die Steuerung von Dienstleistern, die seit dem 17. Januar 2025 gelten.
Kapitel III der Verordnung (EU) 2024/1689; Geltungsbeginn nach der Änderung durch die Verordnung (EU) 2026/1744. DORA erfasst nach Artikel 2 Absatz 1 unter anderem Kreditinstitute, Versicherungsunternehmen und Rückversicherungsunternehmen.
Für Industrieunternehmen kommt ein zweiter Termin hinzu. KI in Produkten, für die europäische Produktvorschriften nach Anhang I gelten, etwa als Sicherheitsbauteil, kann ebenfalls als System mit hohem Risiko gelten. Für diese Systeme hat die Änderung vom Juli 2026 den Beginn der Pflichten auf den 2. August 2028 gelegt.
Artikel 6 Absatz 1 und Artikel 113 der Verordnung (EU) 2024/1689 in der Fassung der Verordnung (EU) 2026/1744.
Aufgaben bis Dezember 2027
- Eine Übersicht aller Anwendungen künstlicher Intelligenz im Haus, auch der Werkzeuge, die Mitarbeitende bereits privat nutzen.
- Eine Einordnung jeder Anwendung nach Zweck und Risiko, mit Blick auf Anhang III, besonders in Personalwesen und Kreditgeschäft.
- Klare Zuständigkeiten für Freigabe, Betrieb und Aufsicht.
- Eine Prüfung der Dienstleister, bevor neue Anwendungen angebunden werden, bei Banken und Versicherern nach den Anforderungen aus DORA.
Empfehlung von 1nthink, keine abschließende Liste der gesetzlichen Pflichten.
Was das für die Führung bedeutet
Der Zeitplan erlaubt einen geordneten Einstieg. Wer heute Anwendungen mit klarem Nutzen auswählt und sie von Beginn an dokumentiert, schafft eine gute Ausgangslage für die Pflichten ab Dezember 2027.
Maßstab ist der wirtschaftliche Beitrag. Eine Anwendung lohnt sich, wenn ihr Beitrag in Ihren Geschäftszahlen größer ist als der Aufwand für Betrieb und Aufsicht.
Zu Digitalisierung und KIQuellen
- Verordnung (EU) 2024/1689 über künstliche Intelligenz, Anhang III (öffnet in neuem Fenster)
- Verordnung (EU) 2026/1744 vom 8. Juli 2026 zur Änderung der Verordnung (EU) 2024/1689 (öffnet in neuem Fenster)
- Verordnung (EU) 2022/2554 über die digitale operationale Resilienz im Finanzsektor (DORA) (öffnet in neuem Fenster)
Dieser Beitrag gibt einen Überblick über den Rechtsstand im Oktober 2026 und ersetzt keine Rechtsberatung.
Weiterlesen
Weitere Perspektiven
- 01
Leitfaden · Effizienz
Fünf Felder, in denen Unternehmen Effizienz verlieren
Effizienzverluste entstehen selten an einer einzigen Stelle. Sie verteilen sich auf Abläufe, Ressourcen, Technik, Arbeitszeit und Prioritäten. Wer sie systematisch erfasst, sieht, wo sich Veränderungen wirtschaftlich lohnen und wo nicht.
- 02
Briefing · Industrie
Was der Cyber Resilience Act von Herstellern verlangt
Seit dem 11. September 2026 müssen Hersteller vernetzter Produkte aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden, die erste Warnung innerhalb von 24 Stunden. Ab dem 11. Dezember 2027 gilt die Verordnung vollständig, mit Anforderungen an Entwicklung, Auslieferung und Wartung jedes Produkts.
- 03
Briefing · Finanzdienstleistung
Fast ein Drittel weniger Kreditinstitute in zehn Jahren
Ende 2024 zählte die Bundesbank 1.368 Kreditinstitute in Deutschland, zehn Jahre zuvor waren es 1.990. Am stärksten schrumpfte der genossenschaftliche Sektor. Für regionale Banken wird die Effizienz der eigenen Abläufe damit zur zentralen Größe, ob sie fusionieren oder eigenständig bleiben.
