Seit dem 2. August 2026 gilt der größte Teil der europäischen KI-Verordnung. Fast alles, was dazu geschrieben wird, richtet sich an Unternehmen, die KI bauen. Dieser Artikel richtet sich an die weit größere Gruppe, die KI nur einsetzt — etwa durch eine KI-Anbindung an die Buchhaltung. Was ändert sich, und was ist zu regeln?
Dieser Artikel bietet einen Überblick und ist keine Rechtsberatung. Bei Zweifeln zu Ihrer eigenen Situation: legen Sie diese einer Juristin oder einem Juristen vor.
Gilt die KI-Verordnung auch für mein Unternehmen?
Ja, aber in einer leichteren Rolle als vielleicht erwartet. Die Verordnung unterscheidet Anbieter (wer ein KI-System entwickelt und in Verkehr bringt) von Betreibern (wer es unter eigener Verantwortung einsetzt). Kaufen Sie einen KI-Assistenten ein und binden ihn an Ihre Verwaltung an, sind Sie Betreiber. Die schwersten Pflichten — technische Dokumentation, Konformitätsbewertung, Qualitätsmanagementsystem — liegen beim Anbieter.
Ein Freibrief ist das nicht. Es bleibt ein Satz Pflichten, der sehr wohl bei Ihnen liegt, und einer davon gilt bereits seit Anfang 2025.
Die Zeitschiene
| Datum | Was gilt ab dann | Was heißt das für Nutzende |
|---|---|---|
| 1. August 2024 | Verordnung tritt in Kraft | Startpunkt; noch keine Pflichten |
| 2. Februar 2025 | Verbotene Praktiken und KI-Kompetenz | Betrifft Sie direkt: Mitarbeitende müssen verstehen, womit sie arbeiten |
| 2. August 2025 | Regeln für KI-Modelle mit allgemeinem Verwendungszweck | Vor allem für den Anbieter Ihres Assistenten |
| 2. August 2026 | Hauptteil, einschließlich Hochrisikosysteme aus Anhang III | Relevant, wenn Ihr Anwendungsfall dort hineinfällt |
| 2. August 2027 | Hochrisikosysteme, die in Produkte eingebettet sind | Für Verwaltungsnutzung selten relevant |
Vier Risikoklassen — und wo ein Buchhaltungsassistent steht
Die Verordnung ordnet nach Verwendung ein, nicht nach Technik. Derselbe Assistent kann also in zwei Kategorien fallen, je nachdem, wofür Sie ihn einsetzen.
- Unannehmbares Risiko — verboten. Social Scoring, Manipulation. Bei Verwaltungsnutzung nicht einschlägig.
- Hohes Risiko — zulässig unter strengen Bedingungen. Anhang III nennt unter anderem die Bewertung der Kreditwürdigkeit natürlicher Personen und Entscheidungen zu Einstellung und Personal. Lassen Sie einen Assistenten entscheiden, ob eine Privatkundin auf Rechnung kaufen darf, sind Sie hier.
- Begrenztes Risiko — Transparenzpflichten. Menschen müssen wissen, dass sie es mit KI zu tun haben oder dass Inhalte von KI erzeugt wurden.
- Minimales Risiko — keine besonderen Pflichten. Hierunter fällt der weitaus größte Teil der Nutzung: Fragen zur eigenen Verwaltung, Übersichten abrufen, Zahlen zusammenfassen.
Die praktische Faustregel: Nachschlagen und Zusammenfassen ist minimales Risiko; über Menschen entscheiden ist es nicht. Es geht darum, was Sie mit dem Ergebnis tun, nicht darum, welchen Assistenten Sie nutzen.
Was Sie als Nutzende regeln müssen
- KI-Kompetenz. Sorgen Sie dafür, dass die Arbeitenden verstehen, was das System tut, wo es danebenliegt und wie man eine Antwort prüft. Das gilt seit Februar 2025 und wird am häufigsten übersehen.
- Menschliche Aufsicht. Halten Sie fest, wer was darf. Ein Assistent, der nur lesen darf, kann keine Buchung anlegen; das ist Aufsicht, die Sie nicht erzwingen müssen, weil sie technisch bereits gilt.
- Transparenz gegenüber Mitarbeitenden. Sagen Sie, welche Systeme Sie einsetzen und wofür. Wirkt der Assistent an etwas mit, das Beschäftigte betrifft, ist das keine freiwillige Mitteilung.
- Wissen, wer Ihr Anbieter ist. Sie hängen an der Dokumentation und den Bedingungen des genutzten Modells. Halten Sie fest, welchen Assistenten Sie wann eingesetzt haben.
- Nachvollziehbar halten. Können Sie im Nachhinein zeigen, welche Fragen gestellt und welche Aktionen ausgelöst wurden, lässt sich der Rest dieser Liste deutlich einfacher belegen.
Wo KI-Verordnung und DSGVO sich berühren
Beides wird oft vermischt. Kurz: die DSGVO betrifft personenbezogene Daten — welche Daten Sie verarbeiten, auf welcher Grundlage und mit welchen Vereinbarungen. Die KI-Verordnung betrifft das System — wofür Sie es einsetzen, welches Risiko daraus entsteht und welche Aufsicht dazugehört.
Sie überschneiden sich an einem Punkt: sobald Sie KI auf Daten über Kundschaft oder Beschäftigte ansetzen, gelten beide. Für die DSGVO-Seite können Sie einen Auftragsverarbeitungsvertrag erzeugen; wie wir mit Daten umgehen, steht auf der Sicherheitsseite.
Was Ledger Botje bereits abdeckt
Einen Teil der Aufsicht müssen Sie nicht selbst bauen:
- Rein lesend als Ausgangspunkt — mit Basic kann der Assistent nichts ändern. Schreiben ist eine bewusste Entscheidung, keine Voreinstellung.
- Tool-Rechte je Anbindung und je Person — Sie bestimmen, welche Teile Ihrer Verwaltung ein geteilter Agent sehen darf. Das ist technisch durchgesetzte menschliche Aufsicht.
- Audit-Log — jeder Aufruf wird protokolliert, im Nachhinein ist also sichtbar, was gefragt und getan wurde.
- Server in den Niederlanden — unsere eigene Verarbeitung verlässt den EWR nicht.
Was wir nicht abdecken: was Ihr KI-Assistent mit dem Gespräch macht, unterliegt den Bedingungen dieses Anbieters. Das bewerten Sie separat, je Assistent.
So fangen Sie an
Bestimmen Sie zuerst, wofür Sie KI einsetzen und ob das im minimalen Risiko bleibt. Halten Sie danach fest, wer Zugang hat und warum, informieren Sie Ihre Mitarbeitenden, und sorgen Sie dafür, dass Sie im Nachhinein zeigen können, was passiert ist. Für die meisten mittelständischen Unternehmen ist das die ganze Liste.
Weiterlesen: Exact Online und KI: DSGVO, Datenschutz und Datenverarbeitung, oder das Glossar für die Begriffe, die in solchen Texten vorkommen. Der vollständige Verordnungstext steht auf EUR-Lex.