In diesem Ratgeber
Was wurde geändert – und was bedeutet das für Ihre Planung?
Die Verordnung (EU) 2026/1744 ändert die europäische KI-Verordnung. Seit ihrem Inkrafttreten am 27. Juli 2026 ist sie geltendes Recht. Die frühere politische Einigung und die nun verbindlichen Regeln sollten deshalb in Unterlagen und Zeitplänen sauber unterschieden werden.
Für Ihre Einrichtung empfiehlt sich eine Übersicht pro Anwendung: Was macht das System, welche Daten verarbeitet es, welche Rolle übernimmt die Einrichtung und welche Anforderungen gelten? Ein Telefonassistent, eine KI-Funktion zur Personalauswahl und medizinische Entscheidungsunterstützung lassen sich nicht allein wegen der gemeinsamen Bezeichnung „KI“ gleich behandeln.
Die wichtigsten Termine auf einen Blick
| Termin | Bedeutung für die Einordnung |
|---|---|
| Seit 27. Juli 2026 | Der Digital-Omnibus zur KI ist in Kraft; unter anderem wurde Artikel 4 zur KI-Kompetenz geändert. |
| Seit 2. August 2026 | Artikel 50 gilt grundsätzlich: Transparenz bei bestimmten KI-Interaktionen und künstlich erzeugten oder manipulierten Inhalten. |
| 2. Dezember 2026 | Begrenzte Übergangsfrist für die technische Markierung nach Artikel 50 Absatz 2 bei bestimmten vor dem 2. August 2026 in Verkehr gebrachten Systemen. |
| 2. August 2027 | Frist für mindestens ein einsatzbereites nationales KI-Reallabor je Mitgliedstaat; keine allgemeine Wartefrist für Unternehmen. |
| 2. Dezember 2027 | Zentrale Hochrisiko-Anforderungen aus Kapitel III Abschnitte 1 bis 3 für Systeme nach Artikel 6 Absatz 2 und Anhang III, mit Ausnahme von Artikel 6 Absatz 5. |
| 2. August 2028 | Entsprechende zentrale Hochrisiko-Anforderungen für produktbezogene Systeme nach Artikel 6 Absatz 1 und Anhang I. |
Rolle und Risikoklasse zuerst klären
Halten Sie fest, ob Ihre Einrichtung das System als Betreiber verwendet oder selbst Anbieterpflichten übernimmt. Lassen Sie sich Zweckbestimmung, Einstufung und relevante Produktunterlagen vom jeweiligen Anbieter erläutern. Die bloße Verarbeitung von Gesundheitsdaten macht nicht jede Anwendung automatisch zu Hochrisiko-KI.
Bei der produktbezogenen Einstufung nach Artikel 6 Absatz 1 müssen die gesetzlichen Voraussetzungen zusammenkommen: Das System ist ein erfasstes Produkt oder dessen Sicherheitskomponente, und eine Konformitätsbewertung durch Dritte ist vorgeschrieben. Zusätzlich enthält Anhang III bestimmte Einsatzbereiche. Pauschale Aussagen wie „jede Praxis-KI hat dieselbe Frist“ helfen deshalb bei der Planung nicht.
KI-Kompetenz: Geeignete Maßnahmen am Einsatz ausrichten
Artikel 4 verpflichtet Anbieter und Betreiber weiterhin zu Maßnahmen, die die Entwicklung der KI-Kompetenz unterstützen. Vorwissen, Erfahrung, Einsatzkontext und betroffene Personengruppen sind zu berücksichtigen. Die geänderte Vorschrift verlangt ausdrücklich keine Garantie eines bestimmten Kompetenzniveaus.
Praktisch bedeutet das: Mitarbeitende sollten ihre konkreten Werkzeuge, zulässigen Eingaben und Kontrollaufgaben kennen. Ein Team am Empfang benötigt andere Inhalte als Beschäftigte, die medizinische Dokumentation bearbeiten. Halten Sie nachvollziehbar fest, welche Einweisung erfolgt ist, wer Fragen beantwortet und wann eine Aktualisierung nötig wird.
Artikel 4a: Enge Ausnahme für sensible Daten
Der neue Artikel 4a betrifft besondere Kategorien personenbezogener Daten, zu denen Gesundheitsdaten gehören. Er erlaubt unter engen Voraussetzungen eine Verarbeitung zur Erkennung und Korrektur von Verzerrungen. Absatz 2 erstreckt dies auf weitere Anbieter und Betreiber, wenn entsprechende Verzerrungen Gesundheit, Sicherheit oder Grundrechte beeinträchtigen beziehungsweise verbotene Diskriminierung verursachen können.
Die Bedingungen müssen gemeinsam erfüllt sein
- Die Verarbeitung ist unbedingt erforderlich; andere, etwa synthetische oder anonymisierte Daten reichen für diesen Zweck nicht aus.
- Technische Nutzungsbeschränkungen, Schutzmaßnahmen einschließlich Pseudonymisierung, strenge Zugriffskontrollen und Vertraulichkeit sind gewährleistet.
- Andere Parteien erhalten keine Übermittlung, Weitergabe oder sonstigen Zugriff auf diese Daten.
- Die Daten werden nach Korrektur der Verzerrung oder Ablauf der Speicherfrist gelöscht, je nachdem, was früher eintritt.
- Erforderlichkeit und fehlende Alternativen werden im Verarbeitungsverzeichnis begründet.
Die übrigen Datenschutzanforderungen bleiben zu beachten. Absatz 2 begründet keine allgemeine Pflicht zu einer solchen Prüfung. Für gewöhnliche Aktenzusammenfassungen, Diktatbearbeitung oder beliebiges Modelltraining lässt sich daraus keine pauschale Erlaubnis zur Nutzung von Patientendaten ableiten.
Was bringen Reallabore und Erleichterungen für kleinere Unternehmen?
Ein KI-Reallabor nach Artikel 57 bietet einen behördlich begleiteten Rahmen für die Entwicklung und Erprobung. Ein eigener Testserver wird dadurch nicht automatisch zum rechtlichen Reallabor. Für die praktische Vorbereitung und den NRW-Stand finden Sie unten unseren gesonderten Reallabor-Ratgeber.
Auch die KMU-Erleichterung ist begrenzt: Artikel 63 betrifft bestimmte Elemente des Qualitätsmanagementsystems nach Artikel 17 und setzt voraus, dass keine Partnerunternehmen oder verbundenen Unternehmen im Sinne der einschlägigen EU-Empfehlung bestehen. Andere Anforderungen bleiben bestehen. Daraus folgt keine allgemeine Befreiung kleiner Arztpraxen oder einzelner MVZ.
Fünf konkrete Schritte für Ihre Einrichtung
- Inventar aktualisieren: Auch KI-Funktionen innerhalb bereits eingesetzter Software aufnehmen.
- Anbieterunterlagen zuordnen: Zweckbestimmung, eigene Rolle, Risikoeinstufung und einschlägige Fristen dokumentieren.
- Aktuelle Pflichten bearbeiten: Transparenzhinweise, Nutzungsregeln und geeignete Einweisungen für Beschäftigte prüfen.
- Datenverarbeitung gesondert bewerten: Rechtsgrundlagen, Schweigepflicht, Verträge, Berechtigungen und gegebenenfalls Datenschutz-Folgenabschätzung berücksichtigen.
- Verantwortung festlegen: Für jede offene Maßnahme eine zuständige Person, einen Termin und einen Nachweis vorsehen.
Für Hinweise zu Chatbots und veröffentlichten Inhalten führt der verlinkte Transparenz-Ratgeber durch die einzelnen Fälle. Nutzen Sie die Fristenübersicht hier als Ausgangspunkt für Ihre Maßnahmenplanung und prüfen Sie sie erneut, wenn sich Anwendung oder Verwendungszweck ändern.
Quellen & Rechtsgrundlagen
Grundlagen dieses Beitrags, geprüft zum angegebenen Stand. Gesetze und behördliche Hinweise können sich ändern; maßgeblich bleibt Ihre konkrete Verarbeitung.
- EUR-Lex: Verordnung (EU) 2026/1744 – Digital-Omnibus zur KI (öffnet in neuem Tab)Veröffentlicht am 24.07.2026
- Offizieller AI Act Service Desk: Artikel 4 – KI-Kompetenz (öffnet in neuem Tab)Konsolidierte Fassung vom 27.07.2026; abgerufen am 29.10.2026
- Offizieller AI Act Service Desk: Artikel 4a – sensible Daten zur Erkennung und Korrektur von Verzerrungen (öffnet in neuem Tab)Konsolidierte Fassung vom 27.07.2026; abgerufen am 29.10.2026
- Offizieller AI Act Service Desk: Artikel 6 – Einstufung als Hochrisiko-KI (öffnet in neuem Tab)Konsolidierte Fassung vom 27.07.2026; abgerufen am 29.10.2026
- Europäische Kommission: Transparenzpflichten nach Artikel 50 und Übergangsfrist (öffnet in neuem Tab)Abgerufen am 29.10.2026
- Offizieller AI Act Service Desk: Artikel 57 – KI-Reallabore (öffnet in neuem Tab)Konsolidierte Fassung vom 27.07.2026; abgerufen am 29.10.2026
- Offizieller AI Act Service Desk: Artikel 63 – Ausnahmen für bestimmte Akteure (öffnet in neuem Tab)Konsolidierte Fassung vom 27.07.2026; abgerufen am 29.10.2026
- Offizieller AI Act Service Desk: Artikel 113 – Geltungsbeginn (öffnet in neuem Tab)Konsolidierte Fassung vom 27.07.2026; abgerufen am 29.10.2026
- Europäische Kommission: Aktueller Umsetzungszeitplan zur KI-Verordnung (öffnet in neuem Tab)Abgerufen am 29.10.2026
Dieser Ratgeber dient der datenschutzfachlichen und organisatorischen Orientierung. Er ersetzt keine anwaltliche Rechtsberatung im Einzelfall. Die Verantwortung für die Verarbeitung bleibt bei der Einrichtung. Für eine erste Beratungsanfrage genügen Angaben zum Anliegen; bitte keine Patientenakten über das öffentliche Kontaktformular senden.