BAREMOS IT GmbH
Menü

KI-Transparenzpflichten in der IT-Vergabe: Was ab August 2026 gilt

Veröffentlicht:

Was seit dem 2. August 2026 gilt

Seit dem 2. August 2026 gelten die Transparenzpflichten nach Art. 50 der EU-KI-Verordnung (AI Act, Verordnung (EU) 2024/1689). Anbieter und Betreiber bestimmter KI-Systeme müssen sicherstellen, dass Nutzerinnen und Nutzer erkennen, wenn sie mit einer KI-Anwendung interagieren. Chatbots und vergleichbare dialogorientierte Systeme müssen sich als KI zu erkennen geben. KI-generierte oder künstlich veränderte Bild-, Audio-, Video- und bestimmte Textinhalte sind maschinenlesbar zu kennzeichnen; bei Deepfakes ist die künstliche Erzeugung ausdrücklich offenzulegen. Systeme zur Emotionserkennung oder zur biometrischen Kategorisierung müssen betroffene Personen informieren. Für Systeme, die bereits vor dem Stichtag am Markt waren, gilt für die maschinenlesbare Kennzeichnung eine Übergangsfrist bis zum 2. Dezember 2026. Verstöße können mit Bußgeldern bis 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes geahndet werden; bei Missachtung der nach Art. 5 verbotenen KI-Praktiken drohen bis zu 35 Millionen Euro oder 7 Prozent.

Hochrisiko-Pflichten verschoben, nicht abgeschafft

Parallel dazu hat der europäische Gesetzgeber die Anwendbarkeit der Hochrisiko-Regelungen deutlich nach hinten verschoben. Grundlage ist der sogenannte Digital Omnibus zur KI-Verordnung (Verordnung (EU) 2026/1744), am 24. Juli 2026 im Amtsblatt veröffentlicht und seit dem 27. Juli 2026 in Kraft. Danach greifen die Pflichten für eigenständige Hochrisiko-KI-Systeme nach Anhang III – etwa in den Bereichen kritische Infrastruktur, Bildung, Beschäftigung, wesentliche Dienstleistungen, Strafverfolgung, Migration und Justiz – erst sechs Monate, nachdem die Kommission die Verfügbarkeit harmonisierter Normen, gemeinsamer Spezifikationen oder Leitlinien festgestellt hat, spätestens jedoch zum 2. Dezember 2027. Für Hochrisiko-KI, die in Produkte eingebettet ist (Anhang I), verschiebt sich der Termin von August 2027 auf August 2028. Unverändert in Kraft bleiben dagegen die seit Februar 2025 geltenden Verbote bestimmter KI-Praktiken nach Art. 5 sowie die seit August 2025 geltenden Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck nach Art. 51 ff.

Bedeutung für die IT-Vergabe

Für öffentliche Auftraggeber ergeben sich aus dieser gestaffelten Anwendbarkeit zwei parallele Prüfaufgaben. Wer aktuell Chatbots, KI-gestützte Assistenzsysteme, generative KI-Anwendungen oder Systeme mit biometrischer Auswertung ausschreibt oder betreibt, sollte die seit August 2026 geltenden Kennzeichnungs- und Transparenzpflichten in Leistungsbeschreibung, technischen Mindestanforderungen und Vertragsbedingungen abbilden – etwa durch eine Verpflichtung des Auftragnehmers zur maschinenlesbaren Kennzeichnung KI-generierter Inhalte und zur Offenlegung der KI-Nutzung gegenüber Endnutzern. Vergabestellen, die Anwendungen in den Hochrisiko-Bereichen nach Anhang III planen, sollten die verschobenen Fristen zudem nicht mit einem Wegfall der Anforderungen verwechseln: Die Pflichten zu Risikomanagement, Datenqualität und Konformitätsbewertung gelten spätestens ab Dezember 2027 und lassen sich in mehrjährigen IT-Projekten bereits jetzt in Leistungsbeschreibung und Eignungskriterien berücksichtigen, um spätere Nachrüstungen zu vermeiden. Eine frühzeitige Abstimmung mit den betroffenen Fachbereichen und, bei Zweifeln zur Einordnung eines Systems als Hochrisiko-KI, eine dokumentierte Risikoeinschätzung im Vergabevermerk unterstützen eine nachvollziehbare und ordnungsgemäße Gestaltung des Verfahrens.

Quellen