KI-Verzeichnis: Vorlage und Pflichten nach dem Digital Omnibus

14. Juli 2026 · aktualisiert am 13. August 2026 · Ben Touati

Seit August greifen weitere Regeln der KI-Verordnung und ihrer Aufsicht. Was Unternehmen jetzt sinnvoll dokumentieren sollten und wie ein KI-Verzeichnis dabei hilft.

Seit dem 2. August 2026 gelten weitere Aufsichts- und Sanktionsregeln der EU-KI-Verordnung. Für Unternehmen wird damit eine schlichte Frage wichtiger: Welche KI-Systeme setzen wir ein, zu welchem Zweck und wer verantwortet sie? Viele kleine und mittlere Unternehmen können darauf noch nicht belastbar antworten. Ein KI-Verzeichnis schafft dafür einen nachvollziehbaren Arbeitsstand.

Was ein KI-Verzeichnis ist

Ein KI-Verzeichnis ist die strukturierte Bestandsaufnahme aller KI-Systeme eines Unternehmens: mit Zweck und Risikoeinstufung jedes Systems, dazu Verantwortliche und Nachweise. Es ist für die KI-Verordnung, was das Verarbeitungsverzeichnis für die DSGVO ist: das zentrale Dokument, an dem sich Sorgfalt ablesen lässt.

Die Verordnung schreibt ein solches Verzeichnis als eigenes Dokument nirgends wörtlich vor. Sie verlangt etwas Unbequemeres: Pflichten, die sich ohne dieses Verzeichnis kaum erfüllen lassen. Wer KI-Kompetenz fördern soll (Art. 4), muss wissen, wer welche Systeme nutzt. Wer Hochrisiko-Systeme betreibt, muss sie als solche erkannt haben. Und die Antwort für die Aufsicht muss schriftlich vorliegen, bevor die Frage kommt.

Warum der Arbeitsplatz der kritische Ort ist

Die KI-Verordnung wird für die meisten Unternehmen nicht im Produkt konkret, sondern im Personalbüro. Anhang III Nr. 4 stuft KI im Beschäftigungskontext als Hochrisiko ein: Bewerbungsauswahl und Entscheidungen über Beförderung oder Kündigung ebenso wie Aufgabenzuweisung und Leistungsüberwachung. Diese Pflichten greifen nach dem Digital Omnibus am 2. Dezember 2027, und das Datum verführt zu einem teuren Fehlschluss.

Denn das Datum gilt nur für einen Teil der Rechtslage. Der Beschäftigtendatenschutz nach DSGVO läuft weiter, als wäre die KI-Verordnung nie geschrieben worden. § 87 Abs. 1 Nr. 6 BetrVG gibt dem Betriebsrat nach ständiger Rechtsprechung ein Mitbestimmungsrecht bei jeder technischen Einrichtung, die zur Leistungs- oder Verhaltensüberwachung geeignet ist; viele KI-Tools sind das, oft ungewollt. Und ein Verbot greift aus der Verordnung selbst schon heute: Emotionserkennung am Arbeitsplatz, untersagt seit Februar 2025 und bewehrt mit der obersten Bußgeldklasse. Ein KI-Tool ohne Beteiligung des Gremiums einzuführen schafft damit einen anfechtbaren Zustand.

Die Fristen nach dem Digital Omnibus

Das Europäische Parlament hat den Digital Omnibus am 16. Juni angenommen, der Rat am 29. Juni 2026. Die Stichtage der KI-Verordnung sind damit neu geordnet. Fast alle Ratgeber, die vor Juni 2026 erschienen sind, nennen inzwischen veraltete Fristen. Der aktuelle Fahrplan:

• Seit 2. Februar 2025: Die Verbote des Art. 5 gelten, darunter Emotionserkennung am Arbeitsplatz. Ebenso die KI-Kompetenzpflicht des Art. 4, durch den Omnibus abgeschwächt zu einem Förderauftrag, aber weiterhin verbindlich.
• 2. August 2026: Weitere Aufsichts-, Transparenz- und Sanktionsregeln greifen. Die Marktüberwachung nimmt ihre Aufgaben auf.
• 2. Dezember 2027: Die Hochrisiko-Pflichten nach Anhang III greifen, einschließlich des gesamten Beschäftigungskontexts.
• Bis 2028: Laufender Betrieb. Änderungen an Systemen und neue Vorfälle gehören fortlaufend dokumentiert, ebenso jeder Anbieterwechsel.

Was in das Verzeichnis gehört

Für jedes System ein Erfassungsbogen mit denselben Feldern, damit die Einträge vergleichbar bleiben:

• System und Anbieter, dazu Version und Einsatzbeginn
• Zweck und Einsatzbereich im Unternehmen
• Risikoeinstufung: verbotene Praxis, Hochrisiko nach Anhang III, Transparenzpflicht nach Art. 50 oder minimales Risiko, jeweils mit der geltenden Frist
• Verarbeitete Datenarten und Rechtsgrundlage, bei Beschäftigtendaten einschließlich der Mitbestimmungsfrage
• Verantwortliche Person im Haus
• Schulungsnachweise nach Art. 4, mit Teilnehmerlisten statt Zertifikats-Sammelei
• Vorfälle und Änderungen, dazu der Schriftverkehr mit Anbietern

Der erste Schritt: die Schatten-KI finden

Die Inventur beginnt bei dem, was ohne Beschluss im Haus ist: das Übersetzungstool im Support und das Analyse-Feature, das ein Software-Anbieter per Update eingeschaltet hat. Dazu das KI-Konto, das sich jemand im Team privat angelegt hat und beruflich nutzt. Diese Systeme fehlen leicht in offiziellen Listen und können bei Prüfungen, Datenschutzfragen oder internen Vorfällen zum Problem werden. Wer sie zuerst selbst findet, kann sie geordnet dokumentieren.