Editorial : Risiko durch Schatten-KI? Zeit für Klarstellungen zur KI-VO : aus der RDV 4/2026, Seite 183 bis 184

Die Geltung der Regeln zur Hochrisiko-KI sollen vom 4. August dieses Jahres auf den 2. Dezember 2027 verschoben werden. Zur Hochrisiko-KI sollte die EU-Kommission bis zum 2.2.2026 zur praktischen Umsetzung eine umfassende Liste praktischer Beispiele für Anwendungsfälle für KI-Systeme, die hochriskant oder nicht hochriskant sind, bereitstellen. Diese liegen mit Stand Juli 2026 erst im Entwurfsstadium zur Konsultation und Stellungnahme vor. Von daher ist die Verschiebung notwendig.

In der Sache sind evidente Fragen noch von der EU-Kommission zu klären. So auch die Frage nach der KI-rechtlichen Rolle und Verantwortung.

Gemäß Art. 25 Abs. 1 lit. c) KI-VO werden Betreiber eines KI-Systems mit allgemeinem Verwendungszweck dann auch Anbieter, wenn diese die Zweckbestimmung so verändern, dass das betreffende KI-System zu einem Hochrisiko-KI-System im Sinne von Art. 6 KI-VO wird. Hier stellt sich die Frage, ob der Betreiber durch eine einfache Nutzung eines KI-Systems mit allgemeinem Verwendungszweck zu in Art.  6 Abs. 2 i.V.m. Anlage III genannten Hochrisikozwecken auch schon zum Anbieter wird. Dies hätte zur Folge, dass ein einfaches Prompten in ChatGPT für einen Hochrisikozweck den Betreiber in die missliche Lage versetzt, alle Verpflichtungen eines Anbieters von KI-Systemen erfüllen zu müssen. Dies ist in der Regel von ihm kaum zu erfüllen. Vor dem Hintergrund einer weiten Verbreitung von Schatten-KI, also die informelle Nutzung vom Arbeitgeber nicht eingeführter von KI-Tools durch Beschäftigte, ist dies eine Frage mit Blick auf die hohen Bußgeldandrohungen von weiterer großer Praxisrelevanz. Insoweit bedarf es der rechtlichen Klarstellung durch die EU-Kommission, dass die Zweckbestimmung eines KI-Systems vom Anbieter festgelegt wird. Bietet also der Anbieter ein KI-System mit einem allgemeinen Verwendungszweck an, hat er den Zweck, wenn auch sehr weit, bereits insoweit definiert. Allein die Nutzung für einen Hochrisikozweck führt jedoch nicht zu einer Veränderung des vom Anbieter definierten allgemeinen Verwendungszwecks. Insoweit wäre eine Klarstellung durch die EUKommission wünschenswert.