Was verlangt die KI-Verordnung von einem Unternehmen, das LLMs intern nutzt?

Als Betreiber ergreifen Sie Maßnahmen, damit die Beschäftigten, die mit KI arbeiten, über ausreichende KI-Kompetenz verfügen (Artikel 4, seit 2. Februar 2025). Ab 2. August 2026 legen Sie offen, wenn Sie Deepfakes oder KI-erzeugte Texte zu Angelegenheiten von öffentlichem Interesse veröffentlichen (Artikel 50). Nutzen Sie KI für einen Hochrisiko-Zweck nach Anhang III, etwa Personalauswahl oder Kreditwürdigkeit, kommen ab 2. Dezember 2027 die Pflichten aus Artikel 26 hinzu.

Müssen wir die Nutzung von LLMs protokollieren?

Eine Protokollpflicht setzt die Verordnung für Hochrisiko-Verwendungen: Nach Artikel 26 Absatz 6 bewahren Betreiber die automatisch erzeugten Protokolle eines Hochrisiko-KI-Systems, soweit sie ihrer Kontrolle unterliegen, mindestens sechs Monate auf, sofern Unions- oder nationales Recht, insbesondere zum Datenschutz, nichts anderes vorsieht. Unabhängig davon ist ein Nachweis, welche Modelle und Anbieter jede Anwendung nutzt, der Ausgangspunkt für ein KI-Inventar. Diesen Nachweis führt ein Gateway.

Wir nutzen LLM-APIs intern. Was hat sich im August 2026 geändert?

Seit dem 2. August 2026 gelten die Transparenzpflichten in Artikel 50. Die Pflicht zur KI-Kompetenz gilt seit dem 2. Februar 2025, und die Betreiberpflichten für Hochrisiko-Verwendungen nach Anhang III beginnen am 2. Dezember 2027.

Übernimmt Standard Compute unsere Pflichten aus der KI-Verordnung?

Die Pflichten liegen bei Ihrem Unternehmen als Betreiber. Standard Compute liefert die Nachweise und Regeln, auf die diese Arbeit aufbaut: ein Anfrageprotokoll mit Modell, Anbieter und Regionsregel für 12 Monate, ein Admin-Audit-Log, Zulassungslisten für Modelle und Anbieter und die Europa-Regel.

Speichert das Anfrageprotokoll unsere Prompts?

Nein. Anfrageprotokolle enthalten nur Metadaten (Modell, Anbieter, Tokens, Kosten, Status), nie Ihre Prompts oder Ausgaben. Wir verarbeiten Ihre Prompts im Arbeitsspeicher, um jede Anfrage zu bedienen, und schreiben sie nie in Speicher oder Logs.

Was sollte der Einkauf einen LLM-Anbieter zur KI-Verordnung und DSGVO fragen?

Wo Prompts verarbeitet werden, ob Inhalte gespeichert oder zum Training genutzt werden, wer die Unterauftragsverarbeiter sind und welche Nachweise Sie bekommen. Standard Compute antwortet mit der Europa-Regel, Zero Data Retention, einem AVV, den Sie im Dashboard unterzeichnen, einer öffentlichen Liste der Unterauftragsverarbeiter mit 14 Tagen Vorankündigung und einem Anfrageprotokoll über 12 Monate.

Macht uns der Aufruf von Claude, GPT oder Gemini per API zum Modellanbieter?

Nein. Die Verordnung nennt ein Unternehmen, das ein KI-System in eigener Verantwortung verwendet, Betreiber. Anbieter eines Modells ist das Unternehmen, das es entwickelt und in Verkehr bringt.

KI-Verordnung: Welche Pflichten haben Unternehmen, die LLMs nutzen?

Zuletzt aktualisiert am 9. November 2026

Für ein Unternehmen, das LLMs per API oder als Assistenten nutzt, bedeutet die KI-Verordnung vor allem Betreiberpflichten: KI-Kompetenz für die Beschäftigten (Artikel 4, seit 2. Februar 2025), Offenlegung bei Deepfakes und bei KI-erzeugten Texten zu Angelegenheiten von öffentlichem Interesse (Artikel 50, ab 2. August 2026) und, nur bei Hochrisiko-Verwendungen nach Anhang III, die Pflichten aus Artikel 26 ab 2. Dezember 2027, darunter die Aufbewahrung automatisch erzeugter Protokolle für mindestens sechs Monate.

Standard Compute liefert den praktischen Teil: Modell, bedienender Anbieter und geltende Regionsregel jeder Anfrage, 12 Monate aufbewahrt und exportierbar, dazu ein Admin-Audit-Log, Zulassungslisten für Modelle und Anbieter und die Europa-Regel.

Diese Seite fasst die amtlichen Texte mit Artikel und Datum zusammen. Was davon für Ihr Unternehmen gilt, entscheidet Ihre Rechtsabteilung.

Firmen-Workspace anlegenoder schreiben Sie an contact@standardcompute.com

English Français Nederlands Italiano Español

Kurze Antworten

Was verlangt die KI-Verordnung von einem Unternehmen, das LLMs intern nutzt?: Als Betreiber ergreifen Sie Maßnahmen, damit die Beschäftigten, die mit KI arbeiten, über ausreichende KI-Kompetenz verfügen (Artikel 4, seit 2. Februar 2025). Ab 2. August 2026 legen Sie offen, wenn Sie Deepfakes oder KI-erzeugte Texte zu Angelegenheiten von öffentlichem Interesse veröffentlichen (Artikel 50). Nutzen Sie KI für einen Hochrisiko-Zweck nach Anhang III, etwa Personalauswahl oder Kreditwürdigkeit, kommen ab 2. Dezember 2027 die Pflichten aus Artikel 26 hinzu.
Wer trägt die Pflichten für KI-Modelle mit allgemeinem Verwendungszweck?: Die Anbieter der Modelle. Ihre Pflichten aus Kapitel V gelten seit dem 2. August 2025. Ein Unternehmen, das GPT, Claude oder Gemini über eine API nutzt, ist Betreiber des KI-Systems, das es damit einsetzt.
Müssen wir die Nutzung von LLMs protokollieren?: Eine Protokollpflicht setzt die Verordnung für Hochrisiko-Verwendungen: Nach Artikel 26 Absatz 6 bewahren Betreiber die automatisch erzeugten Protokolle eines Hochrisiko-KI-Systems, soweit sie ihrer Kontrolle unterliegen, mindestens sechs Monate auf, sofern Unions- oder nationales Recht, insbesondere zum Datenschutz, nichts anderes vorsieht. Unabhängig davon ist ein Nachweis, welche Modelle und Anbieter jede Anwendung nutzt, der Ausgangspunkt für ein KI-Inventar. Diesen Nachweis führt ein Gateway.

Welche Fristen der KI-Verordnung gelten für Unternehmen?

Die Daten stammen aus Artikel 113 und Artikel 111 der Verordnung (EU) 2024/1689 in der durch den Digital Omnibus zur KI geänderten Fassung.

Fristen der KI-Verordnung
Datum	Was gilt	Amtliche Quelle
1. August 2024	Was gilt: Die KI-Verordnung, Verordnung (EU) 2024/1689, tritt in Kraft.	Amtliche Quelle: EUR-Lex
2. Februar 2025	Was gilt: Kapitel I gilt, darunter die Pflicht zur KI-Kompetenz in Artikel 4.	Amtliche Quelle: Artikel 113, Artikel 4
2. August 2025	Was gilt: Die Pflichten der Anbieter von KI-Modellen mit allgemeinem Verwendungszweck (Kapitel V) gelten.	Amtliche Quelle: Artikel 113
2. August 2026	Was gilt: Die Verordnung gilt allgemein, einschließlich der Transparenzpflichten in Artikel 50.	Amtliche Quelle: Artikel 113, Artikel 50
2. Dezember 2026	Was gilt: Ende der Übergangsfrist nach Artikel 111 Absatz 4: Anbieter von Systemen, die vor dem 2. August 2026 in Verkehr gebracht wurden, müssen synthetische Ausgaben nach Artikel 50 Absatz 2 maschinenlesbar kennzeichnen.	Amtliche Quelle: Artikel 111
2. Dezember 2027	Was gilt: Hochrisiko-Pflichten für KI-Systeme nach Anhang III, etwa Personalauswahl, Beschäftigung, Kreditwürdigkeit und Bildung, einschließlich der Betreiberpflichten in Artikel 26.	Amtliche Quelle: Artikel 113, Artikel 26
2. August 2028	Was gilt: Hochrisiko-Pflichten für KI in Produkten nach den EU-Harmonisierungsvorschriften in Anhang I.	Amtliche Quelle: Artikel 113

Zusammenfassung der amtlichen Texte, geprüft am 9. November 2026. Keine Rechtsberatung.

Sind wir Anbieter oder Betreiber, wenn wir ein LLM per API nutzen?

Die Verordnung nennt jede Person oder Stelle, die ein KI-System in eigener Verantwortung verwendet, Betreiber (Artikel 3 Nummer 4), außer bei rein persönlicher, nicht beruflicher Nutzung. Ein Unternehmen, das GPT, Claude oder Gemini über eine API aufruft oder seinen Beschäftigten einen KI-Assistenten gibt, ist Betreiber dieses Systems.

Die Pflichten für KI-Modelle mit allgemeinem Verwendungszweck in Kapitel V, etwa technische Dokumentation und Informationen für nachgelagerte Anbieter, liegen bei den Unternehmen, die die Modelle entwickeln und in Verkehr bringen.

Was verlangt Artikel 50 ab dem 2. August 2026?

Anbieter von KI-Systemen, die synthetische Audio-, Bild-, Video- oder Textinhalte erzeugen, kennzeichnen die Ausgaben in einem maschinenlesbaren Format als künstlich erzeugt oder manipuliert (Artikel 50 Absatz 2). Für Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden, gilt das nach Artikel 111 Absatz 4 ab dem 2. Dezember 2026.

Betreiber legen offen, dass Bild-, Audio- oder Videoinhalte, die ein Deepfake sind, künstlich erzeugt oder manipuliert wurden (Artikel 50 Absatz 4). Dasselbe gilt für KI-erzeugte oder manipulierte Texte, die veröffentlicht werden, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren, es sei denn, der Text wurde menschlich überprüft oder redaktionell kontrolliert und eine Person trägt die redaktionelle Verantwortung. Betreiber von Systemen zur Emotionserkennung oder biometrischen Kategorisierung informieren die betroffenen Personen (Artikel 50 Absatz 3).

Wie lange müssen Betreiber Protokolle aufbewahren?

Nur bei Hochrisiko-Verwendung. Wer KI für einen Zweck nach Anhang III einsetzt, etwa für die Auswahl von Bewerbern, die Steuerung von Beschäftigten, die Kreditwürdigkeitsprüfung oder die Bildung, betreibt ein Hochrisiko-KI-System. Artikel 26 verlangt dann ab dem 2. Dezember 2027 unter anderem, das System nach der Gebrauchsanweisung des Anbieters zu verwenden, die menschliche Aufsicht geeigneten Personen zu übertragen und den Betrieb zu überwachen.

Artikel 26 Absatz 6: Betreiber bewahren die von dem Hochrisiko-KI-System automatisch erzeugten Protokolle, soweit sie ihrer Kontrolle unterliegen, für einen dem Zweck angemessenen Zeitraum von mindestens sechs Monaten auf, sofern im geltenden Unions- oder nationalen Recht, insbesondere im Datenschutzrecht, nichts anderes bestimmt ist.

Welche Nachweise liefert ein KI-Gateway?

Standard Compute stellt Claude, GPT, Gemini und offene Modelle unter ein Firmenkonto, mit einem Schlüssel für jede Person und jede Anwendung. KI-Inventar, Nutzungsrichtlinie und Nachweise liegen damit an einem Ort.

Jede Admin-Änderung wird mit Vorher- und Nachher-Werten erfasst, und Sie exportieren einen Nachweis jeder Anfrage mit Modell, bedienendem Anbieter und geltender Regionsregel, 12 Monate aufbewahrt. Anfrageprotokolle enthalten nur Metadaten (Modell, Anbieter, Tokens, Kosten, Status), nie Ihre Prompts oder Ausgaben.

Legen Sie fest, welche Modelle jeder Schlüssel nutzen darf und welche Inferenzanbieter Ihre Daten verarbeiten dürfen, für das ganze Unternehmen, ein Team oder einen Schlüssel. Untere Ebenen können die Regeln nur enger fassen, und Fallbacks können Ihre Liste nie umgehen. Mit einer Europa-Regel wird jede Anfrage, einschließlich Wiederholungen und Fallbacks, nur von freigegebenen europäischen Inferenz-Endpunkten bedient.

Was das Gateway aufzeichnet und welche Arbeit es unterstützt
Funktion	Was sie tut	Unterstützt
Export des Anfrageprotokolls	Was sie tut: Modell, bedienender Anbieter und Regionsregel jeder Anfrage, 12 Monate aufbewahrt und exportierbar	Unterstützt: Nutzungsnachweise, KI-Inventar
Admin-Audit-Log	Was sie tut: Jede Admin-Änderung mit Vorher- und Nachher-Werten	Unterstützt: Historie der Nutzungsrichtlinie
Modell-Zulassungsliste	Was sie tut: Nur die Modelle, die Sie je Anwendung oder Person freigeben	Unterstützt: Nutzungsrichtlinie
Anbieter-Zulassungsliste	Was sie tut: Nur freigegebene Inferenzanbieter; neue nur mit Freigabe eines Admins	Unterstützt: Anbieterauswahl
Ein Schlüssel je Person und Anwendung	Was sie tut: Nutzung ab der ersten Anfrage einer Person oder Anwendung zugeordnet	Unterstützt: KI-Inventar
Europa-Regel	Was sie tut: Anfragen, Wiederholungen und Fallbacks nur über freigegebene europäische Inferenz-Endpunkte	Unterstützt: DSGVO-Arbeit
Single Sign-on	Was sie tut: Microsoft Entra ID oder ein anderer SAML-Identitätsanbieter	Unterstützt: Zugriffsnachweise

Standard Compute Dashboard, Audit-Log: Änderungen an Regionsregel, Zero Data Retention, Ausgabenlimit, Modellauswahl eines Anwendungsschlüssels und SSO-Domain, jeweils mit Vorher- und Nachher-Wert. — Das Admin-Audit-Log: jede Änderung an Regeln, Budgets und Schlüsseln mit Vorher- und Nachher-Wert. Das gezeigte Unternehmen ist ein Beispiel; das Dashboard ist auf Englisch.

Diese Aufzeichnungen sind Gateway-Nachweise über Modell- und Anbieternutzung. Die Protokolle in Artikel 26 Absatz 6 sind die, die ein Hochrisiko-KI-System selbst erzeugt. Was die Verordnung von Ihrem Unternehmen verlangt, entscheidet Ihre Rechtsabteilung, und die Nachweise dafür liegen bei Standard Compute an einem Ort.

Fragen von IT, Sicherheit und Einkauf

Wir nutzen LLM-APIs intern. Was hat sich im August 2026 geändert?: Seit dem 2. August 2026 gelten die Transparenzpflichten in Artikel 50. Die Pflicht zur KI-Kompetenz gilt seit dem 2. Februar 2025, und die Betreiberpflichten für Hochrisiko-Verwendungen nach Anhang III beginnen am 2. Dezember 2027.
Übernimmt Standard Compute unsere Pflichten aus der KI-Verordnung?: Die Pflichten liegen bei Ihrem Unternehmen als Betreiber. Standard Compute liefert die Nachweise und Regeln, auf die diese Arbeit aufbaut: ein Anfrageprotokoll mit Modell, Anbieter und Regionsregel für 12 Monate, ein Admin-Audit-Log, Zulassungslisten für Modelle und Anbieter und die Europa-Regel.
Speichert das Anfrageprotokoll unsere Prompts?: Nein. Anfrageprotokolle enthalten nur Metadaten (Modell, Anbieter, Tokens, Kosten, Status), nie Ihre Prompts oder Ausgaben. Wir verarbeiten Ihre Prompts im Arbeitsspeicher, um jede Anfrage zu bedienen, und schreiben sie nie in Speicher oder Logs.
Was sollte der Einkauf einen LLM-Anbieter zur KI-Verordnung und DSGVO fragen?: Wo Prompts verarbeitet werden, ob Inhalte gespeichert oder zum Training genutzt werden, wer die Unterauftragsverarbeiter sind und welche Nachweise Sie bekommen. Standard Compute antwortet mit der Europa-Regel, Zero Data Retention, einem AVV, den Sie im Dashboard unterzeichnen, einer öffentlichen Liste der Unterauftragsverarbeiter mit 14 Tagen Vorankündigung und einem Anfrageprotokoll über 12 Monate.
Macht uns der Aufruf von Claude, GPT oder Gemini per API zum Modellanbieter?: Nein. Die Verordnung nennt ein Unternehmen, das ein KI-System in eigener Verantwortung verwendet, Betreiber. Anbieter eines Modells ist das Unternehmen, das es entwickelt und in Verkehr bringt.

Quellen

Verordnung (EU) 2024/1689 (KI-Verordnung), EUR-Lex, deutsche Fassung, geprüft am 9. November 2026
Verordnung (EU) 2026/1744 (Digital Omnibus zur KI), EUR-Lex, geprüft am 9. November 2026
Artikel 4, AI Act Service Desk der Europäischen Kommission, geprüft am 9. November 2026
Artikel 26, AI Act Service Desk, geprüft am 9. November 2026
Artikel 50, AI Act Service Desk, geprüft am 9. November 2026
Artikel 111, AI Act Service Desk, geprüft am 9. November 2026
Artikel 113, AI Act Service Desk, geprüft am 9. November 2026

Legen Sie Ihr Unternehmen an, setzen Sie Ihre Modell- und Anbieterregeln und starten Sie das Anfrageprotokoll, auf das Ihre Arbeit zur KI-Verordnung aufbaut.

Firmen-Workspace anlegen