Die Kollegin aus der Öffentlichkeitsarbeit hat es eilig. Auf der Website soll heute noch ein Text über einen neuen Bürgerservice erscheinen. Die Fakten stehen fest, bei der Formulierung hilft eine KI. Zehn Minuten später liegt ein erstaunlich brauchbarer Entwurf auf dem Bildschirm. Dann fällt der Satz, der inzwischen in erstaunlich vielen Büros für spontane Betriebsamkeit sorgt: „Müssen wir jetzt eigentlich dazuschreiben, dass dieser Text mit KI erstellt wurde?“
Die Kollegin fragt im Sekretariat. Das Sekretariat fragt die IT. Die IT nennt Datenschutz und AI Act. Jemand erinnert sich an eine Schulung, jemand anderes an einen LinkedIn-Beitrag und eine dritte Kollegin ist sicher, seit dem 2. August müsse „alles mit KI“ gekennzeichnet werden. Aus einem Textentwurf sind innerhalb weniger Minuten vier Meinungen und fünf neue Fragen geworden.
Willkommen im AI Act im Büro 2026.
Seit dem 2. August 2026 ist eine weitere zentrale Stufe der europäischen KI-Verordnung anwendbar. Unter anderem gelten jetzt die Transparenzpflichten nach Artikel 50. Gleichzeitig ist die Umsetzung in Deutschland sehr viel greifbarer geworden: Das deutsche KI-Marktüberwachungs- und Innovationsförderungs-Gesetz – kurz KI-MIG – ist in Kraft, die Bundesnetzagentur übernimmt eine zentrale Rolle und stellt mit ihrem KI-Service Desk praktische Orientierung bereit. Leitlinien der Europäischen Kommission zu Artikel 50
Gleichzeitig ist die Umsetzung in Deutschland greifbarer geworden. Das KI-Marktüberwachungs- und Innovationsförderungs-Gesetz, kurz KI-MIG, trat am 29. Juli 2026 in Kraft. Die Bundesnetzagentur übernimmt darin eine zentrale Rolle bei Marktüberwachung, Koordinierung und als zentrale Anlaufstelle. KI-MIG bei Gesetze im Internet
Das klingt zunächst nach einer neuen Ladung Paragraphen für den ohnehin gut gefüllten Büroschreibtisch. Tatsächlich steckt darin aber eine Entwicklung, die für Sekretärinnen, Assistenzen und Office-Managerinnen wichtiger ist als die nächste spektakuläre KI-Funktion: Aus dem „Wir probieren KI einfach mal aus“ wird zunehmend ein „Wir sollten wissen, was wir da eigentlich tun“.
Und nein: Sie müssen deshalb nicht hinter jeden mit ChatGPT verbesserten Satz ein digitales Warnschild hängen.
Merksatz: Der AI Act verlangt nicht pauschal eine Kennzeichnung jedes KI-Textes. Entscheidend sind Einsatz, Zweck, Veröffentlichung und die jeweilige Rolle Ihrer Organisation.
Hinweis: Dieser Beitrag bietet eine allgemeine Orientierung. Er ersetzt keine rechtliche Prüfung eines konkreten Einzelfalls.
Der 2. August ist kein Einschaltknopf für den AI Act
Der Eindruck liegt nahe: Vor dem 2. August war der AI Act Zukunftsmusik, seit dem 2. August gilt er. So schön übersichtlich wäre es – nur leider wäre es falsch.
Die europäische KI-Verordnung arbeitet mit einem gestaffelten Zeitplan. Artikel 113 bestimmt grundsätzlich den 2. August 2026 als Geltungsbeginn, sieht aber mehrere frühere und spätere Anwendungstermine vor. Kapitel I und II – und damit auch Artikel 4 zur KI-Kompetenz – gelten bereits seit dem 2. Februar 2025. Weitere Vorschriften folgten ab August 2025. Die inzwischen konsolidierte Fassung enthält darüber hinaus spätere Anwendungstermine für bestimmte Hochrisiko-Regelungen. Verordnung (EU) 2024/1689 bei EUR-Lex
Gerade für den Büroalltag lohnt sich diese Unterscheidung, weil sie zwei verbreitete Fehlannahmen aus dem Weg räumt: Weder beginnt die Beschäftigung mit KI-Compliance erst jetzt, noch ist seit August plötzlich jede denkbare KI-Regel gleichzeitig scharfgestellt.
Die wichtigsten Eckpunkte für unseren Zusammenhang:
| Zeitpunkt | Was für den Büroalltag wichtig ist |
|---|---|
| 2. Februar 2025 | Regelungen zur KI-Kompetenz nach Artikel 4 gelten bereits. |
| 2. August 2025 | Weitere Teile der KI-Verordnung werden anwendbar. |
| 29. Juli 2026 | Das deutsche KI-Marktüberwachungs- und Innovationsförderungs-Gesetz – kurz KI-MIG – tritt in Kraft. |
| 2. August 2026 | Regulärer Geltungsbeginn vieler weiterer Vorschriften; die Transparenzpflichten nach Artikel 50 gelten. |
| Spätere Termine | Für einzelne Regelungsbereiche sieht der AI Act weiterhin spätere Anwendungstermine vor. |
Für Sie bedeutet das vor allem: Schauen Sie nicht nur auf das Datum. Schauen Sie auf den konkreten Anwendungsfall.
Die Regelung zur KI-Kompetenz nach Artikel 4 gilt beispielsweise bereits seit dem 2. Februar 2025. Wer sich erst im August 2026 Gedanken darüber macht, ob Beschäftigte ihre eingesetzten KI-Systeme überhaupt ausreichend verstehen, kommt also nicht zu früh – eher im Gegenteil.
Merksatz: Der 2. August 2026 ist ein wichtiger Meilenstein des AI Act, aber nicht dessen Geburtstag.
„Betreiber“ klingt technisch – gemeint ist häufig Ihre Organisation
Der AI Act bringt eine eigene Begriffswelt mit. Einer dieser Begriffe lautet Betreiber. In englischen Texten begegnet Ihnen dafür deployer.
Nach der Erläuterung der Europäischen Kommission sind Betreiber natürliche oder juristische Personen, Behörden oder andere Stellen, die ein KI-System unter ihrer Verantwortung beruflich nutzen. Wird die KI innerhalb eines Unternehmens eingesetzt, werden die einzelnen Beschäftigten, die unter Weisung und Kontrolle der Organisation handeln, grundsätzlich nicht jeweils zu eigenständigen Betreibern. Die Organisation bleibt Betreiberin. FAQ der Europäischen Kommission zu Artikel 50
Für den Arbeitsalltag ist das eine wichtige Entlastung – aber kein Freifahrtschein.
Denn die juristische Rolle und die praktische Nutzung liegen nicht zwangsläufig am selben Schreibtisch. Die Organisation kann Betreiberin sein, während Sie entscheiden, welche Informationen in einen Prompt gelangen, welche Ergebnisse weiterverarbeitet werden und ob ein Text intern bleibt oder auf der Unternehmenswebsite landet.
Warum „Das macht unsere IT“ zu kurz greift
Natürlich braucht es die IT. Ebenso Datenschutz, Informationssicherheit, Leitung und je nach Einsatz weitere Fachstellen. Doch keine dieser Stellen kennt automatisch jede konkrete Arbeitssituation im Sekretariat.
Die IT kann wissen, welches System freigegeben ist. Sie weiß deshalb noch lange nicht, ob Sie damit gerade eine neutrale Veranstaltungsankündigung formulieren oder personenbezogene Informationen aus einem Personalvorgang zusammenfassen.
Genau an dieser Stelle wird Bürokompetenz zu KI-Kompetenz: Sie müssen nicht sämtliche Artikel der Verordnung auswendig kennen. Sie müssen aber erkennen können, wann aus einer komfortablen Schreibhilfe ein prüfungsbedürftiger Vorgang wird.
Eine KI-Richtlinie, die im Intranet schlummert und im Arbeitsalltag niemand versteht, besitzt ungefähr denselben praktischen Wert wie eine perfekt beschriftete Ablage, deren Schlüssel verschwunden ist.
Merksatz: Die Organisation trägt die formale Verantwortung – der konkrete KI-Einsatz entsteht trotzdem im Arbeitsprozess.
Nicht jeder KI-Satz braucht ein Warnschild
Hier sitzt vermutlich der größte Knoten.
Artikel 50 enthält nicht eine einzige allgemeine Kennzeichnungspflicht, sondern unterschiedliche Transparenzpflichten für unterschiedliche Akteure und Situationen. Anbieter von KI-Systemen müssen beispielsweise bei direkt interagierenden KI-Systemen bestimmte Transparenz gewährleisten und generierte Inhalte unter bestimmten Voraussetzungen maschinenlesbar markieren. Für Betreiber sind insbesondere Emotionserkennung, biometrische Kategorisierung, Deepfakes und bestimmte veröffentlichte KI-Texte relevant. Überblick der EU-Kommission zu den Transparenzpflichten
Bei Texten nennt die Europäische Kommission drei entscheidende Kriterien. Die Texte müssen veröffentlicht, für die Öffentlichkeit informierend und auf eine Angelegenheit von öffentlichem Interesse gerichtet sein. Dazu können etwa Politik, öffentliche Verwaltung und Dienstleistungen, öffentliche Sicherheit, Gesundheit, Umwelt oder wirtschaftliche, wissenschaftliche und kulturelle Entwicklungen gehören, die Gegenstand öffentlicher Debatten sind.
Damit wird klar, warum eine interne Terminmail nicht plötzlich denselben rechtlichen Status erhält wie ein ungeprüfter KI-Text einer Behörde zu einem öffentlichen Thema.
| Beispiel aus dem Büro | Einordnung zu Artikel 50 |
|---|---|
| ChatGPT hilft beim Formulieren einer internen Terminmail. | Nicht allein deshalb kennzeichnungspflichtig nach Artikel 50 Absatz 4. |
| Copilot verbessert Stil und Verständlichkeit einer normalen Geschäftsmail. | Nicht allein deshalb kennzeichnungspflichtig nach Artikel 50 Absatz 4. |
| Eine Behörde veröffentlicht einen KI-generierten Informationstext zu einer öffentlichen Dienstleistung. | Artikel 50 Absatz 4 kann relevant sein. Menschliche Prüfung, redaktionelle Kontrolle und Verantwortungsübernahme müssen berücksichtigt werden. |
| Ein täuschend echtes KI-Video zeigt eine reale Person etwas sagen oder tun, was so nicht stattgefunden hat. | Die Transparenzregeln für Deepfakes können greifen. |
| Eine KI erstellt intern eine Zusammenfassung, die fachlich geprüft und nicht veröffentlicht wird. | Die spezielle Transparenzpflicht für veröffentlichte Texte zu öffentlichem Interesse greift allein dadurch nicht. |
Die Bundesnetzagentur stellt diese Unterscheidung inzwischen ebenfalls auf ihrer Seite zu den Transparenzpflichten dar. Dort wird für KI-generierte oder manipulierte Texte über Angelegenheiten von öffentlichem Interesse ausdrücklich zwischen Kennzeichnungspflicht und der Ausnahme bei menschlicher Prüfung beziehungsweise redaktioneller Kontrolle unterschieden. Bundesnetzagentur: Transparenzpflichten nach Artikel 50
Eine wichtige Einschränkung bleibt: Keine Kennzeichnungspflicht nach Artikel 50 bedeutet nicht automatisch „alles erlaubt“.
Datenschutz, Vertraulichkeit, Urheberrecht, Informationssicherheit, interne Freigaben oder arbeitsrechtliche Fragen können trotzdem relevant werden. Der AI Act ist kein Radiergummi für andere Rechtsgebiete.
Wer personenbezogene oder vertrauliche Informationen in eine KI eingibt, sollte deshalb nicht zuerst darüber nachdenken, ob unter dem späteren Text ein KI-Hinweis stehen muss. Die erste Frage lautet vielmehr: Durften diese Daten überhaupt in dieses System?
Merksatz: Kein KI-Label bedeutet nicht automatisch kein Compliance-Thema.
Öffentliche Kommunikation: Hier wird Artikel 50 deutlich interessanter
Für Verwaltungen, öffentliche Einrichtungen, Verbände und Organisationen, die regelmäßig Informationen für eine größere Öffentlichkeit veröffentlichen, rückt Artikel 50 wesentlich näher an den Arbeitsalltag.
Die Europäische Kommission nennt unter anderem öffentliche Verwaltung und öffentliche Dienstleistungen als mögliche Angelegenheiten von öffentlichem Interesse. Denken Sie beispielsweise an Informationen einer Stadt über neue Verwaltungsleistungen, an öffentliche Hinweise zu Sicherheit oder Gesundheit oder an Beiträge zu politischen und gesellschaftlichen Entwicklungen.
Eine Stadtverwaltung lässt also einen Webtext über einen neuen Bürgerservice mit generativer KI formulieren. Der Text geht anschließend online.
Nun lohnt sich die genauere Prüfung.
Denn selbst in einem solchen Fall lautet die Antwort nicht automatisch: „KI war beteiligt, also muss ein Schild darunter.“
Korrekturlesen ist nicht dasselbe wie Verantwortung übernehmen
Hier wird eine besonders interessante Feinheit der neuen Leitlinien wichtig.
Die Europäische Kommission erläutert, dass veröffentlichte Texte, die eine menschliche Prüfung oder redaktionelle Kontrolle durchlaufen haben und für die eine natürliche oder juristische Person redaktionelle Verantwortung trägt, nicht gekennzeichnet werden müssen.
Mit menschlicher Prüfung ist dabei eine bewusste inhaltliche Prüfung durch Personen gemeint, die über relevantes Fachwissen und professionelles Urteilsvermögen verfügen. Redaktionelle Kontrolle umfasst beispielsweise die Befugnis, Inhalte auf sachlichen Gründen zu prüfen, zu verändern oder zurückzuweisen und Informationen sowie Quellen zu verifizieren.
Und dann folgt die kleine, aber für unseren Büroalltag ausgesprochen spannende Klarstellung:
Eine oberflächliche oder rein formale Prüfung, etwa nur Rechtschreibung oder Grammatik, gilt nach den Leitlinien nicht als solche menschliche Prüfung oder redaktionelle Kontrolle. EU-Kommission: Anforderungen an menschliche Prüfung und redaktionelle Kontrolle
Das ist ein Unterschied, den Sie sich merken sollten.
Ein Text kann orthografisch makellos und sachlich trotzdem falsch sein. KI beherrscht diese unangenehme Kombination gelegentlich ausgesprochen elegant: ein souveräner Ton, eine schöne Satzstruktur – und mittendrin eine Tatsache, die nie stattgefunden hat.
Merksatz: Korrekturlesen prüft die Sprache. Redaktionelle Verantwortung prüft den Inhalt.
Das ist übrigens keine Abwertung klassischer Sekretariatsarbeit. Im Gegenteil. Wer professionell mit Informationen arbeitet, weiß längst, dass „sieht gut aus“ und „ist richtig“ zwei verschiedene Qualitätsstufen sind.
Eine glatte Formulierung ist noch keine geprüfte Information
KI verführt durch Oberfläche. Ein Text klingt souverän, besitzt einen sauberen Aufbau und präsentiert eine Quelle gleich mit. Da fällt es leicht, aus sprachlicher Sicherheit auf sachliche Sicherheit zu schließen.
Genau diesen Reflex sollten Sie sich abgewöhnen.
Eine generative KI formuliert nach Wahrscheinlichkeiten. Sie kann Informationen zutreffend zusammenfassen, sie kann aber ebenso plausibel klingende Fehler produzieren. Deshalb steigt mit zunehmender KI-Nutzung nicht der Bedarf an weniger menschlicher Prüfung, sondern an besserer menschlicher Prüfung.
Für Sekretariat und Assistenz ist das eine interessante Entwicklung. Viele Aufgaben, die früher als „noch einmal drüberschauen“ galten, bekommen dadurch ein anderes Gewicht.
Vom Gegenlesen zum Gegenprüfen
Prüfen Sie bei wichtigen KI-Texten beispielsweise:
- Stimmen Namen, Zahlen und Daten?
- Existieren genannte Quellen tatsächlich?
- Deckt die Quelle die Behauptung auch wirklich?
- Hat die KI etwas ergänzt, das in Ihrer Vorlage nicht enthalten war?
- Passt die Aussage zum organisatorischen Kontext?
- Ist klar, wer die Veröffentlichung fachlich verantwortet?
Das ist mehr als Rechtschreibung. Es ist Informationskontrolle.
Und genau diese Fähigkeit dürfte im Büro der kommenden Jahre wertvoller werden. KI kann Ihnen einen ersten Entwurf in Sekunden liefern. Verantwortung lässt sich dagegen nicht einfach mitgenerieren.
Merksatz: KI kann einen Entwurf beschleunigen. Die Verantwortung für belastbare Informationen bleibt eine menschliche Aufgabe.
Deepfake & Co.: Im Sekretariat selten – aber längst nicht mehr exotisch
Bei „Deepfake“ denken viele zuerst an manipulierte Politiker-Videos oder Prominente mit fremder Stimme. Damit lässt sich das Thema bequem in die Kategorie „Internetproblem, betrifft uns nicht“ schieben.
Doch generative Bild-, Audio- und Videosysteme wandern ebenso in die Unternehmenskommunikation wie Text-KI zuvor. Avatare, automatisch erzeugte Sprecherstimmen oder realistisch wirkende KI-Bilder gehören inzwischen zum normalen Werkzeugangebot vieler Plattformen.
Der AI Act behandelt deshalb auch künstlich erzeugte oder manipulierte Bild-, Ton- und Videoinhalte, die reale Personen, Orte, Gegenstände oder Ereignisse täuschend echt erscheinen lassen.
Für das klassische Sekretariat wird dies vermutlich nicht jeden Dienstag relevant. Wer jedoch Kommunikation organisiert, Präsentationen vorbereitet, Social-Media-Inhalte koordiniert oder externe Dienstleister beauftragt, sollte die Kategorie kennen.
Ähnliches gilt für Systeme zur Emotionserkennung oder biometrischen Kategorisierung. Wer ein System einkauft, das angeblich aus Gesicht, Stimme oder Verhalten Rückschlüsse auf emotionale Zustände ziehen kann, bewegt sich in einer völlig anderen Risikoklasse als bei einer KI, die eine Einladung freundlicher formuliert.
Diese Unterschiede sind kein juristischer Luxus. Sie sind das Grundprinzip der Verordnung: Nicht „KI ja oder nein?“ entscheidet, sondern was das konkrete System tut und in welchem Zusammenhang es eingesetzt wird.
KI-Kompetenz: Der unspektakuläre Teil mit großer Wirkung
Artikel 50 produziert die aufregenderen Schlagzeilen. Für viele Büros dürfte Artikel 4 jedoch im Alltag mindestens ebenso wichtig sein.
Die Regelung zur KI-Kompetenz gehört zu Kapitel I des AI Act und gilt bereits seit dem 2. Februar 2025. Anbieter und Betreiber sollen Maßnahmen treffen, damit Personen, die in ihrem Auftrag KI-Systeme betreiben oder nutzen, über ein ausreichendes Maß an KI-Kompetenz verfügen. Die Bundesnetzagentur betont dabei, dass dies unabhängig von Wirtschaftszweig oder Organisationsgröße relevant sein kann. Bundesnetzagentur: KI-Kompetenz nach Artikel 4
Nun bitte nicht sofort „KI-Zertifikat Pflicht 2026“ googeln.
Die Bundesnetzagentur stellt ausdrücklich klar, was nicht vorgeschrieben ist:
- keine garantierten Kompetenzniveaus für einzelne Personen,
- keine standardisierten Trainingsmaßnahmen,
- keine externe Zertifizierung der Maßnahmen,
- kein allein aus Artikel 4 resultierender Zwang zur Einführung eines KI-Beauftragten.
Stattdessen sollen Organisationen den konkreten Einsatz, die Risiken, die Aufgaben und das vorhandene Wissen berücksichtigen. Die Bundesnetzagentur empfiehlt außerdem, die Maßnahmen zur KI-Kompetenz zu dokumentieren und regelmäßig anzupassen.
Nicht jede Kollegin braucht dasselbe KI-Wissen
Eine Mitarbeiterin, die gelegentlich eine neutrale E-Mail sprachlich verbessern lässt, braucht anderes Wissen als eine Kollegin, die regelmäßig KI für Bürgerkommunikation, Personalunterlagen oder Vertragsentwürfe nutzt.
Deshalb sollte Ihre Organisation nicht fragen:
„Haben alle eine KI-Schulung besucht?“
Sondern:
„Verfügen die Beschäftigten über die Kompetenzen, die sie für ihre konkreten Anwendungen benötigen?“
Dazu können beispielsweise folgende Fähigkeiten gehören:
- Grenzen generativer KI kennen,
- sensible Daten erkennen,
- Halluzinationen und falsche Quellen prüfen,
- freigegebene und nicht freigegebene Anwendungen unterscheiden,
- erkennen, wann zusätzliche Fachstellen einbezogen werden müssen,
- Ergebnisse nicht ungeprüft übernehmen.
Die Bundesnetzagentur beschreibt den Aufbau von KI-Kompetenz als kontinuierlichen Prozess. Das passt zur technischen Entwicklung: Eine Schulung aus dem Jahr 2024 kann 2026 noch Grundlagen vermitteln, aber kaum sämtliche heutigen Funktionen und Risiken abdecken.
Merksatz: KI-Kompetenz ist kein Zertifikat an der Wand, sondern die Fähigkeit, im richtigen Moment die richtige Entscheidung zu treffen.
Deutschland bekommt eine Adresse für den Paragraphennebel
Eine der praktisch wichtigsten Neuerungen dieses Sommers kommt nicht aus Kalifornien, sondern aus dem deutschen Gesetzblatt.
Das KI-MIG wurde am 22. Juli 2026 ausgefertigt und trat am 29. Juli 2026 in Kraft. § 2 bestimmt die Bundesnetzagentur grundsätzlich zur zuständigen Marktüberwachungsbehörde, soweit das Gesetz keine andere Zuständigkeit vorsieht. Genau dieser Zusatz ist wichtig, denn etwa für bestimmte Finanzbereiche, Produktbereiche und öffentliche Stellen der Länder bestehen besondere Zuständigkeiten. § 2 KI-MIG – zuständige Marktüberwachungsbehörden
Bei der Bundesnetzagentur wird außerdem nach § 5 ein Koordinierungs- und Kompetenzzentrum eingerichtet. Es soll unter anderem Behörden bei komplexen Entscheidungen unterstützen, Zusammenarbeit koordinieren sowie Schulungs-, Sensibilisierungs- und Informationsangebote bereitstellen. § 5 KI-MIG – Koordinierungs- und Kompetenzzentrum
Und § 6 macht die Sache für die Praxis besonders interessant: Die Bundesnetzagentur ist die zentrale Anlaufstelle im Sinne des AI Act. § 6 KI-MIG – Zentrale Anlaufstelle
Damit wäre die Aussage „Die Bundesnetzagentur ist für jede KI in Deutschland zuständig“ weiterhin falsch.
Richtig ist:
Die Bundesnetzagentur übernimmt eine zentrale Rolle und fungiert als zentrale Anlaufstelle, während für bestimmte Bereiche andere Behörden zuständig bleiben.
Der KI-Service Desk: Erst Primärquelle, dann Kommentarspalte
Für Unternehmen, Behörden und Organisationen betreibt die Bundesnetzagentur inzwischen einen KI-Service Desk. Dort bündelt sie Informationen zu Risikostufen, Transparenzpflichten, KI-Kompetenz, verbotenen Praktiken, Hochrisiko-KI, Governance, Marktüberwachung und weiteren Fragen der Verordnung. KI-Service Desk der Bundesnetzagentur
Das klingt zunächst wenig spektakulär. Für den Büroalltag kann es enorm hilfreich sein.
Wenn Sie künftig eine Frage zum AI Act haben, würde ich die Recherche in dieser Reihenfolge beginnen:
EU-Verordnung → Europäische Kommission → Bundesnetzagentur beziehungsweise zuständige deutsche Behörde → danach Fachbeiträge und Kommentare.
Nicht umgekehrt.
Ein amerikanischer Blogartikel über „EU AI compliance in five easy steps“ mag elegant aussehen. Wenn Sie wissen möchten, wie eine deutsche Behörde oder ein mittelständisches Unternehmen die europäischen Vorgaben einordnen sollte, ist eine Primärquelle die bessere erste Adresse.
Die Bundesnetzagentur weist allerdings selbst darauf hin, dass die Informationen ihres KI-Service Desk Orientierung bieten und unverbindlich sind. Eine letztlich verbindliche Auslegung der KI-Verordnung obliegt den Gerichten beziehungsweise dem Europäischen Gerichtshof.
Merksatz: Bei Rechtsfragen zur KI zuerst die zuständige Primärquelle prüfen – nicht den Beitrag mit den meisten Ausrufezeichen.
Der KI-Compliance Kompass: Orientierung statt Kristallkugel
Besonders praktisch ist der KI-Compliance Kompass der Bundesnetzagentur.
Das interaktive Werkzeug soll Organisationen dabei helfen, zunächst einzuschätzen, ob und in welchem Umfang die KI-Verordnung für ein eingesetztes System relevant sein könnte. Die Bundesnetzagentur beschreibt den Kompass ausdrücklich als erste Orientierung. KI-Compliance Kompass der Bundesnetzagentur
Das ist eine vernünftige Grenze.
Der Kompass kann Ihnen helfen zu verstehen, welche Fragen Sie überhaupt stellen müssen. Er ersetzt aber keine verbindliche Einzelfallentscheidung.
Oder etwas weniger juristisch formuliert: Ein Kompass zeigt die Richtung. Er fährt nicht für Sie.
Vom KI-Zoo zur Bestandsaufnahme
Viele Organisationen besitzen inzwischen nicht mehr „die eine KI“. Sie haben einen kleinen KI-Zoo.
ChatGPT läuft bei einzelnen Kolleginnen im Browser. Copilot steckt in Microsoft-Anwendungen. Das Marketing probiert ein Bildtool aus. Eine Abteilung verwendet einen Übersetzungsdienst mit KI-Funktionen. Eine andere lässt Besprechungen automatisiert zusammenfassen. Und irgendeine Software hat beim letzten Update still und leise noch einen KI-Assistenten bekommen.
Wer jetzt eine KI-Richtlinie schreiben möchte, braucht deshalb zunächst etwas sehr Unspektakuläres: einen Überblick.
| Prüfschritt | Leitfrage für das Büro | Warum das wichtig ist |
|---|---|---|
| 1. Erfassen | Welche KI-Systeme verwenden wir tatsächlich? | Ohne Übersicht lässt sich kein Einsatz sinnvoll einordnen. |
| 2. Zweck klären | Wofür verwenden wir die KI konkret? | Der Anwendungsfall entscheidet wesentlich über Risiken und Pflichten. |
| 3. Daten prüfen | Welche Daten, Texte oder Dokumente geben wir ein? | Datenschutz, Vertraulichkeit und Informationssicherheit können betroffen sein. |
| 4. Wirkung prüfen | Unterstützt die KI lediglich oder beeinflusst sie Entscheidungen und Prozesse? | Je größer die Eingriffstiefe, desto wichtiger werden Kontrolle und Einordnung. |
| 5. Veröffentlichung | Gehen KI-Inhalte an die Öffentlichkeit? | Dann können Transparenzpflichten nach Artikel 50 relevant werden. |
| 6. Kontrolle | Wer prüft Inhalt, Fakten und Ergebnis fachlich? | Sprachliche Qualität ersetzt keine fachliche Prüfung. |
| 7. Kompetenz | Wissen die beteiligten Personen genug für diesen Einsatz? | Artikel 4 verlangt ein angemessenes Maß an KI-Kompetenz. |
Diese sieben Punkte lösen nicht automatisch jede Rechtsfrage. Aber sie schaffen etwas, das vielen Organisationen noch fehlt: einen Überblick, über den überhaupt vernünftig gesprochen werden kann.
Merksatz: Bevor Sie KI regeln können, müssen Sie wissen, wo sie bereits arbeitet.
„Wir nutzen KI doch nur zum Schreiben“ – ein beruhigender Satz mit Tücken
Dieser Satz fällt häufig. Und manchmal stimmt er sogar.
Eine Mitarbeiterin lässt aus Stichpunkten eine neutrale Einladung formulieren. Eine andere bittet um drei Varianten für eine Betreffzeile. Eine dritte möchte einen komplizierten Absatz verständlicher machen. Solche Anwendungen können überschaubar sein.
Das Wort „nur“ sollte Sie trotzdem aufmerksam machen.
Denn nicht die Tätigkeit „Schreiben“ entscheidet über das Risiko, sondern der Kontext.
Eine Einladung zum Sommerfest ist etwas anderes als eine Abmahnung. Eine Zusammenfassung allgemein zugänglicher Informationen ist etwas anderes als ein Personalvorgang. Ein interner Entwurf ist etwas anderes als eine Veröffentlichung für Bürgerinnen und Bürger. Eine sprachliche Umformulierung ist etwas anderes als ein System, das eigenständig neue Tatsachen ergänzt.
Darum führt die Frage „Welches Tool benutzen wir?“ allein nicht weit genug.
Sie brauchen immer die zweite Frage:
„Wofür benutzen wir es?“
Das ist der sogenannte Use Case, der konkrete Anwendungsfall. Genau er entscheidet darüber, welche Risiken, Pflichten und Kontrollschritte relevant werden.
Merksatz: Nicht der Name des KI-Tools entscheidet über das Risiko, sondern das, was Sie damit tun.
Fünf Schritte, bevor aus KI-Regeln ein Ordnerfriedhof wird
Compliance besitzt eine erstaunliche Fähigkeit: Sobald Unsicherheit entsteht, wächst irgendwo eine Excel-Liste.
Bitte widerstehen Sie zumindest für einen Moment diesem Reflex.
Bevor Sie neue Formulare, Freigaben und Richtlinien produzieren, braucht Ihr Büro fünf klare Entscheidungen:
1. Bestandsaufnahme
Welche KI-Systeme sind tatsächlich im Einsatz – offiziell und praktisch?
2. Einordnung
Welche Aufgaben werden damit erledigt? Welche Daten werden verarbeitet? Welche Ergebnisse verlassen die Organisation?
3. Regeln
Was ist erlaubt? Was ist untersagt? Wann ist Rücksprache notwendig? Welche Systeme sind freigegeben?
4. Kompetenz
Wer braucht welches Wissen, um den eigenen Anwendungsfall sicher zu beherrschen?
5. Dokumentation
Welche Entscheidungen, Schulungen und Zuständigkeiten sollten nachvollziehbar festgehalten werden?
Diese Reihenfolge verhindert, dass Sie mit Dokumentation beginnen, bevor überhaupt klar ist, was dokumentiert werden soll.
Bestandsaufnahme – Einordnung – Regel – Kompetenz – Dokumentation.
Diesen Fünfschritt dürfen Sie sich ruhig neben den Bildschirm hängen.
Merksatz: Gute KI-Compliance beginnt nicht mit Papier. Sie beginnt mit Klarheit.
Der AI Act passt erstaunlich gut zum professionellen Büromanagement
Auf den ersten Blick treffen hier zwei Welten aufeinander: europäische Technologiegesetzgebung auf der einen Seite, Terminplanung, Korrespondenz und Informationsorganisation auf der anderen.
Tatsächlich geht es in beiden Welten erstaunlich oft um dieselben Fragen.
Wer darf was?
Welche Information gehört wohin?
Wer prüft?
Wer entscheidet?
Welche Version ist freigegeben?
Was muss dokumentiert werden?
Wann braucht es eine Rückfrage?
Professionelle Sekretariatsarbeit lebt seit Jahrzehnten von geregelten Informationswegen und sauberer Verantwortungszuordnung. KI verändert diese Grundlogik nicht. Sie erhöht lediglich die Geschwindigkeit.
Und Geschwindigkeit verzeiht schlechte Prozesse schlecht.
Wenn eine Mitarbeiterin einen falschen Satz schreibt, entsteht zunächst ein falscher Satz. Wenn ein fehlerhafter KI-Baustein automatisiert in zahlreiche Vorgänge übernommen wird, wird aus einem Fehler schnell ein Muster.
Deshalb ist die Vorstellung falsch, KI-Kompetenz sei eine exotische Zusatzqualifikation für Technikbegeisterte.
Für viele Office-Professionals wird sie Teil dessen, was gute Büroorganisation ohnehin auszeichnet: Informationen beurteilen, Zuständigkeiten erkennen und nicht alles weiterreichen, nur weil es professionell aussieht.
Was Sie morgen im Team tatsächlich besprechen sollten
Keine zehnseitige Präsentation. Keine Grundsatzdebatte darüber, ob KI gut oder schlecht ist.
Nehmen Sie fünf Fragen mit:
- Welche KI-Systeme nutzen wir tatsächlich?
- Für welche Aufgaben setzen wir sie ein?
- Welche Daten geben wir hinein?
- Welche Ergebnisse veröffentlichen oder versenden wir?
- Wer prüft fachlich, bevor etwas weitergeht?
Wenn Sie diese fünf Fragen souverän beantworten können, besitzen Sie bereits mehr KI-Governance als manches Unternehmen mit einem beeindruckenden Richtlinienordner.
Wenn Sie sie nicht beantworten können, haben Sie ebenfalls etwas gewonnen: Sie wissen, wo Sie anfangen müssen.
Schlussgedanke
Der AI Act im Büro verlangt nicht, dass aus jeder Sekretärin eine Fachjuristin wird. Er verlangt auch nicht, dass jeder mit KI formulierte Satz künftig ein Warnschild trägt.
Was sich verändert, ist grundlegender.
KI verlässt die Experimentierecke. Sie steckt zunehmend in Anwendungen, Arbeitsabläufen und Kommunikationsprozessen, die zum normalen Büro gehören. Damit reicht „Ich habe da mal ChatGPT gefragt“ als Organisationsprinzip auf Dauer nicht mehr aus.
Seit dem 2. August 2026 gelten die Transparenzpflichten aus Artikel 50. Die Europäische Kommission hat dazu inzwischen detaillierte Leitlinien und FAQ veröffentlicht. EU-Kommission: Transparenzpflichten nach Artikel 50
Mit dem KI-MIG besitzt Deutschland inzwischen zugleich eine konkretere Aufsichtsstruktur, in der die Bundesnetzagentur eine zentrale Rolle übernimmt. KI-MIG – vollständiger Gesetzestext
Und Artikel 4 erinnert bereits seit Februar 2025 daran, dass Technik allein keine kompetente Nutzung erzeugt. Bundesnetzagentur: KI-Kompetenz
Vielleicht ist deshalb die wichtigste Frage dieses Sommers gar nicht:
„Wo müssen wir KI kennzeichnen?“
Sondern:
„Wissen wir eigentlich, wo KI bei uns bereits mitarbeitet – und wer hinschaut, bevor ihr Ergebnis unser Haus verlässt?“
Das ist Büroorganisation 2026.
Merksatz: KI darf Arbeit übernehmen. Verantwortung sollten Sie nicht automatisch mitdelegieren.
Primärquellen für diesen Beitrag
Verordnung (EU) 2024/1689 – AI Act bei EUR-Lex
Europäische Kommission – Leitlinien zu den Transparenzpflichten nach Artikel 50
Europäische Kommission – Fragen und Antworten zu Artikel 50
Bundesnetzagentur – KI-Service Desk
Bundesnetzagentur – KI-Kompetenz nach Artikel 4
Bundesnetzagentur – Transparenzpflichten
§ 6 KI-MIG – Bundesnetzagentur als zentrale Anlaufstelle
Häufige Fragen zum AI Act im Büro
Gilt der AI Act erst seit dem 2. August 2026?
Nein. Die KI-Verordnung sieht einen gestaffelten Zeitplan vor. Bestimmungen zur KI-Kompetenz und bestimmte weitere Vorschriften gelten bereits seit 2025. Seit dem 2. August 2026 ist eine weitere zentrale Stufe der Verordnung anwendbar. Für einzelne Bereiche gelten spätere Termine.
Braucht jede ChatGPT-E-Mail jetzt einen KI-Hinweis?
Nein. Eine normale Geschäfts- oder interne E-Mail wird nicht allein deshalb nach Artikel 50 Absatz 4 kennzeichnungspflichtig, weil KI bei der Formulierung geholfen hat. Andere Anforderungen, beispielsweise zu Datenschutz oder Vertraulichkeit, können trotzdem relevant sein.
Kann eine Behörde einen KI-Text ohne Kennzeichnung veröffentlichen?
Unter bestimmten Voraussetzungen kann eine Ausnahme greifen, wenn eine fachkundige menschliche Prüfung oder redaktionelle Kontrolle stattgefunden hat und eine Person oder Organisation die redaktionelle Verantwortung übernimmt. Ob die Voraussetzungen im konkreten Fall erfüllt sind, muss anhand des jeweiligen Einsatzes geprüft werden.
Reicht es, einen KI-Text auf Rechtschreibung zu prüfen?
Für die in den Leitlinien beschriebene fachkundige menschliche Prüfung reicht eine bloße Rechtschreib- oder Grammatikprüfung nicht aus. Entscheidend ist eine echte inhaltliche und fachliche Kontrolle.
Benötigen Beschäftigte ein offizielles KI-Zertifikat?
Die Bundesnetzagentur weist darauf hin, dass Artikel 4 keine standardisierte Schulung und keine allgemeine Zertifizierungspflicht vorgibt. Die erforderliche KI-Kompetenz richtet sich vielmehr nach Tätigkeit, Wissen, System und Einsatzkontext.
Weiterführende Beiträge
KI im Büro 2026: Warum neue Funktionen jetzt neue Kontrollfragen stellen
Warum KI im Büro nicht an Datenschutz scheitert – sondern an schlechter Vorbereitung
Ein Prompt zu viel? Warum KI im Büro jetzt Verantwortung bedeutet
Europäische KI-Lösungen fürs Büro: Worauf Sekretärinnen achten sollten
Viele der hier behandelten Inhalte entstehen aus dem Austausch mit Teilnehmenden der Fachtagungsreihe des Verbands der Sekretärinnen. Sie spiegeln Fragen, Erfahrungen und Entwicklungen aus dem Büroalltag rund um das Thema Ki & ChatGPT im Sekretariat wider.
