Was muss unsere Finanzabteilung seit August 2026 nach der KI-Verordnung tun?

Was gilt seit wann?

Die Verordnung (EU) 2024/1689 trat am 1. August 2024 in Kraft und wird stufenweise anwendbar. Für die Finanzabteilung zählen vier Daten, davon zwei bereits vergangen. Die Tabelle nennt sie mit der jeweiligen Pflicht. Der Digital Omnibus, vom Rat am 30. Juni 2026 angenommen, hat die Hochrisiko-Pflichten verschoben, die übrigen Fristen bleiben.

Zwei Daten liegen also hinter Ihnen. Die Pflicht zur KI-Kompetenz gilt seit Februar 2025, die Sanktionen seit August 2026. Wer heute eine Bestandsaufnahme beginnt, holt eine bestehende Pflicht nach. Das ist ein Grund, den Plan diese Woche zu machen. Die fünf Schritte unten reichen für Unternehmen mit 4 bis 100 Mio. € Umsatz.

Welche Rolle hat die Finanzabteilung nach der Verordnung?

Die Verordnung unterscheidet Anbieter, die ein KI-System entwickeln oder unter eigenem Namen in Verkehr bringen, und Betreiber, die es unter eigener Verantwortung verwenden. Eine Finanzabteilung, die ein Chat-Werkzeug, eine Belegerkennung oder ein Forecast-Werkzeug einsetzt, ist Betreiber. Die Pflichten des Betreibers hängen von der Risikoklasse des Systems ab.

Für die meisten Finanzabteilungen im Mittelstand bleibt es damit bei drei Pflichten: KI-Kompetenz, Transparenz, Datenschutz. Die Hochrisiko-Regeln greifen erst, wenn Sie Entscheidungen über einzelne Menschen einem System überlassen. Wer Firmenkunden bewertet, fällt meist nicht darunter; wer Privatkunden scort, sollte das vom Fachanwalt einordnen lassen.

Was muss die Finanzabteilung konkret tun?

Vier Pflichten, die jede Finanzabteilung erfüllen kann, ohne einen Juristen im Haus zu haben. Die erste ist die Voraussetzung der anderen drei: Wer nicht weiß, welche Werkzeuge im Einsatz sind, kann weder schulen noch kennzeichnen noch dokumentieren. In den meisten Unternehmen ist die Liste länger als die Geschäftsführung annimmt.

Bestandsaufnahme: alle KI-Werkzeuge, die offiziell und inoffiziell genutzt werden, mit Nutzer, Zweck, Datenart und Anbieter. Das inoffizielle Werkzeug ist das entscheidende, weil dort Unternehmenszahlen in öffentliche Chat-Fenster wandern. Die Liste ist zugleich die Grundlage für den Datenschutzbeauftragten und für die Verfahrensdokumentation nach GoBD.

KI-Kompetenz nach Art. 4: Die Nutzer müssen verstehen, was das Werkzeug kann, was es nicht kann und welche Daten hineindürfen. Eine Schulung mit Teilnehmern, Datum und Inhalt, dokumentiert und wiederholt bei neuen Werkzeugen. Die Verordnung schreibt keine Form vor; sie verlangt, dass Sie den Nachweis führen können, wenn jemand fragt.

Transparenz nach Art. 50: Wo KI-erzeugte Texte, Bilder oder Chat-Antworten nach außen gehen, muss das erkennbar sein. Ob ein Investorenbericht, der mit einem Werkzeug vorbereitet wurde, darunterfällt, ist keine Frage, die diese Seite beantwortet; das klärt der Fachanwalt für Ihren Fall. Interne Auswertungen sind meist nicht betroffen.

Datenschutz und Dokumentation: Die DSGVO gilt neben der Verordnung, mit Auftragsverarbeitungsvertrag, Hosting in der EU und ausgeschlossener Trainingsnutzung. Und jede automatisierte Zahl bleibt nachvollziehbar, weil GoBD und Abschlussprüfer das verlangen, mit oder ohne KI-Verordnung. Beides steht unter Wo bleiben Ihre Zahlen?.

Was passiert, wenn man nichts tut?

Art. 99 sieht drei Stufen vor: bis 35 Mio. € oder 7 % des weltweiten Jahresumsatzes für verbotene Praktiken, bis 15 Mio. € oder 3 % für Verstöße gegen die übrigen Pflichten, darunter die Transparenzpflichten, und bis 7,5 Mio. € oder 1 % für falsche Angaben gegenüber Behörden. Für kleine und mittlere Unternehmen gilt der niedrigere Betrag.

Das größere Risiko für eine Finanzabteilung im Mittelstand liegt vor dem Bußgeld: Unternehmenszahlen in einem öffentlichen Chat-Werkzeug, ohne Vertrag, ohne Kontrolle, wo sie landen. Das ist ein Datenschutzverstoß und ein Vertraulichkeitsproblem gegenüber Bank, Investoren und Kunden, lange bevor eine Aufsichtsbehörde fragt. Die Bestandsaufnahme beendet das.

Die Aufsicht in Deutschland ist noch im Gesetzgebungsverfahren. Der Regierungsentwurf vom Februar 2026 sieht das Bundesamt für Sicherheit in der Informationstechnik als Marktüberwachungsbehörde vor; das parlamentarische Verfahren war zum Stand dieser Seite nicht abgeschlossen. Ob und wann Behörden im Mittelstand prüfen, ist offen. Die Pflichten gelten unabhängig davon.

Wie fängt die Finanzabteilung an?

Fünf Schritte, die in 2 bis 3 Tage passen und in der Bestandsaufnahme der KI-Automation im Finanzbereich enthalten sind. Sie gelten unabhängig davon, ob Sie danach etwas automatisieren wollen. Die Reihenfolge ist die Reihenfolge der Abhängigkeit: ohne Liste keine Regel, ohne Regel keine Schulung.

1. Werkzeugliste anlegen: jedes Werkzeug mit Nutzer, Zweck, Datenart, Anbieter und Vertrag. Ohne Liste gibt es keine Schulung, keine Kennzeichnung und keinen Nachweis.
2. Regel setzen: keine Unternehmensdaten in öffentlichen Chat-Werkzeugen; eine Unternehmensplattform mit Auftragsverarbeitungsvertrag, EU-Hosting und ausgeschlossener Trainingsnutzung. Die Regel gilt ab dem Tag, an dem sie geschrieben ist.
3. Schulung nach Art. 4 durchführen und dokumentieren: Teilnehmer, Datum, Inhalt, Wiederholung bei neuen Werkzeugen. Zwei Stunden mit den echten Werkzeugen des Hauses sind mehr wert als ein Tag Grundlagen.
4. Kennzeichnung prüfen: Welche KI-erzeugten Inhalte gehen nach außen, und wie sind sie gekennzeichnet? Beim Werkzeuganbieter nachfragen, ob die maschinenlesbare Kennzeichnung nach Art. 50 Abs. 2 bis zum 2. Dezember 2026 vorliegt.
5. Wiedervorlage setzen: 2. Dezember 2026 für die Kennzeichnung, 2. Dezember 2027 für den Fall, dass ein Hochrisiko-System dazukommt, und jede neue Werkzeugeinführung als Anlass, die Liste zu ergänzen.

Kein Rechtsrat

Diese Seite ist kein Rechtsrat. Sie fasst zusammen, was ein Finanzverantwortlicher wissen muss, um die richtigen Fragen zu stellen und die ersten Schritte zu gehen. Ob ein System Hochrisiko ist und welche Inhalte kennzeichnungspflichtig sind, klärt der Fachanwalt. Der Rechtsstand dieser Seite ist das Datum oben; Änderungen der Verordnung oder des deutschen Durchführungsgesetzes werden nachgetragen.