Recht auf Erläuterung: Warum Artikel 86 der KI-Verordnung seit dem 2. August gilt, obwohl Hochrisiko verschoben wurde

Jede Zusammenfassung des Digital Omnibus trägt in diesem Sommer dieselbe Überschrift: Die Hochrisiko-Pflichten sind auf Dezember 2027 verschoben. Das stimmt. Kaum eine erwähnt, dass die Verschiebung als Aufzählung geschrieben wurde, dass diese Aufzählung einzelne Kapitel benennt und dass das Kapitel mit dem Auskunftsrecht der Betroffenen nicht darunter steht. Artikel 86 gilt seit dem 2. August 2026. Die Pflichten, die ein Unternehmen in die Lage versetzen würden, darauf zu antworten, kommen sechzehn Monate später.

Was die Vorschrift tatsächlich sagt

Artikel 86 Absatz 1 gibt Personen, die von einer Entscheidung betroffen sind, die der Betreiber auf der Grundlage der Ausgaben eines in Anhang III aufgeführten Hochrisiko-KI-Systems getroffen hat, ausgenommen die Systeme nach Nummer 2 dieses Anhangs, und die rechtliche Auswirkungen hat oder sie in ähnlicher Art erheblich in einer Weise beeinträchtigt, die ihrer Ansicht nach ihre Gesundheit, ihre Sicherheit oder ihre Grundrechte beeinträchtigt, das Recht, vom Betreiber eine klare und aussagekräftige Erläuterung zur Rolle des KI-Systems im Entscheidungsprozess und zu den wichtigsten Elementen der getroffenen Entscheidung zu erhalten.

An diesem Satz sind zwei Eigenschaften wichtiger als seine Länge. Die Pflicht trifft den Betreiber, also das Unternehmen, das das System einsetzt, nicht den Anbieter, der es gebaut hat. Und ausgelöst wird sie durch eine Entscheidung über eine Person, nicht durch den Einsatz eines Systems. Es ist nichts zu melden, zu registrieren oder zu zertifizieren. Es muss jemand fragen.

Warum die Verschiebung sie nicht erfasst

Die Verordnung (EU) 2026/1744, seit dem 27. Juli 2026 in Kraft, hat nicht die KI-Verordnung verschoben. Sie hat benannte Teile davon verschoben. Der geänderte Artikel 113 Absatz 3 geht die Verordnung Kapitel für Kapitel durch, und der Teil mit den neuen Daten nennt Kapitel III Abschnitte 1, 2 und 3: die Einstufungsregeln, die Anforderungen an Hochrisiko-Systeme und die Pflichten von Anbietern, Betreibern und weiteren Beteiligten.

Artikel 86 steht nicht in Kapitel III. Er steht in Kapitel IX Abschnitt 4 unter der Überschrift Rechtsbehelfe, neben Artikel 85, dem Recht auf Beschwerde bei einer Marktüberwachungsbehörde. Weder das Kapitel noch die Artikel tauchen in der Ausnahmeliste auf, womit beide unter die Eingangsregel des Artikels 113 fallen: Die Verordnung gilt ab dem 2. August 2026.

Im Zusammenhang gelesen ergibt sich eine ungewöhnliche Reihenfolge: Der Rechtsbehelf kommt vor der Regelung, auf die er sich bezieht. Eine Person kann heute eine Erläuterung dazu verlangen, wie ein System zu einer Entscheidung beigetragen hat, während die Pflicht des Anbieters, eine Betriebsanleitung zu liefern, die für diese Erläuterung ausreicht, und die eigenen Betreiberpflichten noch über ein Jahr entfernt sind.

Das Wort, das in Artikel 86 fehlt

Das ist der Punkt mit der größten praktischen Wirkung, und er hängt an einem einzigen Wort. Artikel 22 Absatz 1 DSGVO gibt einer Person das Recht, nicht einer ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidung unterworfen zu werden. Dieses Wort hat in den vergangenen acht Jahren erhebliche Arbeit geleistet. Es ist der Grund, warum so viele Organisationen einen Prüfschritt in automatisierte Abläufe eingebaut und daraus zutreffend geschlossen haben, dass die Vorschrift für sie nicht mehr gilt.

In Artikel 86 kommt es nicht vor. Der Text verlangt nur, dass der Betreiber die Entscheidung auf der Grundlage der Ausgaben des Systems getroffen hat. Wer eine sortierte Bewerberliste liest und daraus auswählt, hat eine Entscheidung auf der Grundlage einer Ausgabe getroffen. Der Mensch im Ablauf hält den Fall aus Artikel 22 DSGVO heraus und führt ihn geradewegs in Artikel 86 hinein.

Artikel 86 Absatz 3 fügt beides dann zusammen, statt es zu verdoppeln: Die Vorschrift gilt nur insoweit, als das Recht nicht anderweitig im Unionsrecht festgelegt ist. Wo die Datenschutz-Grundverordnung das Recht bereits gewährt, gilt sie. Wo sie es nicht tut, weil ein Mensch beteiligt war, füllt Artikel 86 genau diesen Raum. Die beiden Vorschriften treffen sich exakt an der Bruchkante, entlang derer die meisten Compliance-Konzepte gebaut wurden.

Wen das im Mittelstand erreicht

Artikel 86 ist auf Systeme beschränkt, die in Anhang III aufgeführt sind, wobei Nummer 2 zur kritischen Infrastruktur ausgenommen ist. Sechs der verbleibenden sieben Nummern betreffen Behörden, Strafverfolgung, Migration und Justiz und werden ein gewöhnliches Unternehmen nie berühren. Nummer 4 tut es.

Sie erfasst Systeme, die für die Einstellung oder Auswahl natürlicher Personen bestimmt sind, insbesondere für gezielte Stellenanzeigen, für die Analyse und Filterung von Bewerbungen und für die Bewertung von Bewerbern. Sie erfasst außerdem Systeme, die für Entscheidungen über Bedingungen von Arbeitsverhältnissen, über Beförderung oder Beendigung, für die Zuweisung von Aufgaben aufgrund individuellen Verhaltens oder persönlicher Merkmale und für die Überwachung und Bewertung von Leistung und Verhalten eingesetzt werden.

Das ist eine Beschreibung gewöhnlicher Personalsoftware, wie sie seit etwa 2023 verkauft wird. Ein Unternehmen mit achtzig Mitarbeitenden, das ein Bewerbermanagement betreibt, dessen Anbieter mit KI-gestützter Vorauswahl wirbt, ist Betreiber eines Anhang-III-Systems, ob es das im Haus so genannt hat oder nicht. Nummer 5 Buchstabe b, die Bewertung der Kreditwürdigkeit außer zur Betrugserkennung, ergänzt die Finanzdienstleistungsseite, Nummer 5 Buchstabe c die Risikobewertung und Preisbildung bei Lebens- und Krankenversicherungen.

Der realistische Anfragende ist hier die abgelehnte Bewerberin oder der abgelehnte Bewerber. Keine Behörde, kein Wettbewerber, sondern jemand, der aussortiert wurde, gelesen hat, dass es dieses Recht gibt, und schriftlich fragt, wie die Entscheidung zustande kam.

Was klar und aussagekräftig voraussichtlich bedeutet

Kein Gericht hat Artikel 86 bisher ausgelegt, wer den Maßstab also genau zu kennen behauptet, rät. Es gibt aber einen naheliegenden Vergleichsmaßstab. Am 27. Februar 2025 hat der Europäische Gerichtshof in der Rechtssache C-203/22, Dun & Bradstreet Austria, über das benachbarte Recht auf Auskunft über die involvierte Logik bei automatisierter Entscheidungsfindung entschieden.

Der Gerichtshof hat den Maßstab in beide Richtungen gesetzt. Der Verantwortliche muss die angewandten Verfahren und Grundsätze in präziser, transparenter, verständlicher und leicht zugänglicher Form darstellen, sodass die betroffene Person nachvollziehen kann, wie das Ergebnis zustande kam, und es anfechten kann. Die Offenlegung des Algorithmus selbst ist dagegen nicht verlangt, und Geschäftsgeheimnisse müssen nicht pauschal preisgegeben werden.

Auf einen Bewerbungsfall übertragen wird die Gestalt einer tragfähigen Antwort damit einigermaßen deutlich: welche Arten von Angaben das System bewertet hat, was es ausgegeben hat, wie stark diese Ausgabe gegenüber der menschlichen Einschätzung gewogen hat und was anders hätte sein müssen, damit das Ergebnis kippt. Nicht tragfähig ist die Antwort, die heute die meisten Unternehmen geben würden, nämlich dass die Software einen Vorschlag gemacht habe und eine Kollegin darauf geschaut habe.

Was passiert, wenn Sie nicht erklären können

Unmittelbar kein Bußgeld. Artikel 99 Absatz 4 zählt die bußgeldbewehrten Verstöße auf und nennt die Artikel 16, 22, 23, 24, 25, 26, 31, 33, 34 und 50. Artikel 86 taucht dort nicht auf. Jede Darstellung dieser Vorschrift, die mit Strafen beginnt, hat die Sanktionsvorschrift nicht gelesen.

Die Folgen laufen über drei andere Wege. Artikel 85 erlaubt jeder natürlichen oder juristischen Person, die Gründe für die Annahme eines Verstoßes hat, eine Beschwerde bei der Marktüberwachungsbehörde, und verlangt, dass solche Beschwerden bei der Marktüberwachung berücksichtigt werden. Eine Beschwerde verläuft also nicht im Nichts, sie setzt das Unternehmen auf eine Liste. Zweitens bleibt der Zivilrechtsweg offen, und eine unerklärte Ablehnung im Bewerbungsverfahren liegt unangenehm nahe an den Beweislastregeln des Antidiskriminierungsrechts. Drittens, und mittelfristig am schwersten: Wer 2026 nicht antworten kann, kann es im Dezember 2027 auch nicht, wenn die Pflichten aus Kapitel III mit Bußgeldern bis 15 Millionen Euro oder 3 Prozent des weltweiten Umsatzes hinzukommen, für KMU jeweils auf den niedrigeren Betrag begrenzt.

Die Frage, die dieser Beitrag nicht entscheidet

Redlichkeit verlangt, den offenen Punkt zu benennen. Artikel 86 spricht von einem in Anhang III aufgeführten Hochrisiko-KI-System. Die Einstufungsregeln des Artikels 6 Absatz 2, die bestimmen, wann ein System als hochriskant gilt, stehen in Kapitel III Abschnitt 1 und gehören zu den auf Dezember 2027 verschobenen Vorschriften. Es gibt also ein vertretbares Gegenargument: Solange die Einstufungsmechanik nicht anwendbar ist, gebe es keine Anhang-III-Hochrisiko-Systeme im Rechtssinne, und Artikel 86 laufe leer.

Näher liegt aus unserer Sicht die andere Lesart. Artikel 86 verweist auf Systeme, die in Anhang III aufgeführt sind, und dieser Anhang ist Teil einer geltenden Verordnung. Er verweist nicht auf Systeme, die nach Artikel 6 Absatz 2 eingestuft wurden. Kapitel IX wurde aus einer Liste herausgelassen, die Punkt für Punkt geschrieben worden ist. Das ist aber eine Auslegungsfrage, die noch kein Gericht beantwortet hat, und wer sich darauf einrichtet, sollte wissen, dass er das tut.

Praktisch fällt der Streit weniger ins Gewicht, als es aussieht. Trifft die enge Lesart zu, beginnt die Pflicht im Dezember 2027 statt im August 2026, und alles Folgende muss trotzdem vorhanden sein. An der Vorbereitung ändert sich nichts, nur an dem Datum, ab dem sie überfällig ist.

Was jetzt zu tun ist

• Klären Sie, wo KI heute schon an Entscheidungen über Personen mitwirkt. Meist im Bewerbungsverfahren, gelegentlich in der Leistungsbeurteilung oder Schichtzuteilung. Die Frage ist nicht, was Sie als KI-System beschafft haben, sondern welches Ihrer vorhandenen Werkzeuge diese Funktion durch ein Update bekommen hat. So sind die meisten ins Haus gekommen.
• Schreiben Sie pro System eine Seite, die ein Nichtfachmann versteht. Was geht hinein, was kommt heraus, wie fließt die Ausgabe in die Entscheidung ein. Wenn Sie es nicht schreiben können, weil der Anbieter es Ihnen nicht gesagt hat, ist auch das eine Antwort, die Sie besser jetzt haben als im Dezember 2027, wenn Sie sie verlangen dürfen.
• Legen Sie fest, wer antwortet und in welcher Frist. Artikel 86 nennt keine Frist, was kein Freibrief für unbeantwortete Post ist. Geben Sie es dorthin, wo schon Auskunftsersuchen nach der Datenschutz-Grundverordnung bearbeitet werden; der Ablauf besteht, und der Weg ist derselbe.
• Prüfen Sie, ob der menschliche Schritt echt ist. Wer eine Rangfolge bestätigt, ohne Zeit oder Informationen zu haben, um davon abzuweichen, erzeugt Dokumentation und keine Entscheidung. Dieser Unterschied zählt schon bei Artikel 22 DSGVO und wird bei Artikel 86 zählen, sobald jemand fragt, wie die wichtigsten Elemente der Entscheidung gewichtet waren.

Fazit

Das Bemerkenswerte an Artikel 86 ist nicht seine Schärfe, denn er kennt weder Bußgeld noch Frist. Es ist der Zeitpunkt. Ein Gesetzgeber, der die Pflichten der Unternehmen verschiebt und die Rechte der Einzelnen in Kraft lässt, erzeugt ein Fenster, in dem jemand eine Frage stellen kann, für die der Adressat noch nicht ausgerüstet ist. Sechzehn Monate sind lang genug, um diese Lücke in Ruhe zu schließen, und kurz genug, dass ein Unternehmen, das bis Dezember 2027 wartet, sie unter Druck schließen wird. Die Arbeit ist Dokumentation und keine Technik, was der Hauptgrund dafür ist, dass sie immer wieder verschoben wird. Wenn Sie wissen möchten, wo Ihre KI-gestützten Entscheidungen diesen Test nicht bestehen würden, ist genau das der Zweck eines Erstgesprächs, und das größere Bild steht in unserem Beitrag zur Kennzeichnungspflicht nach dem AI Act.

Häufige Fragen zum Recht auf Erläuterung