Lagebericht-KI und EU AI Act: Einordnung, Kompetenz und Transparenz

Rechtsstand und Ausgangspunkt der Prüfung

Bearbeitungsstand dieser Seite ist der 22. Oktober 2026. Grundlage ist die auf EUR-Lex ausgewiesene konsolidierte Fassung der KI-Verordnung vom 27. Juli 2026. Konsolidierte Texte erleichtern das Lesen; rechtsverbindlich bleiben die veröffentlichten Rechtsakte. Für die Umsetzung im eigenen Unternehmen sollten Sie die jeweils aktuelle amtliche Grundlage und den konkreten Geltungsbereich prüfen.

Die praktische Ausgangsfrage lautet: Was soll die Anwendung tatsächlich tun? Ein System, das bestätigte Angaben in einen Lageberichtsentwurf überführt, hat eine andere Zweckbestimmung als eine Anwendung, die Entscheidungen über natürliche Personen vorbereitet. Beschreiben Sie deshalb Eingaben, Ausgaben, Nutzerkreis und nachfolgende Entscheidungen. Ein Produktname oder die Zuordnung zur Finanzabteilung reicht für die rechtliche Einordnung nicht aus.

Unterscheiden Sie außerdem zwischen dem Sprachmodell, einer darauf aufgebauten Software und dem betrieblichen Einsatz dieser Software. Die Verordnung regelt unterschiedliche Akteure und Sachverhalte. Pflichten eines Modellanbieters lassen sich nicht ohne Prüfung vollständig auf das Unternehmen übertragen, das einen Textentwurf erstellt. Umgekehrt beseitigt die Nutzung einer fremden Software nicht sämtliche eigenen Aufgaben.

Rollen und Zweckbestimmung schriftlich festhalten

Die Begriffe Anbieter und Betreiber haben in der KI-Verordnung eigene Bedeutungen. Für eine erste betriebliche Bestandsaufnahme sollten Sie festhalten, wer die Software bereitstellt, unter wessen Verantwortung sie verwendet wird und ob Sie selbst wesentliche Anpassungen oder weitere Anwendungen daraus entwickeln. Bei komplexen Integrationen kann diese Rollenprüfung eine vertiefte rechtliche Bewertung benötigen.

Beschreiben Sie den freigegebenen Zweck eng genug, dass spätere Erweiterungen erkennbar werden. Beispielsweise kann die Anwendung zunächst ausschließlich bestätigte Berichtsinformationen sprachlich aufbereiten. Wenn später zusätzliche Funktionen zur Beurteilung von Personen oder zur Entscheidungsvorbereitung hinzukommen, ist die ursprüngliche Einordnung nicht automatisch weiter tragfähig.

Eine solche Beschreibung ist auch organisatorisch nützlich. Sie hilft der Finanzleitung zu erklären, welche Aufgaben automatisiert werden dürfen und welche Entscheidungen bei den Fachverantwortlichen bleiben. Sie sollte den tatsächlichen Ablauf wiedergeben, einschließlich menschlicher Überprüfung. Eine nur auf dem Papier vorgesehene Kontrolle beschreibt keine verlässliche betriebliche Praxis.

Hochrisiko nicht allein aus dem Finanzbezug ableiten

Art. 6 enthält die Einstufungsvorschriften für Hochrisiko-KI-Systeme und verweist auf bestimmte Produkt- und Anwendungsbereiche in den Anhängen. Anhang III nennt unter anderem bestimmte Anwendungen zur Kreditwürdigkeitsprüfung natürlicher Personen. Daraus folgt keine allgemeine Kategorie, wonach jede KI in einer Finanzabteilung allein wegen ihrer organisatorischen Zuordnung hochriskant wäre.

Für eine ausschließlich redaktionelle Lageberichtsanwendung ist daher zunächst zu prüfen, ob ihre tatsächliche Zweckbestimmung einen der einschlägigen Tatbestände erfüllt. Die Einschätzung, dass bloße Textvorbereitung nicht allein durch den Finanzbezug erfasst wird, ist eine anwendungsbezogene Schlussfolgerung aus dieser Systematik und kein amtliches Zertifikat für jede Lagebericht-Software.

Vermeiden Sie auch die entgegengesetzte Pauschalbehauptung, eine Anwendung mit menschlicher Schlussfreigabe könne niemals hochriskant sein. Die Einordnung hängt von den gesetzlichen Voraussetzungen ab, nicht allein von einem Freigabeknopf. Wenn eine Software mehrere Aufgaben erfüllt, müssen deren Zwecke und Zusammenhänge in die Bewertung einbezogen werden.

KI-Kompetenz nach Art. 4 auf die Arbeit beziehen

Art. 4 ist in der hier herangezogenen konsolidierten Fassung als Verpflichtung formuliert, Maßnahmen zur Unterstützung der Entwicklung von KI-Kompetenz der mit Betrieb und Nutzung befassten Personen zu ergreifen. Kenntnisse, Erfahrung, Aus- und Fortbildung sowie Einsatzkontext und betroffene Personen sind dabei zu berücksichtigen. Der Wortlaut stellt ausdrücklich klar, dass kein bestimmtes Kompetenzniveau für jede Person garantiert werden muss.

Für die Lageberichtserstellung lässt sich daraus als praktische Umsetzung eine aufgabenbezogene Vorbereitung entwickeln. Wer Daten bereitstellt, sollte die zulässigen Datenarten und die Bedeutung des Zahlenstands verstehen. Wer Texte prüft, muss unbelegte Ursachen, geänderte Prognoseintensitäten und Erkennungslücken erkennen können. Wer freigibt, braucht Klarheit über die Aussagekraft der Kontrollen und die eigene Entscheidung.

Diese Beispiele sind Organisationsvorschläge, keine im Gesetz abschließend vorgeschriebene Schulungsform. Die Seite behauptet weder eine allgemeine Pflicht zu einem bestimmten Zertifikat noch eine feste Zahl von Unterrichtsstunden. Wählen Sie Maßnahmen, die zu den Aufgaben passen, und halten Sie nachvollziehbar fest, was vermittelt und wie die Anwendung begleitet wurde.

Transparenz nach Art. 50 differenziert betrachten

Art. 50 enthält unterschiedliche Transparenzvorgaben für bestimmte KI-Systeme und Verwendungen. Die technische Kennzeichnungspflicht für Anbieter erzeugender Systeme ist von Offenlegungspflichten bei der Veröffentlichung bestimmter Inhalte zu unterscheiden. Eine Aussage darüber, ob ein Lagebericht einen sichtbaren KI-Hinweis benötigt, kann deshalb nicht allein aus dem Umstand abgeleitet werden, dass an seiner Formulierung ein Sprachmodell beteiligt war.

Für Betreiber behandelt Art. 50 Abs. 4 unter anderem die Veröffentlichung künstlich erzeugter oder manipulierter Texte zur öffentlichen Information über Angelegenheiten von öffentlichem Interesse. Der Wortlaut sieht hierfür eine Ausnahme bei menschlicher Überprüfung oder redaktioneller Kontrolle und übernommener redaktioneller Verantwortung durch eine natürliche oder juristische Person vor. Beide Bestandteile sind für diese Ausnahme zu beachten.

Ob ein konkreter Lagebericht unter diesen Veröffentlichungstatbestand fällt und ob die Voraussetzungen einer Ausnahme tatsächlich erfüllt sind, ist am Einzelfall zu beurteilen. Ein bloßes Anklicken von freigegeben sollte nicht als Ersatz für eine tatsächlich durchgeführte redaktionelle Prüfung verstanden werden. Andere gesetzliche oder vertragliche Informationspflichten müssen daneben eigenständig betrachtet werden.

Menschliche Redaktion im Abschlussprozess nachvollziehbar machen

Eine praktische Dokumentation kann zeigen, wer den Entwurf gegen die Finanzdaten gelesen, welche Aussagen korrigiert und welche offenen Fragen geklärt hat. Sie sollte den tatsächlichen Ablauf wiedergeben. Wenn die erste und letzte Fassung identisch sind, ist das weder automatisch ein Beweis ausreichender Prüfung noch automatisch ein Gegenbeweis; entscheidend ist die tatsächlich durchgeführte Arbeit.

Verknüpfen Sie die Kontrolle mit den fachlichen Anforderungen des Berichts. Ein Rechtschreibdurchgang ist etwas anderes als die Prüfung von Zahlen, Prognoseannahmen und Gesamtaussage. Bestimmen Sie deshalb im internen Verfahren, welche Funktion welche Inhalte beurteilt. Die verantwortliche Veröffentlichung setzt voraus, dass die Beteiligten den Text als eigene Berichtsaussage übernehmen können.

Behalten Sie wesentliche Änderungen zwischen Entwurf und Abschlussfassung nachvollziehbar. Bei einer Planungsänderung muss erkennbar sein, ob der Ausblick erneut beurteilt wurde. Diese Dokumentation kann mehrere Zwecke unterstützen: interne Qualitätssicherung, Nachvollziehbarkeit des KI-Einsatzes und Vorbereitung auf fachliche Rückfragen. Die konkrete rechtliche Bewertung ersetzt sie nicht.

KI-Verordnung, HGB und Datenschutz zusammen organisieren

Die KI-Verordnung hebt die Anforderungen an den Lagebericht nicht auf. Auch ein gut organisierter KI-Einsatz muss zu einem Bericht führen, der den handelsrechtlichen Maßstab erfüllt. Die Verantwortung für die Aufstellung und die fachliche Abstimmung bleiben deshalb eigenständige Themen. Eine rechtliche Einordnung der Software beantwortet nicht, ob ihre konkrete Prognoseaussage ausreichend begründet ist.

Ebenso bleibt die Zulässigkeit der Datenverarbeitung gesondert zu prüfen. Personenbezogene Daten, Geschäftsgeheimnisse und gegebenenfalls Insiderinformationen werfen unterschiedliche Fragen auf. Eine Anwendung, die nicht als hochriskant eingestuft wird, darf deshalb nicht automatisch sämtliche internen Informationen erhalten. Nutzen Sie für die Datenfreigabe einen eigenen, mit den zuständigen Stellen abgestimmten Ablauf.

Bei späteren Veränderungen sollten Sie die drei Betrachtungen gemeinsam aktualisieren: Welche Funktion wurde ergänzt, welche Daten werden neu verwendet und welche Berichtsaussage entsteht daraus? Eine zentrale Zuständigkeit für diese Änderungen verhindert, dass Technik, Redaktion und rechtliche Bewertung auseinanderlaufen. Übergangsfristen und Spezialpflichten werden hier bewusst nicht pauschal auf sämtliche Berichtsanwendungen übertragen.

Welche Belege lagebericht.io für Ihre Bewertung liefert

• Sie behalten die fachliche Beurteilung von Geschäftslage, Chancen, Risiken und Prognose.
• Kommentare, Änderungsvorschläge und Freigaben mit Name und Zeitpunkt unterstützen einen nachvollziehbaren redaktionellen Ablauf.
• Die öffentliche Datenschutzerklärung und der Auftragsverarbeitervertrag sind gesonderte Grundlagen für Ihre Prüfung der Datenverarbeitung.

Die Methodik-Seite von lagebericht.io beschreibt die Arbeitsteilung zwischen gerechneten Kennzahlen, Sprachmodell und menschlicher Freigabe. Die Software erstellt abschnittsweise Entwürfe aus Ihren Angaben, kennzeichnet offene erforderliche Informationen und liefert Prüfhinweise. Daraus folgt kein Rechtszertifikat nach der KI-Verordnung; die Beschreibung hilft Ihnen, den konkreten Einsatz im Unternehmen nachvollziehbar zu bewerten.

Häufige Fragen

Ist Lagebericht-KI automatisch ein Hochrisikosystem?

Eine solche pauschale Einordnung folgt nicht allein aus dem Finanzbezug. Prüfen Sie die konkrete Zweckbestimmung anhand von Art. 6 und den einschlägigen Anhängen.

Gilt Art. 4 nur für besonders riskante Anwendungen?

Der hier beschriebene Kompetenzauftrag ist nicht allein auf Hochrisikosysteme beschränkt. Die Maßnahmen richten sich nach den beteiligten Personen und dem jeweiligen Einsatzkontext.

Verlangt Art. 4 ein bestimmtes Schulungszertifikat?

Der herangezogene Wortlaut nennt kein einheitliches Pflichtzertifikat für alle Beschäftigten. Praktisch sinnvoll sind aufgabengerechte Maßnahmen, deren Durchführung und Nutzen nachvollziehbar bleiben.

Muss jeder mit KI formulierte Lagebericht gekennzeichnet werden?

Art. 50 unterscheidet verschiedene Tatbestände und Ausnahmen. Für den konkreten Bericht sind Veröffentlichungszweck, menschliche Kontrolle und redaktionelle Verantwortung zu beurteilen.

Reicht eine Freigabeschaltfläche für menschliche Kontrolle?

Die technische Dokumentation einer Entscheidung beschreibt zunächst einen Vorgang. Ob eine ausreichende tatsächliche Überprüfung vorlag, hängt von der inhaltlichen Arbeit dahinter ab.

Ersetzt diese Einordnung die Datenschutzprüfung?

Nein. Die Zulässigkeit konkreter Eingaben und Übermittlungen muss zusätzlich beurteilt werden. Auch handelsrechtliche Berichtspflichten bestehen unabhängig von der KI-Einstufung fort.

Quellen und Rechtsstand

Primärquellen für die zentralen Aussagen dieser Seite. Öffnen Sie im Zweifel immer die aktuelle Fassung.

• EUR-Lex: KI-Verordnung, konsolidierte Fassung — Fassung vom 27.07.2026; insbesondere Art. 4, 6, 50 und Anhang III
• EUR-Lex: ursprünglicher Rechtsakt — Verordnung (EU) 2024/1689; für geltenden Wortlaut Änderungen berücksichtigen
• § 289 HGB — Unabhängig fortbestehender Maßstab für den Lagebericht
• DSGVO — Gesonderte Anforderungen an personenbezogene Daten

Den KI-Einsatz anhand des tatsächlichen Ablaufs beurteilen

Informieren Sie sich über Entwurf, Prüfhinweise und Freigabe in lagebericht.io und beziehen Sie Ihre zuständigen Stellen ein.