Recht auf Erläuterung: Warum Artikel 86 der KI-Verordnung praktisch erst ab Dezember 2027 greift

Jede Zusammenfassung des Digital Omnibus aus dem Sommer 2026 trägt dieselbe Überschrift: Die Hochrisiko-Pflichten sind auf Dezember 2027 verschoben. Für Anhang III stimmt das. Kaum eine erwähnt, dass die Verschiebung als Aufzählung geschrieben wurde, dass diese Aufzählung einzelne Kapitel benennt und dass das Kapitel mit dem Auskunftsrecht der Betroffenen nicht darunter steht. Artikel 86 gilt deshalb nach unserer Lesart formal seit dem 2. August 2026. Praktisch greift er aber erst ab Dezember 2027: Nach Artikel 111 Absatz 2 gilt die Verordnung für Betreiber von Hochrisiko-Systemen, die vor diesem Datum in Verkehr gebracht oder in Betrieb genommen wurden, erst nach einer erheblichen Änderung ihrer Konzeption. Vorbereiten lohnt sich trotzdem jetzt, weil ab dann neue und erheblich geänderte Systeme darunter fallen.

Was die Vorschrift tatsächlich sagt

Artikel 86 Absatz 1 gibt Personen, die von einer Entscheidung betroffen sind, die der Betreiber auf der Grundlage der Ausgaben eines in Anhang III aufgeführten Hochrisiko-KI-Systems getroffen hat, ausgenommen die Systeme nach Nummer 2 dieses Anhangs, und die rechtliche Auswirkungen hat oder sie in ähnlicher Art erheblich in einer Weise beeinträchtigt, die ihrer Ansicht nach ihre Gesundheit, ihre Sicherheit oder ihre Grundrechte beeinträchtigt, das Recht, vom Betreiber eine klare und aussagekräftige Erläuterung zur Rolle des KI-Systems im Entscheidungsprozess und zu den wichtigsten Elementen der getroffenen Entscheidung zu erhalten.

An diesem Satz sind zwei Eigenschaften wichtiger als seine Länge. Die Pflicht trifft den Betreiber, also das Unternehmen, das das System einsetzt, nicht den Anbieter, der es gebaut hat. Und ausgelöst wird sie durch eine Entscheidung über eine Person, nicht durch den Einsatz eines Systems. Es ist nichts zu melden, zu registrieren oder zu zertifizieren. Es muss jemand fragen.

Warum die Verschiebung sie formal nicht erfasst

Die Verordnung (EU) 2026/1744, seit dem 27. Juli 2026 in Kraft, hat nicht die KI-Verordnung verschoben. Sie hat benannte Teile davon verschoben. Der geänderte Artikel 113 Absatz 3 geht die Verordnung Kapitel für Kapitel durch, und der Teil mit den neuen Daten nennt Kapitel III Abschnitte 1, 2 und 3: die Einstufungsregeln, die Anforderungen an Hochrisiko-Systeme und die Pflichten von Anbietern, Betreibern und weiteren Beteiligten.

Artikel 86 steht nicht in Kapitel III. Er steht in Kapitel IX Abschnitt 4 unter der Überschrift Rechtsbehelfe, neben Artikel 85, dem Recht auf Beschwerde bei einer Marktüberwachungsbehörde. Weder das Kapitel noch die Artikel tauchen in der Ausnahmeliste auf, womit beide unter die Eingangsregel des Artikels 113 fallen: Die Verordnung gilt ab dem 2. August 2026.

Das ist allerdings nur die halbe Antwort. Artikel 111 Absatz 2 in der Fassung der Verordnung (EU) 2026/1744 bestimmt, dass die Verordnung für Akteure von Hochrisiko-KI-Systemen, die vor dem Beginn der Anwendung von Kapitel III in Verkehr gebracht oder in Betrieb genommen wurden, nur dann gilt, wenn diese Systeme danach in ihrer Konzeption erheblich verändert wurden. Akteure sind nach Artikel 3 Nummer 8 auch Betreiber, also genau die Adressaten von Artikel 86. Für Systeme nach Anhang III beginnt Kapitel III am 2. Dezember 2027, und nach Erwägungsgrund 39 der Änderungsverordnung zählt dabei, wann die erste Einheit desselben Typs und Modells in Verkehr kam. Vor dem 2. Dezember 2027 verpflichtet Artikel 86 deshalb praktisch niemanden. Danach erfasst er Systeme, die ab diesem Datum neu in Verkehr kommen, und Bestandssysteme erst nach einer erheblichen Änderung ihrer Konzeption. Für Hochrisiko-Systeme, die Behörden verwenden sollen, verlangt derselbe Absatz die Erfüllung in jedem Fall bis zum 2. August 2030. Recht und Pflichten kommen damit zur selben Zeit, nicht nacheinander.

Das Wort, das in Artikel 86 fehlt

Das ist der Punkt mit der größten praktischen Wirkung, und er hängt an einem einzigen Wort. Artikel 22 Absatz 1 DSGVO gibt einer Person das Recht, nicht einer ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidung unterworfen zu werden. Dieses Wort hat in den vergangenen acht Jahren erhebliche Arbeit geleistet. Es ist der Grund, warum so viele Organisationen einen Prüfschritt in automatisierte Abläufe eingebaut und daraus zutreffend geschlossen haben, dass die Vorschrift für sie nicht mehr gilt.

In Artikel 86 kommt es nicht vor. Der Text verlangt nur, dass der Betreiber die Entscheidung auf der Grundlage der Ausgaben des Systems getroffen hat. Wer eine sortierte Bewerberliste liest und daraus auswählt, hat eine Entscheidung auf der Grundlage einer Ausgabe getroffen. Der Mensch im Ablauf hält den Fall aus Artikel 22 DSGVO heraus und führt ihn geradewegs in Artikel 86 hinein.

Artikel 86 Absatz 3 fügt beides dann zusammen, statt es zu verdoppeln: Die Vorschrift gilt nur insoweit, als das Recht nicht anderweitig im Unionsrecht festgelegt ist. Wo die Datenschutz-Grundverordnung das Recht bereits gewährt, gilt sie. Wo sie es nicht tut, weil ein Mensch beteiligt war, füllt Artikel 86 genau diesen Raum. Die beiden Vorschriften treffen sich exakt an der Bruchkante, entlang derer die meisten Compliance-Konzepte gebaut wurden.

Wen das im Mittelstand erreicht

Artikel 86 ist auf Systeme beschränkt, die in Anhang III aufgeführt sind, wobei Nummer 2 zur kritischen Infrastruktur ausgenommen ist. Die Nummern 6 bis 8 (Strafverfolgung, Migration, Asyl und Grenzkontrolle, Rechtspflege und demokratische Prozesse) und Nummer 5 Buchstabe a (staatliche Unterstützungsleistungen) werden ein gewöhnliches Unternehmen kaum berühren. Nummer 1 (Biometrie, etwa Emotionserkennung), Nummer 3 (allgemeine und berufliche Bildung) und Nummer 5 Buchstabe d (Notrufe und Triage) können auch private Betreiber treffen. Für ein gewöhnliches Unternehmen zählt vor allem Nummer 4.

Sie erfasst Systeme, die für die Einstellung oder Auswahl natürlicher Personen bestimmt sind, insbesondere für gezielte Stellenanzeigen, für die Analyse und Filterung von Bewerbungen und für die Bewertung von Bewerbern. Sie erfasst außerdem Systeme, die für Entscheidungen über Bedingungen von Arbeitsverhältnissen, über Beförderung oder Beendigung, für die Zuweisung von Aufgaben aufgrund individuellen Verhaltens oder persönlicher Merkmale und für die Überwachung und Bewertung von Leistung und Verhalten eingesetzt werden.

Das ist eine Beschreibung gewöhnlicher Personalsoftware, wie sie seit etwa 2023 verkauft wird. Ein Unternehmen mit achtzig Mitarbeitenden, das ein Bewerbermanagement betreibt, dessen Anbieter mit KI-gestützter Vorauswahl wirbt, ist Betreiber eines Anhang-III-Systems, ob es das im Haus so genannt hat oder nicht. Nummer 5 Buchstabe b, die Bewertung der Kreditwürdigkeit außer zur Betrugserkennung, ergänzt die Finanzdienstleistungsseite, Nummer 5 Buchstabe c die Risikobewertung und Preisbildung bei Lebens- und Krankenversicherungen.

Der realistische Anfragende ist hier die abgelehnte Bewerberin oder der abgelehnte Bewerber. Keine Behörde, kein Wettbewerber, sondern jemand, der aussortiert wurde, gelesen hat, dass es dieses Recht gibt, und schriftlich fragt, wie die Entscheidung zustande kam.

Was klar und aussagekräftig voraussichtlich bedeutet

Bis Mitte Oktober 2026 hatte kein Gericht Artikel 86 ausgelegt; wer den Maßstab also genau zu kennen behauptet, rät. Es gibt aber einen naheliegenden Vergleichsmaßstab. Am 27. Februar 2025 hat der Europäische Gerichtshof in der Rechtssache C-203/22, Dun & Bradstreet Austria, über das benachbarte Recht auf Auskunft über die involvierte Logik bei automatisierter Entscheidungsfindung entschieden.

Der Gerichtshof hat den Maßstab in beide Richtungen gesetzt. Der Verantwortliche muss die angewandten Verfahren und Grundsätze in präziser, transparenter, verständlicher und leicht zugänglicher Form darstellen, sodass die betroffene Person nachvollziehen kann, wie das Ergebnis zustande kam, und es anfechten kann. Die Offenlegung des Algorithmus selbst ist dagegen nicht verlangt, und Geschäftsgeheimnisse müssen nicht pauschal preisgegeben werden.

Auf einen Bewerbungsfall übertragen wird die Gestalt einer tragfähigen Antwort damit einigermaßen deutlich: welche Arten von Angaben das System bewertet hat, was es ausgegeben hat, wie stark diese Ausgabe gegenüber der menschlichen Einschätzung gewogen hat und was anders hätte sein müssen, damit das Ergebnis kippt. Nicht tragfähig ist die Antwort, die nach unserer Einschätzung heute die meisten Unternehmen geben würden, nämlich dass die Software einen Vorschlag gemacht habe und eine Kollegin darauf geschaut habe.

Was passiert, wenn Sie nicht erklären können

Aus der Verordnung selbst folgt kein Bußgeld. Artikel 99 Absatz 4 zählt die bußgeldbewehrten Verstöße auf und nennt die Artikel 16, 22, 23, 24, 25, 26, 31, 33, 34 und 50. Artikel 86 taucht dort nicht auf. Artikel 99 Absatz 1 in der Fassung der Verordnung (EU) 2026/1744 verpflichtet die Mitgliedstaaten aber, Sanktionen für jeglichen Verstoß gegen die Verordnung vorzusehen, zu denen auch Geldbußen gehören können. Ob für Artikel 86 nationale Sanktionen greifen, hängt deshalb vom nationalen Durchführungsrecht ab.

Die Folgen laufen über drei andere Wege. Artikel 85 erlaubt jeder natürlichen oder juristischen Person, die Gründe für die Annahme eines Verstoßes hat, eine Beschwerde bei der Marktüberwachungsbehörde, und verlangt, dass solche Beschwerden bei der Marktüberwachung berücksichtigt werden. Eine Beschwerde verläuft also nicht im Nichts, sie setzt das Unternehmen auf eine Liste. Zweitens bleibt der Zivilrechtsweg offen, und eine unerklärte Ablehnung im Bewerbungsverfahren liegt unangenehm nahe an den Beweislastregeln des Antidiskriminierungsrechts. Drittens, und mittelfristig am schwersten: Wer 2026 nicht antworten kann, kann es im Dezember 2027 auch nicht, wenn die Pflichten aus Kapitel III mit Bußgeldern bis 15 Millionen Euro oder 3 Prozent des weltweiten Umsatzes hinzukommen, für KMU jeweils auf den niedrigeren Betrag begrenzt.

Die Frage, die dieser Beitrag nicht entscheidet

Redlichkeit verlangt, den offenen Punkt zu benennen. Artikel 86 spricht von einem in Anhang III aufgeführten Hochrisiko-KI-System. Die Einstufungsregeln des Artikels 6 Absatz 2, die bestimmen, wann ein System als hochriskant gilt, stehen in Kapitel III Abschnitt 1 und gehören zu den auf Dezember 2027 verschobenen Vorschriften. Es gibt also ein vertretbares Gegenargument: Solange die Einstufungsmechanik nicht anwendbar ist, gebe es keine Anhang-III-Hochrisiko-Systeme im Rechtssinne, und Artikel 86 laufe leer.

Näher liegt aus unserer Sicht die andere Lesart. Artikel 86 verweist auf Systeme, die in Anhang III aufgeführt sind, und dieser Anhang ist Teil einer geltenden Verordnung. Er verweist nicht auf Systeme, die nach Artikel 6 Absatz 2 eingestuft wurden. Kapitel IX wurde aus einer Liste herausgelassen, die Punkt für Punkt geschrieben worden ist. Das ist aber eine Auslegungsfrage, die bis Mitte Oktober 2026 kein Gericht beantwortet hatte, und wer sich darauf einrichtet, sollte wissen, dass er das tut.

Praktisch fällt der Streit kaum ins Gewicht, denn Artikel 111 Absatz 2 führt nach beiden Lesarten zum selben Ergebnis: Für Systeme, die vor dem 2. Dezember 2027 in Verkehr gebracht wurden, bindet Artikel 86 den Betreiber erst nach einer erheblichen Änderung der Konzeption ab diesem Datum, und für neue Systeme gilt er zusammen mit Kapitel III. An der Vorbereitung ändert sich nichts: Alles Folgende muss vorhanden sein, sobald ein solches System im Einsatz ist.

Was jetzt zu tun ist

• Klären Sie, wo KI heute schon an Entscheidungen über Personen mitwirkt. Meist im Bewerbungsverfahren, gelegentlich in der Leistungsbeurteilung oder Schichtzuteilung. Die Frage ist nicht, was Sie als KI-System beschafft haben, sondern welches Ihrer vorhandenen Werkzeuge diese Funktion durch ein Update bekommen hat. So sind nach unserer Projekterfahrung die meisten ins Haus gekommen.
• Schreiben Sie pro System eine Seite, die ein Nichtfachmann versteht. Was geht hinein, was kommt heraus, wie fließt die Ausgabe in die Entscheidung ein. Wenn Sie es nicht schreiben können, weil der Anbieter es Ihnen nicht gesagt hat, ist auch das eine Antwort, die Sie besser jetzt haben als im Dezember 2027, wenn Sie sie verlangen dürfen.
• Legen Sie fest, wer antwortet und in welcher Frist. Artikel 86 nennt keine Frist, was kein Freibrief für unbeantwortete Post ist. Geben Sie es dorthin, wo schon Auskunftsersuchen nach der Datenschutz-Grundverordnung bearbeitet werden; der Ablauf besteht, und der Weg ist derselbe.
• Prüfen Sie, ob der menschliche Schritt echt ist. Wer eine Rangfolge bestätigt, ohne Zeit oder Informationen zu haben, um davon abzuweichen, erzeugt Dokumentation und keine Entscheidung. Dieser Unterschied zählt schon bei Artikel 22 DSGVO und wird bei Artikel 86 zählen, sobald jemand fragt, wie die wichtigsten Elemente der Entscheidung gewichtet waren.

Fazit

Das Bemerkenswerte an Artikel 86 ist nicht seine Schärfe, denn die Verordnung selbst knüpft an ihn weder ein Bußgeld noch eine Frist. Es ist der Abstand zwischen formaler Geltung und Wirkung. Formal gilt das Recht nach unserer Lesart seit dem 2. August 2026, praktisch greift es nach Artikel 111 Absatz 2 erst ab dem 2. Dezember 2027 und dann für neue oder erheblich geänderte Systeme. Die Zeit bis dahin ist lang genug, um die nötige Erklärbarkeit in Ruhe aufzubauen, und kurz genug, dass ein Unternehmen, das bis Dezember 2027 wartet, sie unter Druck aufbauen wird. Die Arbeit ist Dokumentation und keine Technik, was der Hauptgrund dafür ist, dass sie immer wieder verschoben wird. Wenn Sie wissen möchten, wo Ihre KI-gestützten Entscheidungen diesen Test nicht bestehen würden, ist genau das der Zweck eines Erstgesprächs, und das größere Bild steht in unserem Beitrag zur Kennzeichnungspflicht nach dem AI Act.

Häufige Fragen zum Recht auf Erläuterung