EU AI Act ab 02.08.2026: Was für Wohnheim-Software gilt

Stichtag 02.08.2026 — was passiert?

Der EU AI Act (Verordnung (EU) 2024/1689) ist am 1. August 2024 in Kraft getreten. Am 2. August 2026 werden die Transparenzpflichten nach Art. 50 wirksam: KI-Systeme, die direkt mit Menschen interagieren, müssen sich als KI zu erkennen geben; KI-generierte Inhalte und Deepfakes sind maschinenlesbar zu kennzeichnen; über den Einsatz von Emotionserkennung und biometrischer Kategorisierung ist zu informieren.

Die Pflichten für Hochrisiko-KI-Systeme — also genau jene, unter die KI-gestützte Bewerber-Bewertungen, Mietzahlungs-Scores oder Leistungsanspruchs-Prüfungen fallen — greifen dagegen erst später. Das ist eine Verschnaufpause, keine Entwarnung: Wer heute ein Scoring-Modul einkauft, muss es bis Ende 2027 vollständig auditierbar haben.

Die aktualisierte Timeline:

• 02.02.2025: Verbote für unzulässige Praktiken (Social Scoring, manipulative KI, Art. 5) sind bereits aktiv.
• 02.08.2025: Pflichten für General-Purpose-AI-Modelle (Foundation Models, Art. 53 ff.) gelten.
• 02.08.2026: Transparenzpflichten nach Art. 50 werden wirksam (Kennzeichnung von Chatbots, KI-Inhalten und Deepfakes). Für Wohnheim-Software ist das der relevante Stichtag in diesem Jahr.
• 02.12.2026: zwei neue Verbotstatbestände greifen (Art. 5 Abs. 1 UAbs. 1 Buchst. ba und bb): KI-Systeme zur Erzeugung nicht einvernehmlicher intimer oder sexualisierter Darstellungen identifizierbarer Personen sowie von Darstellungen sexuellen Kindesmissbrauchs. Für Wohnheim-Software praktisch ohne Bezug — der Vollständigkeit halber genannt.
• 02.12.2026: Ende der Schonfrist für Bestandssysteme (Art. 111 Abs. 4): Wer vor dem 02.08.2026 ein System in Verkehr gebracht hat, das synthetische Audio-, Bild-, Video- oder Textinhalte erzeugt, muss bis zu diesem Datum die Kennzeichnungspflicht nach Art. 50 Abs. 2 erfüllen.
• 02.12.2027: neu — Pflichten für eigenständige Hochrisiko-KI-Systeme nach Anhang III (zuvor 02.08.2026). Das ist der Hauptschwerpunkt für Wohnheim-Software.
• 02.08.2028: neu — Pflichten für Hochrisiko-KI, die als Sicherheitskomponente in regulierte Produkte nach Anhang I eingebettet ist (zuvor 02.08.2027).

Ein praktischer Hinweis für Bestandsinstallationen: Wer bereits vor dem 02.08.2026 eine Software im Einsatz hatte, die synthetische Inhalte erzeugt — etwa einen Textbaustein-Generator für Bescheide oder Bewohner-Anschreiben —, hat für die maschinenlesbare Kennzeichnung nach Art. 50 Abs. 2 vier zusätzliche Monate Zeit, also bis zum 02.12.2026 (Art. 111 Abs. 4). Für neu in Verkehr gebrachte Systeme gilt der 02.08.2026 unmittelbar.

Sozialträger, NGOs und kommunale Einrichtungen, die KI-haltige Software einsetzen, sind aus zwei Rollen heraus betroffen: als Deployer (Anwender) der Software und manchmal auch als Provider, wenn sie eigene Modelle finetunen oder eigenentwickelte Module einsetzen.

Risk-Klassifizierung: Welche Stufe gilt für Wohnheim-Software?

Der AI Act unterteilt KI-Systeme in vier Risiko-Klassen:

• Verboten: manipulative oder ausbeuterische KI — z. B. Social-Scoring von Bewohnern, emotionale Manipulation Vulnerabler.
• High-Risk (Art. 6): KI in sensitiven Bereichen — z. B. Zugang zu Sozialleistungen, Bewerber-Auswahl, Bonitäts-Scoring.
• Limited Risk: Transparenz-Pflicht — Chatbots im Bewohner-Kontakt, generative Inhalte.
• Minimal Risk: frei — Spam-Filter, Dokumentensuche, Auto-Vervollständigung.

Annex III der Verordnung listet die High-Risk-Bereiche explizit auf — und gleich mehrere davon sind für Wohnheim-Software relevant:

• 5.(a): KI zur Bewertung der Anspruchsberechtigung auf öffentliche Sozialleistungen.
• 5.(b): KI-gestütztes Bonitäts-Scoring oder Bewertung der Kreditwürdigkeit (außer Betrugsdetektion).
• 6.(a): KI im Beschäftigungs-/Bewerbungs-Kontext (Personal-Auswahl, Aufgaben-Zuweisung).
• 3.(a): KI in Bildung und Berufsausbildung — relevant für Studierendenwohnheime mit Auswahlverfahren.

Wer in seiner Wohnheim-Software eines dieser Module einsetzt, betreibt ein Hochrisiko-KI-System nach Anhang III und muss die volle Pflichtenliste bis zum 02.12.2027 erfüllen. Die Klassifizierung gilt schon heute — verschoben wurde nur der Zeitpunkt, ab dem die Pflichten durchsetzbar sind. Wer die Frist als Freibrief liest, hat 2027 keine 16 Monate Vorlauf mehr, sondern einen Rückstand.

High-Risk-Use-Cases im Wohnheim-Alltag identifizieren

Die folgenden Funktionen sind in Verdacht, High-Risk zu sein — auch wenn sie auf den ersten Blick harmlos wirken:

• Automatische Platz-Zuweisung mit ML-Modell. Wenn die Software Bewerber automatisch nach Profil und Verfügbarkeit auf Plätze verteilt und dabei lernende Modelle einsetzt — High-Risk (Annex III Nr. 5.a).
• Mietausfall-Vorhersage. Modelle, die anhand von Zahlungs-Historie, Beschäftigungsstatus und persönlichen Merkmalen die Wahrscheinlichkeit eines Zahlungsausfalls prognostizieren — High-Risk (Annex III Nr. 5.b, Bonität).
• Schadens-Bewertung über Bilderkennung. Wenn Bewohner Schadensfotos hochladen und KI automatisch Kategorie und Kostenrahmen bestimmt — meist Limited Risk, kann aber High-Risk werden, wenn es ohne Human-Review zu Mietminderungen oder Kautionsabzügen führt.
• Vulnerabilitäts-Klassifizierung. KI, die anhand von Stammdaten erkennt, ob ein Bewohner einer vulnerablen Gruppe zuzuordnen ist (LGBTIQ+, Trauma, Pflegebedarf) — High-Risk.
• Belegungs-Optimierung mit harten Effekten auf Bewohner. Algorithmen, die Bewohner umverteilen, um Auslastung zu maximieren — Limited Risk, aber High-Risk wenn Bewohner-Wechsel automatisiert erzwungen werden.
• KI-gestützte Mitarbeiter-Auswahl. Wenn die Software Schichtpläne oder Bewerbungen für Hausmeister/Sozialarbeiter automatisiert vorsortiert — High-Risk (Annex III Nr. 6.a).

Compliance-Pflichten für High-Risk-Systeme

Die Pflichten sind ab 02.12.2027 durchsetzbar (Anhang III) und unterscheiden sich nach Rolle:

Pflichten für Provider (Software-Hersteller)

• Risiko-Management-System (Art. 9): Kontinuierlich den gesamten Lebenszyklus dokumentieren.
• Daten-Governance (Art. 10): Trainings-, Validierungs- und Testdaten müssen repräsentativ, fehlerfrei und vollständig sein.
• Technische Dokumentation (Art. 11, Annex IV): Detailliertes Dossier vor Inverkehrbringen.
• Logging (Art. 12), Transparenz (Art. 13), Human Oversight (Art. 14), Genauigkeit/Robustheit/Cybersecurity (Art. 15).
• Konformitätsbewertung (Art. 43) + CE-Kennzeichnung und EU-Datenbank-Eintrag (Art. 49, 60).

Pflichten für Deployer (Sozialträger als Anwender)

• Anweisungen befolgen (Art. 26.1): Software gemäß Provider-Dokumentation einsetzen.
• Human Oversight sicherstellen (Art. 26.2): Geschultes Personal muss Entscheidungen überwachen können.
• Eingangsdaten prüfen (Art. 26.4): Verantwortung für Qualität und Repräsentativität der eingespeisten Daten.
• Logs aufbewahren (Art. 26.6): Mindestens 6 Monate.
• DSFA durchführen (Art. 26.9): Datenschutz-Folgenabschätzung vor Einsatz, insbesondere bei sensiblen Daten.
• Betroffene informieren (Art. 26.11): Bewohner und Bewerber müssen über KI-Einsatz informiert werden.
• Fundamental Rights Impact Assessment (Art. 27): Pflicht für öffentliche Stellen und Sozialträger, die High-Risk-AI einsetzen.

Die FRIA (Fundamental Rights Impact Assessment) ist neu im Vergleich zur DSFA und betrifft genau die Sozialträger und NGOs, die in der Wohnheimverwaltung KI einsetzen.

12-Punkte-Checkliste: Ist Ihre Software AI-Act-ready?

Diese Checkliste arbeitet jeder Sozialträger bis spätestens Juli 2026 durch:

1. KI-Inventar erstellt. Alle Software-Module dokumentiert, in denen KI/ML eingesetzt wird (auch versteckt — z. B. in Drittanbieter-APIs).
2. Risk-Klassifizierung pro Modul. Jedes Modul ist eingestuft (verboten / High-Risk / Limited / Minimal) — schriftlich, mit Begründung.
3. Provider-Dokumentation eingeholt. Für jedes High-Risk-Modul liegt die Provider-Dokumentation nach Annex IV vor.
4. CE-Kennzeichnung geprüft. Software-Hersteller hat CE-Konformitätserklärung ausgestellt.
5. Anweisungen für Anwender liegen schriftlich vor. Mitarbeiter wissen, wie das System einzusetzen ist und wo seine Grenzen liegen.
6. Human Oversight definiert. Klar zugewiesene Verantwortlichkeit, wer KI-Entscheidungen überprüft und ggf. revidiert.
7. Personal geschult. Nachweisbare Schulung des Personals zum Umgang mit dem System.
8. Datenschutz-Folgenabschätzung (DSFA) durchgeführt. Nach Art. 35 DSGVO + AI-Act-spezifische Punkte.
9. Fundamental Rights Impact Assessment (FRIA) erstellt. Pflicht für öffentliche Stellen und Sozialträger.
10. Logging aktiviert und Aufbewahrung sichergestellt. Mindestens 6 Monate, revisionssicher.
11. Bewohner-Information aufbereitet. Klare Sprache, mehrsprachig, vor erstem KI-Kontakt.
12. Audit-Cycles geplant. Mindestens jährliche Überprüfung — aktive Modelle entwickeln Drift.

Wie HOMES das adressiert

HOMES wurde von Anfang an mit Compliance-First-Architektur entwickelt:

• Transparente KI-Module. Jede KI-Funktion ist im System gekennzeichnet, mit verlinkter Modell-Dokumentation und Risk-Klassifizierung.
• Human-Oversight-by-Default. KI-Vorschläge sind immer Vorschläge — keine automatisierte Entscheidung ohne dokumentierte Bestätigung durch geschultes Personal.
• Audit-Trail integriert. Alle KI-Interaktionen werden mit Eingaben, Modell-Output und finaler menschlicher Entscheidung geloggt.
• DSFA- und FRIA-Vorlagen. Sozialträger erhalten vorbereitete Templates, die die spezifischen Wohnheim-Use-Cases abdecken.
• Klassifizierung als Limited-Risk. HOMES setzt KI bewusst nur in Limited-Risk-Bereichen ein (Volltextsuche, Auto-Kategorisierung von Dokumenten) und vermeidet High-Risk-Funktionen wie automatisches Tenant-Scoring oder Bewerber-Filterung. Damit fällt der Großteil der Compliance-Last weg.

Konkret heißt das für den Betrieb: Die Belegungsplanung in HOMES arbeitet mit nachvollziehbaren, fachlich gesetzten Regeln — Kapazität, Rechtskreis, Schutzbedarf, Familienzusammenführung — statt mit einem intransparenten Score. Wer eine Zuweisung anders entscheidet als vorgeschlagen, dokumentiert das im System; die Entscheidung bleibt beim Menschen und bleibt prüfbar.

Wer dagegen Software mit eingebauten Bewerber- oder Zuweisungs-Scoring-Modellen einsetzt, hat bis zum 02.12.2027 die volle Hochrisiko-Pflichtenliste abzuarbeiten — inklusive Konformitätsbewertung, technischer Dokumentation und Grundrechte-Folgenabschätzung. Die Digital-Omnibus-Verschiebung verschafft dafür Zeit, nimmt die Pflicht aber nicht weg.

Audit-Cycles und Dokumentations-Templates

Audit-Cycle (jährlich):

1. Q1 — KI-Inventar überprüfen, neue Module einsortieren.
2. Q2 — DSFA und FRIA aktualisieren, Drift-Analyse der Modelle.
3. Q3 — Schulungen auffrischen, Bewohner-Info-Materialien überarbeiten.
4. Q4 — Externer Compliance-Check, Berichte für Aufsichtsbehörden vorbereiten.

Dokumentations-Templates, die jeder Sozialträger braucht:

• KI-Inventar-Liste (lebendes Dokument)
• Risk-Assessment pro System
• DSFA nach Art. 35 DSGVO + AI-Act-Punkte
• FRIA nach Art. 27 AI Act
• Schulungsnachweise
• Incident-Log (für KI-bezogene Vorfälle)
• Bewohner-Informationsblatt zu KI-Einsatz
• Provider-Verträge mit AI-Act-Klauseln

Jetzt handeln

Ab dem 02.08.2026 sind die Transparenzpflichten scharf: Jeder Chatbot im Bewohner- oder Bewerberkontakt muss sich als KI zu erkennen geben, KI-generierte Inhalte müssen gekennzeichnet sein. Das ist in einer Woche umsetzbar — und wird bei Prüfungen als Erstes angeschaut, weil es von außen sichtbar ist.

Die Hochrisiko-Pflichten sind auf den 02.12.2027 verschoben, nicht gestrichen. Die 16 Monate sind genau der Vorlauf, den eine Konformitätsbewertung, ein sauberes KI-Inventar und eine Grundrechte-Folgenabschätzung realistisch brauchen. Wer sie verstreichen lässt, riskiert Bußgelder bis 15 Mio. € oder 3 % des weltweiten Jahresumsatzes (Art. 99 Abs. 4) — bei verbotenen Praktiken nach Art. 5 bis 35 Mio. € oder 7 % —, dazu Vertragsverlust mit dem LFU (vormals LAF, umbenannt am 16.04.2026 durch das GStU-Umsetzungsgesetz) und Klagen von Bewohnern, deren Grundrechte durch undokumentierte KI-Entscheidungen verletzt wurden.

Der pragmatische Weg für Betreiber: Art. 50 jetzt erledigen, das KI-Inventar jetzt anlegen — und bei der Software-Auswahl darauf achten, dass der Anbieter Hochrisiko-Funktionen bewusst vermeidet, statt sie als Feature zu verkaufen. Verwandt: DSGVO Art. 9 in Wohnheimen und Wohnheimverwaltung-Software im Überblick.

Stand: 1. August 2026. Quellen: Verordnung (EU) 2024/1689 (AI Act, ABl. 12.07.2024); Verordnung (EU) 2026/1744 vom 8. Juli 2026 (Digital-Omnibus-Verordnung zur KI, ABl. 24.07.2026, in Kraft 27.07.2026); Europäische Kommission — Regulatory framework for AI; BSI-Hinweise zu KI-Sicherheit.