Dejan Jasnic · Mitgründer & Compliance Lead, Trusty · 20+ Jahre Anti-Fraud & Compliance · Vorstand, ACFE Swiss Chapter
Seit dem 2. August 2026 fallen Personen, die Verstöße gegen die EU-KI-Verordnung (AI Act) melden, unter den Schutz des Hinweisgeberschutzrechts der EU. Arbeitgeber mit 50 oder mehr Beschäftigten müssen daher in der Lage sein, diese Meldungen über ihren internen Kanal entgegenzunehmen. Sie benötigen keinen neuen Kanal. Sie müssen vielmehr Meldeformular, Richtlinie und Schulungen Ihres bestehenden Systems aktualisieren.
Dieser Leitfaden erläutert, was sich geändert hat, was als meldefähiger Verstoß gegen den AI Act gilt und welche konkreten Anpassungen Sie vornehmen müssen.
Was versteht man unter Whistleblowing im Rahmen des AI Act?
Whistleblowing unter dem AI Act bedeutet die Meldung eines mutmaßlichen Verstoßes gegen die EU-Verordnung über künstliche Intelligenz, von dem Sie im Rahmen Ihrer beruflichen Tätigkeit erfahren haben. Die Meldung kann über den internen Kanal Ihres Arbeitgebers, an eine zuständige Behörde oder in begrenzten Fällen an die Öffentlichkeit erfolgen.
Die meldende Person ist gemäß der EU-Hinweisgeberrichtlinie vor Repressalien geschützt, genau wie jemand, der Betrug oder einen Verstoß gegen die Produktsicherheit meldet.
Trusty bietet ein rechtskonformes Hinweisgebersystem für Unternehmen ab 50 Beschäftigten, das in wenigen Minuten einsatzbereit ist.
Was sagt der AI Act über Whistleblowing aus?
Der AI Act weitet die EU-Hinweisgeberrichtlinie in einem einzigen Satz auf den Bereich KI aus. Artikel 87 stellt klar, dass die Richtlinie (EU) 2019/1937 auf die Meldung von Verstößen gegen den AI Act und auf den Schutz der Personen, die diese melden, Anwendung findet.
Diese Bestimmung gilt ab dem 2. August 2026. Ab diesem Datum fallen Meldungen zum AI Act unter die gesamte Richtlinie, einschließlich der Vorschriften zu Meldekanälen, Fristen, Vertraulichkeit und dem Schutz vor Repressalien.
weniger als 5 Minuten
Benötigen Sie einen Meldekanal, der Meldungen zum AI Act entgegennimmt? Mit Trusty ist er in weniger als fünf Minuten eingerichtet, inklusive anonymer Zwei-Wege-Kommunikation und Richtlinienvorlagen.
Waren KI-bezogene Bedenken bereits vor August 2026 geschützt?
Einige waren es. Vor diesem Datum war eine KI-bezogene Meldung nur dann geschützt, wenn sie gleichzeitig in einen Bereich fiel, den die Richtlinie bereits abdeckte, wie etwa Produktsicherheit, Verbraucherschutz oder Datenschutz. Die Neuregelung beseitigt diese Unsicherheit für Verstöße gegen den AI Act.
Gibt es einen Kanal auf EU-Ebene für Meldungen zum AI Act?
Ja. Die Europäische Kommission hat am 24. November 2025 ein Whistleblower-Tool für den AI Act eingeführt, das vom KI-Büro der EU betrieben wird. Meldungen können anonym, in jeder Amtssprache der EU und in jedem gängigen Format eingereicht werden.
Dieses Tool stellt einen externen Meldeweg dar. Es ersetzt nicht die Pflicht des Arbeitgebers, einen internen Kanal zu betreiben. Ein gut geführter interner Kanal stellt sicher, dass Sie als Erster von einem Problem erfahren.
Welche Verstöße gegen den AI Act können gemeldet werden?
Jeder tatsächliche oder wahrscheinliche Verstoß gegen den AI Act kann gemeldet werden, ebenso wie der Versuch, einen solchen zu verschleiern. Die hinweisgebende Person braucht hinreichenden Grund zu der Annahme, dass die Informationen zutreffen, aber keine Beweise.
Bereich des AI Act | Beispiel für einen meldefähigen Verstoß | Fundstelle |
|---|---|---|
Verbotene Praktiken | Ein System bewertet Personen nach ihrem sozialen Verhalten (Social Scoring) oder erkennt Emotionen von Beschäftigten am Arbeitsplatz | Artikel 5 |
Hochrisiko-KI-Systeme: Pflichten der Anbieter | Ein System zur Personalauswahl oder Kreditwürdigkeitsprüfung wird ohne Risikomanagement oder Daten-Governance eingeführt | Artikel 9 und 10 |
Hochrisiko-KI-Systeme: Menschliche Aufsicht | Beschäftigte werden angewiesen, eine KI-Entscheidung zu übernehmen, ohne sie tatsächlich überprüfen zu können | Artikel 14 |
Hochrisiko-KI-Systeme: Pflichten der Betreiber | Ein Unternehmen nutzt ein System entgegen der Betriebsanleitung des Anbieters oder ohne die Beschäftigten zu informieren | Artikel 26 |
Transparenz | Ein Chatbot informiert Nutzer nicht darüber, dass sie mit einer KI kommunizieren, oder Deepfakes sind nicht als solche gekennzeichnet | Artikel 50 |
KI-Modelle mit allgemeinem Verwendungszweck | Einem Modell mit systemischem Risiko fehlt ein angemessener Cybersicherheitsschutz | Artikel 53 und 55 |
Da der AI Act schrittweise in Kraft tritt, werden einige Pflichten erst später wirksam. Die Äußerung von Bedenken über einen künftigen oder wahrscheinlichen Verstoß gilt dennoch als geschützte Meldung.
Eine wichtige Einschränkung: Fachkommentare weisen darauf hin, dass unklar ist, ob Risiken, die ausschließlich aus der internen Nutzung von KI in einem Unternehmen resultieren, immer als erfasst gelten. Behandeln Sie Grenzfälle daher als geschützt, bis Sie rechtlichen Rat eingeholt haben.
Welche Arbeitgeber sind vom Whistleblowing unter dem AI Act betroffen?
Betroffen ist jeder Arbeitgeber, der bereits einen Whistleblowing-Kanal benötigt, da dieser Kanal nun auch Meldungen zum AI Act akzeptieren muss. Dies betrifft private Unternehmen mit 50 oder mehr Beschäftigten sowie Einrichtungen des öffentlichen Sektors.
Die Änderung ist besonders relevant, wenn Ihre Organisation eine der folgenden Tätigkeiten ausübt:
• KI-Systeme oder -Modelle entwickelt und auf dem EU-Markt bereitstellt
• KI bei Entscheidungen über Personen einsetzt, etwa bei der Personalauswahl, Leistungsbewertung, Kreditwürdigkeitsprüfung, Versicherung oder beim Zugang zu Dienstleistungen
• Chatbots oder generierte Inhalte einsetzt, mit denen Kunden interagieren
• KI-Tools von Anbietern erwirbt, da auch Betreiber eigene Pflichten nach dem AI Act haben
Auch ein Unternehmen ohne eigenes KI-Team kann eine Meldung zum AI Act erhalten. Viele Bedenken werden sich auf Tools beziehen, die von Dritten erworben wurden.
Wer ist bei der Meldung eines Verstoßes gegen den AI Act geschützt?
Geschützt ist jeder, der im beruflichen Kontext von einem Verstoß erfährt, nicht nur Arbeitnehmer. Dazu gehören auch Auftragnehmer, Lieferanten, Anteilseigner, Mitglieder von Leitungsorganen, Praktikanten, Bewerber und ehemalige Beschäftigte.
Der Schutz erstreckt sich auch auf Personen, die den Hinweisgeber unterstützen, sowie auf Kollegen oder Verwandte, denen Repressalien drohen könnten. Erleidet der Hinweisgeber einen Nachteil, muss der Arbeitgeber beweisen, dass dieser nicht im Zusammenhang mit der Meldung stand.
Was sollten Arbeitgeber in ihrem Meldekanal für den AI Act aktualisieren?
Arbeitgeber sollten sieben Aktualisierungen vornehmen: die Richtlinie, das Meldeformular, das Fallbearbeitungsteam, die Weiterleitung von Fällen, die Informationen zu externen Meldewegen, die Schulungen und die Einbindung von Lieferanten. Keine dieser Änderungen erfordert ein neues System.
1. Aktualisierung der Whistleblowing-Richtlinie. Nehmen Sie Verstöße gegen den AI Act in die Liste der meldefähigen Angelegenheiten auf und ergänzen Sie diese um ein oder zwei verständliche Beispiele.
2. KI-Kategorie im Meldeformular ergänzen. Ein Hinweisgeber sollte die Kategorie „Künstliche Intelligenz“ auswählen können, anstatt zwischen IT und Compliance raten zu müssen.
3. KI-Ansprechpartner für das Fallteam benennen. Bestimmen Sie jemanden mit technischem Wissen oder Kenntnissen in der KI-Governance, der unter Einhaltung derselben Vertraulichkeitsregeln konsultiert werden kann.
4. Prüfung auf Interessenkonflikte. Falls die Person, die für ein KI-System verantwortlich ist, auch Meldungen bearbeitet, müssen KI-Fälle an eine unabhängige Person weitergeleitet werden.
5. Informationen zu externen Meldestellen aktualisieren. Informieren Sie darüber, welche nationale Behörde externe Meldungen entgegennimmt, und weisen Sie auf das Whistleblower-Tool des KI-Büros der EU hin.
6. Schulung von Beschäftigten und Führungskräften. Erläutern Sie, dass KI-bezogene Bedenken geschützte Meldungen sind und dass die Regeln zum Schutz vor Repressalien gelten.
7. Einbeziehung von Lieferanten und Auftragnehmern. Stellen Sie sicher, dass auch externe Personen, die mit Ihren KI-Systemen arbeiten, den Meldekanal erreichen können.
Behalten Sie die Standardfristen bei. Bestätigen Sie den Eingang einer Meldung zum AI Act innerhalb von sieben Tagen und geben Sie innerhalb von drei Monaten eine Rückmeldung, wie bei jeder anderen Meldung auch.
ein Tool
Setzen Sie alle Anpassungen an einem Ort um. Trusty bietet Ihnen eine eigene KI-Meldekategorie, eine Fallweiterleitung ohne Interessenkonflikte sowie fertige Vorlagen für Richtlinien und Schulungen. Oder buchen Sie eine Demo.
Wie erhalten Sie schnell einen KI-bereiten Whistleblowing-Kanal?
Der schnellste Weg besteht darin, Ihren Kanal über eine Whistleblowing-Software zu betreiben, die bereits der Richtlinie entspricht, und dann KI in Ihre Richtlinien und Schulungen aufzunehmen. Trusty wurde auf Basis der EU-Hinweisgeberrichtlinie entwickelt und lässt sich flexibel konfigurieren und ist in weniger als fünf Minuten einsatzbereit.
• Schriftliche und mündliche Meldungen, inklusive Stimmenverzerrung, damit die meldende Person nicht an der Stimme erkannt wird
• Anonymer Zwei-Wege-Kontakt, sodass Fallbearbeiter technische Rückfragen stellen können, ohne die Identität des Hinweisgebers zu erfahren
• Rollenbasierter Zugriff, der Systemverantwortliche von Fällen ausschließt, die ihre eigenen Systeme betreffen
• Ein Fall-Dashboard, das jede Meldung und deren Status im Hinblick auf die Fristen anzeigt
• Ein qualifizierter eIDAS-Zeitstempel für jede Meldung sowie ein manipulationssicheres Audit-Log
• Hosting in Deutschland in ISO/IEC 27001-zertifizierten Rechenzentren
• Vorlagen für Richtlinien und Mitarbeiterschulungen inklusive
Testen Sie Trusty 7 Tage lang kostenlos unter trusty.report oder buchen Sie eine kurze Demo.
Häufig gestellte Fragen zum Whistleblowing unter dem AI Act
Ja. Artikel 87 des AI Act dehnt die EU-Hinweisgeberrichtlinie auf Meldungen über Verstöße gegen den AI Act aus, sodass Personen, die solche melden, vor Repressalien geschützt sind.
Der Schutz gilt seit dem 2. August 2026. Vor diesem Datum waren KI-bezogene Meldungen nur dann geschützt, wenn sie zusätzlich in einen Bereich fielen, den die Richtlinie bereits abdeckte, wie etwa Produktsicherheit oder Datenschutz.
Nein. Der bestehende interne Meldekanal muss so angepasst werden, dass er Meldungen zum AI Act aufnehmen kann. Arbeitgeber sollten die Richtlinie, das Meldeformular und die Schulungen aktualisieren, anstatt einen zweiten Kanal aufzubauen.
Jede Person, die im Rahmen ihrer beruflichen Tätigkeit von einem Verstoß erfährt, kann diesen melden. Dazu gehören Beschäftigte, Auftragnehmer, Lieferanten, Anteilseigner, Praktikanten, Bewerber und ehemalige Beschäftigte.
Ja, dies ist über das Whistleblower-Tool des KI-Büros der EU möglich, das anonyme Meldungen akzeptiert. Bei internen Kanälen hängt die Pflicht zur Annahme anonymer Meldungen vom nationalen Recht ab; in Spanien ist dies beispielsweise vorgeschrieben.
Meldungen können bei der zuständigen nationalen Behörde oder über das Whistleblower-Tool des KI-Büros der EU eingereicht werden, das am 24. November 2025 gestartet wurde.
Jegliche Repressalien sind untersagt. Der Arbeitgeber muss beweisen, dass etwaige Benachteiligungen nicht im Zusammenhang mit der Meldung standen. Es drohen Sanktionen nach nationalem Recht sowie mögliche Anordnungen zur Wiedereinstellung und Entschädigung.
mit EU-Richtlinie & DSGVO
Whistleblowing-Software einfach gemacht, entwickelt von Compliance-Experten.
Quellen
• Artikel 87: Meldung von Verstößen und Schutz von meldenden Personen, EU-Gesetz über künstliche Intelligenz
• Whistleblowing und der EU AI Act, EU-Gesetz über künstliche Intelligenz
• Kommission führt Whistleblower-Tool für den AI Act ein, Europäische Kommission
• Richtlinie (EU) 2019/1937, EUR-Lex
• Trusty, Produktinformationen
Dieser Artikel dient der allgemeinen Information und stellt keine Rechtsberatung dar.