Blog · KI im Unternehmen
EU AI Act: Was kleine und mittlere Unternehmen jetzt wissen und tun müssen
Die europäische KI-Verordnung gilt seit dem 2. August 2026 in weiten Teilen. Für die meisten Unternehmen ist sie weniger dramatisch als befürchtet – ganz ignorieren sollten Sie sie aber nicht. Wir erklären, welche Rolle Sie haben, welche Pflichten wirklich auf Sie zukommen und was sich durch den Digital Omnibus geändert hat.
Das Wichtigste in Kürze
- Die meisten KMU nutzen KI nur als Betreiber – etwa ChatGPT, Claude oder Copilot. Ihre Pflichten sind überschaubar.
- Seit Februar 2025 gilt: Mitarbeitende im Umgang mit KI schulen, bestimmte Praktiken sind verboten.
- Seit dem 2. August 2026 gelten Transparenzpflichten, etwa für Chatbots und Deepfakes.
- Die Pflichten für Hochrisiko-KI wurden auf Dezember 2027 bzw. August 2028 verschoben.
Grundlagen
Was ist der AI Act?
Der AI Act – offiziell die Verordnung (EU) 2024/1689, auf Deutsch KI-Verordnung – ist das erste umfassende KI-Gesetz der Welt. Er ist am 1. August 2024 in Kraft getreten und gilt als EU-Verordnung unmittelbar in allen Mitgliedstaaten, ohne dass ein nationales Gesetz die Regeln erst übernehmen muss. Die Pflichten greifen schrittweise.
Das Grundprinzip ist ein risikobasierter Ansatz: Je größer das Risiko einer KI-Anwendung für Sicherheit und Grundrechte, desto strenger die Regeln. Ein KI-Assistent, der E-Mails formuliert, wird ganz anders behandelt als eine Software, die über Bewerbungen oder Kredite mitentscheidet.
Risikostufen
Die vier Risikostufen
| Stufe | Beispiele | Was gilt |
|---|---|---|
| Verboten | Social Scoring, manipulative Techniken, Emotionserkennung am Arbeitsplatz, ungezielte Gesichtsbild-Datenbanken, seit 2026 auch KI für nicht einvernehmliche Nacktbilder | Seit 2. Februar 2025 untersagt |
| Hohes Risiko | KI in der Personalauswahl, bei Kreditwürdigkeit, in Bildung, kritischer Infrastruktur oder als Sicherheitsbauteil von Produkten | Umfangreiche Pflichten – ab 2. Dezember 2027 bzw. 2. August 2028 |
| Begrenztes Risiko | Chatbots, KI-generierte Bilder, Videos und Texte, Deepfakes | Transparenzpflichten seit 2. August 2026 |
| Minimales Risiko | Spamfilter, Texte formulieren, Übersetzen, Zusammenfassen, Tabellen auswerten | Keine besonderen Pflichten außer der KI-Kompetenz |
Der typische Büroalltag mit ChatGPT, Claude oder Microsoft 365 Copilot fällt in die Stufe minimales Risiko – solange Sie die Tools nicht für Entscheidungen über Menschen einsetzen, etwa beim Vorsortieren von Bewerbungen.
Rollen
Anbieter oder Betreiber – welche Rolle haben Sie?
Der AI Act verteilt die Pflichten nach Rollen. Für mittelständische Unternehmen sind vor allem zwei wichtig:
Betreiber
Betreiber nutzen ein KI-System in eigener Verantwortung im Beruf – zum Beispiel, wenn Ihr Team Texte mit Claude schreibt, Copilot in Microsoft 365 einsetzt oder einen fertigen Chatbot auf der Website betreibt. Das ist die Rolle der allermeisten KMU, und hier sind die Pflichten gut beherrschbar.
Anbieter
Anbieter entwickeln ein KI-System oder lassen es entwickeln und bringen es unter eigenem Namen auf den Markt. Vorsicht: Wer ein fremdes Modell mit eigenen Daten zu einem eigenen Produkt ausbaut und es Kunden anbietet, kann selbst zum Anbieter werden – mit deutlich mehr Pflichten.
Unsere Faustregel: Sie nutzen KI-Tools im Arbeitsalltag? Dann sind Sie Betreiber. Sie verkaufen eine eigene KI-Lösung oder bauen KI fest in Ihr Produkt ein? Dann sollten Sie die Anbieter-Pflichten genau prüfen lassen.
Pflichten
Diese Pflichten gelten heute für KMU
1. KI-Kompetenz fördern (Art. 4)
Seit dem 2. Februar 2025 müssen Unternehmen, die KI einsetzen, für die KI-Kompetenz ihrer Mitarbeitenden sorgen. Durch den Digital Omnibus wurde die Pflicht im Juli 2026 abgeschwächt: Gefordert sind jetzt Maßnahmen, die die Kompetenz fördern, ein bestimmtes Niveau für einzelne Personen wird nicht mehr verlangt. In der Praxis bleibt eine kurze, dokumentierte Schulung trotzdem der beste Nachweis – zusammen mit einer KI-Richtlinie, die festlegt, welche Tools und welche Daten erlaubt sind.
2. Verbotene Praktiken ausschließen (Art. 5)
Prüfen Sie, dass im Unternehmen keine KI für verbotene Zwecke läuft – etwa Emotionserkennung bei Mitarbeitenden oder manipulative Techniken im Marketing. Für die meisten KMU ist das schnell erledigt, gehört aber dokumentiert.
3. Transparenz herstellen (Art. 50)
Seit dem 2. August 2026 gilt:
- Chatbots: Wer mit einer KI spricht, muss das zu Beginn erkennen können – durch eine Begrüßungsnachricht, einen sichtbaren Hinweis oder ein KI-Label. Ein Satz in den AGB reicht nicht.
- Deepfakes: Täuschend echte, KI-erzeugte oder veränderte Bilder, Videos und Tonaufnahmen von realen Personen, Orten oder Ereignissen müssen Sie als solche kennzeichnen. Offensichtlich künstlerische oder satirische Werke sind erleichtert.
- Texte zu Themen von öffentlichem Interesse: KI-generierte Texte, die die Öffentlichkeit informieren sollen, sind offenzulegen – es sei denn, ein Mensch hat sie geprüft und trägt die redaktionelle Verantwortung.
Die technische Markierung KI-erzeugter Inhalte (Wasserzeichen, Metadaten) ist dagegen Sache der Anbieter der Tools. Für Systeme, die schon vor dem 2. August 2026 auf dem Markt waren, gilt sie ab dem 2. Dezember 2026.
4. Hochrisiko-Einsätze erkennen
Setzen Sie KI bei Personalentscheidungen ein – etwa zum Vorsortieren von Bewerbungen oder zur Leistungsbewertung –, kann das in den Hochrisiko-Bereich fallen. Die Pflichten dafür greifen zwar erst ab dem 2. Dezember 2027, die Auswahl und Einführung solcher Tools sollten Sie aber schon jetzt darauf ausrichten.
Kennzeichnung
Muss ich KI-Inhalte kennzeichnen? Vier Beispiele aus der Praxis
| Situation | Kennzeichnung nötig? |
|---|---|
| Website- oder Blogtext mit KI entworfen, von Ihnen geprüft und verantwortet | In der Regel nein |
| Chatbot auf Ihrer Website beantwortet Kundenfragen | Ja – Hinweis zu Beginn des Gesprächs |
| KI-Foto einer echten Person, das täuschend echt wirkt (z. B. in einer Anzeige) | Ja – als Deepfake |
| Erkennbar künstliche Illustration oder Grafik für einen Flyer | Nach dem AI Act in der Regel nein – Transparenz kann trotzdem sinnvoll sein |
Unabhängig vom AI Act gelten weiterhin Urheber-, Wettbewerbs- und Datenschutzrecht. Wer etwa KI-Bilder als echte Kundenfotos ausgibt, kann wettbewerbsrechtlich Ärger bekommen – auch ohne Kennzeichnungspflicht.
Zeitplan
Der Zeitplan nach dem Digital Omnibus
Mit dem Digital Omnibus zur KI (Verordnung (EU) 2026/1744, in Kraft seit dem 27. Juli 2026) hat die EU mehrere Fristen verschoben und einzelne Pflichten vereinfacht.
| Datum | Was gilt |
|---|---|
| 2. Februar 2025 | Verbotene Praktiken und KI-Kompetenz |
| 2. August 2025 | Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck (z. B. die Modelle hinter ChatGPT und Claude) |
| 2. August 2026 | Allgemeiner Anwendungsbeginn, Transparenzpflichten für Chatbots und Deepfakes, Bußgelder |
| 2. Dezember 2026 | Technische Markierung KI-erzeugter Inhalte für Systeme, die schon vor August 2026 auf dem Markt waren |
| 2. Dezember 2027 | Hochrisiko-KI nach Anhang III, etwa in Personalwesen, Bildung oder Kreditprüfung |
| 2. August 2028 | Hochrisiko-KI in regulierten Produkten nach Anhang I, etwa Maschinen oder Medizinprodukten |
Neben den Fristen bringt der Omnibus Erleichterungen für kleine und mittlere Anbieter, etwa bei technischer Dokumentation und Qualitätsmanagement, sowie ein neues Verbot von KI-Systemen, die nicht einvernehmliche intime Bilder erzeugen.
Aufsicht
Wer kontrolliert in Deutschland – und was droht?
Seit dem 29. Juli 2026 gilt das deutsche Durchführungsgesetz, das KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG). Zentrale Aufsicht ist die Bundesnetzagentur. In bereits regulierten Bereichen, etwa bei Finanz- oder Medizinprodukten, bleiben die dortigen Fachbehörden zuständig. Die Bundesnetzagentur soll außerdem Informationen und Schulungen anbieten und ein KI-Reallabor betreiben, in dem KMU und Start-ups bevorzugt Zugang erhalten.
Die Bußgelder sind gestaffelt: bis zu 35 Mio. € oder 7 % des weltweiten Jahresumsatzes bei verbotenen Praktiken, bis zu 15 Mio. € oder 3 % bei Verstößen gegen andere Pflichten wie die Transparenz. Für KMU gilt jeweils der niedrigere der beiden Beträge, und die Behörden berücksichtigen ihre wirtschaftliche Lage.
Checkliste
In sechs Schritten AI-Act-fit
- KI-Inventar anlegen: Welche KI-Tools nutzt Ihr Team – auch privat angelegte Konten? Wofür und mit welchen Daten?
- Rolle klären: Bei jedem Tool festhalten, ob Sie Betreiber oder Anbieter sind.
- Risiko einordnen: Verbotene Praktiken ausschließen, mögliche Hochrisiko-Einsätze wie Bewerberauswahl markieren.
- KI-Richtlinie schreiben: Erlaubte Tools, verbotene Daten, Freigaben und Kennzeichnung – auf ein bis zwei Seiten.
- Team schulen: Kurze Schulung zu Chancen, Grenzen und Regeln, mit Teilnahmeliste als Nachweis.
- Transparenz umsetzen: Chatbots mit Hinweis versehen, Deepfakes kennzeichnen, Datenschutz nach DSGVO parallel prüfen – Business-Tarif und Auftragsverarbeitungsvertrag inklusive.
Unser Fazit: Für die meisten mittelständischen Unternehmen bedeutet der AI Act keine Bürokratiewelle, sondern ein bisschen Ordnung: wissen, welche KI im Einsatz ist, das Team schulen, Regeln aufschreiben und bei Chatbots und Deepfakes offen sein. Wer das jetzt sauber aufsetzt, nutzt KI mit gutem Gewissen – und ist für die späteren Hochrisiko-Regeln vorbereitet.
Häufige Fragen zum AI Act
Gilt der AI Act auch für kleine Unternehmen?
Ja, der AI Act kennt keine allgemeine Ausnahme für kleine Unternehmen. Wer KI nur im Büroalltag nutzt, hat aber überschaubare Pflichten: KI-Kompetenz fördern, verbotene Praktiken ausschließen und Transparenz bei Chatbots und Deepfakes. Für KMU gelten zudem niedrigere Bußgeldobergrenzen und Erleichterungen als Anbieter.
Muss ich jeden Text kennzeichnen, den ich mit ChatGPT oder Claude schreibe?
Nein. Eine Offenlegungspflicht besteht für KI-generierte Texte, die die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informieren – und auch dann nicht, wenn ein Mensch den Text geprüft hat und redaktionell verantwortet. Interne Dokumente, E-Mails oder geprüfte Website-Texte müssen Sie in der Regel nicht kennzeichnen.
Was muss eine KI-Schulung enthalten?
Der AI Act schreibt keinen festen Lehrplan vor. Sinnvoll sind die Grundlagen der eingesetzten Tools, ihre Grenzen wie erfundene Fakten, der Umgang mit Daten nach DSGVO, Ihre internen Regeln und Beispiele aus dem eigenen Arbeitsalltag. Halten Sie Termin, Inhalte und Teilnehmende fest.
Ist Microsoft 365 Copilot ein Hochrisiko-System?
Nein, nicht an sich. Entscheidend ist der Einsatzzweck: Wer Copilot zum Schreiben, Zusammenfassen oder Auswerten nutzt, bewegt sich im minimalen Risiko. Wird ein KI-Tool aber gezielt für Entscheidungen über Bewerber oder Beschäftigte eingesetzt, kann daraus ein Hochrisiko-Einsatz werden.
Wer ist in Deutschland für den AI Act zuständig?
Zentrale Marktüberwachungsbehörde ist seit dem KI-MIG die Bundesnetzagentur. In regulierten Bereichen wie Finanzen oder Medizinprodukten bleiben die jeweiligen Fachbehörden zuständig.
Dieser Beitrag gibt einen allgemeinen Überblick und ersetzt keine Rechtsberatung. Stand: Oktober 2026.