EU AI Act: Was kleine und mittlere Unternehmen (KMU) wissen müssen

Die Verordnung (EU) 2024/1689, kurz KI-Verordnung oder EU AI Act, ist das erste umfassende KI-Gesetz der Welt. Sie ist am 1. August 2024 in Kraft getreten und wird schrittweise wirksam. Im Juli 2026 hat die EU sie mit der Verordnung (EU) 2026/1744 – dem „Digital-Omnibus zur KI“ – in wichtigen Punkten geändert: Fristen für Hochrisiko-Systeme wurden verschoben, die Pflicht zur KI-Kompetenz abgeschwächt, neue Verbote kamen hinzu. Die Änderungsverordnung wurde am 24. Juli 2026 im Amtsblatt veröffentlicht und ist am 27. Juli 2026 in Kraft getreten.

Für viele kleine und mittlere Unternehmen ist die Lage dadurch unübersichtlich geworden. Dieser Beitrag ordnet den Stand November 2026 aus Sicht eines Betriebs ein, der KI nutzt, aber nicht selbst entwickelt.

Anbieter oder Betreiber: Welche Rolle haben Sie?

Die KI-Verordnung unterscheidet vor allem zwei Rollen, an die unterschiedliche Pflichten geknüpft sind:

• Anbieter entwickeln ein KI-System oder lassen es entwickeln und bringen es unter eigenem Namen auf den Markt oder in Betrieb. Beispiele: der Hersteller eines Chatbot-Systems, ein Softwarehaus mit KI-Funktion.
• Betreiber verwenden ein KI-System in eigener Verantwortung im Rahmen ihrer beruflichen Tätigkeit. Beispiele: ein Elektrobetrieb, der ChatGPT für Angebotstexte nutzt; eine Praxis mit KI-Telefonassistent; ein Autohaus mit Chatbot auf der Website.

Die allermeisten KMU sind Betreiber. Vorsicht ist geboten, wenn Sie ein KI-System unter eigenem Namen an Kunden weitergeben oder wesentlich verändern – dann können Sie selbst in die Anbieterrolle rutschen. Rein private Nutzung fällt nicht unter die Verordnung.

Der risikobasierte Ansatz

Wie streng die Regeln sind, hängt vom Risiko ab, das von einem KI-System ausgeht. Die Verordnung unterscheidet vier Stufen:

Daneben gibt es eigene Regeln für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck, also für die Unternehmen hinter großen Sprachmodellen. Diese gelten seit dem 2. August 2025 und betreffen Sie als Nutzer nicht direkt.

Alle Fristen im Überblick (Stand November 2026)

Die folgende Übersicht berücksichtigt die Änderungen durch die Verordnung (EU) 2026/1744:

Verbotene Praktiken: was nie erlaubt ist

Seit dem 2. Februar 2025 sind bestimmte KI-Anwendungen in der EU verboten, unter anderem:

• Techniken, die Menschen unterschwellig oder manipulativ beeinflussen und ihnen dadurch erheblich schaden können,
• das Ausnutzen von Schwächen aufgrund von Alter, Behinderung oder sozialer Lage,
• Bewertung von Personen nach ihrem Sozialverhalten („Social Scoring“) mit nachteiligen Folgen,
• Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen, außer aus medizinischen oder Sicherheitsgründen,
• biometrische Kategorisierung, um etwa auf politische Einstellung, Religion oder sexuelle Orientierung zu schließen,
• ungezieltes Auslesen von Gesichtsbildern aus dem Internet oder von Überwachungskameras für Gesichtserkennungsdatenbanken.

Für die meisten Betriebe ist vor allem der vierte Punkt praktisch relevant: Software, die bei Telefonaten oder Videokonferenzen die Stimmung von Mitarbeitenden auswertet, ist tabu. Ab dem 2. Dezember 2026 kommen Verbote zur Erzeugung von Darstellungen sexuellen Kindesmissbrauchs und nicht einvernehmlicher intimer Darstellungen realer Personen hinzu.

Transparenzpflichten: für KMU am wichtigsten

Die Pflichten aus Artikel 50 gelten seit dem 2. August 2026 und betreffen viele Betriebe direkt:

• Chatbots und Telefonassistenten: KI-Systeme, die direkt mit Menschen interagieren, müssen so gestaltet sein, dass die Person erkennt, dass sie mit einer KI kommuniziert – sofern das nicht offensichtlich ist. Die Pflicht trifft zunächst den Anbieter; als Betreiber sollten Sie darauf achten, dass der Hinweis tatsächlich erscheint. Praktische Hinweise geben die Beiträge KI-Chatbot und Datenschutz und KI-Telefonassistent.
• Deepfakes: Betreiber, die realistisch wirkende, künstlich erzeugte oder veränderte Bilder, Videos oder Tonaufnahmen von Personen, Orten oder Ereignissen veröffentlichen, müssen das offenlegen. Bei erkennbar künstlerischen oder satirischen Werken genügt ein zurückhaltender Hinweis.
• Texte zu Themen von öffentlichem Interesse: KI-erzeugte Texte, die die Öffentlichkeit informieren sollen, sind offenzulegen – es sei denn, sie wurden von Menschen überprüft und jemand trägt die redaktionelle Verantwortung.
• Emotionserkennung und biometrische Kategorisierung: Wo sie zulässig eingesetzt werden, müssen betroffene Personen informiert werden.
• Kennzeichnung durch Anbieter: Anbieter generativer KI müssen ihre Ausgaben maschinenlesbar als KI-erzeugt kennzeichnen. Für Systeme, die schon vor dem 2. August 2026 auf dem Markt waren, gilt eine Übergangsfrist bis zum 2. Dezember 2026.

Die Informationen müssen spätestens bei der ersten Interaktion klar und eindeutig gegeben werden und den Anforderungen an Barrierefreiheit entsprechen.

Hochrisiko-KI: wann KMU betroffen sein können

Hochrisiko-Systeme sind vor allem in zwei Gruppen zu finden: als Sicherheitsbauteile von Produkten, die ohnehin EU-Produktvorschriften unterliegen (Anhang I), und in bestimmten Einsatzbereichen (Anhang III). Für KMU als Betreiber sind aus Anhang III vor allem diese Bereiche relevant:

• Beschäftigung und Personal: KI zur Ausschreibung, Sichtung und Bewertung von Bewerbungen, zu Entscheidungen über Beförderung oder Kündigung, zur Aufgabenzuweisung oder Leistungsüberwachung.
• Zugang zu wichtigen Leistungen: etwa KI zur Bewertung der Kreditwürdigkeit von Privatpersonen.
• Bildung: KI, die über Zulassung entscheidet oder Prüfungsleistungen bewertet.

Nicht jedes System in diesen Bereichen ist automatisch hochriskant: Die Verordnung sieht Ausnahmen vor, etwa für Systeme, die nur eng begrenzte vorbereitende Aufgaben erfüllen. Wer aber ein Bewerbermanagement mit automatischem Ranking nutzt, sollte genau hinschauen. Betreiber von Hochrisiko-Systemen müssen unter anderem die Gebrauchsanweisung befolgen, eine menschliche Aufsicht durch qualifizierte Personen sicherstellen, den Betrieb überwachen und Protokolle aufbewahren. Diese Pflichten gelten nach der Änderung ab dem 2. Dezember 2027.

KI-Kompetenz nach der Änderung

Artikel 4 verpflichtete Anbieter und Betreiber ursprünglich seit dem 2. Februar 2025, ein ausreichendes Maß an KI-Kompetenz ihres Personals sicherzustellen. Mit der Verordnung (EU) 2026/1744 wurde die Vorschrift neu gefasst: Anbieter und Betreiber ergreifen nun Maßnahmen, um die Entwicklung der KI-Kompetenz ihres Personals und anderer Personen, die KI in ihrem Auftrag nutzen, zu fördern. Ein bestimmtes Kompetenzniveau für einzelne Personen wird ausdrücklich nicht verlangt. Kommission und Mitgliedstaaten sollen die Unternehmen unterstützen, die Kommission praktische Beispiele veröffentlichen.

Für einen kleinen Betrieb reicht in der Regel: eine kurze Einweisung in Funktionsweise und Grenzen der genutzten Werkzeuge, klare interne Regeln und eine einfache Dokumentation. Wie solche Regeln aussehen können, zeigt der Beitrag ChatGPT im Unternehmen.

Sanktionen und Aufsicht

Die KI-Verordnung sieht Geldbußen in drei Stufen vor:

Grundsätzlich gilt der jeweils höhere Betrag – für KMU einschließlich Start-ups jedoch der niedrigere. Der Digital-Omnibus hat diese Erleichterung auf kleine Unternehmen mittlerer Kapitalisierung („Small Mid-Caps“) erweitert. In Deutschland hat der Bundestag im Juni 2026 ein Durchführungsgesetz beschlossen, das die nationale Aufsicht regelt; die Bundesnetzagentur übernimmt dabei eine zentrale Rolle. Daneben bleiben die Datenschutzaufsichtsbehörden für alle Fragen der DSGVO zuständig.

Was KMU jetzt tun sollten

1. KI-Inventar anlegenWelche KI-Werkzeuge und KI-Funktionen werden im Betrieb genutzt – auch in vorhandener Software? Wer nutzt sie wofür?
2. Rolle klärenSind Sie bei jedem System Betreiber, oder bieten Sie KI-Funktionen unter eigenem Namen an?
3. Verbote ausschließenGibt es Anwendungen, die Emotionen von Mitarbeitenden auswerten oder Menschen manipulativ beeinflussen könnten?
4. Transparenz umsetzenChatbots und Telefonassistenten mit KI-Hinweis, Regeln für KI-Bilder und -Videos in Werbung und Social Media.
5. Hochrisiko prüfenVor allem im Personalbereich: Nutzt Ihr Bewerbermanagement KI zur Auswahl? Dann bis Dezember 2027 vorbereiten.
6. KI-Kompetenz fördernEinweisung, Regeln, Dokumentation.
7. Datenschutz mitdenkenDie KI-Verordnung ersetzt die DSGVO nicht. Verträge, Informationspflichten und Folgenabschätzungen bleiben nötig.

Checkliste: EU AI Act im Betrieb

• Es gibt eine Liste aller genutzten KI-Systeme und -Funktionen.
• Für jedes System ist die eigene Rolle geklärt.
• Keine Anwendung fällt unter die verbotenen Praktiken.
• Chatbots und Telefonassistenten weisen auf die KI hin.
• KI-erzeugte, realistisch wirkende Bilder und Videos werden gekennzeichnet.
• Personalprozesse sind auf Hochrisiko-KI geprüft.
• Mitarbeitende haben eine dokumentierte Einweisung erhalten.
• Datenschutzbeauftragter und gegebenenfalls Betriebsrat sind eingebunden.
• Die Entwicklung der Fristen und Leitlinien wird beobachtet.

Häufige Fragen

Quellen

1. Verordnung (EU) 2024/1689 (KI-Verordnung), EUR-Lex – Art. 4, 5, 50, 99, 113
2. Verordnung (EU) 2026/1744 (Digital-Omnibus zur KI), EUR-Lex – Geänderte Art. 4, 111, 113; Amtsblatt vom 24.07.2026
3. EUR-Lex: Verordnung (EU) 2026/1744 – Dokumentinformationen – Datum, Inkrafttreten 27.07.2026
4. White & Case: EU AI Omnibus enters into force, amending the AI Act – Überblick über die Änderungen
5. Der Betrieb: AI Act – Bundestag beschließt Durchführungsgesetz und legt Aufsicht fest – Beschluss vom 11.06.2026