Fast jedes Unternehmen nutzt inzwischen KI, oft ohne es bewusst zu entscheiden: Mitarbeiter schreiben E-Mails mit ChatGPT, lassen Texte zusammenfassen oder Bilder erstellen. Genau hier setzt der EU AI Act an. Viele denken, das Thema betrifft nur große Tech-Konzerne. Das stimmt nicht. Die ersten Pflichten gelten bereits, auch für kleine Betriebe.
In diesem Beitrag erfährst du, was die KI-Verordnung regelt, welche Fristen gelten, was der „Digital Omnibus“ im Juli 2026 verändert hat und was du als Geschäftsführer oder Teamleiter jetzt konkret tun solltest. Hinweis vorab: Wir sind keine Kanzlei. Der Beitrag gibt einen verständlichen Überblick und ersetzt keine Rechtsberatung.
Was ist der EU AI Act?
Der EU AI Act, auf Deutsch KI-Verordnung, ist das erste umfassende KI-Gesetz der Welt. Er gilt seit August 2024 unmittelbar in allen EU-Ländern und wird schrittweise wirksam. Das Grundprinzip: Je größer das Risiko einer KI-Anwendung, desto strenger die Regeln.
- Verbotene KI: z. B. Social Scoring oder manipulative Systeme. Diese Praktiken sind seit Februar 2025 untersagt.
- Hochrisiko-KI: z. B. KI in Bewerbungsverfahren, Personalentscheidungen oder Kreditprüfung. Hier gelten strenge Pflichten.
- Begrenztes Risiko: z. B. Chatbots oder KI-generierte Inhalte. Hier geht es vor allem um Transparenz.
- Minimales Risiko: z. B. Spamfilter oder KI in Office-Tools. Keine besonderen Pflichten, aber KI-Kompetenz ist trotzdem gefragt.
Betrifft der EU AI Act auch mein Unternehmen?
Sehr wahrscheinlich ja. Die Verordnung unterscheidet zwischen Anbietern, die KI-Systeme entwickeln oder unter eigenem Namen anbieten, und Betreibern, die KI beruflich einsetzen. Wenn dein Team ChatGPT, Copilot oder ein KI-Tool im CRM nutzt, bist du Betreiber. Und für Betreiber gelten bereits heute Pflichten, unabhängig von der Unternehmensgröße.
Für kleine und mittlere Unternehmen gibt es Erleichterungen, etwa bei Bußgeldern oder durch vereinfachte Dokumentation. Von den Grundpflichten befreit sind KMU aber nicht.
Die Fristen im Überblick
| Seit / ab | Was gilt |
|---|---|
| 2. Februar 2025 | Verbotene KI-Praktiken, Pflicht zur KI-Kompetenz (Art. 4) |
| 2. August 2025 | Regeln für KI-Modelle mit allgemeinem Verwendungszweck, Governance und Sanktionen |
| 2. August 2026 | Transparenzpflichten (Art. 50): Chatbots, KI-Inhalte, Deepfakes |
| 2. Dezember 2027 | Hochrisiko-KI nach Anhang III, z. B. Personal und Bewerbung (verschoben) |
| 2. August 2028 | Hochrisiko-KI in regulierten Produkten nach Anhang I (verschoben) |
Stand: Oktober 2026, inklusive der Änderungen durch den Digital Omnibus (Verordnung (EU) 2026/1744).
Pflicht 1: KI-Kompetenz im Team
Seit Februar 2025 müssen Unternehmen, die KI einsetzen, Maßnahmen ergreifen, damit ihre Mitarbeiter über ausreichende KI-Kompetenz verfügen (Art. 4). Gemeint ist kein Informatikstudium, sondern ein praxistaugliches Verständnis:
- Wie funktionieren KI-Tools und wo liegen ihre Grenzen, z. B. erfundene Fakten?
- Welche Daten dürfen in welche Tools, und welche auf keinen Fall?
- Wann muss ein Ergebnis geprüft werden, bevor es rausgeht?
- Welche Tools sind im Unternehmen freigegeben?
Der einfachste Nachweis: eine kurze, praxisnahe Schulung mit Teilnahmebestätigung und eine schriftliche KI-Richtlinie für das Team.
Pflicht 2: Transparenz bei Chatbots und KI-Inhalten
Seit 2. August 2026 gelten die Transparenzpflichten aus Art. 50. Für die meisten Unternehmen heißt das:
- Chatbots: Wer mit deinem Website-Chat oder Support-Bot schreibt, muss erkennen können, dass er mit einer KI kommuniziert.
- KI-generierte Inhalte: Deepfakes, also realistisch wirkende KI-Bilder, -Videos oder -Stimmen, müssen gekennzeichnet werden. Bei KI-Texten, die die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informieren, gilt das ebenfalls, sofern sie nicht redaktionell geprüft wurden.
Technisch ist das meist schnell umgesetzt: ein klarer Hinweis im Chatfenster, eine Kennzeichnung bei Bildern und eine Regel im Redaktionsprozess.
Hochrisiko-KI und der Digital Omnibus
Ursprünglich sollten die Regeln für Hochrisiko-KI ab August 2026 gelten. Mit dem Digital Omnibus, der im Juli 2026 in Kraft getreten ist, hat die EU diese Fristen verschoben: Hochrisiko-KI nach Anhang III gilt nun ab 2. Dezember 2027, KI in regulierten Produkten ab August 2028. Die Pflichten zu KI-Kompetenz, Verboten und Transparenz wurden dagegen nicht verschoben.
Wichtig für KMU: Wer KI zum Beispiel zur Vorauswahl von Bewerbern oder zur Leistungsbewertung von Mitarbeitern nutzt, sollte das jetzt schon prüfen. Die Vorbereitung auf Hochrisiko-Pflichten dauert erfahrungsgemäß länger als ein paar Wochen.
Welche Bußgelder drohen?
Die Verordnung sieht empfindliche Strafen vor (Art. 99): bis zu 35 Mio. € oder 7 % des weltweiten Jahresumsatzes bei verbotenen KI-Praktiken, bis zu 15 Mio. € oder 3 % bei Verstößen gegen andere Pflichten. Für KMU und Start-ups gilt jeweils der niedrigere der beiden Beträge. Kein Grund zur Panik, aber ein guter Grund, die eigene KI-Nutzung zu kennen und zu dokumentieren.
Checkliste: 7 Schritte für dein Unternehmen
- Bestandsaufnahme: Welche KI-Tools nutzt dein Team, offiziell und inoffiziell?
- Einordnen: Ist eine Anwendung möglicherweise Hochrisiko, z. B. im Personalbereich?
- KI-Richtlinie aufsetzen: Welche Tools sind erlaubt, welche Daten tabu?
- Team schulen und die Teilnahme dokumentieren.
- Chatbots und KI-Inhalte kennzeichnen.
- Datenschutz prüfen: Auftragsverarbeitung, EU-Hosting, keine Kundendaten in privaten Accounts.
- Regelmäßig aktualisieren: neue Tools, neue Fristen, neue Mitarbeiter.
So unterstützen wir dich
Bei prozessbutler setzen wir KI technisch um und denken DSGVO und EU AI Act von Anfang an mit. Statt Schatten-KI mit privaten Accounts bauen wir dir eine eigene Firmen-KI auf Servern in der EU, mit Rollen und Rechten. Dazu kommen Kennzeichnung, KI-Richtlinie und eine Schulung fürs Team. Mehr zu Datenschutz in KI-Projekten liest du in unserem Beitrag Datenschutz und EU-Vorgaben bei Software und KI.
Du willst wissen, wo dein Unternehmen steht? Im kostenlosen KI-Check gehen wir deine KI-Nutzung gemeinsam durch und du bekommst einen klaren Maßnahmenplan.
