Die KI-Verordnung (EU AI Act): Was gilt für Ihren Betrieb?
Die KI-Verordnung betrifft jeden Betrieb, der Künstliche Intelligenz nutzt, auch kleine und mittlere Unternehmen in Handwerk, Handel und Dienstleistung. Die ersten Pflichten gelten seit Februar 2025, weitere seit August 2026. Hier erfahren Sie, was Sie konkret tun müssen und welche Fristen laufen.
Gilt die KI-Verordnung auch für meinen Betrieb?
Ja, mit hoher Wahrscheinlichkeit. Die KI-Verordnung (Verordnung (EU) 2024/1689) gilt für alle Unternehmen in der EU, die KI-Systeme einsetzen, unabhängig von Größe oder Branche.
Wenn Ihr Betrieb eines dieser Tools nutzt, sind Sie betroffen:
- ChatGPT, Copilot oder andere Textgeneratoren für Angebote, E-Mails oder Dokumentation
- Ein Chatbot auf Ihrer Website für Kundenanfragen
- Automatische Übersetzungstools
- KI-gestützte Bild- oder Videoerstellung für Ihr Marketing
- Routenplanung, Einsatzplanung oder Bestandsvorhersagen mit KI-Unterstützung
- Automatische Zusammenfassungen von Besprechungen
Entscheidend ist, welche Pflichten sich für Ihre konkreten Anwendungen ergeben.
Welche Fristen gelten für die KI-Verordnung?
Die KI-Verordnung tritt stufenweise in Kraft. Einige Pflichten gelten bereits, andere kommen bis 2028 hinzu. Hier ist der aktuelle Zeitplan nach dem Digital Omnibus (Verordnung (EU) 2026/1744, in Kraft seit dem 27.07.2026):
| Frist | Was gilt ab dann? | Rechtsgrundlage |
|---|---|---|
| Seit 02.02.2025 | Verbote bestimmter KI-Praktiken (Social Scoring, manipulative Systeme) | Art. 5 KI-VO |
| Seit 02.02.2025, seit 27.07.2026 in neuer Fassung | Pflicht zu Maßnahmen zur Förderung der KI-Kompetenz | Art. 4 KI-VO |
| Seit 02.08.2026 | Transparenzpflichten: Nutzer müssen erfahren, wenn sie mit einer KI interagieren. Kennzeichnung bestimmter KI-Inhalte, zum Beispiel Deepfakes. | Art. 50 KI-VO |
| Ab 02.12.2026 | Neue Verbote (Art. 5 Abs. 1 lit. ba und bb). Ablauf der Übergangsfrist für Anbieter generativer KI: maschinenlesbare Markierung (Art. 50 Abs. 2, Art. 111 Abs. 4). | Art. 5, Art. 50 Abs. 2, Art. 111 Abs. 4 KI-VO |
| Ab 02.12.2027 | Pflichten für Hochrisiko-KI-Systeme nach Anhang III (Personalauswahl, Kreditbewertung, Zugang zu öffentlichen Leistungen) | Art. 6, Anhang III, Art. 113 Abs. 3 Buchst. c Ziff. i KI-VO |
| Ab 02.08.2028 | Pflichten für Hochrisiko-KI-Systeme nach Anhang I | Art. 6, Anhang I, Art. 113 Abs. 3 Buchst. c Ziff. ii KI-VO |
Zur KI-Kompetenz (Art. 4): Alle Unternehmen, die KI einsetzen, müssen Maßnahmen zur Förderung der KI-Kompetenz ihrer Mitarbeitenden ergreifen. Das ist eine Förderpflicht, keine Ergebnispflicht: Sie müssen angemessene Maßnahmen ergreifen, nicht ein bestimmtes Kompetenzniveau garantieren. Für Art. 4 allein gibt es kein eigenes Bußgeld, aber die Pflicht besteht und sollte dokumentiert werden.
Zuständige Aufsichtsbehörde in Deutschland: grundsätzlich die Bundesnetzagentur (KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG), § 2 Abs. 1). Es gibt Sonderzuständigkeiten, zum Beispiel die BaFin.
Quellen: KI-Verordnung (EU) 2024/1689 (EUR-Lex), Digital Omnibus (EU) 2026/1744.
Was bedeutet das für typische KMU-Anwendungen?
Die meisten KI-Anwendungen im Mittelstand fallen in die Kategorien "begrenztes Risiko" oder "minimales Risiko". Hochrisikoanwendungen kommen vor, sind aber seltener. Hier ist eine Übersicht typischer Einsatzfälle:
| Anwendung | Risikoklasse | Was zu beachten ist |
|---|---|---|
| Chatbot im Kundenservice | Begrenzt | Kunden müssen erkennen können, dass sie mit einer KI sprechen (Art. 50 Abs. 1). Achten Sie darauf, dass Ihr Chatbot das klar anzeigt. |
| ChatGPT für Texterstellung | Minimal | Keine besonderen Auflagen außer Art. 4 (KI-Kompetenz), interne Regeln zum Datenschutz empfohlen |
| KI-generierte Bilder/Videos | Begrenzt | Offenlegung bei Deepfakes Pflicht (Art. 50 Abs. 4). Bei rein illustrativen Bildern keine Pflicht, Kennzeichnung trotzdem empfohlen. |
| KI-gestützte Bewerberauswahl | Hochrisiko | Menschliche Aufsicht, Protokolle aufbewahren, Beschäftigte informieren (Art. 26, ab 02.12.2027) |
| Routenplanung/Logistik | Minimal | Keine besonderen Auflagen außer Art. 4 (KI-Kompetenz). Wird damit die Leistung von Fahrerinnen und Fahrern bewertet, kann Hochrisiko vorliegen (Anhang III Nr. 4 Buchst. b). |
| Automatische Buchhaltung | Minimal | Keine besonderen Auflagen außer Art. 4 (KI-Kompetenz), Datenschutz beachten |
Mein Tipp: Schauen Sie sich Ihren Website-Chatbot mit den Augen Ihrer Kundschaft an: Ist auf den ersten Blick erkennbar, dass hier eine KI antwortet? Wenn nicht, passen Sie den Begrüßungstext an.
Was riskiere ich, wenn ich abwarte?
Die KI-Verordnung sieht Geldbußen vor, für KMU gilt jeweils der niedrigere Betrag. Seit dem Omnibus sind auch Verwarnungen möglich (Art. 99).
Wichtiger als die Bußgeldhöhe sind die praktischen Risiken im Alltag:
- Datenschutzverstöße durch Schatten-KI: Wenn Mitarbeitende Kundendaten in kostenlose KI-Tools eingeben, kann ein Verstoß gegen die DSGVO vorliegen. Viele kostenlose Tools können Eingaben für das Training nutzen, je nach Einstellung.
- Haftung bei fehlerhaften KI-Ergebnissen: Wenn ein KI-System falsche Auskünfte gibt und Ihr Kunde dadurch einen Schaden erleidet, stehen gegenüber Ihrem Kunden in der Regel Sie in der Verantwortung, auch wenn der Fehler im Tool liegt.
- Vertrauensverlust: Kunden, die erfahren, dass sie ohne Kennzeichnung mit einer KI gesprochen haben, können Vertrauen in Ihren Betrieb verlieren.
- Fehlende Kontrolle: Ohne klare Regeln nutzen Mitarbeitende KI-Tools auf eigene Faust. Sie haben keine Kontrolle über die Datenflüsse und keine Dokumentation.
Die gute Nachricht: Wenn Sie jetzt handeln, haben Sie Vorlaufzeit. Die Transparenzpflichten gelten bereits, die lassen sich aber oft mit wenig Aufwand umsetzen. Für die Hochrisikopflichten (ab Dezember 2027) haben Sie über ein Jahr Vorbereitung.
Was muss ich als erstes tun?
Fünf Schritte bringen Sie auf den richtigen Weg. Die meisten davon können Sie innerhalb weniger Wochen umsetzen.
KI-Bestandsaufnahme durchführen
Erfassen Sie alle KI-Systeme in Ihrem Betrieb, einschließlich der Tools, die Mitarbeitende eigenständig nutzen. Denken Sie auch an KI-Funktionen in bestehender Software (z. B. Microsoft Copilot, Google-Funktionen, automatische Übersetzungen).
Risikoklassen zuordnen
Ordnen Sie jede Anwendung den Kategorien der KI-Verordnung zu: verboten, Hochrisiko, begrenztes Risiko oder minimales Risiko.
Pflichten ableiten
Je nach Kategorie ergeben sich unterschiedliche Anforderungen, zum Beispiel ein klarer Hinweis beim Chatbot oder menschliche Aufsicht bei Hochrisiko-KI. Für viele Anwendungen gilt nur Art. 4 (KI-Kompetenz).
KI-Richtlinie erstellen
Legen Sie für Ihren Betrieb fest, welche KI-Tools erlaubt sind, welche Daten verwendet werden dürfen und wer verantwortlich ist.
Mitarbeitende schulen und dokumentieren
Stellen Sie sicher, dass Ihr Team die Regeln kennt und anwenden kann. Dokumentieren Sie die Schulung als Nachweis Ihrer Maßnahmen nach Art. 4 KI-VO.
Muss ich das alleine machen?
Nein. Als Ihr externer AI-Officer übernehme ich die Bestandsaufnahme, die Risikobewertung und die Umsetzung für Sie. Wie ein Datenschutzbeauftragter, nur für KI.
Im kostenlosen Erstgespräch (30 Minuten, ohne Verkaufsdruck) klären wir:
- Welche KI-Systeme Sie nutzen
- Welche Pflichten aktuell für Sie gelten
- Was Ihr nächster sinnvoller Schritt ist
Die laufende KI-Begleitung beginnt ab 990 Euro pro Monat. Ich empfehle, mit der Bestandsaufnahme zu starten.
Kontakt:
Vicki Janssen, Ihr externer AI-Officer
E-Mail: info@ai-officer-mittelstand.de
Telefon: 0151 59486866
Standort: Ostfriesland. Vor Ort in Niedersachsen, bundesweit digital.