EU AI Act für KMU: Welche Pflichten jetzt gelten und was Sie tun müssen

Der EU AI Act (KI-Verordnung, Verordnung (EU) 2024/1689) regelt den Einsatz künstlicher Intelligenz in der EU nach Risiko. Für die meisten kleinen und mittleren Unternehmen, die KI-Werkzeuge wie Chatbots, Schreibassistenten oder Telefonassistenten nur nutzen, sind heute zwei Pflichten entscheidend: Seit dem 2. Februar 2025 müssen Unternehmen Maßnahmen ergreifen, die die KI-Kompetenz ihrer Mitarbeitenden unterstützen. Seit dem 2. August 2026 gilt die Transparenzpflicht: Menschen müssen erkennen können, dass sie mit einem KI-System interagieren. Die strengen Pflichten für Hochrisiko-KI betreffen nur bestimmte Einsatzbereiche und gelten erst ab Dezember 2027.

Dieser Beitrag ordnet ein, was davon Ihr Unternehmen betrifft, und endet mit einer Checkliste. Er ersetzt keine Rechtsberatung. Stand: Oktober 2026.

Anbieter oder Betreiber: Welche Rolle hat Ihr Unternehmen?

Die Pflichten der KI-Verordnung hängen von der Rolle ab:

• Anbieter entwickeln ein KI-System oder lassen es entwickeln und bringen es unter eigenem Namen in Verkehr, zum Beispiel ein Softwarehersteller.
• Betreiber setzen ein KI-System in eigener Verantwortung beruflich ein, zum Beispiel ein Handwerksbetrieb, der einen KI-Telefonassistenten nutzt, oder ein Büro, das mit einem Sprachmodell Texte entwirft.

Die allermeisten KMU sind Betreiber. Wer allerdings ein fremdes KI-System unter eigener Marke anbietet oder wesentlich verändert, kann selbst zum Anbieter werden. Das ist vor allem für Softwarehäuser und Agenturen relevant.

Die Risikostufen der KI-Verordnung

Typische Büro-Anwendungen in KMU, etwa Texte entwerfen, Dokumente durchsuchen, Anfragen sortieren oder Anrufe annehmen, fallen in die Stufen „Transparenz“ oder „minimal“. Achtung bei Bewerbermanagement: KI, die Bewerbungen sortiert oder bewertet, gehört zu den Hochrisiko-Anwendungen.

Was seit Februar 2025 gilt: KI-Kompetenz und Verbote

Nach Art. 4 müssen Anbieter und Betreiber Maßnahmen ergreifen, um die Entwicklung der KI-Kompetenz ihres Personals und anderer Personen zu unterstützen, die in ihrem Auftrag KI-Systeme nutzen. Seit der Änderung durch den Digital Omnibus (in Kraft seit 27. Juli 2026) müssen sie dabei kein bestimmtes Kompetenzniveau einzelner Personen garantieren – die Pflicht zu handeln bleibt. Berücksichtigt werden dabei Vorwissen, Ausbildung, Einsatzkontext und die Menschen, die von der KI-Nutzung betroffen sind. Was das konkret bedeutet, erklärt der Beitrag KI-Kompetenz nach Art. 4: Was die Schulungspflicht bedeutet.

Seit demselben Datum sind außerdem bestimmte KI-Praktiken verboten (Art. 5). Für normale KMU-Anwendungen spielen sie praktisch keine Rolle.

Was seit August 2026 gilt: Transparenzpflichten

Seit dem 2. August 2026 gelten die Transparenzpflichten nach Art. 50. Für KMU sind vor allem zwei Fälle relevant:

• Chatbots und Telefonassistenten: Wer mit einem KI-System spricht oder schreibt, muss spätestens zu Beginn erfahren, dass es eine KI ist, sofern das nicht ohnehin offensichtlich ist. Ein Satz wie „Sie sprechen mit dem digitalen Assistenten von …“ genügt in der Regel.
• Deepfakes und KI-Texte zu Themen von öffentlichem Interesse: Künstlich erzeugte oder manipulierte Bilder, Videos und Tonaufnahmen, die echt wirken, müssen als KI-generiert offengelegt werden. Für Texte zu Themen von öffentlichem Interesse gilt das ebenfalls, es sei denn, ein Mensch hat sie redaktionell geprüft und trägt die Verantwortung.

Wer einen KI-Chatbot oder KI-Telefonassistenten einsetzt, sollte den Hinweis deshalb fest in die Begrüßung einbauen.

Hochrisiko-KI: Verschoben auf Dezember 2027

Ursprünglich sollten die Pflichten für Hochrisiko-KI nach Anhang III ab August 2026 gelten. Mit der Verordnung (EU) 2026/1744, dem sogenannten Digital Omnibus, wurde dieser Termin auf den 2. Dezember 2027 verschoben; für KI in Produkten nach Anhang I (etwa Maschinen oder Medizinprodukte) gilt der 2. August 2028. Wer KI in Personalauswahl, Leistungsbewertung oder Kreditprüfung einsetzt oder plant, sollte die Zeit nutzen, denn die Pflichten für Betreiber (Art. 26) umfassen unter anderem menschliche Aufsicht, Protokollierung und die Information der Betroffenen.

Wer kontrolliert, und was droht?

In Deutschland ist nach dem KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG) vom 22. Juli 2026 grundsätzlich die Bundesnetzagentur Marktüberwachungsbehörde; für bestimmte Bereiche sind Fachbehörden wie die BaFin zuständig. Bußgelder regelt Art. 99 der KI-Verordnung. Verstöße gegen die Transparenzpflichten können mit bis zu 15 Mio. € oder 3 % des weltweiten Jahresumsatzes geahndet werden; für KMU gilt jeweils der niedrigere der beiden Werte. Für die KI-Kompetenz nach Art. 4 sieht die Verordnung keinen eigenen Bußgeldtatbestand vor. Fehlende Schulung kann aber bei Fehlern und Haftungsfragen gegen Sie sprechen.

Checkliste für KMU

1. Bestandsaufnahme: Welche KI-Werkzeuge werden im Unternehmen genutzt, offiziell und inoffiziell? Gerade Letzteres ist häufig, siehe Schatten-KI im Unternehmen.
2. Einordnen: Für jedes Werkzeug die Rolle (Betreiber/Anbieter) und die Risikostufe festhalten.
3. KI-Kompetenz sichern: Schulung für alle, die KI nutzen, dokumentiert und an die Aufgaben angepasst.
4. Transparenz umsetzen: Hinweise in Chatbot, Telefonassistent und bei KI-generierten Bildern oder Videos.
5. Regeln festlegen: Eine kurze KI-Richtlinie klärt, welche Werkzeuge erlaubt sind und welche Daten nicht hineingehören.
6. Datenschutz prüfen: Die KI-Verordnung ersetzt die DSGVO nicht. Für personenbezogene Daten braucht es weiterhin Rechtsgrundlage und Verträge zur Auftragsverarbeitung.
7. Hochrisiko vormerken: Wer KI im Personalbereich einsetzt, plant die Anforderungen für Dezember 2027 ein.

Die Beratung und begleitete Einführung ist förderfähig: Über INQA-Coaching übernimmt der Bund 80 % der Beratungskosten von bis zu 1.200 € pro Tag für bis zu 12 Tage, also bis zu 11.520 € Zuschuss. In Mecklenburg-Vorpommern und den anderen neuen Bundesländern kommt bis zum 31.12.2026 auch die BAFA-Beratungsförderung mit 80 % in Frage (in den alten Bundesländern 50 %). Gefördert wird die Beratung, nicht die Software. Welches Programm passt, zeigt der Förder-Check.

Häufig gestellte Fragen

Gilt der EU AI Act auch für kleine Unternehmen?

Ja. Die KI-Verordnung gilt unabhängig von der Unternehmensgröße für alle, die KI-Systeme beruflich einsetzen oder anbieten. Für KMU gibt es Erleichterungen, etwa niedrigere Bußgeldobergrenzen und vereinfachte Dokumentation für Anbieter, aber keine generelle Ausnahme.

Muss ich ChatGPT im Unternehmen kennzeichnen?

Wenn Mitarbeitende ChatGPT intern zum Entwerfen von Texten nutzen, müssen diese nicht pauschal gekennzeichnet werden. Kennzeichnungspflichtig sind Chatbots im Kundenkontakt, täuschend echte KI-Bilder, -Videos und -Stimmen sowie KI-Texte zu Themen von öffentlichem Interesse ohne menschliche redaktionelle Prüfung.

Seit wann gilt die Schulungspflicht nach dem AI Act?

Die Pflicht nach Art. 4, Maßnahmen zur KI-Kompetenz zu ergreifen, gilt seit dem 2. Februar 2025 für alle Unternehmen, die KI-Systeme einsetzen. Seit Juli 2026 ist klargestellt, dass dabei kein bestimmtes Kompetenzniveau garantiert werden muss.

Wer ist in Deutschland für den AI Act zuständig?

Nach dem KI-MIG ist grundsätzlich die Bundesnetzagentur zuständige Marktüberwachungsbehörde. Für KI im Finanzsektor ist die BaFin zuständig, für bestimmte Produkte die jeweiligen Fachbehörden.

Wann gelten die Pflichten für Hochrisiko-KI?

Für Hochrisiko-Systeme nach Anhang III, etwa im Personalbereich, ab dem 2. Dezember 2027. Für KI in regulierten Produkten nach Anhang I ab dem 2. August 2028. Beide Termine wurden durch die Verordnung (EU) 2026/1744 verschoben.

Nächster Schritt

Wenn Sie wissen möchten, welche Ihrer KI-Anwendungen welche Pflichten auslösen, unterstützt Sie unsere KI-Beratung. Für die Schulungspflicht bieten wir KI-Schulungen an, die auf Ihre Werkzeuge und Aufgaben zugeschnitten sind.

Quellen: Art. 4, Art. 50, Art. 99 und Art. 113 KI-Verordnung; Verordnung (EU) 2026/1744; KI-MIG.