Der EU AI Act (Verordnung (EU) 2024/1689) ist die erste umfassende KI-Regulierung der EU. Er ist am 1. August 2024 in Kraft getreten und gilt schrittweise: Verbote und KI-Kompetenz seit 2. Februar 2025, Pflichten für KI-Modelle mit allgemeinem Verwendungszweck seit 2. August 2025, der Großteil der übrigen Regeln seit 2. August 2026 (Art. 113).
Mit der „Digital-Omnibus-Verordnung zur KI“ (Verordnung (EU) 2026/1744 vom 8. Juli 2026, im Amtsblatt veröffentlicht am 24. Juli 2026) wurden die Hochrisiko-Pflichten verschoben: für Hochrisiko-Systeme nach Anhang III auf den 2. Dezember 2027, für Systeme nach Anhang I auf den 2. August 2028. Quellen: Verordnung (EU) 2024/1689 auf EUR-Lex und Verordnung (EU) 2026/1744 auf EUR-Lex. Dieser Artikel ist eine Orientierung, keine Rechtsberatung.
Die gute Nachricht für den Mittelstand: Die meisten Anwendungsfälle (z. B. Chatbots, ChatGPT-Nutzung im Alltag, Tools wie Copilot) fallen in eine niedrige Risikoklasse mit überschaubaren Pflichten. Wichtig ist, dass Sie wissen, in welcher Klasse Sie sich bewegen — und drei einfache Hausaufgaben machen.
Die 4 Risikoklassen im Schnelldurchlauf
Der AI Act regelt KI-Systeme nach dem Risiko ihres Einsatzes. Üblich ist die Beschreibung in vier Stufen; die Einordnung entscheidet, welche Pflichten gelten:
- Verboten (Art. 5): unter anderem manipulative oder täuschende Techniken, Social Scoring und das ungezielte Auslesen von Gesichtsbildern aus dem Internet zum Aufbau von Gesichtserkennungs-Datenbanken. Diese Praktiken sind seit 2. Februar 2025 untersagt. Die Digital-Omnibus-Verordnung ergänzt weitere Verbote, die ab 2. Dezember 2026 gelten, darunter KI-Systeme, die ohne ausdrückliche Zustimmung der dargestellten Person realistische sexualisierte Bilder, Videos oder Tonaufnahmen von ihr erzeugen.
- Hochrisiko: KI in Bereichen wie Kreditwürdigkeitsprüfung, Personalauswahl, Bildung und kritische Infrastruktur (Anhang III). Strenge Dokumentations- und Prüfpflichten, nach der Digital-Omnibus-Verordnung anwendbar ab 2. Dezember 2027 (Anhang III) bzw. 2. August 2028 (Anhang I).
- Begrenztes Risiko: Chatbots, Deepfakes, KI-erzeugte Inhalte. Hier gelten Transparenzpflichten nach Art. 50 (siehe nächster Abschnitt).
- Minimales Risiko: Spam-Filter, KI in Spielen, Texterkennung in Fotos. Keine spezifischen Pflichten — Best Practices wie immer.
Was bedeutet das konkret für Ihr Unternehmen?
Für mittelständische Unternehmen ohne KI in Personalauswahl oder Kreditvergabe gilt fast immer "begrenztes" oder "minimales Risiko". Die wichtigsten praktischen Pflichten:
- Transparenz bei Chatbots (Art. 50 Abs. 1): KI-Systeme, die direkt mit Menschen interagieren, müssen so gebaut sein, dass die Person erfährt, dass sie mit einer KI spricht, es sei denn, das ist aus den Umständen offensichtlich. Die Pflicht richtet sich an den Anbieter des Systems. Wer einen Chatbot auf der eigenen Webseite einsetzt, sollte den Hinweis trotzdem sichtbar setzen.
- Kennzeichnung von Deepfakes und bestimmten Texten (Art. 50 Abs. 4): Wer als Betreiber täuschend echte KI-Bilder, -Videos oder -Tonaufnahmen (Deepfakes) einsetzt, muss offenlegen, dass sie künstlich erzeugt oder verändert wurden. Für KI-Texte gilt das nur, wenn sie veröffentlicht werden, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren, und nicht, wenn ein Mensch den Text geprüft hat und jemand die redaktionelle Verantwortung trägt. Eine allgemeine Kennzeichnungspflicht für jeden Werbetext enthält die Verordnung nicht.
- Maschinenlesbare Kennzeichnung (Art. 50 Abs. 2): Sie trifft die Anbieter generativer KI-Systeme, nicht deren Nutzer. Für Systeme, die vor dem 2. August 2026 auf dem Markt waren, läuft dafür eine Übergangsfrist bis 2. Dezember 2026 (Art. 111 Abs. 4).
- KI-Kompetenz (Art. 4): Anbieter und Betreiber von KI-Systemen ergreifen Maßnahmen, um die Entwicklung der KI-Kompetenz ihres Personals zu unterstützen. Seit der Digital-Omnibus-Verordnung stellt der Artikel klar, dass niemand für einzelne Personen ein bestimmtes Kompetenzniveau garantieren muss; nachvollziehbare Maßnahmen braucht es weiterhin.
Die 3 Sofort-Maßnahmen für KMU
Wenn Sie heute starten möchten, sind das die drei wichtigsten Hebel — alle ohne Anwalt machbar:
- 1. Inventur: Welche KI-Tools nutzt Ihr Unternehmen aktuell? ChatGPT, Copilot, DeepL, KI-Chatbots, Marketing-Tools — alles auflisten und einer Risikoklasse zuordnen.
- 2. Mitarbeiter-Briefing: Eine kurze Schulung mit dem Fokus "Was darf ich in welche KI eingeben?" ist ein praktischer Einstieg in die KI-Kompetenz nach Art. 4 und senkt das Risiko von Datenlecks.
- 3. Transparenz-Hinweise: Im Chatbot gleich zu Beginn sagen, dass eine KI antwortet. Bei KI-Bildern oder -Videos, die echt wirken, die Herkunft nennen. Das ist auch dort sinnvoll, wo die Verordnung es nicht ausdrücklich verlangt.
Bonus: KI-Nutzungsrichtlinie
Eine 1–2 Seiten lange interne Richtlinie ("Welche Tools für welche Daten?") schafft Sicherheit für Mitarbeiter und schützt vor Datenpannen. Wir helfen Ihnen, diese aufzusetzen.
Was passiert bei Verstößen?
Die Bußgelder klingen abschreckend: bis zu 35 Mio. € oder 7 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist (Art. 99 Abs. 3). Diese Obergrenze gilt für den Einsatz verbotener KI-Praktiken. Für die meisten anderen Pflichtverstöße liegt sie bei 15 Mio. € oder 3 % (Art. 99 Abs. 4). Für KMU und Start-ups gilt jeweils der niedrigere der beiden Beträge (Art. 99 Abs. 6); die Digital-Omnibus-Verordnung hat das für die Absätze 4 und 5 auf kleine Midcap-Unternehmen ausgedehnt (Art. 99 Abs. 6a).
In der Praxis ist das größere Risiko nicht das Bußgeld, sondern der Vertrauensverlust bei Kunden, Partnern und Mitarbeitern, wenn KI unsachgemäß eingesetzt wird. Compliance ist deshalb kein Bremsklotz — sondern ein Verkaufsargument im B2B.
Wie KI-bereit ist Ihr Unternehmen?
Wenn Sie unsicher sind, wo Ihr Unternehmen heute steht — wir haben einen kostenlosen 5-Minuten-Selbsttest gebaut, der genau das beantwortet. Sie erhalten einen KI-Readiness-Score über 6 Dimensionen (inkl. Recht & Compliance), individuelle Empfehlungen und einen 90-Tage-Plan.
