EU AI Act (KI-Verordnung): Diese Pflichten gelten jetzt für Unternehmen
Seit dem 2. August 2026 gilt der Großteil der EU-KI-Verordnung („AI Act") — und damit betrifft das Gesetz nicht mehr nur KI-Entwickler, sondern praktisch jedes Unternehmen, das KI-Werkzeuge einsetzt. Die gute Nachricht: Für die meisten Mittelständler sind die Pflichten überschaubar, wenn man sie kennt. Dieser Beitrag ordnet ein, was jetzt gilt und was Sie konkret tun sollten.
Hinweis: Dieser Beitrag ist eine praxisorientierte Einordnung und ersetzt keine Rechtsberatung.
Der Zeitplan: Was gilt seit wann?
- 1. August 2024: Der AI Act tritt in Kraft — mit gestaffelten Übergangsfristen.
- 2. Februar 2025: Verbotene KI-Praktiken sind untersagt; die Pflicht zur KI-Kompetenz (Art. 4) gilt.
- 2. August 2025: Regeln für Allzweck-KI-Modelle (z. B. große Sprachmodelle) und Governance-Strukturen greifen.
- 2. August 2026: Die meisten übrigen Vorschriften gelten — darunter die Anforderungen an viele Hochrisiko-Systeme und die Transparenzpflichten.
- 2. August 2027: Letzte Übergangsfristen enden, u. a. für Hochrisiko-KI in regulierten Produkten.
Bin ich „Anbieter" oder „Betreiber"? Der wichtigste Unterschied
Der AI Act unterscheidet vor allem zwischen Anbietern (die KI-Systeme entwickeln oder unter eigenem Namen vermarkten) und Betreibern (die KI-Systeme beruflich nutzen). Ein mittelständisches Unternehmen, das ChatGPT, Copilot oder ein KI-gestütztes Buchhaltungstool einsetzt, ist in aller Regel Betreiber — mit deutlich schlankeren Pflichten als ein Anbieter.
Die vier Risikoklassen in 60 Sekunden
- Verboten: z. B. Social Scoring oder manipulative Systeme — für seriöse Unternehmen ohnehin kein Thema.
- Hochrisiko: KI in sensiblen Bereichen — etwa bei der Personalauswahl, Kreditvergabe oder kritischer Infrastruktur. Hier gelten umfangreiche Pflichten.
- Begrenztes Risiko: u. a. Chatbots und KI-generierte Inhalte — hier greifen Transparenzpflichten.
- Minimales Risiko: der Großteil der Büro-KI (Textentwürfe, Übersetzungen, Protokolle) — keine besonderen Auflagen.
Pflicht Nr. 1: KI-Kompetenz der Mitarbeitenden (Art. 4)
Die in der Praxis relevanteste Pflicht für den Mittelstand: Unternehmen müssen sicherstellen, dass Mitarbeitende, die mit KI-Systemen arbeiten, über ausreichende KI-Kompetenz verfügen — abgestimmt auf Vorwissen und Einsatzkontext. Das Gesetz schreibt kein bestimmtes Format vor, aber in der Praxis hat sich die dokumentierte Schulung als belastbarster Nachweis etabliert: Wer wurde wann zu welchen Inhalten geschult?
Genau dafür habe ich ein eigenes Format entwickelt — die KI-Kompetenz-Schulung nach Art. 4 AI Act mit Teilnahmebescheinigung für Ihre Unterlagen.
So erfüllen Sie Art. 4 nachweisbar
Eine dokumentierte KI-Kompetenz-Schulung mit Teilnahmebescheinigung und Inhaltsübersicht für Ihre Unterlagen — ein halber oder ganzer Tag, vor Ort oder online, zugeschnitten auf die Werkzeuge, die Ihr Team tatsächlich nutzt.
Pflicht Nr. 2: Transparenz bei KI-Inhalten und Chatbots
Seit August 2026 gilt: Wer Menschen mit einem KI-System interagieren lässt (etwa einem Chatbot auf der Website), muss das erkennbar machen. KI-generierte oder manipulierte Bild-, Audio- und Videoinhalte (Stichwort Deepfakes) müssen als solche gekennzeichnet werden. Für Marketing-Teams heißt das: klare interne Regeln, welche Inhalte wie gekennzeichnet werden.
Pflicht Nr. 3: Besondere Sorgfalt bei Hochrisiko-Anwendungen
Setzen Sie KI in der Personalauswahl ein — etwa zum automatischen Vorsortieren von Bewerbungen — bewegen Sie sich im Hochrisiko-Bereich. Als Betreiber müssen Sie dann unter anderem menschliche Aufsicht sicherstellen, die Anweisungen des Anbieters befolgen, relevante Eingabedaten kontrollieren, Protokolle aufbewahren und betroffene Beschäftigte informieren. Mein Rat: Prüfen Sie vor der Einführung solcher Werkzeuge, ob der Nutzen die Compliance-Anforderungen rechtfertigt.
Was passiert bei Verstößen?
Die Bußgeldrahmen sind empfindlich: bis zu 35 Mio. Euro oder 7 % des weltweiten Jahresumsatzes für verbotene Praktiken, bis zu 15 Mio. Euro oder 3 % für Verstöße gegen zentrale Pflichten. Für KMU sind niedrigere Obergrenzen vorgesehen — ein Freifahrtschein ist das aber nicht.
Umsetzung: Ihre Praxis-Checkliste für den Start
- KI-Inventur: Welche KI-Werkzeuge sind bei Ihnen im Einsatz — offiziell und inoffiziell („Schatten-KI")?
- Risiko einordnen: Ist etwas davon hochrisiko-relevant (v. a. HR und Finanzen)? Im Zweifel rechtlich prüfen lassen.
- KI-Richtlinie erstellen: Was dürfen Mitarbeitende mit welchen Daten in welchen Tools tun?
- Schulung durchführen und dokumentieren: Damit erfüllen Sie Art. 4 und senken gleichzeitig Fehlbedienungs- und Datenschutzrisiken.
- Kennzeichnung regeln: Interne Vorgabe für KI-generierte Inhalte und Chatbots.
- Jährlich prüfen: Neue Tools, neue Mitarbeitende, neue Regeln — KI-Compliance ist kein Einmalprojekt.
Der AI Act bestraft nicht die Nutzung von KI — sondern die planlose Nutzung. Wer strukturiert einführt und schult, erfüllt die meisten Pflichten nebenbei.
Häufige Fragen zum EU AI Act
Welche Pflichten haben Unternehmen nach dem EU AI Act?
Für die meisten Unternehmen, die KI-Werkzeuge nutzen, sind es drei: Sie müssen für ausreichende KI-Kompetenz ihrer Mitarbeitenden sorgen (Art. 4), KI-erzeugte Inhalte und Chatbots kenntlich machen und bei Hochrisiko-Anwendungen — etwa in der Personalauswahl — besondere Sorgfaltspflichten erfüllen. Wer KI nur als Werkzeug einsetzt, gilt als Betreiber; die weitergehenden Anbieterpflichten treffen die Hersteller.
Gilt die KI-Verordnung auch für kleine und mittlere Unternehmen?
Ja. Der EU AI Act — im Deutschen KI-Verordnung, amtlich Verordnung (EU) 2024/1689 — kennt keine Ausnahme nach Unternehmensgröße. Der Aufwand hängt davon ab, was Sie einsetzen: Wer ChatGPT oder Copilot für Texte und Recherche nutzt, hat überschaubare Pflichten. Wer KI in Personalentscheidungen einsetzt, deutlich mehr.
Welche Anforderungen stellt der EU AI Act an die KI-Kompetenz der Mitarbeitenden?
Artikel 4 verlangt, dass Beschäftigte, die mit KI-Systemen arbeiten, über ausreichende KI-Kompetenz verfügen — passend zu Vorwissen, Aufgabe und Einsatzkontext. Ein bestimmtes Format schreibt das Gesetz nicht vor. In der Praxis hat sich die dokumentierte Schulung als Nachweis etabliert: Wer wurde wann zu welchen Inhalten geschult?
Wie setzen Unternehmen den AI Act praktisch um?
In sechs Schritten: KI-Inventur aller genutzten Werkzeuge, Einordnung nach Risiko, eine interne KI-Richtlinie, dokumentierte Schulung der Mitarbeitenden, Regeln zur Kennzeichnung von KI-Inhalten und eine jährliche Überprüfung. Die Checkliste oben im Beitrag führt durch jeden Punkt.
Ersetzt eine Schulung die rechtliche Prüfung?
Nein. Eine Schulung erfüllt die Kompetenzpflicht aus Artikel 4 und ist dafür der gängige Nachweis. Ob Ihre KI-Anwendungen insgesamt den Anforderungen genügen — vor allem bei Hochrisiko-Fällen —, klären Sie mit Anwalt und Datenschutzbeauftragtem. Dieser Beitrag ist eine praxisorientierte Einordnung, keine Rechtsberatung.
Fazit
Für die allermeisten Mittelständler ist der AI Act kein Grund, auf KI zu verzichten — im Gegenteil: Die Pflichten decken sich weitgehend mit dem, was ohnehin sinnvoll ist (klare Regeln, geschulte Mitarbeitende, dokumentierte Prozesse). Wie eine solche Schulung konkret aussieht, lesen Sie im Beitrag KI-Schulung für Mitarbeiter: Ablauf, Inhalte & Dauer. Oder Sie klären Ihre Situation direkt im kostenlosen Erstgespräch.
René Schlierenkämper ist zertifizierter KI-Innovationsmanager mit IHK-Zertifikat KI-Kompetenz und unterstützt mittelständische Unternehmen bei KI-Beratung und KI-Schulungen — im Ruhrgebiet, in NRW und deutschlandweit.