Was regelt der EU AI Act für kleine Unternehmen – und ab wann?

Der „EU AI Act“, auf Deutsch KI-Verordnung (Verordnung (EU) 2024/1689), ist das erste umfassende KI-Gesetz der EU. Er richtet sich vor allem an Anbieter, also an Unternehmen, die KI-Systeme entwickeln oder unter eigenem Namen in Verkehr bringen, regelt aber auch Pflichten für Betreiber, also für Betriebe, die KI-Werkzeuge beruflich nutzen. Wer etwa einen eigenen Chatbot auf Basis eines KI-Modells unter eigenem Namen einsetzt, kann selbst als Anbieter gelten. Dieser Beitrag gibt einen Überblick (Stand: Oktober 2026) und ist keine Rechtsberatung.

Das Prinzip: Regeln nach Risiko

Die Verordnung ordnet KI-Anwendungen nach Risiko:

• Verbotene Praktiken (Artikel 5), zum Beispiel bestimmte Formen der Manipulation oder des „Social Scoring“
• Hochrisiko-Systeme mit strengen Anforderungen, etwa in sensiblen Bereichen wie Beschäftigung oder Bildung
• Transparenzpflichten für bestimmte Anwendungen wie Chatbots und synthetische Inhalte (Artikel 50)
• Minimales Risiko: Für die meisten Alltagsanwendungen gelten keine besonderen Anforderungen an das System selbst. Allgemeine Pflichten wie die Förderung der KI-Kompetenz (Artikel 4) gelten aber auch hier

Wichtige Fristen

Die Verordnung ist am 1. August 2024 in Kraft getreten und wird gestaffelt wirksam (Artikel 113). Der Zeitplan wurde durch die Verordnung (EU) 2026/1744 („Digital Omnibus zur KI“) angepasst, die am 24. Juli 2026 im Amtsblatt veröffentlicht wurde und am 27. Juli 2026 in Kraft getreten ist:

Zeitpunkt	Was gilt seitdem bzw. ab dann
2. Februar 2025	Verbote (Art. 5) und KI-Kompetenz (Art. 4, seit 27. Juli 2026 als Förderpflicht gefasst)
2. August 2025	Regeln für KI-Modelle mit allgemeinem Verwendungszweck, Behördenstruktur und Sanktionsregeln
27. Juli 2026	Omnibus-Verordnung (EU) 2026/1744 in Kraft
2. August 2026	große Teile der Verordnung, darunter die Transparenzpflichten (Art. 50)
2. Dezember 2026	zwei neue Verbote (siehe unten); Frist für die maschinenlesbare Kennzeichnung bei generativen KI-Systemen, die schon vor dem 2. August 2026 auf dem Markt waren (Art. 50 Abs. 2)
2. Dezember 2027	Anforderungen an eigenständige Hochrisiko-Systeme nach Anhang III
2. August 2028	Anforderungen an Hochrisiko-KI in regulierten Produkten nach Anhang I

Für Hochrisiko-Systeme wurden die Fristen mit der Verordnung (EU) 2026/1744 verschoben: Für eigenständige Systeme nach Anhang III gelten die Anforderungen ab dem 2. Dezember 2027, für KI in regulierten Produkten nach Anhang I ab dem 2. August 2028. Anbieter generativer KI-Systeme, die schon vor dem 2. August 2026 auf dem Markt waren, haben für die maschinenlesbare Kennzeichnung nach Artikel 50 Absatz 2 bis zum 2. Dezember 2026 Zeit. Ab dem 2. Dezember 2026 gelten außerdem zwei neue Verbote: KI-Systeme, die nicht einvernehmliche intime Darstellungen realer Personen erzeugen, und KI-Systeme, die Darstellungen sexuellen Kindesmissbrauchs erzeugen. Die Quelle ist die Verordnung im Amtsblatt (EUR-Lex). Weil sich Zeitpläne weiter ändern können, prüfen Sie den aktuellen Stand dort, auf den Seiten der EU-Kommission und im AI Act Service Desk.

Was für Betriebe als Betreiber relevant ist

KI-Kompetenz (Artikel 4)

Anbieter und Betreiber von KI-Systemen müssen Maßnahmen ergreifen, um die KI-Kompetenz ihres Personals und anderer Personen zu fördern, die in ihrem Auftrag mit KI-Systemen arbeiten. Gemeint ist ein angemessenes Verständnis für Möglichkeiten, Risiken und den sicheren Umgang. Seit der Änderung durch die Verordnung (EU) 2026/1744 ist klargestellt, dass kein bestimmtes Kompetenzniveau einzelner Personen garantiert werden muss; maßgeblich sind Vorkenntnisse, Erfahrung und der Einsatzzusammenhang. Ein Zertifikat verlangt die Vorschrift nicht; kurze Einweisungen, Regeln für die Nutzung und Weiterbildung sind sinnvolle Bausteine. Sie sollten dokumentieren, was Sie getan haben.

Verbotene Praktiken

Für die meisten Betriebe sind sie fern vom Alltag, sollten aber bekannt sein, besonders beim Einsatz von Systemen, die Menschen bewerten oder deren Verhalten beeinflussen.

Transparenz (Artikel 50)

Kurz zusammengefasst nennt die Vorschrift folgende Fälle:

• Wer mit einem KI-System spricht (z. B. einem Chatbot), muss grundsätzlich erkennen können, dass es sich um KI handelt. Die Pflicht trifft formal den Anbieter; wer einen Chatbot unter eigenem Namen auf der Website betreibt, kann selbst Anbieter sein und sollte den Hinweis in jedem Fall setzen.
• Deepfakes, also KI-erzeugte oder -veränderte Bild-, Ton- oder Videoinhalte, die wirklichen Personen, Gegenständen, Orten, Einrichtungen oder Ereignissen ähneln und fälschlich als echt erscheinen würden (Art. 3 Nr. 60), müssen als künstlich erzeugt offengelegt werden. Das kann auch ein fotorealistisches KI-Bild eines Zimmers, Gerichts oder Produkts sein.
• KI-generierte Texte, die veröffentlicht werden, um die Öffentlichkeit über Themen von öffentlichem Interesse zu informieren, müssen offengelegt werden, es sei denn, sie wurden menschlich geprüft und eine Person trägt die redaktionelle Verantwortung.

Ob Ihre Website-Texte und Bilder darunterfallen, hängt vom Inhalt und Zweck ab. Unabhängig davon empfehlen wir eine offene Kennzeichnung, wie Sie sie auch auf dieser Seite finden. Zur Frage von Bildern lesen Sie Bilder mit KI erstellen.

Hochrisiko-Einsatz: Vorsicht bei Personal

Wer KI für Bewerberauswahl oder Beurteilung von Beschäftigten einsetzen möchte, bewegt sich in einem Bereich, den die Verordnung als hochriskant einstuft. Hier sind strengere Pflichten für Betreiber vorgesehen. Holen Sie sich vorab fachkundigen Rat.

Und die Größe des Betriebs?

Die Verordnung sieht einzelne Erleichterungen für kleine und mittlere Unternehmen vor, etwa bei Verfahren und Gebühren. Die Grundpflichten, etwa die Verbote und die Pflicht, KI-Kompetenz zu fördern, gelten unabhängig von der Betriebsgröße. Mit dem Omnibus wurden einige Erleichterungen auf kleine Mid-Caps ausgedehnt; sie betreffen vor allem Unternehmen, die selbst KI anbieten.

Zusammenspiel mit der DSGVO

Die KI-Verordnung ersetzt weder Datenschutz noch Urheberrecht. Wer personenbezogene Daten in KI-Dienste eingibt, muss weiterhin die DSGVO beachten, siehe Darf ich Kundendaten in ChatGPT & Co. eingeben?.

Was Sie jetzt tun können

1. Bestandsaufnahme: Welche KI-Werkzeuge nutzt der Betrieb wofür?
2. Regeln aufschreiben: erlaubte Tools, Eingaben, Verantwortliche.
3. Team einweisen und das dokumentieren.
4. KI-Hinweise dort setzen, wo Nutzer mit KI sprechen oder KI-Inhalte sehen.
5. Hochrisiko-Felder meiden oder Rat einholen.
6. Zeitplan beobachten, weil sich Fristen noch verschieben können.

Weiterführend

Einen kompakten Einstieg bietet unser Kurs zu EU AI Act und DSGVO in der KI-Akademie. Bei der Einführung im Betrieb unterstützt die KI-Beratung. Die rechtliche Prüfung Ihres Einzelfalls übernehmen Fachleute für IT- und Datenschutzrecht.