EU AI Act: Was die KI-Verordnung von Ihrem Betrieb verlangt
Der EU AI Act, auf Deutsch KI-Verordnung, ist die europäische Verordnung, die regelt, wie KI-Systeme entwickelt, angeboten und eingesetzt werden dürfen. Für die meisten kleinen und mittleren Unternehmen ist er überschaubarer, als viele Schlagzeilen vermuten lassen. Auf dieser Seite ordnen wir ein, was für Sie als Betrieb, der KI nutzt, heute gilt, was noch kommt und was Sie konkret tun können.
Die KI-Verordnung in einem Absatz
Die KI-Verordnung gilt unmittelbar in allen EU-Mitgliedstaaten. Sie teilt KI-Anwendungen nach ihrem Risiko ein und knüpft daran unterschiedlich strenge Pflichten. Sie unterscheidet vor allem zwischen Anbietern, die ein KI-System entwickeln oder unter eigenem Namen in Verkehr bringen, und Betreibern, die ein KI-System in eigener Verantwortung beruflich nutzen. Seit dem 27. Juli 2026 gilt sie in der Fassung der Verordnung (EU) 2026/1744, dem sogenannten Digital Omnibus on AI, der einzelne Pflichten neu gefasst und Fristen verschoben hat.
Sind Sie Betreiber? Wahrscheinlich ja.
Betreiber ist, wer ein KI-System in eigener Verantwortung beruflich nutzt. Rein private Nutzung zählt nicht. Das trifft praktisch jedes Unternehmen, das KI-Werkzeuge im Arbeitsalltag einsetzt.
Typische Betreiber-Situationen:
- Ihr Team schreibt Entwürfe mit ChatGPT oder einem ähnlichen Werkzeug.
- Sie nutzen Microsoft 365 Copilot in Word, Outlook oder Teams.
- Ihre Fachsoftware hat KI-Funktionen, etwa zum Zusammenfassen oder Auslesen von Dokumenten.
- Auf Ihrer Website antwortet ein Chat-Assistent, den ein Dienstleister bereitstellt.
Wann Sie auch Anbieter sein können: Wer ein KI-System selbst entwickelt oder unter eigenem Namen oder eigener Marke in Verkehr bringt, kann Anbieter sein, etwa bei einem selbst gebauten Chatbot, den Sie Kunden anbieten. Anbieter haben deutlich mehr Pflichten. Ob das in Ihrem Fall zutrifft, ist eine Einzelfallfrage, die Sie mit Ihrer Rechtsberatung klären sollten.
Vier Risikostufen, und wo Ihr Betrieb meist steht
-
Verbotene Praktiken (Art. 5)
KI-Anwendungen, die Grundrechte massiv gefährden, sind seit dem 2. Februar 2025 verboten. Beispiele: Social Scoring oder Emotionserkennung am Arbeitsplatz (mit engen Ausnahmen aus medizinischen oder Sicherheitsgründen).
-
Hochrisiko-Systeme (Art. 6 mit Anhang I und III)
KI in sensiblen Bereichen, etwa bei der Auswahl von Bewerbungen, bei Entscheidungen über Beschäftigte oder in bestimmten Produkten. Hier gelten strenge Pflichten zu Dokumentation, menschlicher Aufsicht und Qualität, nach dem Digital Omnibus aber erst ab Dezember 2027 bzw. August 2028.
-
Transparenzpflichten (Art. 50)
Bei Chatbots, Deepfakes und bestimmten KI-Texten muss erkennbar sein, dass KI im Spiel ist. Gilt seit dem 2. August 2026.
-
Übrige Anwendungen
Die meisten KI-Werkzeuge im Büroalltag fallen in keine der strengen Kategorien. Für sie gilt vor allem Art. 4, die KI-Kompetenz.
Für die meisten Betriebe sind deshalb zwei Artikel entscheidend: Art. 4 (KI-Kompetenz) und Art. 50 (Transparenz).
Zeitleiste mit Fundstellen
- 12.07.2024
Veröffentlichung der KI-Verordnung im Amtsblatt der EU
VO (EU) 2024/1689 - 01.08.2024
Inkrafttreten der KI-Verordnung
Art. 113 KI-VO - 02.02.2025
KI-Kompetenz (Art. 4) und Verbote bestimmter KI-Praktiken (Art. 5) gelten
Art. 113 lit. a KI-VO - 02.08.2025
Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck, Regeln zu Aufsicht und Sanktionen
Art. 113 lit. b KI-VO - 27.07.2026
Digital Omnibus in Kraft: Art. 4 neu gefasst, Hochrisiko-Fristen verschoben, Übergangsfrist für Art. 50 Abs. 2
VO (EU) 2026/1744 - 29.07.2026
Deutsches Durchführungsgesetz in Kraft: Bundesnetzagentur wird zentrale Marktüberwachungsbehörde
KI-MIG, BGBl. 2026 I Nr. 223 - 02.08.2026
Transparenzpflichten (Art. 50) gelten; nationale Behörden beaufsichtigen die Verordnung
Art. 50, Art. 113 KI-VO - Stand · 02.10.2026
- 02.12.2026
Maschinenlesbare Markierung durch Anbieter für Systeme, die vor dem 02.08.2026 in Verkehr gebracht wurden; zusätzliche Verbote (u. a. KI-erzeugte nicht einvernehmliche intime Darstellungen)
Art. 50 Abs. 2, Art. 5 i. d. F. der VO (EU) 2026/1744 - 02.12.2027
Pflichten für Hochrisiko-Systeme nach Anhang III (z. B. Beschäftigung, Bildung)
Art. 6 Abs. 2 i. V. m. VO (EU) 2026/1744 - 02.08.2028
Pflichten für Hochrisiko-Systeme in Produkten nach Anhang I
Art. 6 Abs. 1 i. V. m. VO (EU) 2026/1744
Ältere Darstellungen, nach denen Hochrisiko-Pflichten ab August 2026 oder August 2027 gelten, sind durch den Digital Omnibus überholt.
Art. 4: KI-Kompetenz im Team
Unternehmen, die KI einsetzen, müssen nach Art. 4 der EU-KI-Verordnung Maßnahmen ergreifen, die die Entwicklung der KI-Kompetenz ihres Teams unterstützen. Ein Zertifikat ist dafür nicht vorgeschrieben.
Seit der Neufassung zum 27. Juli 2026 müssen Unternehmen kein bestimmtes Kompetenzniveau garantieren. Welche Maßnahmen passen, hängt von Vorwissen, Aufgaben und eingesetzten Systemen ab: eine Schulung, interne Regeln, Einweisungen bei neuen Werkzeugen. Die Bundesnetzagentur empfiehlt, die Maßnahmen zu dokumentieren. Ein Bußgeld für Art. 4 sieht das deutsche Durchführungsgesetz derzeit nicht vor; bei Schäden kann fehlende Kompetenz trotzdem eine Rolle spielen.
→ KI-Kompetenz-Schulung für Ihr Team · Hintergrund: Art. 4 nach der Neufassung
Art. 50: Transparenz bei Chatbots, Bildern und Texten
Seit dem 2. August 2026 gelten die Transparenzpflichten aus Art. 50 der EU-KI-Verordnung. Für Unternehmen, die KI nutzen, heißt das vor allem: Deepfakes kennzeichnen, KI-Texte zu Themen von öffentlichem Interesse ohne redaktionelle Prüfung kennzeichnen und bei Chatbots klar sagen, dass eine KI antwortet. Nicht jeder KI-Inhalt muss gekennzeichnet werden.
Verstöße gegen Art. 50 können mit Bußgeldern geahndet werden (Art. 99 Abs. 4 KI-VO). Für kleine und mittlere Unternehmen gilt jeweils der niedrigere Höchstbetrag.
→ KI-Transparenz: Was Sie als Betreiber offenlegen · Praxischeck: KI-Bilder und KI-Texte kennzeichnen
Wer in Deutschland zuständig ist
Seit dem 29. Juli 2026 ist die Bundesnetzagentur nach dem KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG, BGBl. 2026 I Nr. 223) zentrale Marktüberwachungsbehörde, Anlaufstelle und Beschwerdestelle. Fachaufsichten wie die BaFin bleiben in ihren Bereichen zuständig. Für Fragen von Unternehmen betreibt die Bundesnetzagentur einen KI-Service-Desk.
Was Sie als Betreiber wirklich tun sollten
- Bestandsaufnahme machen.
Welche KI-Werkzeuge nutzt Ihr Team, auch ohne offizielle Freigabe? Denken Sie an KI-Funktionen in Fachsoftware und an private Konten, mit denen dienstlich gearbeitet wird.
- Rolle klären.
Für jedes Werkzeug: Nutzen Sie es nur (Betreiber), oder bieten Sie etwas unter eigenem Namen an (möglicherweise Anbieter)?
- KI-Kompetenz unterstützen und dokumentieren.
Schulung, Einweisung, schriftliche Regeln. Halten Sie fest, wer wann was gelernt hat.
- Kennzeichnung prüfen.
Chatbot auf der Website, KI-Bilder mit realistisch wirkenden Personen, veröffentlichte KI-Texte: Wo greift Art. 50?
- Verbotene und Hochrisiko-Anwendungen ausschließen.
Setzen Sie KI bei Bewerbungen, Leistungsbeurteilung oder Emotionserkennung ein? Dann früh fachlichen Rat einholen.
- Datenschutz getrennt betrachten.
Die KI-Verordnung ersetzt die DSGVO nicht. Welche Daten in welches Werkzeug dürfen, ist eine eigene Frage: Datenschutz beim KI-Einsatz.
- Regeln festschreiben.
Eine kurze interne KI-Richtlinie gibt Ihrem Team Orientierung und zeigt, dass Sie das Thema geordnet angehen.
Wenn Sie eine dieser Fragen nicht beantworten können, ist das kein Grund zur Sorge, aber ein guter Startpunkt für das nächste Gespräch im Team.
Was wir für Sie übernehmen
-
Das übernehmen wir als IT-Systemhaus
- Bestandsaufnahme der KI-Werkzeuge und KI-Funktionen in Ihrer IT
- KI-Kompetenz-Schulung mit Teilnahmenachweis
- Organisatorisch-technische KI-Richtlinie (Premium-Paket)
- Prüfung der technischen Datenwege und Einstellungen
- Umsetzung von Kennzeichnung, Hinweisen und Rechten in Ihren Systemen
-
Das klären Sie mit Ihrer Rechtsberatung oder Ihrem Datenschutzbeauftragten
- verbindliche Einordnung, ob Sie im Einzelfall Anbieter oder Betreiber sind
- rechtliche Bewertung von Hochrisiko- oder Grenzfällen
- Datenschutz-Folgenabschätzung und Rechtsgrundlagen
- Vertragsprüfung
Häufige Fragen zum EU AI Act
-
Ja. Die Verordnung gilt unabhängig von der Unternehmensgröße. Für KMU gibt es Erleichterungen, etwa bei Bußgeldern, wo jeweils der niedrigere Höchstbetrag gilt, und Unterstützungsangebote von Kommission und Mitgliedstaaten. Die Grundpflichten aus Art. 4 und Art. 50 gelten aber auch für kleine Betriebe.
-
In der Regel nicht. Ob eine Anwendung als hochriskant gilt, hängt vom Einsatzzweck ab, nicht vom Werkzeug. Wer ChatGPT für Textentwürfe nutzt, ist Betreiber und hat vor allem die Pflichten aus Art. 4 und gegebenenfalls Art. 50. Anders kann es aussehen, wenn KI zum Beispiel über Bewerbungen oder Beschäftigte mitentscheidet.
-
Die Verordnung (EU) 2026/1744 ist seit dem 27. Juli 2026 in Kraft. Sie hat Art. 4 neu gefasst (Maßnahmen statt Sicherstellung eines Niveaus), die Hochrisiko-Pflichten auf Dezember 2027 bzw. August 2028 verschoben und für die maschinenlesbare Markierung durch Anbieter bei Altsystemen eine Frist bis 2. Dezember 2026 gesetzt. Die Betreiberpflichten aus Art. 50 gelten unverändert seit dem 2. August 2026.
-
Nein. Beide gelten nebeneinander. Die KI-Verordnung regelt KI-Systeme und ihren Einsatz, die DSGVO den Umgang mit personenbezogenen Daten. Wer Kundendaten in ein KI-Werkzeug gibt, muss beide im Blick haben.
-
Die Bundesnetzagentur ist seit dem 29. Juli 2026 zentrale Marktüberwachungsbehörde nach dem KI-MIG. In einzelnen Bereichen bleiben Fachaufsichten zuständig, etwa die BaFin bei Finanzdienstleistern.
Quellen
Abgerufen am 02.10.2026.
- AI Act Service Desk der EU-Kommission, Art. 4 KI-VO (konsolidierte Fassung 27.07.2026) (externer Link, öffnet in neuem Tab) ai-act-service-desk.ec.europa.eu
- AI Act Service Desk der EU-Kommission, Art. 50 KI-VO (externer Link, öffnet in neuem Tab) ai-act-service-desk.ec.europa.eu
- Verordnung (EU) 2026/1744 (Digital Omnibus on AI), ABl. L vom 24.07.2026 (externer Link, öffnet in neuem Tab) data.europa.eu
- EU-Kommission, AI literacy – Questions & Answers (Stand 27.07.2026) (externer Link, öffnet in neuem Tab) digital-strategy.ec.europa.eu
- KI-MIG, Gesetz vom 22.07.2026, BGBl. 2026 I Nr. 223 (externer Link, öffnet in neuem Tab) gesetze-im-internet.de
- Bundesnetzagentur, Pressemitteilung vom 29.07.2026 (externer Link, öffnet in neuem Tab) bundesnetzagentur.de
- Bundesnetzagentur, KI-Kompetenz (externer Link, öffnet in neuem Tab) bundesnetzagentur.de
- Lewis Silkin, „The Digital Omnibus on AI enters into force today“ (27.07.2026) (externer Link, öffnet in neuem Tab) lewissilkin.com
Diese Seite gibt eine allgemeine Information zum Stand vom 02.10.2026. Sie ist keine Rechtsberatung und ersetzt nicht die Prüfung Ihres Einzelfalls durch eine Rechtsanwältin, einen Rechtsanwalt oder Ihren Datenschutzbeauftragten.
Wo steht Ihr Betrieb bei der KI-Verordnung?
Im kostenlosen Erstgespräch gehen wir mit Ihnen durch, welche KI-Werkzeuge Sie nutzen und welche der Punkte oben für Sie relevant sind. Danach wissen Sie, ob eine Schulung, eine Bestandsaufnahme oder gerade gar nichts der richtige nächste Schritt ist.
- 30 Minuten, kostenlos
- Video oder Telefon
- Ehrliche Einschätzung