Stand: 25. Juli 2026

Künstliche Intelligenz ist in vielen kleinen und mittleren Unternehmen längst im Arbeitsalltag angekommen: Mitarbeitende formulieren Texte mit KI, fassen Dokumente zusammen, analysieren Daten oder beantworten Kundenanfragen mithilfe eines Chatbots. Mit dem EU AI Act – auf Deutsch häufig KI-Verordnung genannt – entstehen dafür neue Spielregeln.

Ein wichtiger Stichtag ist der 2. August 2026. Ab diesem Datum gelten insbesondere neue Transparenzvorgaben. Außerdem beginnt die Durchsetzung weiterer Bestimmungen. Das bedeutet jedoch nicht, dass jedes Unternehmen nun ein umfangreiches Zertifizierungsprojekt starten muss. Entscheidend ist, welche KI eingesetzt wird, wofür sie verwendet wird und welche Rolle das Unternehmen dabei einnimmt.

Betrifft der EU AI Act überhaupt normale KMU?

Grundsätzlich ja. Die Verordnung unterscheidet nicht nur nach Unternehmensgröße, sondern vor allem nach Rolle und Risiko eines KI-Systems.

Ein KMU kann beispielsweise:

Die meisten KMU, die Standardlösungen wie einen KI-Assistenten, ein Übersetzungswerkzeug oder eine Analyseanwendung verwenden, sind Betreiber. Wer eine KI-Lösung jedoch wesentlich verändert, in ein eigenes Produkt integriert oder unter dem eigenen Namen anbietet, kann umfangreichere Anbieterpflichten übernehmen.

Nicht jede KI-Anwendung ist automatisch hochriskant

Der AI Act verfolgt einen risikobasierten Ansatz: Je größer das mögliche Risiko für Menschen und ihre Grundrechte ist, desto strenger sind die Anforderungen.

Viele alltägliche Anwendungen fallen nicht in die Hochrisikokategorie. Dazu gehören typischerweise:

Anders kann es aussehen, wenn KI beispielsweise Bewerber bewertet, Beschäftigte beurteilt, den Zugang zu wichtigen Leistungen beeinflusst oder als sicherheitsrelevanter Bestandteil eines regulierten Produkts eingesetzt wird.

Für bestimmte eigenständige Hochrisiko-Systeme, etwa in sensiblen Bereichen wie Beschäftigung, gelten die entsprechenden Regelungen nach dem aktuell angepassten Zeitplan ab 2. Dezember 2027. Für KI als Bestandteil bestimmter regulierter Produkte ist der 2. August 2028 relevant.

Diese späteren Termine sind kein Grund, das Thema aufzuschieben. Datenschutz, Arbeitsrecht, Mitbestimmung und bestehende Sicherheitsanforderungen gelten unabhängig vom AI Act bereits heute.

Was ändert sich ab dem 2. August 2026?

Für viele KMU sind vor allem die Transparenzpflichten aus Artikel 50 relevant. Sie sollen verhindern, dass Menschen unbemerkt mit KI interagieren oder künstlich erzeugte Inhalte für echt halten.

1. Interaktion mit einem KI-System

Menschen müssen grundsätzlich erkennen können, wenn sie direkt mit einem KI-System interagieren – etwa bei einem Kundenservice-Chatbot –, sofern dies nicht ohnehin offensichtlich ist.

Die technische Gestaltungspflicht liegt vor allem beim Anbieter des Systems. Unternehmen, die einen solchen Chatbot einsetzen, sollten trotzdem prüfen, ob der Hinweis in ihrer konkreten Anwendung sichtbar, verständlich und rechtzeitig erfolgt.

Ein einfacher Hinweis kann beispielsweise lauten:

„Sie kommunizieren mit einem KI-gestützten Assistenten. Bei Bedarf übernehmen unsere Mitarbeitenden.“

2. Deepfakes und täuschend echte Medien

Wer KI-generierte oder manipulierte Bild-, Audio- oder Videoinhalte einsetzt, die reale Personen, Orte, Gegenstände oder Ereignisse täuschend echt darstellen, muss diese in den erfassten Fällen klar als künstlich erzeugt oder verändert kennzeichnen.

Das kann beispielsweise relevant werden, wenn ein Unternehmen:

3. Texte zu Themen von öffentlichem Interesse

Auch KI-generierte oder manipulierte Texte können kennzeichnungspflichtig sein, wenn sie veröffentlicht werden, die Öffentlichkeit informieren sollen und Themen von öffentlichem Interesse betreffen. Dazu zählen beispielsweise öffentliche Gesundheit, Sicherheit, Grundrechte, Politik oder öffentliche Dienstleistungen.

Wichtig für Unternehmensblogs: Eine Kennzeichnung ist nach den Erläuterungen der EU-Kommission nicht erforderlich, wenn der Inhalt einer menschlichen Überprüfung unterzogen wurde und eine natürliche oder juristische Person die redaktionelle Verantwortung übernimmt.

Für eine verlässliche Unternehmenskommunikation empfiehlt sich deshalb ohnehin:

  1. Fakten und Quellen prüfen.
  2. Aussagen fachlich freigeben.
  3. Verantwortlichkeiten dokumentieren.
  4. Den Beitrag erst danach veröffentlichen.

4. Emotionserkennung und biometrische Kategorisierung

Wer Systeme zur Emotionserkennung oder biometrischen Kategorisierung verwendet, muss betroffene Personen in den einschlägigen Fällen darüber informieren. Solche Anwendungen sind besonders sensibel und sollten vor ihrer Einführung rechtlich und technisch sorgfältig geprüft werden.

KI-Kompetenz ist bereits heute ein Thema

Die Vorgaben zur KI-Kompetenz gelten bereits seit dem 2. Februar 2025. Unternehmen sollten dafür sorgen, dass Personen, die KI-Systeme einsetzen oder betreiben, über ein angemessenes Maß an Wissen verfügen.

Das bedeutet nicht zwangsläufig, dass alle Beschäftigten eine umfangreiche Zertifizierung benötigen. Art und Umfang der Qualifizierung sollten zur jeweiligen Aufgabe und zum Risiko passen.

Eine Person, die KI lediglich als Formulierungshilfe verwendet, benötigt andere Kenntnisse als jemand, der einen Kundenchatbot konfiguriert oder KI-Ausgaben in Personalentscheidungen einbezieht.

Eine praxistaugliche Schulung sollte mindestens vermitteln:

Was KMU jetzt konkret tun sollten

Statt sofort ein umfangreiches Compliance-Projekt zu beginnen, können KMU strukturiert in sieben Schritten vorgehen.

Schritt 1: KI-Inventar erstellen

Erfassen Sie, welche KI-Anwendungen offiziell und inoffiziell genutzt werden. Dazu gehören auch KI-Funktionen, die bereits in Büro-, CRM-, HR- oder Marketingsoftware enthalten sind.

Schritt 2: Zweck und Risiko festhalten

Dokumentieren Sie für jede Anwendung den Zweck, die betroffenen Personen, die verwendeten Daten und die möglichen Auswirkungen eines Fehlers. Eine erste Einteilung in geringes, erhöhtes oder potenziell hohes Risiko schafft Orientierung.

Schritt 3: Eigene Rolle bestimmen

Klären Sie, ob das Unternehmen Betreiber, Anbieter, Händler oder Importeur ist. Prüfen Sie außerdem, ob eine Lösung nur intern eingesetzt, wesentlich verändert oder Teil eines eigenen Kundenprodukts wird.

Schritt 4: Transparenz prüfen

Kontrollieren Sie insbesondere Chatbots, künstlich erzeugte Medien, Texte zu Themen von öffentlichem Interesse sowie Anwendungen zur Emotionserkennung oder biometrischen Kategorisierung. Legen Sie fest, wann und wie Hinweise angebracht werden.

Schritt 5: Menschliche Kontrolle organisieren

Definieren Sie, welche KI-Ergebnisse vor ihrer Verwendung geprüft und freigegeben werden müssen. Je stärker eine Ausgabe Kunden, Beschäftigte oder wichtige Entscheidungen betrifft, desto wichtiger ist eine qualifizierte menschliche Kontrolle.

Schritt 6: Mitarbeitende qualifizieren

Schaffen Sie verständliche Regeln und rollenbezogene Schulungen. Eine kurze KI-Richtlinie sollte erlaubte Werkzeuge, ausgeschlossene Daten, Prüfpflichten und Ansprechpersonen benennen.

Schritt 7: Anbieter und Verträge prüfen

Lassen Sie sich vom Lösungsanbieter Informationen zu Zweck, Funktionsweise, Datenschutz, Sicherheitsmaßnahmen, Protokollierung und AI-Act-Einordnung geben. Bei geschäftskritischen Anwendungen sollten auch Ausstiegs- und Wechselmöglichkeiten berücksichtigt werden.

Datenschutz bleibt ein eigenständiges Thema

Der AI Act ersetzt weder die Datenschutz-Grundverordnung noch andere bestehende Vorschriften.

Sobald personenbezogene Daten verarbeitet werden, müssen Unternehmen unter anderem Rechtsgrundlage, Zweckbindung, Datenminimierung, Aufbewahrung und Betroffenenrechte prüfen. Abhängig vom Risiko kann zudem eine Datenschutz-Folgenabschätzung erforderlich sein.

Besondere Vorsicht ist geboten, wenn Mitarbeitende vertrauliche Kunden-, Personal- oder Unternehmensdaten in frei zugängliche KI-Dienste eingeben. Eine technische Freigabe allein reicht deshalb nicht aus: Benötigt werden klare Regeln, passende Verträge und sichere Einstellungen.

Fazit: Erst Transparenz schaffen, dann gezielt handeln

Der EU AI Act soll den Einsatz künstlicher Intelligenz nicht verhindern. Für KMU besteht die wichtigste Aufgabe zunächst darin, Transparenz über die eigene Nutzung zu schaffen.

Wer weiß, welche Systeme im Unternehmen eingesetzt werden, welche Daten sie verarbeiten und welche Entscheidungen sie beeinflussen, kann die notwendigen Maßnahmen meist pragmatisch ableiten. Ein KI-Inventar, klare Verantwortlichkeiten, menschliche Kontrollen und rollenbezogene Schulungen bilden dafür eine solide Grundlage.

So wird Compliance nicht zum Selbstzweck, sondern zu einem Qualitätsmerkmal: Unternehmen reduzieren Risiken, stärken das Vertrauen von Kunden und Beschäftigten und schaffen zugleich die Voraussetzungen, um KI wirtschaftlich sinnvoll einzusetzen.

Hinweis: Dieser Beitrag bietet eine allgemeine Orientierung und ersetzt keine Rechtsberatung. Die konkrete Einordnung hängt vom jeweiligen System, Einsatzzweck und Vertragsmodell ab.

Weiterführende Informationen:

KI-Fragen für Ihr Unternehmen?

peistrup24 berät kleine und mittelständische Unternehmen beim wirtschaftlich effizienten KI-Einsatz.
Unverbindlich anfragen →