Was gilt für uns — und ab wann?
Die EU-KI-Verordnung für kleine und mittlere Unternehmen
Die KI-Verordnung ist als Produktrecht geschrieben und liest sich entsprechend. Für einen Betrieb mit dreißig Beschäftigten, der ChatGPT benutzt und dessen Branchensoftware seit dem letzten Update eine KI-Funktion hat, ist die eigentliche Frage aber viel enger: Was davon betrifft uns überhaupt, und was ist davon schon fällig?
Kurz gesagt
Die meisten kleinen und mittleren Unternehmen fallen unter die Verordnung nicht als Entwickler, sondern als Betreiber zugekaufter Werkzeuge. Praktisch heißt das: KI-Kompetenz nach Artikel 4 ist seit Februar 2025 fällig, Transparenzpflichten nach Artikel 50 seit August 2026, und die aufwendigen Hochrisiko-Anforderungen betreffen viele Betriebe gar nicht, wenn bestimmte Anforderungen beachtet werden
Die drei Fragen, die Ihre Pflichten bestimmen
Einen einfachen Pflichtenkatalog, der für alle Unternehmen gleich aussieht, gibt es nicht. Was zu tun ist, ergibt sich grob aus drei Fragen und Antworten, die sich auch von Fachfremden beantworten lassen.
In welcher Rolle handeln Sie?
Wer ein Werkzeug einkauft und benutzt, ist Betreiber. Wer eines entwickelt, unter eigenem Namen weitergibt oder wesentlich verändert, ist Anbieter und trägt deutlich mehr. Die meisten Betriebe sind Betreiber, einige aber sind beides, ohne es zu wissen.
In welche Risikostufe fällt der Einsatz?
Die Verordnung stuft Risiko nach Anwendungsfall, nicht nach der Technik selbst. Dasselbe Sprachmodell kann im Marketingtext unkritisch und in der Bewerbervorauswahl ein Hochrisiko-Fall sein. Entscheidend ist also nie das Produkt, sondern wozu Sie es einsetzen.
Wirkt das Ergebnis nach außen?
Die Transparenzpflichten knüpfen daran an, ob ein Mensch außerhalb Ihres Hauses mit einer KI interagiert oder KI-erzeugte Inhalte vorgesetzt bekommt. Eine interne Zusammenfassung für die eigene Geschäftsführung ist etwas anderes als ein Chatbot auf der Website. Hier gelten auch für die generierten Inhalte nuancierte Regeln, insofern die Inhalte bspw. als Deepfake klassifiziert werden können.
Was für die meisten KMU tatsächlich anfällt
Wenn Sie KI ausschließlich zukaufen und im eigenen Haus benutzen, ist die Liste überschaubar. Es entsteht trotzdem Arbeit, weil Entscheidungen verlangt werden, die vorher niemand getroffen hat.
- Wissen, welche KI im Haus tatsächlich läuft, einschließlich der Funktionen, die mit einem Update auf Bestandssoftware eingeführt wurden.
- Maßnahmen ergreifen, um die KI-Kompetenz der Menschen zu unterstützen, die sie benutzen, und das nachvollziehbar festhalten.
- Regeln, welche Daten in welches Werkzeug gelangen dürfen und wer im Zweifel entscheidet.
- Prüfen, wo KI-Einsatz nach außen wirkt und deshalb erkennbar sein muss.
- Bei den Anbietern nachsehen, ob deren Unterlagen ausreichen, damit Sie Ihre eigenen Pflichten erfüllen können.
Das sind Managementfragen: Wo setzen wir was ein, mit welchen Daten, wer verantwortet es, die einem gut geführtes Unternehmen auch anderweitig Vorteile im Prozessmanagement bringen
Der Zeitplan, Stand heute
Die Fristen haben sich 2026 zweimal bewegt. Der Digital Omnibus hat im Juli die Hochrisiko-Stufen deutlich nach hinten geschoben, an den Terminen der bereits geltenden Pflichten aber nichts geändert. Was gilt, gilt. Inhaltlich neu gefasst hat er Artikel 4: Die KI-Kompetenz ist seitdem ausdrücklich schlanker geregelt, abgeschafft ist sie nicht.
- 2. Februar 2025gilt bereits
Verbotene Praktiken und KI-Kompetenz nach Art. 4
Die erste Stufe, die kleine und mittlere Unternehmen tatsächlich betrifft. Seitdem muss ein Unternehmen Maßnahmen ergreifen, um die KI-Kompetenz der Menschen zu unterstützen, die in seinem Auftrag KI einsetzen. Ein bestimmtes Niveau muss nicht garantiert werden.
- 2. August 2025gilt bereits
Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck
Betrifft die Hersteller der großen Modelle, nicht die Betriebe, die sie benutzen. Für ein KMU ist das mittelbar relevant: Ihr Anbieter muss Ihnen inzwischen Unterlagen liefern können.
- 2. August 2026gilt bereits
Transparenzpflichten nach Art. 50 und die deutsche Marktüberwachung
Seitdem müssen bestimmte KI-Einsätze im Außenkontakt erkennbar sein, und die Bundesnetzagentur ist als Marktüberwachungsbehörde tätig. Die Pflicht hängt am Einsatzfall, nicht an der Unternehmensgröße.
- 2. Dezember 2026noch nicht fällig
Übergangsfrist für Bestandssysteme bei der Transparenz
Für Systeme, die vor dem Stichtag bereits liefen, endet die Schonfrist bei den Transparenzanforderungen nach Art. 50 Abs. 2.
- 2. Dezember 2027noch nicht fällig
Eigenständige Hochrisiko-Systeme nach Anhang III
Ursprünglich für August 2026 vorgesehen, durch den Digital Omnibus um sechzehn Monate verschoben. Betrifft unter anderem KI in Personalauswahl, Kreditvergabe und kritischer Infrastruktur.
- 2. August 2028noch nicht fällig
Hochrisiko-KI als Produktbestandteil nach Anhang I
Der Fall, der spezialisierte Zulieferer betrifft: KI, die in ein Produkt eingebaut ist, das ohnehin schon sektoralen Sicherheitsregeln unterliegt — etwa Maschinen oder Medizinprodukte.
Was oft behauptet wird und so nicht stimmt
„Jede KI-Ausgabe muss gekennzeichnet werden.“
Nein. Die Transparenzpflichten treffen bestimmte Konstellationen: Interaktion mit einem Chatbot, synthetische Bild-, Ton- und Videoinhalte, Deepfakes, teils öffentlich verbreitete Texte. Eine KI-gestützte interne Notiz fällt nicht darunter.
„Für kleine Unternehmen gilt das alles nicht.“
Die Pflichten hängen am Anwendungsfall, nicht an der Mitarbeiterzahl. Erleichterungen gibt es bei Bußgeldern und bei manchen Dokumentationsanforderungen, nicht bei der Frage, ob eine Pflicht besteht.
„Wir brauchen ein Zertifikat.“
Für Betreiber existiert keine vorgeschriebene Zertifizierung. Was zählt, ist der nachvollziehbare Umgang mit den eigenen Anwendungsfällen — ein Siegel an der Wand ersetzt ihn nicht und wird auch von niemandem verlangt.
„Solange wir nichts Eigenes bauen, sind wir raus.“
Betreiber haben weniger Pflichten als Anbieter, sind aber nicht ohne Verpflichtung. Und wer ein zugekauftes System unter eigenem Namen weitergibt oder wesentlich verändert, wechselt die Rolle, ohne eine Zeile Code geschrieben zu haben.
Wer in Deutschland zuständig ist
Seit dem 29. Juli 2026 gibt es mit dem KI-Marktüberwachungs- und Innovationsförderungsgesetz die deutsche Umsetzung. Die zentrale Marktüberwachungsbehörde ist die Bundesnetzagentur; für Finanzdienstleistungen bleibt die BaFin zuständig, für kritische Infrastruktur ist das BSI eingebunden, und in sektoral geregelten Produktbereichen bleiben die bestehenden Behörden am Ruder.
Der für kleine Unternehmen praktisch wichtigste Teil ist dabei nicht die Aufsicht, sondern das Angebot: Die Bundesnetzagentur betreibt einen KI-Service-Desk und Reallabore und hat ausdrücklich den Auftrag, Unternehmen beim Einsatz von KI zu unterstützen. Das kostet nichts und ist der richtige erste Anlauf, bevor jemand Geld für eine Auskunft ausgibt.
Der nächste Schritt
Wenn Sie das nicht allein machen wollen: Die vier Bausteine
Das Programm arbeitet genau diese Liste ab: Inventar, Risikoeinordnung, Regelwerk, Kompetenz. Wenn Sie zuerst wissen wollen, wo Sie stehen, ist der Readiness-Check der kürzere Weg.
Vor Ort
Was das in der Region bedeutet
Für den spezialisierten Mittelstand zwischen Zollernalbkreis und Tuttlingen ist eine Unterscheidung besonders wichtig: Wer KI nur im eigenen Betrieb einsetzt, bleibt Betreiber mit überschaubaren Pflichten. Wer dagegen eine KI-Funktion in ein Produkt einbaut, das als Maschine oder Medizinprodukt ohnehin sektoralen Regeln unterliegt, landet im Anhang-I-Fall mit Frist 2028. In einer Region mit dieser Dichte an Zulieferern und Medizintechnik ist das keine theoretische Konstellation.
Vor Ort im Zollernalbkreis, in Rottweil, Tuttlingen, Freudenstadt, Tübingen und Reutlingen — und im gesamten Großraum Stuttgart.
Häufige Fragen
Was dazu am häufigsten gefragt wird
Gilt die EU-KI-Verordnung auch für kleine Unternehmen?
Was muss ein KMU seit dem 2. August 2026 konkret tun?
Sind wir von den Hochrisiko-Anforderungen betroffen?
Welche Fristen gelten nach dem Digital Omnibus noch?
Wer kontrolliert die Einhaltung in Deutschland?
Brauchen wir für die KI-Verordnung einen externen Berater?
Weiterlesen
Fragen, die sich daran anschließen
Welche Rolle haben wir — und was folgt daraus?
Anbieter oder Betreiber? Was Ihre Rolle nach der KI-Verordnung bedeutet
Zum ArtikelWie bekommen wir einen Überblick über unsere KI-Nutzung?
KI-Inventar erstellen: Erfassen, was im Haus wirklich läuft
Zum ArtikelBrauchen wir eine KI-Schulung — und was muss dokumentiert sein?
KI-Kompetenz nach Artikel 4: Was Unternehmen nachweisen müssen
Zum ArtikelWir brauchen eine KI-Richtlinie. Was muss da hinein?
KI-Regeln im Unternehmen: Was in eine Richtlinie gehört
Zum ArtikelAus dem Blog
Die Überlegungen dahinter
Vertiefende Informationen, weiterführende Impulse und Meinungen zum Thema im Blog.
Sieben Fragen vor der Freigabe eines KI-Tools
Vor der Freigabe eines KI-Tools reicht ein Produktvergleich nicht aus. Oft ist aber ein kurzer Prüfrahmen der bessere Einstieg als eine große Governance-Analyse.
WeiterlesenKI-Regelwerk auf einer Seite: Schnelle Hilfe bei KI-Compliance
Ein gutes KI-Regelwerk ist ein kurzes Papier und eine praxisnahe Orientierung für den Alltag. Es geht um klare Regeln, verbindliche Zuständigkeiten und einen sicheren Umgang mit KI-Tools.
WeiterlesenKI-Omnibus 2026: Welche Fristen sich verschieben und was das für Unternehmen praktisch bedeutet
Der KI-Omnibus 2026 verschiebt zentrale Fristen der EU-KI-Verordnung. Entscheidend ist jetzt, die gewonnene Zeit sinnvoll zu nutzen: mit sauberem Inventar, klaren Zuständigkeiten und realistischen Umsetzungsplänen.
WeiterlesenGrundlagen
Quellen
- Verordnung (EU) 2024/1689 im Volltext
- Europäische Kommission — Regulatorischer Rahmen für KI
- Bundesnetzagentur — KI-Marktüberwachung
- KI-MIG im Bundesgesetzblatt
Diese Seite erklärt betriebliche Anforderungen und ersetzt keine Rechtsberatung. Wo eine Frage tatsächlich juristisch zu entscheiden ist, weise ich Sie darauf hin und empfehle, wer sie beantworten muss.
Was gilt für uns — und ab wann?
Im kostenlosen Erstgespräch klären wir in 20 Minuten, wie das für Ihr Haus konkret aussieht — ohne Detailprüfung und ohne Verpflichtung.