Was gilt für uns — und ab wann?
Die EU-KI-Verordnung für kleine und mittlere Unternehmen
Die KI-Verordnung ist als Produktrecht geschrieben und liest sich entsprechend. Für einen Betrieb mit dreißig Beschäftigten, der ChatGPT benutzt und dessen Branchensoftware seit dem letzten Update eine KI-Funktion hat, ist die eigentliche Frage aber viel enger: Was davon betrifft uns überhaupt, und was ist davon schon fällig?
Kurz gesagt
Die meisten kleinen und mittleren Unternehmen fallen unter die Verordnung nicht als Entwickler, sondern als Betreiber zugekaufter Werkzeuge. Praktisch heißt das: KI-Kompetenz nach Artikel 4 ist seit Februar 2025 fällig, Transparenzpflichten nach Artikel 50 seit August 2026, und die aufwendigen Hochrisiko-Anforderungen betreffen viele Betriebe gar nicht, wenn bestimmte Anforderungen beachtet werden
Auf dieser Seite
Stand: 11. September 2026 · Diese Seite wird gepflegt, wenn sich die Lage ändert.
Die drei Fragen, die Ihre Pflichten bestimmen
Einen einfachen Pflichtenkatalog, der für alle Unternehmen gleich aussieht, gibt es nicht. Was zu tun ist, ergibt sich grob aus drei Fragen und Antworten, die sich auch von Fachfremden beantworten lassen.
In welcher Rolle handeln Sie?
Wer ein Werkzeug einkauft und benutzt, ist Betreiber. Wer eines entwickelt, unter eigenem Namen weitergibt oder wesentlich verändert, ist Anbieter und trägt deutlich mehr. Die meisten Betriebe sind Betreiber, einige aber sind beides, ohne es zu wissen.
In welche Risikostufe fällt der Einsatz?
Die Verordnung stuft Risiko nach Anwendungsfall, nicht nach der Technik selbst. Dasselbe Sprachmodell kann im Marketingtext unkritisch und in der Bewerbervorauswahl ein Hochrisiko-Fall sein. Entscheidend ist also nie das Produkt, sondern wozu Sie es einsetzen.
Wirkt das Ergebnis nach außen?
Die Transparenzpflichten knüpfen daran an, ob ein Mensch außerhalb Ihres Hauses mit einer KI interagiert oder KI-erzeugte Inhalte vorgesetzt bekommt. Eine interne Zusammenfassung für die eigene Geschäftsführung ist etwas anderes als ein Chatbot auf der Website. Hier gelten auch für die generierten Inhalte nuancierte Regeln, insofern die Inhalte bspw. als Deepfake klassifiziert werden können.
Was für die meisten KMU tatsächlich anfällt
Wenn Sie KI ausschließlich zukaufen und im eigenen Haus benutzen, ist die Liste überschaubar. Es entsteht trotzdem Arbeit, weil Entscheidungen verlangt werden, die vorher niemand getroffen hat.
- Wissen, welche KI im Haus tatsächlich läuft, einschließlich der Funktionen, die mit einem Update auf Bestandssoftware eingeführt wurden.
- Dafür sorgen, dass die Menschen, die sie benutzen, mit ihr umgehen können, und das nachvollziehbar festhalten.
- Regeln, welche Daten in welches Werkzeug gelangen dürfen und wer im Zweifel entscheidet.
- Prüfen, wo KI-Einsatz nach außen wirkt und deshalb erkennbar sein muss.
- Bei den Anbietern nachsehen, ob deren Unterlagen ausreichen, damit Sie Ihre eigenen Pflichten erfüllen können.
Das sind Managementfragen: Wo setzen wir was ein, mit welchen Daten, wer verantwortet es, die einem gut geführtes Unternehmen auch anderweitig Vorteile im Prozessmanagement bringen
Der Zeitplan, Stand heute
Die Fristen haben sich 2026 zweimal bewegt. Der Digital Omnibus hat im Juli die Hochrisiko-Stufen deutlich nach hinten geschoben, an den bereits geltenden Pflichten aber nichts geändert. Was gilt, gilt.
- 2. Februar 2025gilt bereits
Verbotene Praktiken und KI-Kompetenz nach Art. 4
Die erste Stufe, die kleine und mittlere Unternehmen tatsächlich betrifft. Seitdem muss ein Unternehmen dafür sorgen, dass die Menschen, die in seinem Auftrag KI einsetzen, damit umgehen können.
- 2. August 2025gilt bereits
Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck
Betrifft die Hersteller der großen Modelle, nicht die Betriebe, die sie benutzen. Für ein KMU ist das mittelbar relevant: Ihr Anbieter muss Ihnen inzwischen Unterlagen liefern können.
- 2. August 2026gilt bereits
Transparenzpflichten nach Art. 50 und die deutsche Marktüberwachung
Seitdem müssen bestimmte KI-Einsätze im Außenkontakt erkennbar sein, und die Bundesnetzagentur ist als Marktüberwachungsbehörde tätig. Die Pflicht hängt am Einsatzfall, nicht an der Unternehmensgröße.
- 2. Dezember 2026noch nicht fällig
Übergangsfrist für Bestandssysteme bei der Transparenz
Für Systeme, die vor dem Stichtag bereits liefen, endet die Schonfrist bei den Transparenzanforderungen nach Art. 50 Abs. 2.
- 2. Dezember 2027noch nicht fällig
Eigenständige Hochrisiko-Systeme nach Anhang III
Ursprünglich für August 2026 vorgesehen, durch den Digital Omnibus um sechzehn Monate verschoben. Betrifft unter anderem KI in Personalauswahl, Kreditvergabe und kritischer Infrastruktur.
- 2. August 2028noch nicht fällig
Hochrisiko-KI als Produktbestandteil nach Anhang I
Der Fall, der spezialisierte Zulieferer betrifft: KI, die in ein Produkt eingebaut ist, das ohnehin schon sektoralen Sicherheitsregeln unterliegt — etwa Maschinen oder Medizinprodukte.
Was oft behauptet wird und so nicht stimmt
„Jede KI-Ausgabe muss gekennzeichnet werden.“
Nein. Die Transparenzpflichten treffen bestimmte Konstellationen: Interaktion mit einem Chatbot, synthetische Bild-, Ton- und Videoinhalte, Deepfakes, teils öffentlich verbreitete Texte. Eine KI-gestützte interne Notiz fällt nicht darunter.
„Für kleine Unternehmen gilt das alles nicht.“
Die Pflichten hängen am Anwendungsfall, nicht an der Mitarbeiterzahl. Erleichterungen gibt es bei Bußgeldern und bei manchen Dokumentationsanforderungen, nicht bei der Frage, ob eine Pflicht besteht.
„Wir brauchen ein Zertifikat.“
Für Betreiber existiert keine vorgeschriebene Zertifizierung. Was zählt, ist der nachvollziehbare Umgang mit den eigenen Anwendungsfällen — ein Siegel an der Wand ersetzt ihn nicht und wird auch von niemandem verlangt.
„Solange wir nichts Eigenes bauen, sind wir raus.“
Betreiber haben weniger Pflichten als Anbieter, sind aber nicht ohne Verpflichtung. Und wer ein zugekauftes System unter eigenem Namen weitergibt oder wesentlich verändert, wechselt die Rolle, ohne eine Zeile Code geschrieben zu haben.
Wer in Deutschland zuständig ist
Seit dem 29. Juli 2026 gibt es mit dem KI-Marktüberwachungs- und Innovationsförderungsgesetz die deutsche Umsetzung. Die zentrale Marktüberwachungsbehörde ist die Bundesnetzagentur; für Finanzdienstleistungen bleibt die BaFin zuständig, für kritische Infrastruktur ist das BSI eingebunden, und in sektoral geregelten Produktbereichen bleiben die bestehenden Behörden am Ruder.
Der für kleine Unternehmen praktisch wichtigste Teil ist dabei nicht die Aufsicht, sondern das Angebot: Die Bundesnetzagentur betreibt einen KI-Service-Desk und Reallabore und hat ausdrücklich den Auftrag, Unternehmen beim Einsatz von KI zu unterstützen. Das kostet nichts und ist der richtige erste Anlauf, bevor jemand Geld für eine Auskunft ausgibt.
Vor Ort
Was das in der Region bedeutet
Für den spezialisierten Mittelstand zwischen Zollernalbkreis und Tuttlingen ist eine Unterscheidung besonders wichtig: Wer KI nur im eigenen Betrieb einsetzt, bleibt Betreiber mit überschaubaren Pflichten. Wer dagegen eine KI-Funktion in ein Produkt einbaut, das als Maschine oder Medizinprodukt ohnehin sektoralen Regeln unterliegt, landet im Anhang-I-Fall mit Frist 2028. In einer Region mit dieser Dichte an Zulieferern und Medizintechnik ist das keine theoretische Konstellation.
Vor Ort im Zollernalbkreis, in Rottweil, Tuttlingen, Freudenstadt, Tübingen und Reutlingen — und im gesamten Großraum Stuttgart.
Der nächste Schritt
Wenn Sie das nicht allein machen wollen: Die vier Bausteine
Das Programm arbeitet genau diese Liste ab: Inventar, Risikoeinordnung, Regelwerk, Kompetenz. Wenn Sie zuerst wissen wollen, wo Sie stehen, ist der Readiness-Check der kürzere Weg.
Häufige Fragen
Was dazu am häufigsten gefragt wird
Gilt die EU-KI-Verordnung auch für kleine Unternehmen?
Ja. Die Verordnung knüpft an die Rolle und den Anwendungsfall an, nicht an die Unternehmensgröße. Ein Betrieb mit acht Beschäftigten, der ein KI-Werkzeug im Kundenkontakt einsetzt, hat dieselben Transparenzpflichten wie ein Konzern. Erleichterungen für kleine und mittlere Unternehmen gibt es bei der Höhe möglicher Bußgelder und bei einzelnen Dokumentationsanforderungen, nicht beim Bestehen der Pflicht selbst.
Was muss ein KMU seit dem 2. August 2026 konkret tun?
Seit diesem Datum gelten die Transparenzpflichten nach Artikel 50. Praktisch heißt das: Wer einen Chatbot im Kundenkontakt einsetzt, muss ihn als KI erkennbar machen, und zwar im Gespräch selbst und nicht in der Datenschutzerklärung. Wer KI-erzeugte Bilder, Stimmen oder Videos veröffentlicht, muss diese in vielen Fällen kennzeichnen. Interne Nutzung ohne Außenwirkung fällt in der Regel nicht darunter.
Sind wir von den Hochrisiko-Anforderungen betroffen?
Die meisten kleinen und mittleren Unternehmen nicht. Hochrisiko ist kein Urteil über die Technik, sondern über den Einsatzbereich. Dazu zählen unter anderem Personalauswahl, Kreditvergabe, kritische Infrastruktur und Bildungszugang. Wer KI für Textentwürfe, Recherche, Dokumentation oder interne Automatisierung nutzt, ist üblicherweise nicht betroffen. Wer KI in ein Produkt einbaut, das ohnehin sektoralen Sicherheitsregeln unterliegt, sollte genauer hinsehen.
Welche Fristen gelten nach dem Digital Omnibus noch?
Der Digital Omnibus ist am 27. Juli 2026 in Kraft getreten und hat die Hochrisiko-Stufen verschoben: eigenständige Systeme nach Anhang III auf den 2. Dezember 2027, produkteingebettete nach Anhang I auf den 2. August 2028. Unverändert geblieben ist alles, was bereits galt: Die KI-Kompetenz nach Artikel 4 seit Februar 2025 und die Transparenzpflichten seit August 2026.
Wer kontrolliert die Einhaltung in Deutschland?
Seit dem KI-Marktüberwachungs- und Innovationsförderungsgesetz vom Juli 2026 ist die Bundesnetzagentur die zentrale Marktüberwachungsbehörde. Für Finanzdienstleistungen bleibt die BaFin zuständig, bei kritischer Infrastruktur ist das BSI eingebunden. Die Bundesnetzagentur betreibt zugleich einen KI-Service-Desk, der Unternehmen kostenlos Auskunft gibt.
Brauchen wir für die KI-Verordnung einen externen Berater?
Nicht zwingend. Ein Unternehmen, das seine Prozesse kennt und jemanden hat, der sich die Zeit nehmen kann, kommt mit einem sauberen Inventar, klaren Regeln und dokumentierter Einweisung sehr weit. Externe Hilfe lohnt sich dort, wo die Einordnung strittig ist, wo viele Rollen und Standorte zusammenkommen oder wo schlicht niemand die Zeit hat, es ordentlich anzufangen.
Weiterlesen
Fragen, die sich daran anschließen
Welche Rolle haben wir — und was folgt daraus?
Anbieter oder Betreiber? Was Ihre Rolle nach der KI-Verordnung bedeutet
AnsehenWie bekommen wir einen Überblick über unsere KI-Nutzung?
KI-Inventar erstellen: Erfassen, was im Haus wirklich läuft
AnsehenBrauchen wir eine KI-Schulung — und was muss dokumentiert sein?
KI-Kompetenz nach Artikel 4: Was Unternehmen nachweisen müssen
AnsehenWir brauchen eine KI-Richtlinie. Was muss da hinein?
KI-Regeln im Unternehmen: Was in eine Richtlinie gehört
AnsehenAus dem Blog
Die Überlegungen dahinter
Vertiefende Informationen, weiterführende Impulse und Meinungen zum Thema im Blog.
31. August 2026
Sieben Fragen vor der Freigabe eines KI-Tools
Vor der Freigabe eines KI-Tools reicht ein Produktvergleich nicht aus. Oft ist aber ein kurzer Prüfrahmen der bessere Einstieg als eine große Governance-Analyse.
Weiterlesen18. August 2026
KI-Regelwerk auf einer Seite: Schnelle Hilfe bei KI-Compliance
Ein gutes KI-Regelwerk ist ein kurzes Papier und eine praxisnahe Orientierung für den Alltag. Es geht um klare Regeln, verbindliche Zuständigkeiten und einen sicheren Umgang mit KI-Tools.
Weiterlesen12. August 2026
KI-Omnibus 2026: Welche Fristen sich verschieben und was das für Unternehmen praktisch bedeutet
Der KI-Omnibus 2026 verschiebt zentrale Fristen der EU-KI-Verordnung. Entscheidend ist jetzt, die gewonnene Zeit sinnvoll zu nutzen: mit sauberem Inventar, klaren Zuständigkeiten und realistischen Umsetzungsplänen.
WeiterlesenQuellen
- Verordnung (EU) 2024/1689 im Volltext
- Europäische Kommission — Regulatorischer Rahmen für KI
- Bundesnetzagentur — KI-Marktüberwachung
- KI-MIG im Bundesgesetzblatt
Diese Seite erklärt betriebliche Anforderungen und ersetzt keine Rechtsberatung. Wo eine Frage tatsächlich juristisch zu entscheiden ist, weise ich Sie darauf hin und empfehle, wer sie beantworten muss.
Was gilt für uns — und ab wann?
Im kostenlosen Orientierungsgespräch klären wir in 20 bis 30 Minuten, wie das für Ihr Haus konkret aussieht — ohne Detailprüfung und ohne Verpflichtung.