EU AI Act: Was die KI-Verordnung jetzt für kleine Betriebe bedeutet

Wenn ich mit Inhabern über KI spreche, kommt früher oder später die Frage: „Dürfen wir das überhaupt noch, seit es dieses EU-Gesetz gibt?“ Die kurze Antwort: Ja. Die KI-Verordnung der EU, oft „EU AI Act“ genannt, verbietet den allermeisten Betrieben nichts von dem, was sie mit KI vorhaben. Sie verlangt aber ein paar Dinge, die Sie kennen sollten. Und seit diesem Sommer hat sich einiges geändert.

Das Grundprinzip: Je höher das Risiko, desto strenger die Regeln

Die Verordnung sortiert KI-Anwendungen nach Risiko:

• Verboten sind wenige Anwendungen, etwa die Bewertung von Menschen nach ihrem Sozialverhalten oder Emotionserkennung am Arbeitsplatz.
• Hochrisiko sind Systeme, die über Menschen mitentscheiden, zum Beispiel bei der Auswahl von Bewerbern oder bei der Kreditvergabe.
• Transparenzpflichten gelten für KI, die mit Menschen spricht oder täuschend echte Inhalte erzeugt.
• Alles andere bleibt weitgehend frei: Angebote schreiben lassen, E-Mails zusammenfassen, Rechnungen auslesen, Auswertungen erstellen.

Wichtig ist außerdem Ihre Rolle. Wer ein KI-System entwickelt und auf den Markt bringt, ist „Anbieter“ und trägt die meisten Pflichten. Wer ein fertiges Werkzeug im Betrieb einsetzt, ist „Betreiber“. Das trifft auf fast alle Handwerksbetriebe und Mittelständler zu, und für Betreiber ist die Liste deutlich kürzer.

Was heute schon gilt

Verbote (seit Februar 2025). Für einen normalen Betrieb selten ein Thema. Sie sollten nur wissen, dass es sie gibt, bevor jemand eine Software zur „Stimmungsanalyse“ der Belegschaft vorschlägt.

KI-Kompetenz (seit Februar 2025). Wer KI im Betrieb einsetzt, muss dafür sorgen, dass die Mitarbeitenden damit umgehen können. Diese Pflicht wurde im Sommer 2026 entschärft: Verlangt werden jetzt Maßnahmen, die die KI-Kompetenz fördern, kein bestimmtes Kompetenzniveau für jede einzelne Person. Ein Zertifikat ist nicht vorgeschrieben. Sinnvoll ist es trotzdem, kurz festzuhalten, wer wann worin geschult wurde.

Transparenz (seit 2. August 2026). Das ist der Punkt, der die meisten Betriebe praktisch betrifft:

• Läuft auf Ihrer Website ein Chatbot oder nimmt ein KI-Telefonassistent Anrufe entgegen, muss für Ihre Kunden erkennbar sein, dass sie mit einer KI sprechen. Am besten gleich in der ersten Nachricht, nicht versteckt in den AGB.
• Täuschend echte, künstlich erzeugte Bilder, Videos oder Tonaufnahmen („Deepfakes“) müssen als solche gekennzeichnet werden.
• KI-Texte, die die Öffentlichkeit über Themen von öffentlichem Interesse informieren, müssen gekennzeichnet werden. Das gilt nicht, wenn ein Mensch den Text inhaltlich geprüft hat und die Verantwortung dafür übernimmt.

Was verschoben wurde

Im Juli 2026 hat die EU die Verordnung mit dem sogenannten „Digitalen Omnibus“ nachgebessert. Die wichtigste Änderung: Die Pflichten für Hochrisiko-KI greifen später.

• Eigenständige Hochrisiko-Systeme, etwa im Personalbereich: ab 2. Dezember 2027 statt ab August 2026.
• KI als Bestandteil regulierter Produkte, etwa Maschinen: ab 2. August 2028.

Dazu kommen Erleichterungen für kleine und mittlere Unternehmen, vor allem bei der Dokumentation. Sie betreffen in erster Linie Betriebe, die selbst KI-Systeme entwickeln.

Wenn Sie also eine Software nutzen, die Bewerbungen vorsortiert, haben Sie mehr Zeit. Vom Tisch ist das Thema nicht. Fragen Sie Ihren Softwareanbieter ruhig schon jetzt, wie er sich darauf vorbereitet.

Wer in Deutschland zuständig ist

Seit dem 29. Juli 2026 gibt es das deutsche Durchführungsgesetz zur KI-Verordnung. Zentrale Aufsicht und Anlaufstelle ist die Bundesnetzagentur. Für kleine Betriebe ist vor allem ihr KI-Service Desk interessant: Dort finden Sie unter anderem ein Online-Werkzeug, mit dem Sie eine erste Einschätzung bekommen, in welche Risikoklasse Ihre Anwendung fällt.

Zu den Bußgeldern: Die Obergrenzen der Verordnung sind hoch, bis zu 35 Millionen Euro oder 7 Prozent des Jahresumsatzes bei verbotenen Anwendungen und bis zu 15 Millionen Euro oder 3 Prozent bei den meisten anderen Verstößen. Für kleine und mittlere Unternehmen gilt jeweils der niedrigere der beiden Werte. Das sind Höchstgrenzen, keine üblichen Strafen. Ein Grund zur Panik sind sie nicht, ein Grund, die Hausaufgaben zu machen, schon.

Fünf Schritte, die für die meisten Betriebe genügen

1. Liste anlegen. Welche KI-Werkzeuge werden im Betrieb genutzt, von wem und wofür? Auch die, die Mitarbeitende privat angemeldet haben.
2. Einordnen. Entscheidet eines davon über Menschen mit, etwa über Bewerber oder Mitarbeitende? Wenn nein, sind Sie in der Regel im unkritischen Bereich.
3. Kennzeichnen. Chatbot, Telefonassistent und künstlich erzeugte Bilder mit einem klaren Hinweis versehen.
4. Schulen und festhalten. Eine kurze Einweisung für alle, die mit KI arbeiten, und eine Notiz dazu, wann sie stattgefunden hat.
5. Regeln aufschreiben. Eine Seite genügt: Welche Werkzeuge sind erlaubt, welche Daten dürfen hinein, wer prüft die Ergebnisse?

Den Datenschutz ersetzt das alles nicht. Sobald Kunden- oder Mitarbeiterdaten in ein KI-Werkzeug fließen, gilt die DSGVO unverändert weiter.

Mein Fazit

Die KI-Verordnung ist für die meisten kleinen Betriebe kein Hindernis, sondern eine überschaubare Aufgabenliste. Wer weiß, welche KI im Haus läuft, seine Leute einweist und offen damit umgeht, hat den größten Teil erledigt. Und ganz nebenbei entsteht dabei die Ordnung, die man für einen sinnvollen KI-Einsatz ohnehin braucht.

Wenn Sie Ihre Mitarbeitenden praxisnah an KI heranführen möchten, ist mein KI-Workshop der passende Einstieg. Und wenn Sie erst einmal wissen wollen, welche KI in Ihrem Betrieb läuft und wo sie wirklich hilft, schauen wir uns das im KI-Audit gemeinsam an.

Stand: Oktober 2026. Dieser Artikel gibt einen Überblick und ersetzt keine Rechtsberatung im Einzelfall.