Seit dem 2. August 2026 gelten die Transparenzpflichten des EU AI Acts auch für viele praktische KI-Anwendungen in Unternehmen. KMU müssen deshalb unterscheiden: Betreiben sie einen interaktiven KI-Chat, veröffentlichen sie einen Deepfake oder informieren sie mit ungeprüften KI-Texten über Themen öffentlichen Interesses?
Dieser Leitfaden ordnet die aktuellen Regeln für kleine und mittlere Unternehmen ein. Er zeigt, wann ein sichtbarer Hinweis erforderlich ist, wann eine substanzielle menschliche Prüfung genügt und welche Hochrisiko-Fristen der AI Omnibus auf 2027 beziehungsweise 2028 verschoben hat. Die Informationen sind eine allgemeine Orientierung und keine Rechtsberatung.
Was ist der EU AI Act – und warum gilt er auch für KMU?
Der EU AI Act (Verordnung (EU) 2024/1689) ist das weltweit erste umfassende Gesetz zur Regulierung künstlicher Intelligenz. Er stuft KI-Systeme nach Risikoklassen ein und legt für jede Klasse konkrete Pflichten fest – von einfachen Transparenzhinweisen bis hin zu vollständigen Verboten. Verabschiedet vom Europäischen Parlament im Mai 2024, ist er seit dem 1. August 2024 offiziell in Kraft.
Was viele KMU-Inhaber falsch einschätzen: Die Verordnung gilt nicht nur für KI-Entwickler wie OpenAI oder Google. Sie betrifft auch jeden Betreiber und Nutzer von KI-Systemen – also potenziell jedes Unternehmen, das KI-Tools im Tagesgeschäft einsetzt. Der Umfang der Pflichten hängt dabei stark davon ab, wie KI eingesetzt wird, nicht allein wer das Unternehmen ist.
Laut einer Bitkom-Studie von 2025 nutzen bereits 42 % der deutschen KMU regelmäßig mindestens ein KI-gestütztes Werkzeug. Das bedeutet: Fast jeder zweite Mittelständler ist potenziell berührt – die meisten jedoch nur in der niedrigsten Risikoklasse mit minimalen Anforderungen.
Die frühere Audiofassung bildete den Rechtsstand vor Inkrafttreten des AI Omnibus ab und wird deshalb bis zu ihrer redaktionellen Aktualisierung nicht eingebettet. Maßgeblich ist die Textfassung vom 4. August 2026.
Wen betrifft der EU AI Act? Die vier Risikokategorien
Das Herzstück des EU AI Act ist ein risikobasierter Ansatz: Je gefährlicher ein KI-System potenziell ist, desto strenger die Anforderungen. Für KMU ist die entscheidende Frage nicht „Nutze ich KI?", sondern „In welche Risikoklasse fällt mein KI-Einsatz?"
Unzulässige KI-Praktiken
Dazu gehören unter anderem bestimmte manipulative Systeme, Social Scoring und weitere in Artikel 5 genannte Praktiken. Auch kleine Unternehmen sollten prüfen, ob ein eingesetztes Werkzeug Menschen unzulässig bewertet oder beeinflusst.
Hochrisiko-KI-Systeme
KI für Bewerberauswahl, Kreditwürdigkeit oder andere sensible Entscheidungen kann als Hochrisiko-System eingestuft werden. Nach dem AI Omnibus gelten zentrale Pflichten für Anhang-III-Systeme ab 2. Dezember 2027 und für in regulierte Produkte eingebettete Systeme ab 2. August 2028.
Artikel-50-Anwendungen
Transparenzpflichten betreffen insbesondere direkte Interaktionen mit KI, Deepfakes sowie ungeprüfte KI-Texte zu Themen öffentlichen Interesses. Nicht jeder KI-unterstützte Text und nicht jede KI-Grafik braucht automatisch ein sichtbares Label.
KI-Werkzeuge im Arbeitsalltag
Textassistenten, Übersetzung und Standardbearbeitung lösen häufig keine besondere Kennzeichnungspflicht aus. Datenschutz, Vertraulichkeit, Urheberrechte, fachliche Kontrolle und klare interne Zuständigkeiten bleiben trotzdem relevant.
Die aktuellen EU-AI-Act-Fristen für KMU
Der AI Omnibus ist am 27. Juli 2026 in Kraft getreten. Er verschiebt bestimmte Hochrisiko-Fristen, nicht aber die seit 2. August 2026 geltenden Betreiberpflichten für Interaktion, Deepfakes und bestimmte Textveröffentlichungen.
| Datum | Regel | Typische KMU-Relevanz |
|---|---|---|
| 2. Februar 2025 | Verbote bestimmter KI-Praktiken | Interne Regeln und Toolauswahl prüfen |
| 2. August 2026 | Artikel 50: Interaktion, Deepfakes, bestimmte Texte und weitere Transparenzfälle | Chatbots und veröffentlichte Inhalte prüfen |
| 2. Dezember 2026 | Begrenzte Übergangsfrist für Anbieter bestimmter bereits zuvor angebotener generativer KI-Systeme nach Artikel 50 Absatz 2 | Keine allgemeine Verlängerung für veröffentlichende Unternehmen |
| 2. Dezember 2027 | Hochrisiko-KI-Systeme nach Anhang III | Zum Beispiel bestimmte KI in Personal- oder Kreditentscheidungen |
| 2. August 2028 | Hochrisiko-KI in regulierten Produkten nach Anhang I | Vor allem Hersteller und Betreiber eingebetteter Systeme |
Die Übergangsfrist bis Dezember 2026 betrifft nicht pauschal alle Kennzeichnungen. Für Betreiber gelten die Transparenzpflichten aus Artikel 50 grundsätzlich seit dem 2. August 2026.
Was das für einen typischen 20-Personen-Betrieb bedeutet
Ein Betrieb nutzt einen Textassistenten für Entwürfe, eine Übersetzungslösung und KI-Funktionen in der Buchhaltung. Es gibt keinen Chatbot, keine automatisierte Entscheidung über Personen und keine realistisch wirkenden synthetischen Medien.
Einordnung: Für die reine interne Textvorbereitung entsteht regelmäßig keine sichtbare Artikel-50-Kennzeichnung. Der Betrieb braucht dennoch Regeln für personenbezogene und vertrauliche Daten, eine fachliche Endkontrolle und klare Zuständigkeiten.
Kommt später ein KI-Chatbot hinzu, muss die KI-Interaktion spätestens zu Beginn klar erkennbar sein. Veröffentlicht der Betrieb ein realistisch wirkendes KI-Video, ist zusätzlich zu prüfen, ob es als Deepfake direkt am Inhalt gekennzeichnet werden muss.
Für den eigenen Veröffentlichungsprozess bietet die Seite KI-Transparenz bei KI-Content Partner konkrete Formulierungsbeispiele.
Schritt-für-Schritt-Compliance-Checkliste für KMU
Diese Checkliste ist keine Rechtsberatung, sondern ein pragmatischer Einstieg. Für konkrete Rechtsverbindlichkeit empfehle ich die Hinzuziehung eines auf IT-Recht spezialisierten Anwalts oder einen Blick in die offizielle Verordnung auf EUR-Lex.
Alle im Unternehmen genutzten KI-Tools auflisten – inklusive Tools in Software, die Sie sowieso nutzen (z.B. KI in Microsoft 365, DATEV, CRM-Systemen). Fragen: Welche Mitarbeiter nutzen was? Welche Daten werden eingegeben?
Für jedes KI-System die Risikoklasse einschätzen (siehe Tabelle oben). Entscheidend: Werden automatisierte Entscheidungen über Menschen getroffen? Gibt es direkten Kundenkontakt über KI? Wenn beides nein: minimales Risiko.
Informieren Sie Nutzer eines interaktiven KI-Systems seit dem 2. August 2026 klar zu Beginn der ersten Interaktion. Prüfen Sie zusätzlich realistisch wirkende KI-Bilder, Videos und Audios auf Deepfake-Charakter.
Schriftlich festlegen: Welche KI-Tools sind für welche Zwecke freigegeben? Welche Daten dürfen in welche Tools? Besonders wichtig: Kundendaten und Mitarbeiterdaten nicht in kostenlose KI-Tools ohne Datenschutzvereinbarung eingeben. Diese Richtlinie schützt auch vor DSGVO-Verstößen – zwei Fliegen mit einer Klappe.
Nutzen Sie KI zur Unterstützung bei Bewerbungsauswahl, Leistungsbeurteilung oder Dienstplanung? Dann prüfen Sie, ob das Tool in die Hochrisiko-Kategorie fällt. Im Zweifelsfall: Hersteller direkt fragen, ob ihr Tool unter Anhang III der Verordnung fällt.
Die Kommission hat Leitlinien und einen freiwilligen Verhaltenskodex zu Artikel 50 veröffentlicht. Dokumentieren Sie den KI-Einsatz und berücksichtigen Sie die neuen Hochrisiko-Fristen 2027 und 2028. Das BSI bietet unter bsi.bund.de kostenfreie Orientierungshilfen für Unternehmen.
Wie KI-gestützter Content im Rahmen dieser Vorgaben planbar produziert werden kann, erkläre ich in meinem Leitfaden zum Redaktionsplan mit KI – inklusive konkreter Workflow-Vorlagen.
Starten Sie mit einer nüchternen Inventur: Welches System wird für welchen Zweck genutzt, wer prüft den Output und welche Inhalte erreichen Kunden oder Öffentlichkeit? Erst danach lässt sich entscheiden, ob ein Label, eine fachliche Freigabe oder eine weitergehende rechtliche Prüfung erforderlich ist.
Die EU-Kommission stellt klar: Substanziell menschlich geprüfte Texte unter redaktioneller Verantwortung benötigen nicht allein wegen ihrer KI-Unterstützung ein Label.
Häufige Fragen zum EU AI Act für KMU
Was ist der EU AI Act?
Der EU AI Act (Verordnung (EU) 2024/1689) reguliert KI risikobasiert. Er gilt seit 1. August 2024. Artikel 50 ist seit 2. August 2026 anwendbar; zentrale Hochrisiko-Pflichten folgen nach dem AI Omnibus ab 2. Dezember 2027 beziehungsweise 2. August 2028.
Gilt der EU AI Act auch für KMU, die nur KI-Tools nutzen?
Ja. Entscheidend sind Rolle, Zweck und Wirkung des Systems. Direkte KI-Interaktionen, Deepfakes und bestimmte ungeprüfte Texte zu Themen öffentlichen Interesses können Transparenzpflichten auslösen. Interne Nutzung kann weiterhin Datenschutz, Vertraulichkeit, Urheberrecht und fachliche Kontrolle berühren.
Ab wann müssen KMU den EU AI Act erfüllen?
Bestimmte verbotene KI-Praktiken sind seit 2. Februar 2025 untersagt. Die Transparenzpflichten aus Artikel 50 gelten seit 2. August 2026. Zentrale Hochrisiko-Regeln folgen nach dem AI Omnibus ab 2. Dezember 2027 beziehungsweise 2. August 2028.
Was passiert, wenn KMU den EU AI Act nicht einhalten?
Für Artikel-50-Verstöße sind Bußgelder bis zu 15 Mio. Euro oder 3 % des weltweiten Jahresumsatzes möglich. Bei KMU muss die Verhältnismäßigkeit berücksichtigt werden. Die konkrete Sanktion hängt von Art, Schwere, Dauer und Umständen des Verstoßes ab.
Ist der Einsatz von ChatGPT oder Claude im KMU erlaubt?
Ja. Die Zulässigkeit hängt vom Zweck, den verwendeten Daten und der Weiterverwendung ab. Bei direkter KI-Interaktion, Deepfakes oder ungeprüften Texten zu Themen öffentlichen Interesses können Transparenzpflichten greifen. Entwürfe sollten fachlich geprüft und vertrauliche Daten geschützt werden.
Die frühere PDF-Fassung enthielt den Rechtsstand vor dem AI Omnibus. Bis zur aktualisierten Ausgabe ist ausschließlich diese Textfassung maßgeblich.
"Endlich eine verständliche Erklärung ohne Juristendeutsch. Die Checkliste hat mir in einer Stunde Klarheit verschafft, die ich monatelang gesucht hatte." – Markus F., Geschäftsführer, Metallverarbeitungsbetrieb, NRW
Prüfen Sie Ihren nächsten KI- und Sichtbarkeits-Schritt direkt im Browser
Nutzen Sie die kostenlosen KMU-Tools von KI-Content Partner: KI-Prüfbedarfs-Check, Wachstums-Radar, SEO Suite und Wettbewerbs-Check. Ohne Account, ohne Vorbereitung und mit sofort nutzbaren Ergebnissen.
KI-Content und Kennzeichnung klar organisieren
Ich unterstütze KMU beim redaktionellen Content-Prozess: Quellen und Freigaben strukturieren, Medienhinweise technisch einbauen und KI-gestützte Inhalte verlässlich prüfen. Die rechtliche Einzelfallbewertung bleibt einer spezialisierten Beratung vorbehalten. Content-Service ab 590 €/Monat.
Content-Prozess besprechen