Warum das kein Nischenthema mehr ist
Die Verordnung (EU) 2024/1689 über künstliche Intelligenz — kurz „AI Act" — ist am 1. August 2024 in Kraft getreten. Bis August 2026 gelten die meisten Vorschriften. Ein Handwerksbetrieb, der ChatGPT für Angebotstexte nutzt, ein Zahnarzt mit einer KI-Terminassistenz oder ein Online-Shop mit KI-generierten Produktbildern — sie alle fallen in den Anwendungsbereich, ohne es zu wissen.
Anders als bei der DSGVO 2018 gibt es diesmal weniger Grauzonen und eine klarere Risikoklassifizierung. Der AI Act denkt in vier Kategorien, und für 90 % der KMU-Anwendungen ist der Aufwand überschaubar — vorausgesetzt, man ist rechtzeitig vorbereitet.
Dieser Artikel beantwortet: Welche Fristen gelten wann? Was gilt als Hochrisiko-KI? Und welche konkreten Pflichten müssen KMU ab 2026 erfüllen?
Die vier Risikostufen des AI Act
Der AI Act klassifiziert KI-Systeme nach ihrem Risiko:
| Kategorie | Beispiele | Pflichten |
|---|---|---|
| Unzulässig | Social Scoring, Emotionserkennung am Arbeitsplatz, unterschwellige Manipulation | Verboten — seit 2. Februar 2025 |
| Hochrisiko | Bewerbermanagement, Kreditscoring, Zugangskontrolle, medizinische Diagnostik | Umfassende Konformitätspflichten |
| Begrenztes Risiko | Chatbots, Deepfakes, KI-generierte Bilder | Transparenz- und Kennzeichnungspflicht |
| Minimales Risiko | Spam-Filter, Rechtschreibkorrektur, Videospiel-KI | Keine besonderen Pflichten |
Die entscheidende Frage für jedes KMU: In welche dieser Kategorien fallen die eingesetzten KI-Tools?
Die Zeitachse
Der AI Act tritt gestaffelt in Kraft:
| Datum | Was gilt |
|---|---|
| 02.02.2025 | Verbot unzulässiger KI-Praktiken; KI-Kompetenz-Anforderung für alle Anwender (Art. 4) |
| 02.08.2025 | GPAI-Regeln (General Purpose AI, z. B. ChatGPT-Betreiber); Sanktionsregeln |
| 02.08.2026 | Hauptdatum: Pflichten für Hochrisiko-KI und Transparenzpflichten für begrenztes Risiko |
| 02.08.2027 | Übergangsregelungen für bestimmte Hochrisiko-Systeme laufen aus |
Für die meisten KMU ist der 2. August 2026 die zentrale Deadline. Ab dann müssen Transparenzpflichten (Chatbot-Kennzeichnung, Deepfake-Labels) sowie Hochrisiko-Compliance erfüllt sein.
KI-Kompetenzpflicht — was Sie seit 2025 schon dokumentieren müssen
Wenig beachtet, aber bereits seit dem 2. Februar 2025 gültig: Nach Art. 4 AI Act sind Betreiber („deployers") und Anbieter von KI-Systemen verpflichtet, sicherzustellen, dass ihre Mitarbeiter über ausreichende KI-Kompetenz verfügen.
Was heißt das konkret? Nicht: alle Mitarbeiter müssen Machine-Learning-Experten werden. Sondern: wer im Job KI-Tools verwendet (z. B. ChatGPT für Angebote, KI-generierte Bilder für Social Media, KI-Übersetzungen), muss die Grundfunktionsweise verstehen, typische Risiken kennen und wissen, welche Daten er wo eingeben darf.
Was Sie dafür brauchen (Minimum):
- Interne Richtlinie „KI-Nutzung im Unternehmen" (2–4 Seiten)
- Kurze Einweisung / E-Learning-Modul (30–60 Minuten)
- Dokumentation, welche Mitarbeiter die Einweisung erhalten haben
- Regelmäßige Auffrischung bei wesentlichen Änderungen (z. B. neue Tools)
Was Sie darin regeln sollten:
- Welche KI-Tools sind freigegeben? (Business-Konten mit AVV, keine kostenlosen Consumer-Accounts)
- Welche Daten dürfen niemals in KI-Prompts eingegeben werden? (Kundennamen, Beschäftigtendaten, Vertragsdetails)
- Wer prüft KI-generierte Inhalte vor Veröffentlichung?
- Wie werden KI-Anwendungen dokumentiert?
Verstöße gegen die Kompetenzpflicht sind formal, aber ein regelmäßiger Prüfungspunkt bei Datenschutz-Audits ab 2026 zu erwarten.
Ist Ihr KI-Einsatz Hochrisiko?
Anhang III der Verordnung listet abschließend acht Kategorien von Hochrisiko-KI:
- Biometrische Identifikation und Emotionserkennung
- Kritische Infrastruktur (Verkehr, Strom, Wasser)
- Bildung und berufliche Bildung (Bewertung, Prüfungen)
- Beschäftigung, Personalmanagement, Zugang zur Selbstständigkeit — u. a. Bewerber-Screening
- Zugang zu wesentlichen privaten Diensten (Kreditwürdigkeit, Sozialleistungen)
- Strafverfolgung
- Migrationsmanagement
- Rechtspflege
Für den typischen Berliner Mittelständler ist Kategorie 4 die einzige relevante — nämlich wenn KI-Systeme für Personalentscheidungen eingesetzt werden. Beispiele:
- Ja, Hochrisiko: Software, die Bewerbungen automatisch nach Passgenauigkeit sortiert oder bewertet (auch wenn ein Mensch die finale Entscheidung trifft)
- Ja, Hochrisiko: KI-basierte Persönlichkeitstests im Bewerbungsverfahren
- Nein, kein Hochrisiko: ChatGPT zur Formulierung einer Absage-E-Mail
- Nein, kein Hochrisiko: Rechtschreibkorrektur in Stellenausschreibungen
Wer Bewerbermanagement-Software mit KI-Funktion einsetzt (z. B. bestimmte Module von Personio, Workday, SAP SuccessFactors), sollte dringend prüfen, welche Konformitätsdokumentation der Anbieter bereitstellt.
Transparenz- und Kennzeichnungspflichten
Für die überwiegende Mehrheit der KMU-Anwendungen (Kategorie „begrenztes Risiko") gelten ab August 2026 Transparenzpflichten. Das ist meistens keine große technische Aufgabe, sondern eine Kommunikations- und Dokumentationsaufgabe.
Chatbots (Art. 50 Abs. 1)
Wer einen Chatbot auf der Website hat, muss klar erkennbar machen, dass der Nutzer mit einer KI kommuniziert. Ein Hinweis vor dem ersten Nachrichtenaustausch reicht.
Ausnahme: Wenn der KI-Charakter für einen durchschnittlich aufmerksamen Nutzer offensichtlich ist. In der Praxis: den Hinweis trotzdem einbauen, kostet nichts.
KI-generierte Bilder, Videos, Audio (Art. 50 Abs. 2)
Deepfakes und KI-generierte Bilder in kommerzieller Kommunikation müssen gekennzeichnet sein. Das gilt auch für „nur zur Illustration" verwendete generierte Bilder in Blog-Artikeln.
Praktikable Kennzeichnung:
- Kleiner Vermerk im Bildunterschrift („KI-generiert" oder „Illustration: KI")
- Metadaten (C2PA-Standard, unterstützt von OpenAI, Microsoft, Adobe)
- Zentraler Hinweis in der Website-Nutzungsordnung, wenn systematisch generierte Bilder eingesetzt werden
Emotionale Textanalyse
KI-Systeme, die Emotionen von Nutzern erkennen (z. B. Sentiment-Analyse von Kunden-E-Mails), fallen unter Transparenzpflicht.
GPAI: Was ist mit ChatGPT, Claude, Gemini?
Diese Modelle sind „General Purpose AI" (GPAI). Die Konformitätspflichten treffen primär die Anbieter (OpenAI, Anthropic, Google) — nicht die Endnutzer. Wer ChatGPT für Angebotstexte nutzt, ist Deployer, nicht Provider. Dennoch gilt für Deployer:
- Beim Einsatz personenbezogener Daten braucht es weiterhin eine DSGVO-konforme Rechtsgrundlage (siehe unseren Artikel DSGVO-Bußgelder 2026)
- Der DSK-Beschluss von November 2024 verlangt eine dokumentierte Prompt-Governance
- Für hochsensible Daten (Gesundheit, Beschäftigte) sind kostenlose Consumer-Versionen tabu — nur Business-Tarife mit Auftragsverarbeitungsvertrag
Sanktionen
Der AI Act sieht drei Bußgeldstufen vor:
- Verbotene Praktiken: bis zu 35 Mio. € oder 7 % des weltweiten Vorjahresumsatzes
- Verstoß gegen Anbieterpflichten: bis zu 15 Mio. € oder 3 % des Umsatzes
- Falsche oder irreführende Angaben: bis zu 7,5 Mio. € oder 1 %
Für KMU (< 250 Mitarbeiter) sind die Bußgelder gekappt: es wird der jeweils niedrigere Betrag angesetzt (nicht der höhere wie bei größeren Unternehmen). Das ist ein spürbarer Vorteil — aber kein Freibrief.
Konkrete Checkliste für Ihre nächsten 30 Tage
Woche 1 — Bestandsaufnahme:
- Liste aller KI-Tools erstellen (Mitarbeiter befragen, nicht nur offizielle Freigaben)
- Jedes Tool klassifizieren: welches Risiko?
- Welche Tools erzeugen kommerzielle Inhalte (Texte, Bilder, Videos)?
Woche 2 — Dokumentation:
- KI-Kompetenz-Richtlinie schreiben oder Vorlage anpassen (2–4 Seiten)
- Freigabeliste erstellen: welche Tools sind freigegeben, welche verboten
- Kurze Schulung planen (kann auch 30-Minuten-Video sein)
Woche 3 — Website + Kommunikation:
- Chatbots auf KI-Hinweis prüfen
- KI-generierte Bilder auf Website und Social Media kennzeichnen
- Datenschutzerklärung um KI-Nutzung ergänzen
Woche 4 — Nachhaltigkeit:
- Prozess für Neu-Einführung von KI-Tools definieren (wer entscheidet, wer dokumentiert)
- Kontakt zu Datenschutzbeauftragtem oder externem Berater klären
- Kalendereintrag für Halbjahres-Review
Fazit
Der EU AI Act ist für KMU handhabbar, wenn er als organisatorisches Thema behandelt wird — nicht als IT-Projekt. Die meisten Anforderungen sind Dokumentation, Kennzeichnung und interne Regeln. Der wirklich harte Kern (Hochrisiko-Konformität) trifft nur einen kleinen Teil der Unternehmen.
Was Sie in den nächsten Wochen tun sollten: einmal ehrlich hinschauen, wo überall KI schon in Ihrem Betrieb im Einsatz ist. Die Antwort überrascht regelmäßig — meist ist es mehr, als das Management dachte. Ab dieser Bestandsaufnahme lassen sich die Pflichten pragmatisch umsetzen.
Wenn Sie einen strukturierten Aufsetz-Prozess wollen (Bestandsaufnahme, Richtlinie, Website-Anpassung, Datenschutzerklärung): Bodenova führt KMU durch die AI-Act-Umsetzung in vier Wochen — technisch dokumentiert und rechtlich abgesichert.