Analysegespräch buchenDas Wichtigste in Kürze
- Die KI-Verordnung (EU AI Act) regelt KI nach vier Risikoklassen: von verboten über hohes Risiko bis minimal.
- Sie gilt seit 1. August 2024 und wird stufenweise wirksam: Verbote und Schulungspflicht seit Februar 2025, Transparenzpflicht seit 2. August 2026.
- Der Digital Omnibus (Verordnung (EU) 2026/1744) hat im Juli 2026 die Hochrisiko-Fristen verschoben: Anhang III jetzt 2. Dezember 2027, Produkt-Hochrisiko 2. August 2028.
- Die meisten Mittelständler sind Betreiber, nicht Anbieter. Ihre realen Pflichten sind Mitarbeiterschulung und die Kennzeichnung von Deepfakes.
- Bußgelder reichen bis 35 Millionen Euro oder 7 Prozent des Jahresumsatzes, für KMU gilt aber jeweils der niedrigere Wert (Art. 99 KI-VO).
- Zuständige Aufsicht in Deutschland ist die Bundesnetzagentur, ihr KI-Service-Desk hilft besonders kleinen Unternehmen.
Die KI-Verordnung, in Deutschland oft auch EU AI Act genannt, ist das erste umfassende KI-Gesetz der EU. Sie ordnet jedes KI-System einer von vier Risikoklassen zu und knüpft daran abgestufte Pflichten. Die gute Nachricht für den Mittelstand: Wer KI nur nutzt und nicht selbst entwickelt, hat überschaubare Pflichten.
Die Verordnung gilt seit dem 1. August 2024 und wird bis 2028 stufenweise wirksam. Wichtig zu wissen: Die meisten Unternehmen sind Betreiber, nicht Anbieter. Für sie laufen am Ende zwei konkrete Pflichten zusammen, die Mitarbeiterschulung und die Offenlegung von Deepfakes. Die großen Hochrisiko-Anforderungen treffen nur Spezialfälle, und sie wurden im Juli 2026 nach hinten verschoben.
Dieser Überblick erklärt die vier Risikoklassen mit Beispielen, den genauen Zeitplan, die Bußgelder samt der oft übersehenen KMU-Entlastung und was du jetzt tun solltest. Er bündelt unsere Detailartikel zur Schulungspflicht nach dem EU AI Act und zu den verbotenen KI-Praktiken.
Was die KI-Verordnung regelt
Die KI-Verordnung ist ein risikobasiertes Gesetz. Sie verbietet nicht KI an sich, sondern reguliert sie umso strenger, je größer das Risiko für Menschen und Grundrechte ist. Ein Spam-Filter wird anders behandelt als eine KI, die über Kreditvergaben entscheidet.
Maßgeblich ist die Definition aus Artikel 3 der Verordnung. Ein KI-System ist demnach ein maschinengestütztes System, das mit unterschiedlichem Grad an Autonomie arbeitet, nach der Einführung anpassungsfähig sein kann und aus Eingaben ableitet, wie es Ergebnisse wie Vorhersagen, Inhalte, Empfehlungen oder Entscheidungen erzeugt. Diese weite Definition erfasst von der Bilderkennung bis zum Sprachmodell praktisch alle modernen KI-Werkzeuge.
Die Verordnung unterscheidet außerdem zwischen Rollen. Der Anbieter entwickelt ein System, der Betreiber setzt es ein. An dieser Unterscheidung hängt, welche Pflichten dich treffen. Mehr dazu weiter unten.
Die vier Risikoklassen der KI-Verordnung
Die KI-Verordnung kennt vier Risikoklassen: 1. unannehmbares Risiko (verboten), 2. hohes Risiko, 3. begrenztes Risiko (Transparenzpflicht), 4. minimales Risiko. Jede Klasse hat eigene Regeln.
| Risikoklasse | Regel | Beispiele |
|---|---|---|
| Unannehmbares Risiko | Verboten seit Februar 2025 | Social Scoring, Emotionserkennung am Arbeitsplatz, manipulative Systeme |
| Hohes Risiko | Strenge Pflichten, Konformitätsprüfung, ab Dezember 2027 | KI in Personalauswahl, Kreditvergabe, Medizinprodukten |
| Begrenztes Risiko | Transparenzpflicht seit August 2026 | Chatbots, KI-generierte Texte und Bilder (Deepfakes) |
| Minimales Risiko | Frei nutzbar, kaum Auflagen | Spam-Filter, Übersetzer, KI in Videospielen |
Zum Vergleichen seitlich wischen
Für den Mittelstand ist die Einordnung beruhigend. Der typische Einsatz, ein Chatbot auf der Website, ein KI-Textwerkzeug im Büro oder ein Übersetzer, fällt fast immer unter begrenztes oder minimales Risiko (Bundesnetzagentur, 2026). Hochrisiko wird es nur in klar umrissenen Fällen, vor allem bei KI für die Personalauswahl oder die Bewertung der Kreditwürdigkeit. Wer solche Systeme einsetzt, hat zusätzliche Pflichten, etwa eine echte menschliche Aufsicht.
Der Zeitplan: was ab wann gilt
Die KI-Verordnung wird nicht auf einen Schlag wirksam, sondern in Stufen. Diese Stufen haben sich im Juli 2026 verschoben: Mit der Verordnung (EU) 2026/1744, dem sogenannten Digital Omnibus, hat die EU die Hochrisiko-Pflichten um 16 Monate nach hinten gelegt. Die folgenden Daten sind der aktuelle Stand.
Die Verordnung tritt in Kraft. Noch sind keine Pflichten anwendbar, die Übergangsfristen beginnen zu laufen.
Verbotene Praktiken sind untersagt. Die KI-Kompetenz- und Schulungspflicht nach Artikel 4 gilt für alle Unternehmen, ohne Übergangsfrist.
Regeln für KI mit allgemeinem Verwendungszweck greifen. Die Aufsichtsstrukturen und das Bußgeldregime treten in Kraft.
Der Großteil der Verordnung gilt, darunter die Transparenzpflicht nach Artikel 50. Das ist die Stufe, die den Mittelstand betrifft.
Pflichten für Hochrisiko-Systeme wie KI in der Personalauswahl oder Kreditvergabe. Ursprünglich für August 2026 geplant, durch den Digital Omnibus verschoben.
KI als Sicherheitskomponente in regulierten Produkten wie Maschinen oder Medizinprodukten. Ursprünglich August 2027.
Für die meisten Unternehmen sind zwei Daten relevant. Seit Februar 2025 gilt die Schulungspflicht: Wer KI im Betrieb einsetzt, muss Maßnahmen ergreifen, die die KI-Kompetenz seiner Mitarbeiter unterstützen. Seit der Änderung vom 27. Juli 2026 schreibt Artikel 4 dabei ausdrücklich kein bestimmtes Kompetenzniveau vor. Und seit dem 2. August 2026 gilt die Transparenzpflicht nach Artikel 50. Wichtig ist dabei, wen sie trifft: Dass ein Chatbot sich als KI zu erkennen gibt, muss nach Artikel 50 Absatz 1 der Anbieter des Systems sicherstellen, nicht der Mittelständler, der ihn einbindet. Den Betreiber trifft dagegen die Pflicht, Deepfakes offenzulegen. Die Details zur Schulungspflicht stehen in unserem Artikel zur KI-Schulungspflicht nach dem EU AI Act.
Bist du Betreiber oder Anbieter?
Diese Frage entscheidet, wie viel auf dich zukommt. Die Unterscheidung ist einfacher, als das Gesetz klingt.
Ein Anbieter entwickelt ein KI-System oder bringt es unter eigenem Namen auf den Markt. Ein Betreiber setzt ein vorhandenes KI-System im eigenen Unternehmen ein. Wer ChatGPT, einen gekauften Chatbot oder ein KI-Tool nutzt, ist Betreiber. Das ist der typische Mittelständler, und für ihn gilt nur ein Bruchteil der Pflichten.
Als Betreiber treffen dich unabhängig von der Risikoklasse zwei Pflichten: Erstens die KI-Kompetenz nach Artikel 4, also Maßnahmen wie die Schulung deiner Mitarbeiter, die KI nutzen. Diese Pflicht gilt seit Februar 2025, ohne Größenausnahme. Zweitens die Offenlegungspflicht nach Artikel 50 Absatz 4, die seit dem 2. August 2026 gilt.
Diese zweite Pflicht wird oft zu weit gefasst. Sie verlangt vom Betreiber zwei Dinge: Deepfakes offenlegen, also täuschend echt wirkende KI-Bilder, KI-Videos und KI-Audio. Und KI-generierte Texte kennzeichnen, wenn sie die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informieren. Für Texte gibt es eine praxisrelevante Ausnahme: Sie entfällt, wenn ein Mensch den Inhalt fachlich geprüft hat und eine benannte Person die redaktionelle Verantwortung trägt. Eine reine Rechtschreibprüfung genügt dafür ausdrücklich nicht.
Dass ein Chatbot sich als KI zu erkennen gibt, ist dagegen nach Artikel 50 Absatz 1 Sache des Anbieters. Wer einen fertigen Chatbot einbindet, muss das nicht selbst nachrüsten. Vorsicht nur, wenn du ein System unter eigenem Namen anbietest oder wesentlich veränderst: Dann kannst du nach Artikel 25 selbst zum Anbieter werden.
Zusätzliche Pflichten entstehen nur, wenn du ein Hochrisiko-System betreibst, etwa eine KI für die Bewerberauswahl. Dann musst du die KI gemäß Anleitung nutzen, eine kompetente menschliche Aufsicht sicherstellen und Vorfälle melden. Für den Standardfall im Mittelstand bleibt es bei den zwei genannten Pflichten. Eine durchdachte KI-Strategie plant diese Punkte von Anfang an ein, statt sie nachträglich aufzusetzen.
Die Bußgelder und die KMU-Entlastung
Die Bußgelder der KI-Verordnung sind hoch, aber für KMU gibt es eine wichtige Entlastung, die in vielen Berichten fehlt.
Euro oder 7% Umsatz für verbotene Praktiken
Art. 99 KI-VO, 2024Euro oder 3% Umsatz für sonstige Verstöße
Art. 99 KI-VO, 2024Euro oder 1% Umsatz für falsche Angaben
Art. 99 KI-VO, 2024Die genannten Höchstbeträge gelten jeweils als der höhere der beiden Werte, also etwa 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes, je nachdem, was höher ist. Das klingt bedrohlich, und für Konzerne ist es das auch.
Für KMU und Start-ups dreht die Verordnung diese Logik um: Hier gilt jeweils der niedrigere der beiden Werte (Art. 99 Abs. 6 KI-VO). Diese Sonderregel deckelt das Risiko für kleinere Unternehmen spürbar. Wer also keine verbotenen Praktiken einsetzt und seine zwei Betreiberpflichten erfüllt, muss keine existenzbedrohenden Strafen fürchten.
Was du jetzt tun solltest
Die KI-Verordnung lässt sich in überschaubare Schritte übersetzen. Die folgende Checkliste deckt ab, was ein Betreiber im Mittelstand angehen sollte.
- KI-Einsatz erfassenListe auf, welche KI-Werkzeuge im Unternehmen genutzt werden, auch die inoffiziellen. Ohne Überblick keine Einordnung.
- Risikoklasse bestimmenOrdne jedes System einer der vier Klassen zu. Achte besonders auf Hochrisiko-Fälle wie KI in der Personalauswahl.
- Mitarbeiter schulenDie Schulungspflicht gilt bereits. Ein nachvollziehbares Konzept aus Schulungen und internen Richtlinien genügt, kein Zertifikat nötig.
- Deepfakes kennzeichnenSeit August 2026 Pflicht: Fotorealistische KI-Bilder, KI-Videos und KI-Audio sichtbar als KI-erzeugt ausweisen. Ein Metadaten-Eintrag reicht dafür nicht.
- Redaktionelle Verantwortung benennenWer KI-Texte zu Themen von öffentlichem Interesse veröffentlicht, sollte einen inhaltlichen Prüfschritt festlegen und den Verantwortlichen im Impressum nennen. Das ersetzt die Kennzeichnung.
- Verbotene Praktiken ausschließenStelle sicher, dass kein eingesetztes System unter die verbotenen Praktiken fällt, etwa Emotionserkennung am Arbeitsplatz.
Der wichtigste Schritt ist der erste. Aus der Digital-Erfahrung seit 2007 von Gründer Jannis Gerlinger, von UX/UI über E-Commerce bis KI, zeigt sich: Die größte Hürde ist selten das Gesetz selbst, sondern der fehlende Überblick, welche KI im Haus überhaupt läuft. Eine interne Richtlinie schafft hier Klarheit und ist zugleich Teil der Schulungspflicht. Wie du KI insgesamt datenschutzkonform einführst, beschreibt unser Leitfaden zu DSGVO-konformer KI-Nutzung.
Zuständige Behörde in Deutschland
Die zentrale Aufsichts- und Marktüberwachungsbehörde für KI in Deutschland ist die Bundesnetzagentur. Deutschland hat ihr diese Rolle mit dem KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG) übertragen, das seit dem 29. Juli 2026 in Kraft ist, soweit keine spezialisierten Fachbehörden zuständig sind.
Für kleinere Unternehmen ist vor allem der KI-Service-Desk der Bundesnetzagentur interessant. Er ist als niedrigschwellige Anlaufstelle gedacht und unterstützt Unternehmen, Behörden und Organisationen bei der Umsetzung der KI-Verordnung. Wer unsicher ist, ob ein System unter eine bestimmte Risikoklasse fällt, findet hier eine erste Orientierung.
Du bist unsicher, welche Pflichten der KI-Verordnung dein Unternehmen treffen? In einer kostenlosen Erstberatung ordnen wir deinen KI-Einsatz ein und benennen die konkreten Schritte, die für dich gelten.
Analysegespräch buchenFazit: für Betreiber überschaubar, aber nicht ignorierbar
Die KI-Verordnung wirkt auf den ersten Blick mächtig, ist für den Mittelstand aber gut beherrschbar. Wer KI nur nutzt, ist Betreiber und hat zwei reale Pflichten: Mitarbeiter schulen, das gilt bereits, und seit August 2026 Deepfakes offenlegen. Die Hochrisiko-Anforderungen, die ohnehin nur Spezialfälle treffen, wurden auf Dezember 2027 verschoben. Die hohen Bußgelder sind für KMU durch die Deckelung auf den niedrigeren Wert entschärft.
Verschaffe dir zuerst einen Überblick, welche KI in deinem Haus läuft, ordne sie den Risikoklassen zu und setze die Schulung um. Damit erfüllst du den Großteil der Anforderungen. Die Verordnung ist kein Grund, KI zu meiden, sondern ein Rahmen, sie verantwortungsvoll zu nutzen.
Du willst KI einführen und dabei von Anfang an rechtssicher sein? Wir bauen KI-Systeme für den Mittelstand, DSGVO-konform und auf Wunsch komplett lokal, und denken die Pflichten der KI-Verordnung mit. Buch dir eine kostenlose Erstberatung, in 15 Minuten klären wir deinen Stand.
Analysegespräch buchen
Jannis Gerlinger berät kleine und mittlere Unternehmen bei der Einführung von Künstlicher Intelligenz und setzt die Lösungen selbst um: KI-Assistenten, Automationen und individuelle Web-Apps. Als Geschäftsführer der JANGER GmbH arbeitet er seit 2007 an digitalen Systemen für Handwerk, Handel und Industrie, von Onlineshops bis zu internen Werkzeugen. Seine vom TÜV Rheinland geprüfte Qualifikation in Verkaufspsychologie verbindet technisches Know-how mit einem tiefen Verständnis für Geschäftsprozesse.
